1/8 Comité sectoriel du Registre national Délibération RN n 21/2013 du 20 mars 2013 Objet : demande formulée par l' "Agentschap voor Overheidspersoneel" (Agence de la Fonction publique) afin d'utiliser le numéro d'identification du Registre national dans le système informatique intégré du Service social en vue de développer un guichet électronique (RN-MA-2013-001) Le Comité sectoriel du Registre national (ci-après "le Comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de l' "Agentschap voor Overheidspersoneel" (Agence de la fonction publique), reçue le 07/01/2013 ; Vu les informations complémentaires reçues le 18/02/2013 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 12/02/2013 ; Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 20 mars 2013 :
Délibération RN 21/2013-2/8 I. OBJET DE LA DEMANDE 1. L' "Agentschap voor Overheidspersoneel" (Agence de la Fonction publique) demande que la "VZW Sociale dienst voor het Vlaams Overheidspersoneel" (l'asbl Service social du personnel de l'autorité flamande), ci-après le demandeur, soit autorisée à utiliser le numéro d'identification du Registre national en vue de fournir un service en ligne efficace par le biais de modules qui se transformeront en un guichet électronique à part entière. II. EXAMEN DE LA DEMANDE 2. L'arrêté royal du 4 décembre 2002 1 autorisait la "VZW Sociale Dienst van de Vlaamse Gemeenschap" (l'asbl Service social de la Communauté flamande) à accéder à plusieurs informations du Registre national. 3. Le décret cadre politique administrative du 18 juillet 2003 a profondément réorganisé l'administration flamande, de sorte que l'on ne savait plus clairement qui était le bénéficiaire des autorisations accordées par l'arrêté royal. 4. La délibération RN n 04/2010 du 17 février 2010 relative à la révision des arrêtés d'autorisation suite au décret pour une meilleure politique administrative a remédié à la situation en définissant quel service devait être considéré comme le successeur en droit des bénéficiaires mentionnés dans les arrêtés d'autorisation. 5. Au point 33 de la délibération en question, il est stipulé que dans l'arrêté royal du 4 décembre 2002, la dénomination "l'asbl Service social de la Communauté flamande" doit désormais être lue comme étant "l'asbl Service social du personnel de l'autorité flamande". 6. Le demandeur dispose donc déjà d'une autorisation de sorte que lors de son examen, le Comité peut se limiter à vérifier si : la finalité pour laquelle l'utilisation du numéro d'identification est demandée est conforme à l article 4, 1, 2 de la LVP ; 1 L'arrêté royal du 4 décembre 2002 autorisant l'asbl Service social de la Communauté flamande, rattachée administrativement à l'administration de la Fonction publique du département des Affaires générales et des Finances du Ministère de la Communauté flamande à accéder aux informations du Registre national des personnes physiques.
Délibération RN 21/2013-3/8 l'utilisation du numéro d'identification est proportionnelle à la lumière de cette finalité (article 4, 1, 3 de la LVP). A. FINALITÉ 7. Le demandeur a été créé en exécution de l'article 3 du décret du 2 mars 2007 2. Il a pour objectif de contribuer au bien-être général des membres du personnel actifs et retraités des administrations flamandes et des membres de leurs familles, aux fins d'optimaliser leur efficacité personnelle et interpersonnelle, eu sein de l'environnement de travail et en dehors (article 4). 8. Le groupe cible du demandeur se compose de membres du personnel actifs et retraités, entre autres des départements flamands, des agences flamandes, des institutions publiques flamandes, ainsi que des membres de leurs familles. 9. En vue de proposer une offre de services efficace 3, le demandeur dispose d'une application informatique, le Geïntegreerd Informaticasysteem Sociale Dienst (GISD) (système informatique intégré du service social) qui regroupe les différentes procédures sous la forme de modules. À partir de là, le demandeur souhaite développer à terme un guichet électronique qui permettra de bénéficier de plusieurs services. 10. Un pas a été franchi dans cette direction en 2011 avec la mise en ligne sur le réseau interne de deux modules, l'un permettant aux ayants droit d'acheter des tickets à un tarif préférentiel et l'autre de choisir un cadeau de Saint-Nicolas sur catalogue. Cela a mis fin à un flux de formulaires dont le traitement nécessitait beaucoup de temps et de personnel. Dans l'intervalle, la procédure permettant de demander un prêt sans intérêt pour une garantie locative a également été mise en ligne en 2012. Il est prévu d'encore ajouter d'autres fonctionnalités courant 2013 afin de créer un véritable guichet électronique proposant une offre de services conviviale et rapide et simplifiant considérablement les procédures administratives. 11. Il ne peut être question d'un guichet électronique à part entière que si tous les ayants droit peuvent y recourir. Pour le moment, ce n'est pas le cas pour des ayants droit tels que les membres du personnel des institutions publiques flamandes, les ayants droit retraités, les membres du personnel ne disposant pas d'un ordinateur au travail qui ne sont pas connectés ou qui non pas accès au réseau interne. D'où le souhait du demandeur de rendre ce guichet 2 Décret du 2 mars 2007 relatif à l'association sans but lucratif "Sociale Dienst voor het Vlaams Overheidspersoneel" (Service social pour le Personnel des Services publics flamands). 3 Celle-ci comprend l'aide individuelle (par exemple l'aide en cas d'assuétude, l'octroi d'un prêt sans intérêt pour surmonter une situation d'urgence), l'aide sociale (par exemple l'apport d'un avis juridique, l'offre de cadeaux de Saint-Nicolas, de tickets à prix avantageux pour des parcs d'attraction) et une préparation à la fin de carrière.
Délibération RN 21/2013-4/8 électronique accessible via Internet. À cet effet, il aura recours à l'access and Control Management et au single sign on de l'autorité flamande. Pour utiliser ces applications, l'ayant droit s'identifie et s'authentifie à l'aide de son eid ou de son token citoyen fédéral. Il est ensuite connecté à l'application en ligne du demandeur sur la base du numéro d'identification. 12. Pour que le guichet électronique puisse fonctionner de manière optimale, il est donc essentiel que tous les ayants droit qui sont enregistrés dans le GISD sous-jacent du demandeur puissent être identifiés de façon univoque afin d'exclure des erreurs (accès réservé aux ayants droit, l'ayant droit ne peut visualiser que les informations et les données qui le concernent). 13. Actuellement, le demandeur dispose donc certes des numéros d'identification des ayants droit sur la base de l'arrêté royal du 24 novembre 2010 déterminant les cas dans lesquels une autorisation d'utiliser le numéro d'identification du Registre national n'est pas requise. Cet arrêté limitait toutefois l'utilisation du numéro d'identification à la consultation ponctuelle du Registre national. 14. Le Comité constate que la finalité du traitement est déterminée et explicite. Le traitement de données à caractère personnel en vue de la réalisation de cette finalité se fonde sur l'article 5, premier alinéa, c) et f) de la LVP. Il s'agit par conséquent également d'une finalité légitime. 15. Pour l'élaboration de ce projet, il est fait appel à un sous-traitant. Le Comité attire l'attention sur le fait que l'article 16 de la LVP exige du demandeur, responsable du traitement, qu'il conclue un contrat relatif à la protection des données à caractère personnel avec son sous-traitant. B. PROPORTIONNALITÉ B.1. Quant au numéro d'identification 16. Le demandeur souhaite utiliser le numéro d'identification afin d'identifier le plus précisément possible les ayants droit qui sont enregistrés dans son GISD, en vue d'éviter des erreurs pouvant survenir en raison d'une orthographe erronée ou d'une homonymie et de ne pas hypothéquer le bon fonctionnement du guichet électronique qui y est lié. 17. Le Comité constate que le numéro d'identification constitue l'instrument le plus adéquat pour identifier une personne. Il s'agit d'un numéro unique qui permet d'identifier une personne avec une grande précision, surtout s'il est utilisé en combinaison par exemple avec le nom et le prénom et l'adresse. 18. À la lumière de la finalité indiquée, l'utilisation du numéro d'identification souhaitée par le demandeur est conforme à l'article 4, 1, 3 de la LVP.
Délibération RN 21/2013-5/8 B.2. Quant à la durée de l'autorisation 19. L'autorisation est demandée pour une durée indéterminée, étant donné que la mission décrétale du demandeur n'est pas limitée dans le temps et qu'il n'est pas non plus possible de déterminer pendant combien de temps un guichet électronique se révélera un instrument utile pour l'accomplissement de cette mission. 20. À la lumière de cet élément, le Comité estime qu'une autorisation d'une durée indéterminée est appropriée (article 4, 1, 3 de la LVP). B.3. Quant au délai de conservation 21. La demande précise que le demandeur conserve le numéro d'identification tant qu'une personne peut faire appel à ses services par le biais du guichet électronique. Lorsque tel n'est plus le cas parce que la personne concernée a été licenciée/a démissionné, est décédée ou s'est fait rayer, le numéro sera effacé de l'environnement du guichet électronique. Il sera toutefois encore conservé dans le dossier de la personne concernée pendant 10 ans après la clôture du dossier. 22. Le Comité constate que l'offre de services par le demandeur génère une série de dépenses et de recettes (cadeaux, tickets à des tarifs préférentiels, prêts sans intérêt, ) qui sont contrôlées par la Cour des Comptes, laquelle peut se faire remettre à cet effet tous les dossiers pertinents. 23. Pour déterminer le délai de conservation, le demandeur doit par conséquent tenir compte : de la loi du 16 mai 2003 fixant les dispositions générales applicables aux budgets, au contrôle des subventions et à la comptabilité des communautés et des régions, ainsi qu'à l'organisation du contrôle de la Cour des comptes. L'article 15 de cette loi dispose qu'en matière de prescription, le droit commun s'applique, soit un délai de 10 ans. En outre, l'article 68 du décret du 8 juillet 2011 réglant le budget, la comptabilité, l'attribution de subventions et le contrôle de leur utilisation, et le contrôle par la Cour des Comptes dispose que l'article 15 susmentionné de la loi du 16 mai 2003 s'applique aux personnes morales flamandes ; des restrictions qui découlent du décret du 9 juillet 2010 relatif à l'organisation des archives administratives et de gestion. 24. Compte tenu de ce qui précède, le Comité constate que le délai de conservation proposé par le demandeur ne va pas à l'encontre de l'article 4, 1, 5 de la LVP.
Délibération RN 21/2013-6/8 B.4. Usage interne et/ou communication à des tiers 25. D'après la demande, le numéro d'identification sera uniquement utilisé en interne. 26. Le Comité en prend acte. B.5. Connexions en réseau 27. Une connexion en réseau implique la communication automatique à des tiers de données à caractère personnel par le biais du couplage réciproque de systèmes d'information où le numéro de Registre national des personnes concernées est utilisé comme clé primaire. 28. Il est indiqué dans la demande qu'une connexion en réseau sera établie avec le DAB-ICT (ancienne appellation, le nom actuel est DAB-Informatie Vlaanderen (SGC Information Flandres), il s'agit autrement dit l'intégrateur de services flamand). Le Comité constate qu'il ne s'agit pas d'une connexion en réseau au sens décrit ci-dessus au point 27. 29. Par souci d'exhaustivité, le Comité attire l'attention sur le fait que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro d'identification du Registre national ne peut en tout cas être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités pour lesquelles ces derniers ont également été autorisés à utiliser ce numéro. C. SÉCURITÉ DE L'INFORMATION C.1. Conseiller en sécurité de l'information 30. L'identité du conseiller en sécurité de l'information a été communiquée. Il ressort des informations communiquées que l'intéressé : dispose de l'indépendance nécessaire pour exercer la fonction ; fait rapport à l'administrateur général ; peut consacrer suffisamment de temps à la tâche ; possède une connaissance et une expérience pratiques suffisantes de la problématique. 31. À la lumière de ce qui précède, le Comité estime que l'intéressé peut être admis comme conseiller en sécurité de l'information.
Délibération RN 21/2013-7/8 C.2. Politique de sécurité de l'information 32. D'après les documents communiqués, il apparaît que le demandeur dispose d'une politique de sécurité de l'information qu'il met également en pratique sur le terrain. Le Comité en a pris acte. C.3. Liste des personnes utilisant le numéro d'identification 33. D'après la demande, le numéro d'identification sera utilisé par les membres du personnel du demandeur qui assurent la gestion de l'application GISD ainsi que la gestion des accès et des utilisateurs. 34. Comme le prescrit l article 12 de la LRN, le demandeur doit établir une liste des personnes qui ont accès aux données du Registre national et qui utilisent le numéro d'identification de ce Registre. Cette liste doit être constamment actualisée et tenue à la disposition du Comité. 35. Les personnes figurant sur cette liste doivent en outre signer une déclaration par laquelle elles s engagent à préserver la sécurité et le caractère confidentiel des informations. PAR CES MOTIFS, le Comité 1 autorise, pour une durée indéterminée, la VZW Sociale dienst voor het Vlaams Overheidspersoneel, en vue de la réalisation de la finalité énoncée au point A et selon modalités exposées dans la présente délibération, à utiliser le numéro d'identification du Registre national ; 2 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du conseiller en sécurité et réponses aux questions relatives à l organisation de la sécurité), la VZW Sociale dienst voor het Vlaams Overheidspersoneel adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ;
Délibération RN 21/2013-8/8 3 stipule que, lorsqu'il enverra à la VZW Sociale dienst voor het Vlaams Overheidspersoneel un questionnaire relatif à l'état de la sécurité de l'information, celle-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Ce dernier en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. L'Administrateur f.f., La Présidente, (sé) Patrick Van Wouwe (sé.) Mireille Salmon