1/11 Comité sectoriel du Registre national Délibération RN n 38/2015 du 17 juin 2015 Objet: Demande d autorisation émanant de la Direction de l'economie sociale du Département du Développement économique de la Direction générale opérationnelle de l'economie, de l'emploi et de la Recherche du Service public de Wallonie afin d être autorisée à accéder à différentes données du Registre national et à en utiliser le numéro dans le cadre de ses missions relatives aux entreprises d'insertion (RN-MA-2015-135) Le Comité sectoriel du Registre national (ci-après «le Comité») ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la «LRN») ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la «LVP»), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de la Direction de l'economie sociale du Département du Développement économique de la Direction générale opérationnelle de l'economie, de l'emploi et de la Recherche du Service public de Wallonie, reçue le 30/03/2015 ; Vu les questions complémentaires posées à cette Direction le 11/05/2015 et les informations complémentaires fournies par celle-ci en date des 27/05/2015, 29/05/2015 et 08/06/2015 ;
Délibération RN 38/2015-2/11 Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 29/05/2015 ; Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 17 juin 2015 : I. OBJET ET CONTEXTE DE LA DEMANDE 1. La demande de la Direction de l'economie sociale du Département du Développement économique de la Direction générale opérationnelle de l'economie, de l'emploi et de la Recherche du Service public de Wallonie, dénommée ci-après le «demandeur», vise à ce que celle-ci soit autorisée à accéder aux informations mentionnées à l'article 3, alinéa 1 er, 1 à 3 (à l exception du lieu de naissance), 5, 6 (à l exception du lieu de décès), 8, 9, 13 à 16 de la LRN et à utiliser le numéro du Registre national dans le cadre des procédures d agrément et de subventionnement des entreprises d insertion.... 2. Dans le cadre de la mise en place effective de la réglementation régionale relative aux entreprises d'insertion, le demandeur est dans un processus «zéro papier» et de mise en place d'un processus d'automatisation du traitement des dossiers. 3. Pour ce faire, la direction de l'économie sociale voudrait mettre en place plusieurs nouveautés : - des flux automatisés d'informations concernant les travailleurs des entreprises d insertion : ces flux permettraient à l'administration de posséder des données auprès des sources authentiques, ce qui faciliterait le traitement des dossiers et lui permettrait d'avoir accès directement aux informations ; - le demandeur a aussi une mission de contrôle : afin de mener celle-ci à bien, il aimerait avoir accès aux données du Registre national dans le but de vérifier les données qui lui sont transmises notamment par les travailleurs et les employeurs. II. EXAMEN DE LA DEMANDE A. LÉGISLATION APPLICABLE A.1. Loi du 8 août 1983 (LRN)
Délibération RN 38/2015-3/11 4. L autorisation d accéder aux informations visées à l article 3, premier et deuxième alinéas de la LRN, ou d en obtenir communication, et d'utiliser le numéro du Registre national peut être accordée par le Comité aux «autorités publiques belges pour les informations qu'elles sont habilitées à connaître en vertu d'une loi, d'un décret ou d'une ordonnance» (articles 5, al. 1 er, 1 et 8 de la LRN). 5. Le Décret de la Région wallonne du 20 novembre 2008 relatif à l économie sociale entend dynamiser les entreprises d économie sociale notamment au travers des entreprises d insertion. Le décret du 19 décembre 2012 relatif à l agrément et à l'octroi de subventions aux entreprises d'insertion et l'arrêté du Gouvernement wallon du 31 janvier 2013 portant exécution du décret du 19 décembre 2012 relatif à l'agrément et à l'octroi de subventions aux entreprises d'insertion attribue au demandeur la gestion de la matière des entreprises d'insertion. 6. Au regard de ce qui précède, le demandeur peut prétendre, sur la base des articles 5, 1 er alinéa, 1 et 8, 1 er de la LRN, à obtenir l autorisation d utiliser le numéro du Registre national et à accéder aux informations demandées. A.2. Loi du 8 décembre 1992 (LVP) 7. En vertu de l'article 4 de la LVP les informations demandées et le numéro du Registre national constituent des données à caractère personnel dont le traitement n'est autorisé que pour des finalités déterminées, explicites et légitimes. Les données à caractère personnel doivent, en outre, être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. B. FINALITÉS 8. Le demandeur vise à obtenir l accès à certaines données du Registre national et à pouvoir utiliser le numéro du Registre national afin de mener à bien sa mission légale et de service public d agrément et de subvention des entreprises d insertion. 9. Dans le cadre de la procédure d'agrément ou de son renouvellement, l'accès à certaines données du Registre national va permettre au demandeur de vérifier que l'entreprise rencontre les exigences du décret du 19 décembre 2012 relatif à l agrément et à l'octroi de subventions aux entreprises d'insertion en matière d'agrément. En cas de non-respect de ces modalités, la suspension ou le retrait de l'agrément doit être réalisé par l'administration.
Délibération RN 38/2015-4/11 10. Dans le cadre de la procédure de subventionnement, l'accès aux données du registre national va permettre au demandeur d'avoir accès à des données qui permettent de suivre le travailleur, et ce même en cas de changements d'entreprises, mais aussi de prendre connaissance d'éléments permettant de déterminer son statut de travailleur défavorisé ou de travailleurs gravement défavorisé, ce qui donne droit à l'octroi de subventions pour l'employeur. L'accès à ces données va permettre aussi au demandeur de contrôler que les subventions ont bien été octroyées selon les modalités du décret, et dans le cas contraire d en suspendre le paiement. 11. Le demandeur a précisé que les informations relatives aux entreprises d'insertion et à leurs employés sont actuellement obtenues par différents canaux : - les entreprises d'insertion elles-mêmes sont tenues de lui faire parvenir un certain nombre de documents (contrats de travail de tous les travailleurs, formulaire d'agrément dûment complété, formulaire de demande de subvention dûment complété, fiches travailleurs dûment complétées,...) ; - une attestation lui est transmise par le FOREM (attestation A63 d inscription comme demandeur d emploi) afin de vérifier le statut de travailleur défavorisé ou de travailleur gravement défavorisé ; - les déclarations multifonctionnelles (DMFA) lui sont transmises par l ONSS ; - des attestations lui sont transmises par les secrétariats sociaux (comptes individuels). 12. Les conséquences des traitements automatisés envisagés consistent, selon les informations complémentaires du demandeur, en une simplification des démarches tant pour les entreprises que pour son administration. Ainsi, le demandeur pourra avoir plus facilement et rapidement les informations dont il a besoin afin de traiter les agréments et les subventions. Dans un même temps, les entreprises ne devront plus faire de démarches fastidieuses et rendre des quantités de documents au demandeur. 13. Le demandeur a aussi, dans un second temps une mission de contrôle préalable des conditions d agrément et de subventionnement. Ainsi, le demandeur doit, par exemple, vérifier les statuts des travailleurs défavorisés ou des travailleurs gravement défavorisés avant de verser les subventions. Il doit aussi vérifier le nombre d heure de travail prestés par les travailleurs car c est par rapport à ce nombre d heure que la subvention est attribuée,... 14. Le Comité note que l'arrêté du Gouvernement wallon du 31 janvier 2013 portant exécution du décret du 19 décembre 2012 relatif à l'agrément et à l'octroi de subventions aux entreprises d'insertion fait état de la possibilité pour le Ministre qui a l'economie sociale dans ses attributions d appliquer le principe de collecte unique des données en dispensant l'entreprise demanderesse d'agrément de fournir différents documents du dossier d'agrément ou de renouvellement d agrément dès lors que l'administration ou l'inspection est en possession des
Délibération RN 38/2015-5/11 données par le biais de l'accès au registre national, à la Banque carrefour des entreprises et à la Banque carrefour de l'office national de la Sécurité sociale (article 2, 1 er, al. 4 et 5 et article 5, al. 2). Cet arrêté fait également état que la vérification de l effectif de référence dans le cadre de la procédure de subventionnement est assurée par le demandeur en tenant compte des données obtenues notamment par le biais de l accès au Registre national (article 20, 5, al. 1 er ). 15. Au vu des explications qui précèdent, le Comité constate le caractère déterminé, explicite et légitime, au sens de l article 4, 1, 2 de la LVP et de l article 5, deuxième alinéa de la LRN, de la finalité précitée poursuivie par le demandeur. 16. Le Comité note que les missions de service public exposées ci-dessus nécessitant les données demandées du Registre national sont clairement délimitées et édictées dans le décret de la Région wallonne du 19 décembre 2012 précité et l arrêté du Gouvernement wallon du 31 janvier 2013 précité qui l exécute. Dès lors, les traitements envisagés du demandeur entrent dans les cas autorisés par la LVP qui énonce en son article 5, e) que le traitement des données personnelles peut être effectué «lorsqu'il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées». C. PROPORTIONNALITÉ 17. L article 4 1er 3 de la loi vie privée prévoit que les données à caractère personnel doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues et traitées ultérieurement. C.1. Quant aux données 18. Le demandeur souhaite accéder aux informations, et leur historique, du Registre national mentionnées à l'article 3, alinéa 1 er, 1 à 3 (à l exception du lieu de naissance), 5, 6 (à l exception du lieu de décès), 8, 9, 13 à 16 de la LRN, à savoir : - en ce qui les travailleurs des entreprises d insertion : les nom et prénoms ; la date de naissance ; le sexe ; la résidence principale ; la date du décès ; la composition du ménage ;
Délibération RN 38/2015-6/11 la situation de séjour des étrangers ; - en ce qui les membres du conseil d administration des entreprises d insertion : les nom et prénoms ; l état civil ; la cohabitation légale ; la mention des ascendants au premier degré ; la mention des descendants en ligne directe au premier degré. 19. Les données nom et prénoms, date de naissance, sexe, résidence principale, date de décès, composition du ménage, la situation de séjour des étrangers sont demandées en ce qui concerne les travailleurs des entreprises d insertion pour lui permettre d évaluer le statut défavorisé ou gravement défavorisé de ceux-ci. 20. S agissant de la donnée nom et prénoms, elle s inscrit dans le cadre de la vérification des données d identification des travailleurs reprises dans la fiche travailleur complétée actuellement par l employeur 1. La date de naissance permet au demandeur de connaître l âge du travailleur qui est un critère de catégorisation des travailleurs (travailleur défavorisé ou travailleur gravement défavorisé 2 ). Connaître le sexe du travailleur permet de savoir si le travailleur a accepté «un contrat de travail dans un secteur ou une profession dans lesquels le déséquilibre des sexes est supérieur d'au moins 25% au déséquilibre moyen des sexes dans l'ensemble des secteurs économiques et font partie du sexe sous-représenté» 3. Le décès d'un travailleur met fin à la subvention reçue par l'entreprise d'insertion 4. La résidence principale et la composition de ménage vont permettre de contrôler les informations figurant sur le contrat de travail et sur l attestation d inscription comme demandeur d emploi du FOREM (A63) et de vérifier qu un travailleur défavorisé est bien le chef de famille d une famille monoparentale 5. La situation de séjour des étrangers permet au demandeur de vérifier que les travailleurs étrangers engagés par l entreprise d insertion disposent d une autorisation de séjour et d un permis de travail. 21. Les données nom et prénoms, état civil, cohabitation légale, ascendance et descendance sont sollicitées relativement aux membres du conseil d administration des entreprises d insertion. 22. L'article 2, 1, 4 du décret du 12 décembre 2012 stipule que pour être agréée comme entreprise d'insertion, l'entreprise d'insertion doit compter comme membres de son conseil d'administration exclusivement des personnes physiques n'étant ni conjoints ni cohabitants 1 Cette fiche travailleur a été mise en place par le demandeur conformément à l'article 18, 1, al. 1 er de l arrêté du Gouvernement wallon du 31 janvier 2013. 2 Conformément à l article 1 er, 1, b) du décret du 19 décembre 2012. 3 Article 1 er, 1, d) du décret du 19 décembre 2012. 4 En effet, suivant l article 8 du décret du 19 décembre 2012, la subvention est dispensée par travailleur. 5 Critère prévu à l article 1 er, 1, c) du décret du 19 décembre 2012.
Délibération RN 38/2015-7/11 légaux d'autres administrateurs au sein dudit conseil et n'ayant entre elles aucun lien de parenté aux premier et deuxième degrés, avec un minimum de cinq personnes. L'accès aux données sollicitées va permettre au demandeur de pouvoir vérifier ces conditions dans le chef des membres du conseil d'administration. 23. Le demandeur demande de pouvoir bénéficier de l historique des données depuis le 31/01/2013, date d entrée en vigueur du décret du 19 décembre 2012 relatif à l agrément et à l'octroi de subventions aux entreprises d'insertion. Il précise qu il traite en effet les dossiers en entreprises d insertion depuis cette date et doit pouvoir vérifier les données qui lui ont été transmises par les entreprises depuis cette date dans le cadre de la gestion et du contrôle des dossiers. Dans la mesure où la récupération de ces subventions indues n apparaît pas soumise à un délai de prescription spécifique, le Comité constate le caractère pertinent de l octroi d un tel historique. Au vu du délai ordinaire de prescription de 10 ans, l historique des données sera limité à dater du 1 er février 2023 à 10 ans à partir de la date de consultation. 24. Le demandeur sollicite également la mise en place d une communication automatisée avec le Registre national en vue de recevoir automatiquement toute modification qui interviendrait sur les données demandées. Le demandeur explique qu il doit en être informé afin de pouvoir prendre en considération les changements dans les données relatives aux travailleurs ou aux membres des conseils d administration des entreprises d insertion. De tels changements peuvent avoir des implications tant au niveau de l'agrément que du subventionnement (modification, retrait, suspension). 25. Pour pouvoir bénéficier de cette fonctionnalité, celui-ci doit de préférence disposer d un répertoire de référence qu il met en place lui-même ou en en s intégrant dans un répertoire de référence existant d un intégrateur de services tel que par exemple celui de la Banque carrefour de la sécurité sociale (BCSS) ou de la Banque Carrefour d Echange de Données de la Fédération Wallonie-Bruxelles (BCED). Ce répertoire sert de filtre afin que le demandeur ne reçoive que l information pertinente dans le cadre du traitement de ses dossiers. A défaut, le demandeur peut communiquer aux services du Registre national les numéros du Registre national de toutes les personnes dont le dossier est actif au sein de ses services afin de recevoir en retour les données actualisées uniquement de ces personnes. 26. Compte tenu de ces explications, le Comité estime qu un accès aux données sollicitées est proportionnel, pertinent et non excessif, au regard de la finalité poursuivie, conformément à l'article 4, 1 er, 3 de la LVP.
Délibération RN 38/2015-8/11 C.2. Quant au numéro du Registre national 27. L'utilisation du numéro du Registre national est demandée afin de servir d identifiant des personnes dans les dossiers gérés par le demandeur et cela permettra par conséquent une identification univoque des personnes. Le numéro va aussi permettre de suivre les personnes de manière univoque lors de leur changement d entreprise et servir d identifiant unique pour l échange d informations entre administrations. 28. Le Comité considère que l'utilisation projetée du numéro du Registre national est conforme avec l article 4, 1, 3 de la LVP. C.3. Quant à la fréquence de l accès et la durée de l autorisation 29. Le demandeur sollicite un accès permanent aux données demandées dès lors que le demandeur est compétent pour l application de la réglementation relative aux entreprises d insertion sur son territoire pour une durée indéterminée. 30. Le Comité constate que la finalité pour laquelle le demandeur souhaite obtenir un accès s inscrit dans le cadre de ses missions qui ne sont pas limitée dans le temps. A la lumière de cet élément, le Comité considère qu un accès permanent et une autorisation d une durée indéterminée sont appropriées, conformément à l article 4, 1 er, 3. C.4. Quant au délai de conservation 31. La durée sollicitée de conservation des données relatives aux travailleurs des entreprises d insertion correspond à la durée de l'occupation par un travailleur dans le dispositif des entreprises d'insertion. Cette période permettra au demandeur d avoir des informations et de contrôler les informations pour un travailleur pendant toute la durée de sa participation aux dispositifs précités. 32. En ce qui concerne les données relatives aux membres du conseil d administration, la durée de conservation demandée est égale à la durée de la présence de l administrateur au sein de l entreprise. 33. Le Comité considère que, dans la mesure où le demandeur respecte ces délais, il agit conformément à l article 4, 1 er, 5 de la LVP.
Délibération RN 38/2015-9/11 C.5. Usage interne et/ou communication à des tiers 34. Les données sont uniquement destinées à un usage interne par les gestionnaires de dossiers du demandeur dans le cadre de l instruction des dossiers et ne feront pas l objet de communications à des tiers, sauf sur demande du Département de l'inspection de la Direction générale opérationnelle Economie, Emploi et Recherche du Service public de Wallonie et des instances judiciaires dûment mandatées. 35. Le comité en prend acte et constate que ces communications sont par nature liées à la finalité du traitement du demandeur. C.6. Connexions en réseau 36. D'après les informations fournies par le demandeur, il apparaît qu'aucune information ne sera échangée avec des tiers sur la base du numéro du Registre national en tant que clé primaire et que par conséquent, il n'y a pas de connexion en réseau. 37. Le Comité en prend acte. Par souci d'exhaustivité, le Comité souligne que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro du Registre national ne peut être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités pour lesquelles ces derniers ont également été autorisés à utiliser ce numéro. D. SECURITE D.1. Conseiller en sécurité de l information et politique de sécurité 38. Le demandeur dispose d un conseiller en sécurité de l information. 39. Le Comité constate que la personne désignée a déjà été acceptée dans le cadre de précédentes délibérations. 40. D'après les documents fournis par le demandeur, il apparaît que ce dernier dispose d'une politique de sécurité.
Délibération RN 38/2015-10/11 D.2. Personnes ayant accès aux données et liste de ces personnes 41. D après le demandeur, l accès aux données est limité aux gestionnaires de dossiers en charge de l instruction des demandes d agrément et de subvention ainsi que de leur contrôle. 42. Le Comité précise que la liste des personnes autorisées à avoir accès aux informations du Registre national doit être dressée. Cette liste sera constamment actualisée et tenue à la disposition du Comité. 43. Les personnes concernées signeront en outre une déclaration écrite par laquelle elles s engagent à préserver la sécurité et le caractère confidentiel des informations auxquelles elles ont accès. 44. Le demandeur doit prendre les mesures nécessaires pour enregistrer les loggings afin de pouvoir contrôler les accès Au registre national (qui a eu accès à quoi, quand et pourquoi) pendant au moins 10 ans. PAR CES MOTIFS, le Comité 1 autorise le demandeur, pour la réalisation de la finalité mentionnée au point B et aux conditions exposées dans la présente délibération, à obtenir, pour une durée indéterminée, un accès aux informations reprises à l'article 3, alinéa 1 er, 1 à 3 (à l exception du lieu de naissance), 5, 6 (à l exception du lieu de décès), 9 et 14 de la LRN en ce qui concerne les travailleurs des entreprises d insertion, et à l'article 3, alinéa 1 er, 1, 8, 13, 15 et 16 de la LRN en ce qui concerne les membres du conseil d administration des entreprises d insertion, en ce compris leur historique depuis le 31/01/2013 qui devra être limité à dater du 1 er février 2023 à 10 ans à partir de la date de consultation et leurs mutations, et à utiliser le numéro du Registre national ; 2 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du Conseiller en sécurité et réponses aux questions relatives à l organisation de la sécurité), le demandeur adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu.
Délibération RN 38/2015-11/11 3 stipule également que lorsqu'il enverra au demandeur un questionnaire relatif à l'état de la sécurité de l'information, celui-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Ce dernier en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. Pour l Administrateur f.f., abs. La Présidente, (sé) An Machtens Chef de section ORM f.f. (sé) Mireille Salmon