
En 2016, la Commission vie privée a déjà émis deux avis relatifs à des avant-projets de loi concernant l’utilisation de caméras par les services de police et la simple utilisation de caméras (voir rapport annuel 2016, point 5.1.1). L’avant-projet de loi faisant l’objet de l’avis n° 53/2017 était en grande partie une réécriture et une fusion des deux projets de texte sur lesquels la Commission vie privée s’était prononcée en 2016. Par ailleurs, l'avant-projet comporte plusieurs dispositions entièrement nouvelles qui concernent principalement la création par la police de ce qu’on appelle des "banques de données techniques". Des données à caractère personnel y seraient collectées automatiquement de par l’utilisation de caméras intelligentes/systèmes de reconnaissance automatique de plaques d'immatriculation.
En ce qui concerne l'utilisation de caméras par les services de police, on affirme dans le nouvel avis qu'il appartient en premier lieu à l'Organe de contrôle de l'information policière (COC) de se prononcer à cet égard. Plusieurs autres remarques de fond importantes sont également formulées. La Commission vie privée attire notamment l'attention sur le fait que le système de "banques de données techniques" crée la possibilité de cartographier à grande échelle des schémas de déplacement de personnes physiques, ce qui implique évidemment des risques en termes de protection de la vie privée. La Commission vie privée se montre dès lors particulièrement réservée quant au délai d'un an proposé pour la conservation des données ANPR dans ces banques de données policières. Elle plaide en outre aussi pour une simplification du règlement relatif à ces "banques de données techniques" et pour une meilleure couverture des risques liés à ce système.
La Commission vie privée recommande ainsi notamment de soumettre le système de "banques de données techniques" à un test de proportionnalité et de ne l'autoriser que pour la détection d'infractions déterminées. Elle recommande également de soumettre des couplages avec d'autres banques de données et des corrélations avec d'autres "listes" et "critères d'évaluation préétablis" à des conditions strictes. Enfin, elle plaide pour qu'on laisse les délégués à la protection des données des services de police jouer un plus grand rôle dans la phase opérationnelle des "banques de données techniques" et que l'ensemble soit placé sous le contrôle du COC.
Pour ce qui est de l'utilisation non policière de caméras, l'avis répète les trois suggestions que la Commission vie privée avait déjà formulées dans ses avis de 2016. Par ailleurs, quatre nouveaux points d'attention sont encore relevés, le plus important traitant du fait que l'avant-projet instaure une exception au principe en vertu duquel un responsable du traitement ne peut diriger sa caméra que vers des lieux dont il est lui-même responsable. Selon l'avant-projet, il serait en effet possible, pour certains lieux fermés, de filmer un "périmètre autour du lieu""périmètre autour du lieu" et la Commission vie privée craint qu'en pratique, cette exception risque de dénaturer la règle générale.
Le projet d'arrêté royal exécute l'article 1391, § 1er, alinéa 5 du Code judiciaire. Cet article de loi confère aux magistrats et aux greffiers du tribunal de commerce un droit de consultation spécial du fichier central des avis de saisie, de délégation, de cession et de règlement collectif de dettes et de protêt (ci-après le FCA). Contrairement à tous les autres acteurs habilités qui ne peuvent consulter le FCA que sur le nom, les magistrats et les greffiers du tribunal de commerce peuvent effectuer une recherche générale dans le FCA suivant des paramètres définis par le Roi. En outre, cet article de loi prévoit la possibilité d'ajouter aux résultats de recherche de la recherche générale dans le FCA des informations complémentaires provenant d'autres sources d'information désignées par le Roi. Le projet d’arrêté royal qui a été soumis pour avis à la Commission vie privée identifie ces sources d'information complémentaires que le FCA peut consulter et définit leurs modalités de consultation.
La Commission vie privée a émis un avis défavorable pour différentes raisons. Ainsi, le projet d’arrêté méconnaissait certaines obligations en matière d’autorisation, ne correspondait pas suffisamment à la loi sur la continuité des entreprises et ne mentionnait pas non plus les catégories de données auxquelles les chambres d’enquête commerciale auraient accès, ni les critères de sélection pour leurs recherches. Enfin, la Commission vie privée a souligné que la méthode de calcul des résultats de recherche devait être conservée pendant un délai raisonnable afin de permettre un contrôle rationnel a posteriori d'une éventuelle prise de décision automatisée.
Le Ministre de la Sécurité et de l'Intérieur a demandé l'avis de la Commission vie privée au sujet d'un projet de Memorandum of Understanding between the Government of the United States of America and the Governement of Belgium on enhancing cooperation to prevent terrorist travel and to Combat Illegal Immigration (Mémorandum d'entente entre le Gouvernement des États-Unis d'Amérique et le Gouvernement de Belgique en vue d'accroître la coopération dans le cadre de la prévention du terrorisme et de la lutte contre l'immigration illégale, ci-après "le MOU").
Le MOU visait à permettre, entre les États-Unis et notre pays, un accès direct et réciproque aux systèmes nationaux d'empreintes digitales, et ce pour plusieurs finalités se chevauchant, dont le contrôle de la criminalité, le contrôle et l'application des règles en matière d'immigration illégale, le traitement de demandes d'asile et la protection de la sécurité nationale.
Le MOU impliquait donc un nouvel échange automatisé de données sensibles et biométriques vers un pays hors UE. Dans son avis n° 03/2017, la Commission vie privée a constaté en premier lieu que le MOU ne pouvait pas en soi (ni même lu conjointement avec d'autres instruments nationaux et internationaux) constituer une base juridique suffisante au sens de l'article 22 de la Constitution pour permettre la réalisation de ces traitements.
En second lieu, la Commission vie privée a formulé des critiques quant au contenu du MOU : finalités formulées de manière trop générale qui ne sont pas distinctes les unes des autres, respect insuffisant du principe de proportionnalité, absence de règles claires en matière de délais de conservation et garanties insuffisantes au niveau des droits des personnes concernées.
Vu les nombreuses remarques fondamentales, le demandeur a été invité à opter pour un autre instrument juridique (en lieu et place d'un MOU) et le cas échéant aussi à retravailler en profondeur le contenu de la proposition.
En octobre 2017, la Commission vie privée a émis un avis d'initiative concernant le projet de loi modifiant la loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers et la loi du 12 janvier 2007 sur l’accueil des demandeurs d’asile et de certaines autres catégories d’étrangers.
Les personnes qui demandent asile en Belgique doivent, de leur propre initiative, fournir les documents et éléments nécessaires afin que le Commissaire général aux réfugiés et aux apatrides (CGRA) puisse examiner et évaluer correctement la demande d'asile. D'après le CGRA, les preuves peuvent également être fournies par des informations numériques. Une modification importante du projet de loi relative à la vie privée donne dès lors au CGRA la compétence d'accéder, moyennant le consentement du demandeur d'asile, aux systèmes informatiques, dont le smartphone et les sites de réseaux sociaux - tels que Facebook - que le demandeur a sur lui. Le CGRA a ainsi accès à des informations ayant un impact énorme sur la protection de la vie privée du demandeur d'asile.
En ce qui concerne le consentement, la Commission vie privée estime que le consentement donné ne peut pas être qualifié de "libre" étant donné que le refus de consentement peut entraîner des conséquences négatives pour la reconnaissance du demandeur d'asile. En outre, le consentement est de facto vidé de son sens vu que, à la demande du CGRA, le demandeur d'asile doit présenter immédiatement les informations pertinentes que le CGRA soupçonne de pouvoir retrouver sur le smartphone ou sur Facebook.
De manière plus fondamentale, la Commission vie privée constate des manquements graves du fait de l'absence de garanties suffisantes, étant donné la violation importante de la vie privée. Le projet de loi ne régit aucune des questions suivantes :
Vu les objections et manquements précités, la Commission vie privée émet un avis défavorable.
Au début de cette année, la Commission vie privée a émis un avis (n° 10/2017) au sujet de la proposition de loi concernant le traitement de données à caractère personnel par le Service public fédéral Justice dans le cadre de l'exécution des peines et des mesures privatives de liberté et de la gestion des établissements dans lesquels cette exécution s'effectue (ci-après : "la proposition"). La proposition concernait le traitement de données à caractère personnel de détenus par l'administration pénitentiaire dans une banque de données créée spécialement à cet effet, appelée "Sidis Suite". La Commission vie privée a émis un avis favorable, moyennant la prise en compte de certaines remarques qui étaient surtout liées à l'élaboration concrète des droits de lecture et d'écriture dans Sidis Suite. Globalement, la proposition présentait un avantage majeur : elle tentait enfin de définir clairement dans la réglementation les éléments essentiels des traitements de données au sein de Sidis Suite, ce que la Commission vie privée avait demandé à plusieurs reprises par le passé.
Fin juin 2017, la Commission vie privée a reçu la demande du Président de la Chambre des représentants l'invitant à rendre également un avis sur les amendements à cette proposition qui avaient été introduits au cours de la procédure parlementaire.
Dans son avis n° 50/2017, la Commission vie privée a constaté qu'une partie des amendements avaient pour but de répondre aux remarques qu'elle avait formulées dans son avis n° 10/2017. Ces amendements ont dès lors été évalués favorablement dans l'avis.
Par ailleurs, on a constaté dans l'avis n° 50/2017 qu'une deuxième partie des amendements n'était pas en lien avec les remarques antérieures de la Commission vie privée. Ces amendements ont été confrontés à la loi vie privée, faisant apparaître deux préoccupations. Premièrement, l'administration pénitentiaire risquait – en raison des amendements qui proposaient d'intégrer aussi à Sidis Suite des données de "personnes qui font l'objet d'une décision pénale et qui, moyennant le respect de ces conditions, sont en liberté, ont été mises en liberté ou ont été laissées en liberté""personnes qui font l'objet d'une décision pénale et qui, moyennant le respect de ces conditions, sont en liberté, ont été mises en liberté ou ont été laissées en liberté""personnes qui font l'objet d'une décision pénale et qui, moyennant le respect de ces conditions, sont en liberté, ont été mises en liberté ou ont été laissées en liberté" – de se voir confier la gestion de données pour lesquelles elle n'est pas compétente en vertu de la réglementation. Deuxièmement, il risquait également d'y avoir un chevauchement entre les données qui seraient conservées dans Sidis Suite et celles qui sont déjà conservées actuellement dans le Casier judiciaire central, rendant plusieurs amendements contradictoires avec les principes de collecte unique de données et de source authentique. Compte tenu de ces deux préoccupations fondamentales, la Commission vie privée a émis une évaluation défavorable pour plusieurs amendements.
L’arrêté royal en projet qui a été soumis pour avis vise à déterminer les données contenues dans le registre central successoral et à en définir les modalités d’inscription et d’accès.
Eu égard aux finalités et aux explications fournies par le rapport au Roi, la Commission vie privée n’a pas de remarques particulières quant aux données qui seront traitées.
Par contre, concernant l’accès au registre, la Commission vie privée estime que l’intérêt légitime de la consultation doit également être démontré par les catégories de personnes visées aux points 1° et 2° de l’article 5 du projet. L’inscription d’un numéro de dossier, par exemple, pourrait permettre de vérifier la légitimité de l’intérêt de la consultation. Par ailleurs, la Commission vie privée s’interroge sur la manière dont la légitimité de la consultation du registre central successoral par « toute personne » sera vérifiée. Il convient de déterminer davantage les catégories de personnes qui auront accès au Registre central successoral eu égard aux finalités pour lesquelles il a été créé.
La Commission vie privée rappelle dans l’avis que la Loi vie privée offre aux personnes concernées un droit d’information, un droit d’accès, un droit de rectification et d’opposition ainsi que le droit de ne pas être soumis à une décision automatisée. Ces droits doivent être respectés et exercés dans le respect des procédures prévues aux articles 9 à 12 de la Loi vie privée et 28 à 35 de l’AR du 13 février 2001.
Finalement, il est également rappelé que le principe de sécurisation des traitements de données à caractère personnel impose au responsable du traitement de prendre des mesures techniques et organisationnelles adéquates pour protéger les données à caractère personnel qu'il traite et se prémunir contre les détournements de finalité. Le caractère adéquat de ces mesures de sécurité dépend, d'une part, de l'état de la technique et des frais engendrés et d'autre part, de la nature des données à protéger et des risques potentiels.
La Commission vie privée a reçu une demande d'avis concernant un avant-projet d'ordonnance modifiant l’ordonnance du 28 mai 2015 créant un organisme d’intérêt public dénommé Bruxelles-Prévention & Sécurité (« BPS ») centralisant la gestion de la politique de prévention et de sécurité en Région de Bruxelles-Capitale.
En 2015, la Commission vie privée avait déjà rendu un avis favorable sous conditions diverses (avis 29/2015) sur le projet initial du texte alors introduit sous la forme d’un avant-projet d’arrêté du Gouvernement de la Région Bruxelles Capitale.
L’avant-projet d’ordonnance met en place de nouvelles entités ou confie de nouveaux rôles à des entités existantes dans la mise en place du système de mutualisation des images de caméras de vidéo-protection : BPS en tant que « receveur universel » ; un « Centre de communication intégré », un « Centre de crise régional ; un « Centre de traitement de données et de visualisation » ; et la « plate-forme bruxelloise de vidéo-protection ».
L’avant-projet d’ordonnance est problématique à plusieurs égards :
Au vu de ces remarques, la Commission vie privée n’a eu d’autre choix que d’émettre un avis défavorable sur l’avant-projet d'ordonnance.
L’avant-projet vise à octroyer un pouvoir particulier aux inspecteurs sociaux pour la surveillance de la législation anti-discrimination sur le lieu de travail. Il s’agit de la possibilité de recourir au « mystery shopping », c’est-à-dire permettre aux inspecteurs sociaux de se présenter comme des travailleurs (potentiels) pour rassembler des informations destinées à prouver l'existence d'une infraction en matière de discrimination au travail.
Ce pouvoir est accompagné d’une part de prérogatives : dérogation à l’obligation de légitimation, possibilité de commettre des infractions absolument nécessaires ; et de limites : caractère accessoire de la mesure (indications objectives de discrimination), caractère subsidiaire (à défaut de pouvoir utilement recourir à une autre mesure), interdiction de la provocation.
Le demandeur s’est largement inspiré de ce qui existe pour l’inspection économique (et dans une moindre mesure pour la FSMA).
Pour rappel, le Code pénal social attribue déjà aux inspecteurs sociaux toute une série de pouvoirs :
L’avis examine si les principes de la loi vie privée sont respectés quant à la possibilité de recourir à la technique du mystery shopping dans le chef des inspecteurs sociaux et quelles sont les principales règles de protection des données applicables. Sont ainsi notamment analysées la légitimité, la proportionnalité et la finalité des traitements impliqués. Sont aussi analysés la responsabilité des traitements, le devoir d’information et le droit d’accès, la conservation et la sécurité des données.
L’avis est favorable à condition de tenir compte d’une série de remarques:
Le SPF Affaires Etrangères souhaite permettre l’utilisation des empreintes digitales du titulaire de passeport afin de lutter contre la fraude aux passeports. Les empreintes seraient alors conservées pendant 20 ans, à l’instar de l’image numérisée de la photo du titulaire.
Actuellement, les empreintes sont essentiellement utilisées dans le cadre de la production des passeports et conservées 3 mois.
Le demandeur met principalement en avant la problématique du « photo morphing » (assemblage logiciel de photos de 2 personnes différentes), rendu possible en l’absence de « live enrollment » (prise de photo sur place). Il souhaite dès lors combiner la technique de la reconnaissance faciale et la comparaison des empreintes digitales.
La Commission vie privée avait adhéré aux arguments du demandeur (avis n° 60/2013 du 27 novembre 2013) concernant la possibilité de disposer des photos des 2 derniers passeports. Elle reconnaissait également que l’utilisation d’un logiciel de reconnaissance faciale permet d’obtenir une analyse plus fiable qu’une comparaison de visu et de détecter d’éventuelles tentatives d’obtenir un passeport authentique sous une fausse d’identité.
La Commission vie privée émet un avis défavorable. L’avis présente une série d’arguments qui vont à l’encontre de la conservation de longue durée des empreintes digitales et justifie la prise d’un avis négatif :
L’avis préconise la généralisation du « live enrollment » qui permet au demandeur de ne pas devoir traiter des données présentant un caractère sensible. A titre transitoire, la Commission vie privée peut admettre la conservation des empreintes dans le cadre du traitement en vue de la lutte contre la fraude aux passeports pendant la durée de validité de passeport qui est principe de 7 ans (point 21). Elle demande à cet égard que des éléments objectivables (chiffres, exemples) viennent démontrer que la fraude au moyen du photo morphing est une réalité (point 22).
Dans cet avis, la Commission vie privée est consultée par le Secrétaire d’Etat à la protection de la vie privée concernant un avant-projet de loi ajoutant un alinéa 7 à l’article 36bis de la LVP afin d’exempter les services de police de l’autorisation du Comité sectoriel pour l’Autorité Fédérale aussi bien pour les données qu’ils communiquent que pour les données qu’ils reçoivent.
L’avant-projet vise à apporter une réponse à la situation floue qui, suite à plusieurs arrêts similaires rendus par la Cour de Cassation le 13 décembre 2016, est survenue quant à la légalité du traitement par les services de police des données à caractère personnel provenant d’autres services publics fédéraux. La Cour de Cassation avait décidé en substance que la police qui veut identifier le propriétaire d’une plaque d’immatriculation auprès de la DIV (immatriculation des véhicules) doit disposer, pour ce faire, d’une autorisation émanant du Comité sectoriel pour l’Autorité fédérale créé au sein de la Commission vie privée, en se basant essentiellement sur l’article 18 de la loi du 19 mai 2010 portant création de la Banque-Carrefour des véhicules (loi BCV).
Dans l’intervalle, la Police Fédérale avait sollicité et obtenu par la délibération AF n° 53/2016 du 15 décembre 2016 l’autorisation de se voir communiquer les données de la DIV au bénéfice de la police intégrée.
Dans son avis, la Commission vie privée rejoint le rapport du Président du Comité sectoriel pour l’Autorité Fédérale annexé à cette délibération, quant à l’interprétation de l’arrêté royal du 4 juin 2003 établissant une exemption d’autorisation en faveur des services de police. En effet, toutes les autorités chargées de mettre en œuvre et de contrôler le respect des règles de la Loi vie privée ou prises en vertu de celle-ci, notamment le Comité sectoriel pour l’Autorité Fédérale, ont toujours interprété et appliqué les articles 36bis de la Loi vie privée et 1er de l’arrêté royal du 4 juin 2003 en considérant que l’exemption concernait les communications par les services de police en qualité de détenteurs et d’expéditeurs de données, mais aussi celles initiées par et réalisées par les services de police requérant une information nécessaire à l’exercice de leurs missions judiciaires ou administratives auprès d’un service ou d’un organisme public. L’adoption de la loi BCV n’a pas changé cette interprétation.
La Commission vie privée reconnaît l’opportunité d’insérer une exception générale à l’article 36bis de la Loi vie privée, vu le manque de clarté suscité par les arrêts précités de la Cour de Cassation quant à la portée de cette exception à l’obligation d’autorisation. Elle s’interroge par contre sur l’effet rétroactif conféré à cette exemption à compter de l’entrée en vigueur de cet article 36bis, même s’il intervient pour des raisons de sécurité juridique et de cohérence avec l’article 2 de l’arrêté royal du 4 juin 2003.
L’avis rappelle que les traitements de données à caractère personnel par le services de police font l’objet de règles strictes, de garanties et de mécanismes de contrôle spécifiques. L’ensemble de ces éléments assurent notamment la légitimité, le respect des principes de finalité et de proportionnalité, la sécurité et la transparence de leurs traitements et justifient que les services de police soient dispensés de l’autorisation préalable du Comité sectoriel pour l’Autorité fédérale.
La Commission vie privée a été sollicitée afin d'émettre un avis sur une proposition de loi relative à l'introduction, dans le Code civil, du domicile numérique. Selon les actuels articles 102 et suivants du Code civil, le domicile se rapporte au lieu où une personne se trouve effectivement et où elle est joignable pour sa correspondance traditionnelle. Outre le domicile effectif, la proposition de loi introduit un "domicile numérique" ou domicile virtuel. Disposer d'un domicile virtuel n'est pas une obligation mais cela peut être activé sur une base volontaire par le citoyen ou l'entreprise.
La Commission vie privée a émis un avis défavorable car le caractère facultatif du domicile virtuel se heurte à plusieurs complications juridiques. Ainsi, des problèmes se posent en matière de compétence territoriale du tribunal et le domicile virtuel crée des problèmes à l'égard de la réception officielle de décisions des autorités. En outre, la Commission vie privée fait remarquer que la proposition de loi ne comporte aucune disposition quant à la manière dont la boîte électronique est sécurisée, ni sur la personne qui doit y veiller et jusque quand. La Commission vie privée estime que l'expéditeur est responsable de la sécurité des données contenues dans la boîte aux lettres électronique tant que le destinataire ne les a pas réceptionnées.
Recommandation aux villes et communes concernant l'enregistrement du motif de la consultation du Registre national par les membres de leur personnel (CO-AR-2017-013).
La Commission vie privée reçoit régulièrement des questions et des plaintes de citoyens concernant des consultations supposées irrégulières du Registre national par des autorités communales.
Pour décourager et détecter les consultations irrégulières, l’enregistrement de l’accès au Registre national par les personnes qui sont habilitées à y accéder ("logging") est nécessaire. Chaque consultation ou mise à jour effectuée dans le Registre national par un collaborateur habilité doit s'accompagner d'un enregistrement de son identité et de sa qualité, du moment et du motif précis de l'accès (qui, quoi, quand, pourquoi). Dans le cadre de divers dossiers de plaintes ouverts auprès de la Commission vie privée, il s'est avéré que de nombreuses communes omettaient de mentionner dans leurs fichiers de journalisation le motif précis de la consultation ou de la mise à jour du Registre national.
Le RGPD renforcera les obligations existantes de la loi vie privée et soumettra les responsables du traitement, et donc aussi les villes et communes, à une responsabilité (accountability). La barre est également placée plus haut en ce qui concerne la transparence des traitements (principe de transparence). La lecture conjointe des dispositions juridiques nationales actuelles et du futur RGPD mène à la conclusion dans cette recommandation que la mention du motif de la consultation constitue une garantie nécessaire et obligatoire pour accéder au Registre national de manière légitime.
Le projet de loi entend réaliser une modernisation, une informatisation et une simplification (des actes) de l'état civil. Afin de permettre cette numérisation en profondeur de l'état civil, le projet de loi crée une Banque de données centrale des actes de l'état civil (ci-après la BAEC) qui intègre les registres communaux existants et les postes consulaires dans une seule banque de données centralisée. La responsabilité juridique de la BAEC réside entre les mains du ministre de la Justice, alors que le SPF Intérieur se charge de la gestion opérationnelle de cette banque de données.
Le titre VII du projet de loi exécute le Règlement européen n° 655/2014 relatif à l'ordonnance européenne de saisie conservatoire des comptes bancaires. Ce Règlement introduit une procédure européenne uniforme permettant à un créancier d'obtenir, dans des litiges transfrontières, une ordonnance européenne de saisie conservatoire des comptes bancaires (European Account Preservation Order, ci-après EAPO) afin d'empêcher que son débiteur transfère ou retire la somme due sur un compte bancaire tenu dans l'Union européenne. Le projet de loi désigne la Chambre nationale des huissiers de justice en tant qu'autorité chargée de l'obtention d'informations identifiant la banque et les comptes du débiteur. À cet effet, la Chambre nationale des huissiers de justice crée un registre central EAPO.
La Commission vie privée a émis un avis favorable mais elle a considéré que le projet de loi pouvait être amélioré sur plusieurs plans.
Concernant la BAEC, la Commission vie privée a demandé de mieux réglementer le transfert numérique des actes de l’état civil vers les Archives de l'État et de prévoir un fondement légal explicite pour la communication et la synchronisation automatiques de données entre le Registre national et la BAEC. La Commission vie privée a également plaidé pour une différenciation de l'accès à la BAEC limitant les droits de lecture et d'écriture à ce qui est strictement nécessaire pour chaque organisation spécifique bénéficiant d’un accès. Enfin, une analyse d'impact relative à la protection des données est nécessaire.
En ce qui concerne le registre central EAPO, la Commission vie privée a souligné l’importance d’ancrer dans la loi proprement dite les catégories de données enregistrées et les personnes ou institutions qui ont accès à ce registre et de les développer ensuite dans un arrêté d'exécution qui lui sera soumis pour avis.
La Commission vie privée a émis un avis au sujet du projet d'arrêté royal relatif à l'organisation de la supervision publique des réviseurs d'entreprises, ce en exécution de la loi du 7 décembre 2016 portant organisation de la profession et de la supervision publique des réviseurs d'entreprises. L'article 51 de cette loi permet au Roi de "déterminer les modalités particulières de coopération avec les pays tiers", la loi du 7 décembre 2016 imposant une évaluation au cas par cas des requêtes pour une transmission.
Le point d'attention majeur dans le projet est le règlement du transfert international de données à caractère personnel conformément à la loi du 7 décembre 2016 (examen au cas par cas par le Collège de supervision des réviseurs d’entreprises) et les différents motifs de transfert possibles en vertu du RGPD (points 4.2 à 4.6 inclus de l'avis).
L'avis énumère les éléments qui servent de garanties adéquates lors de la conclusion d'accords internationaux concernant la transmission de données à caractère personnel vers des pays tiers (cas sans décision d'adéquation de la Commission européenne).
L'article 14, § 2 du projet d'arrêté royal ne tenait pas compte des articles 46.2 a) et 46.3 b) du RGPD. En l'absence de caractère juridique contraignant de l'accord (de transmission), l'article 46.3 b) du RGPD impose que l'autorité de contrôle compétente donne son accord préalable. L'article 14, § 2 du projet d'arrêté royal exige uniquement un avis préalable de la Commission vie privée.
Enfin, il a également été expliqué quel sera l'impact du RGPD sur la mission du Collège de supervision des réviseurs d’entreprises d'analyser au cas par cas les demandes (de transfert) à la lumière (notamment) de la loi relative à la protection des données, et ce eu égard à l'obligation de responsabilité ("accountability").
La Commission vie privée a émis un avis d'initiative concernant projet de loi modifiant la loi du 29 avril 1999 relative à l'organisation du marché de l'électricité en vue d'améliorer la flexibilité de la demande et le stockage d'électricité. Bien que la Commission vie privée ait déjà émis plusieurs avis (17/2017 et 35/2017) sur le traitement de données de compteurs intelligents, il s'agissait à chaque fois d'initiatives régionales relatives aux gestionnaires de réseaux de distribution (EANDIS, INFRAX, ...) relevant de la compétence du législateur régional.
L'avocat d'un acteur concerné a attiré l'attention sur le fait qu'une initiative législative avait été lancée au niveau fédéral, impliquant potentiellement aussi un traitement de données à caractère personnel dans le chef du gestionnaire du réseau de transport ELIA. Une demande de renseignements complémentaires auprès du SPF Économie a permis de déterminer qu'il ne s'agissait pas seulement de données agrégées mais aussi de données de consommation individuelles.
Les parties concernées sont les particuliers qui possèdent déjà un compteur intelligent et qui sont éligibles à la prestation de services de flexibilité (suppose l'offre technique de compteurs quart-horaires) sur le marché de la flexibilité qui doit être développé pour l'offre et la demande d'énergie (projets d'injection ou de stockage comme via des batteries spéciales, propriétaires de panneaux solaires, voitures électriques, ...).
Vu que le projet de loi implique également un échange de données de personnes physiques entre les gestionnaires de réseau de distribution et Elia et que les premiers acteurs cités ont déjà réalisé une analyse d'impact relative à la protection des données, la Commission vie privée n'estime pas logique qu'Elia n'effectue pas en temps utile une analyse similaire pour le traitement des données de flexibilité de personnes physiques. La Commission vie privée a dès lors demandé à Elia de réaliser une analyse d'impact relative à la protection des données au sujet du traitement de données à caractère personnel qui est envisagé.
Fin 2016, GENDIA a été mis en cause dans la presse car il avait réutilisé des données collectées dans le cadre d'un test DPNI (Dépistage Prénatal Non-Invasif, test prénatal visant à détecter des anomalies congénitales) afin de proposer un nouveau test de risques de cancer à des patientes - pour autant que celles-ci aient indiqué qu'il y avait eu des cancers dans la famille.
GENDIA a été invité à fournir des explications à ce sujet dans les locaux de la Commission vie privée le 20 décembre 2016, en particulier concernant la manière dont GENDIA traite (ultérieurement) des données à caractère personnel (qui concernent généralement la santé).
Suite à l'entretien susmentionné et à sa discussion en séance plénière de la Commission vie privée du 1er février 2017, GENDIA a été officiellement mis en demeure pour plusieurs violations constatées de la Loi vie privée, plus spécifiquement de l'article 4, § 1, 2° et 3°. Dans le contexte de cette mise en demeure, il avait également été annoncé que plusieurs autres aspects relatifs au traitement de données par GENDIA, comme le délai de conservation, l'organisation de la sécurité de l'information, le transfert de données à des pays tiers, ... feraient l'objet d'une recommandation de la Commission vie privée.
Le 5 mai 2017, la Commission vie privée a émis la recommandation n° 12/2017, où elle considère que le fonctionnement de GENDIA dans le domaine de la protection des données à caractère personnel doit être adapté sur les points suivants :
Le 12 avril 2017, la Commission vie privée a émis un avis au sujet du projet de note concernant le déploiement de compteurs numériques en Flandre. Le projet de note prête manifestement attention à la protection des données. Quelques points d'attention subsistent néanmoins.
En raison de modifications de diverses ordonnances relatives au marché du gaz et de l'électricité dans la Région de Bruxelles-Capitale, il est aussi devenu clair entre-temps que les différentes approches dans les régions en matière de réglementation des compteurs intelligents va à l'encontre de la nécessité d'une protection élevée et uniforme des données à caractère personnel devant répondre aux exigences du RGPD.
Le 20 juillet 2016 la Commission vie privée a rendu un avis favorable sur un avant-projet de décret portant octroi d'aides, au moyen d'un portefeuille intégré d'aides de la Wallonie, aux porteurs de projets et aux petites et moyennes entreprises pour rémunérer des services promouvant l'entrepreneuriat ou la croissance, et constituant une banque de données de sources authentiques liées à ce portefeuille intégré .
Le 16 novembre 2016, la Commission vie privée a reçu une demande d'avis de Monsieur Jean-Claude Marcourt, Vice-Président du Gouvernement wallon, Ministre de l’Économie, l’Industrie, l’Innovation et du Numérique concernant un avant-projet d'arrêté portant exécution du chapitre 2 du décret précédemment cité.
Il s’agit d’un avant-projet d’exécution d’un avant-projet de loi sur lequel la Commission vie privée s’est prononcée favorablement.
Cet avant-projet d’exécution n’ajoute pas d’élément susceptible de porter atteinte à la vie privée des personnes concernées.
Le Gouvernement wallon a introduit une demande d’avis portant sur deux avant-projets de décret :
Ils tendent à mettre en place de nouvelles mesures visant à accroître la transparence, notamment en élargissant les mesures actuelles de publication des déclarations de mandats et de rémunération, tant au niveau des informations visées que des personnes concernées.
L’avant-projet de décret modifiant certaines dispositions de la loi organique des Centres publics d’action sociale du 8 juillet 1976 visant à encadrer la gouvernance et l’éthique en Wallonie étant le pendant, au niveau des CPAS, du décret modifiant le Code de Démocratie locale, et ce dernier ayant fait l’objet de plus de précisions dans l’exposé des motifs des avant-projets, seul l’avant-projet relatif les remarques faites pour le Code de Démocratie locale valent également pour la loi organique sur les CPAS.
La Commission vie privée a estimé que les finalités poursuivies sont clairement définies et les traitements envisagés sont légitimes. En effet, les personnes visées par les mesures mises en place sont celles qui exercent des fonctions publiques et/ou utilisent des ressources publiques, en tout ou en partie, de la Région wallonne. Il est donc légitime qu’en ressorte par ailleurs une transparence accrue afin de permettre un contrôle approprié de l’utilisation des deniers publics.
La Commission vie privée avait néanmoins pu relever dans son avis 35/2007 que le fait même d'exercer une fonction publique ou d'utiliser des ressources publiques ne peut pas aboutir à une négation totale du droit au respect de la vie privée des personnes concernées. La Commission vie privée a donc estimé à nouveau qu’il convenait de trouver un équilibre entre le droit au respect de la vie privée des personnes concernées et le droit à l'information des citoyens. D’autant plus que le législateur a élargi les obligations de publicité à de nouvelles personnes, les personnes non élues et les fonctionnaires dirigeants, mais également les type d’informations à publier.
La Commission vie privée a donc émis un avis favorable, à condition que certaines précisions et ou modifications soient apportées :
La Commission vie privée a émis un avis concernant un « projet d'arrêté du Gouvernement flamand modifiant l'arrêté relatif à l'énergie ». Le projet portait principalement sur une énumération des fonctionnalités des compteurs (d’énergie) intelligents flamands dans l’arrêté flamand relatif à l’énergie. La problématique générale des compteurs intelligents a déjà fait l’objet de précédents avis (voir entre autres l’avis n° 17/2017 du 12 avril 2017 relatif à la note conceptuelle flamande sur les compteurs intelligents).
Les fonctionnalités sont en soi des traitements ou ont du moins un impact sur ceux-ci, ce qui est pertinent pour l’approche fondée sur les risques en vertu du RGPD. Chaque fonctionnalité a un risque propre et requiert donc un autre traitement. Plusieurs fonctionnalités présentant un risque élevé sont énumérées et la Commission vie privée exprime le souhait que ces risques soient également repris dans l’analyse d’impact relative à la protection des données qui est réalisée en vertu du RGPD.
Un point d’attention supplémentaire dans le projet était la possibilité de transmettre via le port utilisateur (ce que l’on appelle le port P1) des données à la seconde (contrairement à la transmission aux gestionnaires de réseaux de distribution de données par quart d’heure). Cette application n’a pas été clairement motivée et crée de nombreux risques pour la personne concernée (par ex. le couplage à une application GSM, avec la transmission du profil d’utilisateur détaillé pour la consommation interne de clients résidentiels à des tiers). Le projet n’en tient pas compte mais part du principe que la personne concernée donne son « consentement ». Si l’ouverture standard de ce port est combinée à l’ouverture standard du port, la Commission vie privée estime que les principes de proportionnalité, de « privacy by design » et de « privacy by default » ne sont pas respectés.
La Commission vie privée a émis un avis concernant un projet d'arrêté du Gouvernement flamand modifiant l'arrêté relatif à l'énergie du 19 novembre 2010 en ce qui concerne la prévention, la détection, la constatation et la sanction de la fraude à l'énergie. En substance, l'arrêté instaure une prise de décision complexe et automatisée après une comparaison de fichiers de diverses sources de données des gestionnaires de réseau de distribution et de diverses sources authentiques, après quoi une procédure (de sommation) est lancée pour appliquer à la personne concernée la qualification de fraudeur à l'énergie.
Dans le projet d'arrêté, le demandeur a clairement voulu tenir compte des recommandations du rapport Big Data de la Commission vie privée et d'un avis antérieur (n° 25/2016) sur un projet de décret modifiant le Décret sur l'Énergie du 8 mai 2009. Des garanties supplémentaires ont été ajoutées en ce qui concerne la base légale, le principe de finalité, la délimitation de responsabilité, une obligation de minutie lors d'analyses de données, l'existence d'un rapport de constat et le fait de travailler en deux phases si des modèles prédictifs sont utilisés.
Le projet d'arrêté ne prévoyait toutefois pas un certain nombre de garanties, ce qui pouvait avoir un impact important sur les personnes concernées. L'avis renvoyait à l'obligation de transparence, au principe de proportionnalité, à l'existence d'un tiers de confiance (à l'instar de modèles analogues dans le secteur de la sécurité sociale) et à un mécanisme de contrôle indépendant. Il était également fait référence à la garantie d'une intervention humaine avant de considérer la qualification de "fraude à l'énergie" comme "constatée objectivement", s'appliquant jusqu'à preuve du contraire. Sur le plan plus pratique, l'avis renvoyait également à l'intégration de la finalité de "lutte contre la fraude à l'énergie" dans les analyses d'impact relatives à la protection des données des gestionnaires de réseau de distribution et à l'existence d'une séparation des fonctions qui seraient combinées chez les gestionnaires de réseau de distribution.
À la demande de la Ministre des Affaires sociales et de la Santé publique, la Commission vie privée a émis un avis concernant un projet d'arrêté royal modifiant l'arrêté royal du 23 octobre 1964 portant fixation des normes auxquelles les hôpitaux et leurs services doivent répondre.
Le projet d'arrêté royal constitue la transposition partielle de la Directive (UE) 2015/565 de la Commission européenne du 8 avril 2015 modifiant la directive 2006/86/CE en ce qui concerne certaines exigences techniques relatives à la codification des tissus et cellules d'origine humaine. Il concerne la définition des données minimales qui doivent être enregistrées en vue de la traçabilité du matériel corporel humain qui est appliqué à l'homme ou est destiné à cet effet ainsi que la détermination de leur délai de conservation. Le projet d'arrêté royal dispose à cet égard qu'il faut conserver entre autres l'identification du produit ainsi que le code uniforme européen du matériel corporel, et ce pour une période de minimum trente ans et de maximum cinquante ans.
La Commission vie privée a estimé dans son avis que le projet pouvait offrir suffisamment de garanties en ce qui concerne la protection des données à caractère personnel à condition que la législation belge (soit dans le projet soumis, soit dans la loi du 19 décembre 2008 relative à l'obtention et à l'utilisation de matériel corporel humain destiné à des applications médicales humaines ou à des fins de recherche scientifique) reprenne la définition de l' "identification du produit" et que le projet désigne explicitement le responsable du traitement.
La Commission vie privée a été sollicitée afin d'émettre un avis sur un avant-projet de décret qui définit le cadre juridique pour l'intégration des primo-arrivants - des migrants - en Communauté germanophone. L'avant-projet offre également une base légale pour l'agrément d'un centre de référence ayant pour mission d'organiser le parcours d'intégration des migrants.
Dans le cadre de l'intégration du migrant, il est clair que des traitements de données à caractère personnel auront lieu. Les éléments de base des traitements de données envisagés sont majoritairement définis dans l'avant-projet. Une attention particulière est consacrée aux principes de finalité et de proportionnalité. Toutefois, quelques remarques ont été formulées concernant la terminologie utilisée, la désignation du responsable du traitement et le contenu concret des données qui font partie du bilan social. Concernant ces dernières, il s'agit en effet de données sensibles en termes de vie privée, relatives aux primo-arrivants. En outre, plusieurs traitements de données doivent encore être détaillés dans des arrêtés d'exécution.
L'avant-projet fait l'objet d'un avis favorable, à condition qu'il soit tenu compte de ces remarques
L'avant-projet d'arrêté définit les données que les hôpitaux doivent enregistrer pour permettre un contrôle de la qualité de leurs programmes de soins "pathologie cardiaque" B. Les données enregistrées visent à établir des indicateurs de qualité bien déterminés qui seront ensuite publiés par l'hôpital concerné et par la "Vlaams Agentschap Zorg en Gezondheid" (Agence Soins et Santé flamande) sur leurs sites Internet respectifs. L'enregistrement de ces données et la publication des indicateurs de qualité sont nécessaires pour obtenir et conserver l'agrément officiel du programme de soins "pathologie cardiaque B".
La Commission vie privée a émis un avis défavorable. L'avis prescrit explicitement qu’il est nécessaire de décrire précisément toutes les finalités de recherche ainsi que les autres finalités pour lesquelles l'échange de données avec certaines banques de données intervient, afin que la proportionnalité et la nécessité de ce flux de données puissent être confrontées à la lumière des finalités ainsi poursuivies. En outre, l'avant-projet d'arrêté ne précise pas qui se charge du calcul des indicateurs de qualité sur la base des données enregistrées, ni de quelle manière cela est réalisé. Il est nécessaire de désigner clairement et expressément ces flux de données potentiels.
La Commission vie privée a été saisie d’une demande d’avis par le Collège réuni de la Commission communautaire commune de Bruxelles-capitale, à propos d’un projet d’ordonnance relatif à l’aide d’urgence et à l’insertion des personnes sans-abri. Ce projet d’ordonnance a pour objectif de fixer les missions et les obligations des dispositifs d’aide d’urgence et d’insertion pour les personnes sans-abri, dénommés les « centres ». Les données sont vouées à être intégrées dans un « réseau des dossiers sociaux » en vue de leur partage entre les centres, et avec deux nouvelles structures de coordination à constituer, dénommées « opérateurs coordinateurs », l’un compétent pour coordonner l’aide d’urgence, l’autre pour coordonner l’aide d’insertion. Le projet d’ordonnance prévoit en outre qu’une nouvelle structure dénommée « Bureau d’insertion sociale » ou BIS doit centraliser et détenir l’ensemble des dossiers sociaux, et agir comme responsable du traitement des données enregistrées dans les dossiers sociaux.
La Commission vie privée a émis un avis défavorable pour ce qui concerne la création d’un dossier social unique et centralisé pour chaque bénéficiaire d’aide et placé sous la responsabilité du BIS. A cet égard, la Commission vie privée recommande de désigner un intégrateur de services, sur le modèle de l’intégrateur de services bruxellois ou d’une structure similaire. Ceci afin de permettre un contrôle a priori des échanges de données par un organe indépendant et afin d’éviter la figure d’un BIS à double casquette.
La Commission vie privée recommande également de clarifier la désignation du/des responsable(s) de traitement : la désignation du BIS comme responsable de traitement pourrait se révéler dans les faits contraire à la notion même de responsable de traitement, tel que définie dans la loi sur la protection des données et dans la jurisprudence car il ne semble pas dans les faits que l’exigence de « contrôle » sur les moyens et finalités des du traitement de données serait rencontrée dans le chef du BIS. En outre, les données communiquées au BIS, le cas échéant, doivent être limitées à celles qui sont nécessaires à l’exercice de ses missions (notamment la coordination des services d’insertion). La Commission vie privée est d’avis qu’il faut aussi établir la liste des données accessibles au BIS ou à tout le moins, établir des critères permettant de déterminer de quelles données il s’agit.
La Commission vie privée émet toutefois un avis favorable pour ce qui concerne la mise à disposition et le partage des données à caractère personnel relatives au bénéficiaire d’aide sous réserve expresse de l’intervention d’un intégrateur et sous réserve que soient prises en compte les remarques et suggestions, en particulier en ce qui concerne le consentement des personnes concernées et le respect des conditions de partage du secret professionnel.
Les données à partager dans le cadre du réseau des rapports sociaux sont en effet couvertes par le secret professionnel des travailleurs sociaux qui collectent ces données. Si le secret professionnel peut être partagé, il doit respecter différentes conditions :
La Commission vie privée constate donc que les obligations relatives au secret professionnel partagé sont rencontrées dans le projet d’ordonnance, à l’exception de la question du consentement (notamment, seul un « opt-out » est proposé et non pas un « opt-in » comme préconisé dans le code de déontologie des assistants sociaux).
Ces avant-projets de décret apportent des modifications aux décrets du 12 février 2004 relatifs respectivement à l’administrateur public et aux Commissaires du Gouvernement dans les organismes public wallons et visent à renforcer à nouveau le contrôle des mandats et des rémunérations, l’encadrement des rémunérations et le régime des incompatibilités.
Ces décrets du 12 février 2004 avaient récemment fait l’objet de modifications par l’adoption de décrets du 24 novembre 2016 visant déjà à renforcer les règles de transparence et l’encadrement strict des rémunérations. Ils mettaient notamment en place un reporting des rémunérations individualisé mais « anonymisé ».
L’avis s’intéresse aux dispositions relatives au contrôle des mandats et des rémunérations dès lors qu’elles touchent à la matière de la protection des données à caractère personnel.
Les avant-projets de décret prévoient tout d’abord que le reporting devra à l’avenir être nominatif. Suivant l’exposé des motifs, il est apparu que l’objectif de transparence ne peut être atteint de façon satisfaisante dès lors que l’anonymat des données aboutit dans certains cas à une difficulté du contrôle des règles. Il s’agit à présent pour le Président de l’organe de gestion de l’organisme public concerné de communiquer un rapport de rémunération comprenant les données individuelles et nominatives portant sur les mandats/contrats, les rémunérations et les réunions suivies des administrateurs publics et gestionnaires. La finalité du rapport de rémunération est explicitement décrite dans les décrets et « vise à assurer la transparence quant à l’application des règles relatives à l’encadrement des rémunérations prévues à l’article 15bis et à en permettre le contrôle parlementaire ». L’avis considère, au regard de la pratique actuelle de la mission de contrôle du Gouvernement et du Parlement wallons, des carences constatées et de la finalité poursuivie, que les données qui seront amenées à être traitées suite aux modifications apportées par les avant-projets de décret respectent le prescrit de l’article 4, § 1er, 3°de la LVP. L’arrêt du Conseil d’Etat concernant l’accès aux salaires des managers de la VRT déjà cité dans l’avis précédent n° 33/2016 en ce qui concerne le reporting « anonymisé » est rappelé : « Ce n'est pas parce que la publicité des données relatives aux salaires "touche à" la vie privée que celle-ci en est automatiquement affectée ».
Ils prévoient ensuite la déclaration de mandats et de patrimoine auprès de la Cour des comptes. Le demandeur vise à soumettre l’ensemble des administrateurs publics, gestionnaires, observateurs et Commissaires du Gouvernement visés par les décrets du 12 février 2004 à la déclaration de mandats (fonctions et professions) et de patrimoine auprès de la Cour des comptes, tel que le permet l’article 180 de la Constitution. Pour ce faire, elle prévoit que ces derniers sont soumis aux dispositions de la loi spéciale du 2 mai 1995. L’avis constate que des membres des conseils d'administration et des comités de direction des intercommunales et des interprovinciales sont par exemple soumis à cette législation et qu’elle apporte des garanties de confidentialité en ce qui concerne le patrimoine.
Ils instituent enfin la déclaration auprès de l’organe de contrôle des mandats (dans l’attente de la mise en place de la Commission de déontologie et d’éthique) et instituent un cadastre des rémunérations. La déclaration de mandats (fonctions et professions) et de patrimoine à la Cour des comptes doit être faite à l’organe de contrôle des mandats régional, qui doit également recevoir au moyen des fiches fiscales pertinentes les rémunérations perçues dans le cadre des mandats publics. L’organe de contrôle est également chargé de réaliser un cadastre des rémunérations comprenant la liste de tous les mandats, fonctions ou professions tant dans le secteur public que dans le secteur privé et la rémunération des mandats publics visés. Le cadastre de ces rémunérations est publié au Moniteur belge.
La Commission vie privée émet un avis favorable à condition de tenir compte d’une série de remarques concernant :
La Commission vie privée a émis un avis sur l'avant-projet de loi relative à la prévention du blanchiment de capitaux et du financement du terrorisme et à la limitation de l'utilisation des espèces. L'avis se concentre principalement sur la transposition de la quatrième directive anti-blanchiment. Les articles 64 et 65 de l'avant-projet ont instauré un régime particulier en matière d'obligation d'information et d'exclusion de droits.
La Commission vie privée ne conteste pas la nécessité sociale, ni l'intérêt général des mesures prévues dans l'avant-projet. Elle souligne néanmoins plusieurs points d'attention découlant du RGPD ainsi que de la Directive 2016/680 auxquels l'avant-projet doit être adapté :
La Commission vie privée a pris connaissance du fait qu’Atos Worldline avait effectué des flux internationaux de données en Inde et au Maroc en violation d’un contrat de sous-traitance d’un de ses clients. Le contrat prévoyait l’obligation d’information du client, son autorisation préalable et un encadrement juridique du transfert par des clauses types. Aucune de ces conditions n’ont été respectées car ce n’est que de manière fortuite que le client a été informé de ces transferts en 2015.
La Commission vie privée a analysé les traitements concernés au sein de la société Atos worldline/Equens et a participé à une investigation au siège de cette même société à Paris, en collaboration avec la CNIL.
Dans le cadre de son analyse, la Commission vie privée a eu l’occasion de consulter les clauses contractuelles conclues par les différentes sociétés clientes d’Atos Worldline relatives à la sous-traitance ultérieure. La Commission vie privée a constaté que l’ensemble de ces contrats étaient très similaires et offraient généralement de fortes garanties sur papier. En pratique par contre, il s’est avéré que certaines garanties dont celle d’information et celle d’autorisation préalable n’ont pas été respectées par Atos. S’il y a eu des informations, elles n’ont été que partielles, tardives ou totalement inexistantes. Cela signifie que des transferts de données personnelles vers des pays tiers ont eu lieu et ont toujours lieu en non-conformité avec la législation sur la protection des données.
La Commission vie privée est consciente que la société Atos a des responsabilités dans ce dossier. La Commission vie privée estime également que les sociétés clientes d’Atos émettrices de carte de paiement établies en Belgique ont également une responsabilité en tant que responsables de traitement.
La Commission vie privée a donc adopté deux recommandations : une adressée individuellement à Atos, l’autre à ses clients.
L’avis porte sur un projet d'arrêté royal établissant la liste des autres juridictions soumises à déclaration et la liste des juridictions partenaires, aux fins d'application de la loi du 16 décembre 2015. Cette loi règle la communication des renseignements sur les comptes financiers par les institutions financières belges et le SPF Finances dans le cadre d'un échange automatique de renseignements au niveau international et à des fins fiscales.
La Commission vie privée a émis un avis favorable, mais La Commission vie privée rappelle qu’elle se réserve toujours la possibilité d’examiner à tout moment le suivi de cette législation et de se prononcer à l’avenir sur l’exécution ultérieure de la loi précitée du 16 décembre 2015 par le SPF Finances, les institutions financières et assureurs belges et sur le contenu des conventions intergouvernementales qui ne lui ont pas été soumises pour avis.
La Commission vie privée prend acte de la liste des autres juridictions soumises à déclaration et la liste des juridictions partenaires.
Le Président du Comité de Direction du SPF Finances a soumis à l’avis de la Commission vie privée un projet d’Arrêté royal visant à exécuter certaines dispositions de la loi sur les sûretés réelles mobilières qui a inséré, dans notre droit, le gage de bien meuble sans dépossession. Ce projet d’Arrêté royal détermine les modalités d’utilisation du registre des gages sans dépossession (qui comprendra également les réserves de propriété sur biens meubles).
La Commission vie privée a été forcée de constater que, malgré ses demandes antérieures (plusieurs avis ont déjà été rendus en cette matière), le législateur reste en défaut de déterminer explicitement les finalités pour lesquelles les données du registre des gages pourront être consultées. De plus, alors qu’auparavant la loi sur les sûretés réelles déléguait au Roi le soin de déterminer les catégories de destinataires du Registre, cette délégation a été supprimée pour être remplacée par une disposition précisant que toute personne a accès au registre selon les modalités fixées par le Roi malgré le dernier avis défavorable de la Commission vie privée sur le sujet. Afin de limiter le risque de détournement de finalité du registre par ses utilisateurs, la Commission vie privée recommande de préciser ces finalités dans le rapport au Roi ainsi que sur le site I qui supportera l’application de consultation du registre.
Les seules garanties en terme d’utilisation des données du Registre des gages consistent en :
La Commission vie privée juge cela insuffisant. Dans son avis, la Commission adresse à l’auteur du projet d’Arrêté royal une série de propositions d’adaptations.
Au niveau des modalités de consultation du registre, le projet d’Arrêté royal devrait être adapté en imposant la désignation d’une catégorie de bien à propos duquel une recherche est faite, en plus de l’identification de la personne concernée à propos de laquelle une recherche est faite et ce, afin d’éviter la communication systématique de tous les biens meubles qu’une personne a mis en gage ou acheté avec réserve de propriété (sauf dans les cas où cette limitation de recherche ne se justifie pas, comme, par exemple, pour les juges des saisie).
Il est également indiqué de prévoir que les utilisateurs du registre devront insérer le motif pour lequel ils consultent le registre. Cela sera utilement communiqué aux personnes concernées qui feront valoir leur droit d’accès.
Une autre lacune relevée par la Commission vie privée dans son avis se rapporte au fait que le projet d’Arrêté royal ne prévoit aucune modulation des données qui seront communiquées aux personnes qui consultent le registre. Il est demandé à l’auteur du projet d’Arrêté royal de revoir cela ou de justifier le caractère proportionné de la communication systématique de toutes les données.
Enfin, le libellé de l’article 12 du projet d’Arrêté royal prévoyant que tout usage abusif ou commercial du registre est contraire à la Loi vie privée devrait être amélioré en prévoyant l’interdiction explicite de l’utilisation du registre à des fins de prospection commerciale et de commercialisation d’informations financières sur les personnes y reprises.
En conclusion, au vu de l’impact négatif du projet d’AR en terme de protection des données à caractère personnel, la Commission vie privée a émis un avis défavorable sur ce projet d’Arrêté royal.
Le Ministre de l’Economie, du Travail et des Consommateurs a saisi la Commission vie privée sur l’avant-projet de loi modifiant la loi du 4 août 1996 relative au bien-être des travailleurs dans l’exécution de leur travail. L’article 35 de cet avant-projet introduit un article 12bis/1 au sein de cette dernière. Le but de cette disposition est de fournir une base légale à la base de données centralisée ayant pour objectif de permettre le suivi de la surveillance de santé des intérimaires, d’éviter les répétitions inutiles des évaluations de santé et de faciliter l’échange d’informations.
Les entreprises de travail intérimaires sont tenues légalement d’assurer la surveillance de la santé des travailleurs intérimaires en tant qu’employeur de ces travailleurs. Lorsque les travailleurs sont amenés à travailler dans un secteur reconnu comme à risque, ils doivent au préalable se soumettre à une évaluation de santé conformément au Code du bien-être au travail. Pour ce faire, les entreprises de télétravail doivent recourir à un service interne ou externe en prévention au sein duquel un médecin conseil en prévention effectue l’évaluation. Il remplit un formulaire dans lequel il détermine si le travailleur est apte ou inapte, et l’adresse à la base de données centralisée afin que les entreprises d’intérim puissent accéder à cette information et éviter les répétitions inutiles d’évaluation de santé et d’assurer la meilleure gestion des ressources.
Cette base de données a connu des difficultés de fonctionnement, notamment dû au refus de certains services internes et externes de communiquer les données médicales des travailleurs. Il s’agissait donc pour le demandeur de clarifier la situation en fournissant une base légale à la base de données.
Il était également question de déterminer si les données encodées dans cette base de données devaient ou non être considérées comme des données de santé. Les données visées sont celles prévues par le formulaire de l’annexe X.2-2 du Code du bien-être au travail, à savoir : apte ou inapte à l’exercice de la profession visée et l’état de vaccination.
Si la donnée relative à la vaccination ne faisait aucun doute, il s’agissait de clarifier la question relative à la donnée apte ou inapte.
La Loi vie privée ne définit pas la notion de données de santé, lesquelles font néanmoins l’objet d’une attention particulière par le demandeur au regard de leur caractère intrinsèquement sensible.
La Commission vie privée avait pu rendre un avis d’initiative (avis n°08/2002) relatif au traitement de données à caractère personnel réalisé par les sociétés privées d’intérim. Elle avait en effet notamment relevé à l’époque que les société d’intérim questionnaient « le candidat sur des allergies, sur son asthme ou de manière générale sur certaines particularités relatives à son état de santé qui l’empêcheraient d’évoluer dans un certain type d’environnement professionnel (…) ». Elle avait pu décider, concernant les données de santé que celles-ci recouvrent >« toutes données à caractère personnel sur l’état antérieur, actuel ou futur de la santé physique ou psychique de la personne ». Elle avait à cet effet opéré la distinction entre les données issues d’attestation pure et simple d’aptitude au travail délivrée par les médecins conseil et transmises aux agences d’intérim, d’avec les autres types de données médicales et considéré que les premières n’étaient pas des données de santé mais des données administratives traitées en exécution d’une obligation légale, dès lors qu’elles ne donnent pas d’informations sur l’état de la santé de la personne, mais une réponse positive ou négative quant à son aptitude à tel type de travail .
Le parallèle avec les données visées par le formulaire du Code du bien-être au travail peut bien entendu être fait.
Cela étant, depuis lors, le Règlement Général sur la Protection des Données est entré en vigueur et sera d’application à partir du 25 mai 2018. Celui-ci prévoit une définition claire de ces données et le considérant 35 de ce Règlement y apporte également quelques précisions.
Eu égard à la définition et aux précisions apportées par ce Règlement, la Commission vie privée a pu estimer que les données visées doivent être considérées comme des données de santé. Elle a donc invité le demandeur à veiller au respect des règles prévues en la matière. C’est ainsi que si l’article 7, §1er de la loi vie privée interdit, par principe le traitement de telles données, l’article 7, §2, b) de la loi vie privée prévoit que le traitement de données de santé est autorisé lorsque le traitement est nécessaire afin d’exécuter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail. Or, les entreprises de travail d’intérim sont légalement tenues d’assurer la surveillance de la prévention de la santé des travailleurs intérimaires en recourant aux médecins conseils en préventions des services internes et externes en prévention. En outre, l’avant-projet vise à pallier l’absence de base légale à la base de données centralisée bien qu’encadrée par un arrêté royal, inscrit au Code du bien-être au Travail. La Commission vie privée a donc accueilli positivement cette initiative.
L’on retrouve par ailleurs le pendant de l’article 7, §2, b) dans l’article 9, §2 du nouveau Règlement dont les points b) et h) permettent toutefois de différencier la situation des employeurs de celle du gestionnaire de la banque de données. La distinction est importante dès lors que dans le premier cas, qui s’adresse aux traitements effectués par l’employeur dans le cadre de ses obligations légales en matière de droit du travail, le nouveau règlement n’exige pas que le traitement en question soit opéré sous la responsabilité d’un professionnel de la santé. Dans le second cas par contre, qui vise celui des responsables de traitements agissant notamment dans le cadre de la médecine du travail et de l’appréciation de la capacité de travail du travailleur, les conditions et garanties visées au paragraphe 3 de l’article 9 devront être observées.
Ledit paragraphe 3 prévoit que ces données peuvent faire l'objet d'un traitement aux fins prévues au paragraphe 2, point h), si ces données sont traitées par un professionnel de la santé soumis à une obligation de secret professionnel ou aux règles arrêtées par les organismes nationaux compétents, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret conformément au droit de l'Union ou au droit d'un État membre ou aux règles arrêtées par les organismes nationaux compétents. Cette règle est la même sous article 7, §4 de la Loi vie privée.
Après examen, il apparaît que l’ASBL Prévention & Intérim, en charge de la gestion de la base de données centralisée, ne dispose pas d’un tel responsable. La Commission vie privée a donc invité le demandeur à veiller à ce que la situation soit régularisée et qu’un professionnel de la santé soit désigné au sein de l’ASBL chargée de la gestion de la base de données.
Le 13 mai 2015, la Commission vie privée a publié une première recommandation concernant Facebook et le traitement de données à caractère personnel, via des cookies et des "plug-ins" sociaux (ci-après "modules sociaux"). Depuis cette recommandation, Facebook a modifié à plusieurs reprises sa politique et ses pratiques en matière de cookies.
Malgré les modifications, la Commission vie privée considère que Facebook n'obtient toujours pas de consentement valable des personnes concernées. La Commission vie privée a en outre constaté que Facebook utilise à présent aussi à grande échelle ce qu'on appelle les "pixels" afin d'obtenir des informations sur le comportement de navigation d'utilisateurs et de non-utilisateurs. Enfin, la Commission vie privée estime toujours que la collecte de données à caractère personnel par Facebook à l'aide de cookies et de modules sociaux est excessive dans plusieurs circonstances et que Facebook n'informe pas correctement les personnes concernées au sujet des mécanismes de contrôle qu'elle met à disposition.
La Commission vie privée recommande dès lors à Facebook :
Étant donné que des sites Internet belges utilisent également des pixels et des modules sociaux de Facebook, la deuxième recommandation Facebook comporte de nouveau des lignes directrices pour les exploitants de sites Internet externes qui utilisent les technologies et les services de Facebook. Enfin, la Commission vie privée adresse à nouveau plusieurs recommandations aux internautes qui veulent se protéger d'un traçage de Facebook par le biais de modules sociaux et de pixels.
Le 16 mai 2017, les autorités de contrôle de France, des Pays-Bas, d'Espagne, de Hambourg et de Belgique ont émis une deuxième déclaration commune. Bien que chacune de ces autorités ait réalisé un examen indépendant, elles partagent néanmoins plusieurs objections de fond, notamment en ce qui concerne le manque d'informations et la validité du consentement des personnes concernées.
Après que début 2015, la Commission vie privée ait reçu plusieurs questions concernant les conditions générales modifiées du réseau social Facebook, différentes actions ont été entreprises la même année à l'encontre de Facebook. Pour un aperçu détaillé, on peut se référer au rapport annuel de 2015 (pages 20 à 23 incluse).
Parmi les actions principales, on peut notamment citer la promulgation d'une recommandation (n° 04/2015) et la mise en demeure de Facebook pour des violations de la Loi vie privée et de l'article 129 de la Loi relative aux communications électroniques. Suite à cette mise en demeure, Facebook a été cité en référé. Par jugement du 9 novembre 2015, le juge des référés a condamné Facebook pour la collecte de données de non-utilisateurs du site de réseau social.
Facebook a toutefois interjeté appel contre cette condamnation. Le 29 juin 2016, la Cour d'appel a annulé la décision en référé contre Facebook. La Cour d'appel a rejeté la requête initiale de la Commission vie privée pour des motifs de compétence. L'appel interjeté par Facebook a ainsi abouti.
La Cour d'appel a estimé que les cours et tribunaux belges ne sont pas compétents vis-à-vis de Facebook Ireland, où sont traitées les données pour l'Europe, et Facebook Inc., la société mère américaine. Les cours et tribunaux belges ont bel et bien un pouvoir de juridiction à l'égard de Facebook Belgium, mais la demande initiale de la Commission vie privée est infondée : une décision provisoire en référé ne peut être prononcée que lorsque la demande est urgente. La pratique de Facebook qui consiste à placer un cookie "datr" à l’égard des non-utilisateurs de Facebook existe en effet de manière ininterrompue depuis 2012 et la procédure en référé n’a été entamée qu’à la mi-2015.
La Commission vie privée se concentre à présent pleinement sur la procédure quant au fond qui sera traitée au second semestre 2017.
Le 23 février 2017, la Commission vie privée a publié sur son site Internet un projet de rapport relatif au big data qui avait été soumis à une consultation publique.
L'objectif était d'établir un rapport multidisciplinaire contenant des considérations aussi bien techniques que juridiques à la lumière du Règlement général sur la protection des données. Le rapport comporte 33 recommandations à l'aide desquelles des projets concrets peuvent être évalués dans la pratique.
Le rapport contient un glossaire et explique plusieurs concepts fondamentaux comme les notions d'anonymisation, de big data, de profilage, de data mining ainsi que des techniques telles que la pseudonymisation et l'analyse de risques small cells. On y évalue les garanties et bonnes pratiques qui peuvent contribuer à protéger adéquatement les données à caractère personnel.
Dans le commentaire technique, une attention particulière est consacrée aux pièges et aux malentendus relatifs au big data, tels que le déterminisme des données, le caractère prétendument sans erreur des analyses, la différence entre les notions de corrélation et de causalité ainsi que les préjugés dans les ensembles de données et méthodes qui sont choisis (distorsion de données ou "data bias"). On insiste sur le facteur humain dans le processus de big data, à savoir que le big data n'offre généralement pas de solution sur mesure et que son traitement représente un travail intensif. Sont également abordés : les attentes irréalistes au niveau de certains services de big data, les conditions pour pouvoir réaliser des prévisions techniques optimales ainsi que le travail par phases lors de l'établissement de modèles mathématiques.
Dans l'analyse juridique, la définition de données à caractère personnel est appliquée au big data, en insistant sur les possibilités d'évaluation pratique du risque d'isoler la personne concernée dans un ensemble de données (individualisation ou "singling out").
Le rapport examine quels éléments sont utiles pour évaluer la conformité avec le Règlement général sur la protection des données, dont l'approche basée sur les risques du RGPD. On aborde le fait que certains fondements de la licéité de traitements de big data sont a priori difficiles à étayer, comme l'exigence de consentement éclairé et l'intérêt légitime du responsable. Le rapport aborde aussi brièvement ce qu'il convient d'entendre par un "bon" traitement de données à caractère personnel lorsque l'on utilise des corrélations et des modèles mathématiques. Au niveau des risques, on souligne l'impact social et individuel via la possibilité de discrimination de certains groupes dans la société. Le big data peut avoir un effet de transformation sur les données à caractère personnel (déduction de données à caractère personnel sensibles au départ de données à caractère personnel en apparence non sensibles).
Le rapport évalue des garanties plus ou moins efficaces de protection des données à caractère personnel. Dans le secteur public, on souligne surtout la nécessité de prévoir une législation claire et de qualité (contenant des garanties suffisantes) pour le recours au big data, au data mining, au profilage, … par les services publics. La différence entre l'obligation d'information et l'obligation de transparence est expliquée, en insistant sur la prévisibilité des éléments clés dans les traitements de big data ainsi que sur la justification et la présentation des choix opérés au niveau des algorithmes ("algoritmic accountability"). La Commission vie privée invite également à disposer d'un règlement juridique des preuves qui sont déduites de traitements de big data, à savoir quelle est la valeur des résultats d' "analyses de big data" si on veut les utiliser comme un "clignotant" pour la fraude par exemple).
La Commission vie privée a émis 3 avis d’initiative sur le projet de loi portant création de l’Autorité de protection des données (avis 21/2017 du 3 mai 2017, 54/2017 du 20 septembre 2017 et 69/2017 du 22 novembre 2017).
Faisant suite à l'article 54 du Règlement européen 2016/679 du 27 avril 2016 (relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, ci-après RGPD) qui dispose que chaque État membre est tenu de régir par la loi la création d'une autorité de contrôle, la Commission vie privée a reçu du Secrétaire d'État à la à la Protection de la vie privée, Monsieur Philippe De Backer, la demande de rédiger un rapport de consultation sur le projet de loi réformant la Commission vie privée afin de soumettre ce rapport avec le projet de loi aux membres de la Chambre des représentants lors de l'introduction de ce projet.
Vu l'importance de ce projet de loi « organique » réformant la Commission vie privée, la Commission a choisi d'exposer son point de vue via 3 avis d'initiative. Dans ce cadre, une distinction est établie entre d'une part les dispositions organiques et d'autre part les dispositions de procédure.
Dans son premier avis, la Commission vie privée a émis un avis favorable quant au volet du projet de loi qui concerne les dispositions organiques, moyennant la prise en compte tant des remarques générales que des remarques formulées par article. La Commission vie privée a, par ailleurs, émis un avis défavorable quant au volet du projet de loi relatif à la procédure.
Dans son deuxième avis, la Commission vie privée a noté que la nouvelle version du projet de loi a intégré de nombreuses remarques qui avaient été formulées dans son premier avis. Néanmoins, la Commission vie privée a estimé que cette version du projet de loi présentait encore des manquements substantiels qui soit menaçaient le bon fonctionnement de la future Autorité de protection des données (APD), soit étaient incompatibles avec les dispositions du nouveau règlement européen (RGPD). Afin d’être la plus constructive possible, la Commission vie privée a fait des propositions concrètes de reformulation. Les points principaux qui restaient problématiques sont les suivants :
Le projet de loi prévoit une répartition stricte des tâches par organe sans prévoir de garanties suffisantes pour assurer la cohérence du fonctionnement de l’APD. Cela est renforcé par le fait que presque tous les organes devraient disposer d’un secrétariat propre. La Commission vie privée estime que la répartition des tâches en « silos » risque de fortement d'entraver le bon fonctionnement de l’APD et souhaite dès lors plus de flexibilité tant en ce qui concerne la répartition des matières entre les différents organes qu’en ce qui concerne la constitution d’un secrétariat unique qui pourra mieux s’adapter aux besoins de l’APD.
La Commission vie privée estime que la procédure de nomination envisagée à l’article 39 du projet de loi présente peu de transparence. Cela pose deux problèmes :
En effet, d’une part, une procédure transparente de nomination est une garantie de l’indépendance de l’APD et d’autre part, l’article 53 du RGPD exige une procédure transparente de nomination.
Pour ces raisons, la Commission vie privée demande que l’article 39 du projet de loi, ou l’exposé des motifs s’y rapportant, décrive cette procédure en mentionnant par exemple que l’appel à candidatures se fera via le Moniteur Belge, quels sont les critères de sélection ainsi que le délai dans lequel les candidats recevront une réponse.
La Commission vie privée estime par ailleurs que certains éléments essentiels du statut des membres de l’APD, en ce compris la rémunération, doivent être repris dans le projet de loi et ce par analogie avec toutes les autres institutions parlementaires.
En principe, les dispositions du RGPD sont d’application aux traitements de données effectués par les cours et tribunaux belges, sauf les exceptions explicitement mentionnées par le RGPD qui tiennent principalement aux traitements de données à caractère personnel « dans l’exercice de leur fonction juridictionnelles ». Toute exception aux droits fondamentaux doit être interprétée restrictivement. Or, le projet de loi prévoit actuellement que la notion « d’exercice de leur fonction juridictionnelle » doit être interprétée au sens large afin de garantir une application uniforme de cette exclusion. La Commission vie privée ne comprend pas pourquoi dans ce cas, l’exception doit être interprétée au sens large.
Par ailleurs, la Commission vie privée rappelle que conformément à l’article 8, § 3 de la Charte des droits fondamentaux, le législateur doit toujours prévoir un contrôle indépendant alternatif pour le traitement des données à caractère personnel effectué par les juridictions dans l’exercice de leur fonction juridictionnelle.
La Commission vie privée estimait qu’il était tout à fait incompréhensible que la transaction soit absente de la ‘procédure light’. La transaction requerrait de suivre toute une procédure de fond devant la chambre contentieuse. Cela signifie qu'il faudrait systématiquement inviter les parties à transmettre leurs conclusions. Le projet passait à côté de l'objectif de la transaction : traiter les affaires rapidement lorsque les faits sont peu contestables.
Le RGPD donne à l'APD le pouvoir "d'ordonner que le traitement soit temporairement gelé, limité ou interdit" ou "d'ordonner la suspension de flux transfrontaliers de données vers un autre État ou une institution internationale". La chambre contentieuse peut l'ordonner, mais uniquement à la fin de la procédure de fond alors que toutes les plaintes recevables commencent leur parcours auprès de la chambre contentieuse – qui doit donc pouvoir intervenir elle-même directement au besoin. Il n'est pas souhaitable de devoir passer par le service d'inspection, surtout pas en cas d'extrême urgence.
L'APD se retrouvera bien démunie à l'égard de sa compétence d'enquête la plus importante, à savoir les recherches dans les systèmes informatiques (art. 81). Si le refus de consentement devient la norme, l'APD devra toujours solliciter un juge d'instruction. La Commission vie privée estime absolument recommandé de prévoir des compétences d'enquête autonomes pour l'APD – par analogie par exemple à l'inspection sociale ou économique.
Il ne peut évidemment pas y avoir une différence dans les possibilités d'enquête selon le lieu de conservation des données : sur le propre matériel ICT ou chez des prestataires de service externes (par exemple le cloud). Le contrôle doit porter sur les systèmes informatiques, ou des parties de ceux-ci, auxquels la personne contrôlée a un accès en particulier, sans distinction.
Les amendes administratives (autres que pénales) sont fiscalement déductibles en Belgique, sauf si la loi en dispose autrement. La Commission vie privée insiste pour que cela soit réglé dans le projet de loi : « les amendes, astreintes, transactions et frais régis dans la présente loi ne sont pas déductibles fiscalement ». C'est une évidence même.
Les revenus des amendes administratives, etc. sont versés au Trésor public. La Commission vie privée demande d'inscrire dans la loi que l'APD puisse facturer des frais de dossier. Il s'agit notamment de frais d'expertise, de traductions, de conservation et de traitement de documents et de données, de frais de signification, ...
D’après des chiffres provenant de lignes téléphoniques gratuites d’aide aux jeunes (comme Awel, Écoute Enfants,…), il s’avère que les jeunes sont encore trop nombreux à ne pas connaître les risques liés à la diffusion non souhaitée de leur image. Car pour nos jeunes, une vie sans le partage en ligne d’images et de vidéos n’est pas concevable. Mais qu’en est-il du droit à la vie privée ? Pouvons-nous refuser d’être filmé et pouvons-nous interdire que des images et vidéos sur lesquelles nous aparaissons soient diffusées ? Des questions pertinentes auxquelles la Commission vie privée a souhaité laisser les jeunes s’exprimer.
Le vendredi 29 janvier 2016, plus de 120 jeunes se sont rassemblés au parlement fédéral pour le tout premier parlement des jeunes sur le respect de la vie privée. Là, ils ont reçu d'emblée un cours accéléré sur le droit à l'image qui a clairement mis en évidence que le partage d'images en ligne n'était pas toujours aussi simple qu'il n'y paraissait. Assez rapidement, il est apparu que les jeunes se posaient beaucoup de questions quand une large majorité a reconnu avoir déjà rencontré des problèmes avec des photos et des vidéos diffusées sans leur consentement.
Répartis en quatre sous-commissions thématiques, ils ont débattu avec des experts en la matière et ont partagé leurs expériences et leurs avis sur le phénomène du sharenting, sur le fait de filmer en classe, la diffusion d’images sur les réseaux sociaux ainsi que le droit à l’image dans le cadre d’émissions de télévision et l’e-réputation.
Au fil des débats, les jeunes ont formulé des recommandations spécifiques à l'intention du Secrétaire d'État Bart Tommelein, qui a déjà promis d'en tenir compte. Lui-même a adressé aux jeunes présents dans l'hémicycle un message clair : soyez conscients de ce que vous partagez et respectez la vie privée d'autrui car partager, c'est sympa, mais ce n'est pas sans risque. Quand on connaît ces risques, on peut beaucoup mieux s'en prémunir et on est déjà bien plus en sécurité en ligne.
Ce que les jeunes “représentants” ont décidé :
Plus d’information sur les activités de je décide dans la quatrième partie de ce rapport annuel.
Dans le climat technologique actuel, le couplage sans cesse croissant de systèmes d'information rend ces flux de données particulièrement vulnérables à des fuites de données.
Une obligation de notification générale "large" de telles violations de la sécurité faisait jusqu'à présent défaut. À l'heure actuelle, le législateur limite une telle obligation de notification "restreinte" aux opérateurs de télécommunications. La Commission vie privée prévoit en outre une obligation de notification facultative à l'égard des responsables dans les autres secteurs.
Cependant, le nombre de notifications reçues est également resté relativement peu élevé en 2017.
À partir du 25 mai 2018, en raison de l'application du Règlement général sur la protection des données, tous les secteurs devront obligatoirement notifier les fuites de données à l'Autorité de protection des données, qui remplacera la Commission vie privée à partir de cette date. Toutes les fuites de données ne devront cependant pas être notifiées. Uniquement celles pour lesquelles il est probable que la personne concernée subira une forme quelconque de dommage, par ex. résultant d'un vol d'identité ou de la violation d'une obligation de secret. Le non-respect de l'obligation de notification peut alors donner lieu à une amende, outre l'amende pour la fuite de données elle-même.
Notifications obligatoires
2017 a été une année de transition particulière pour les notifications des fuites de données dans le secteur des télécommunications, et ce vu l'anticipation nécessaire de l'obligation générale de notification en vertu du RGPD. Le régime existant de l'obligation de notification dans le secteur des télécommunications en vertu de l'article 114/1 de la loi relative aux communications électroniques du 13 juin 2005 a ainsi été interprété à la lumière du RGPD.
Pour les fuites de données dans le secteur des télécommunications, la tendance observée en 2017 est que ce sont surtout les grands opérateurs qui effectuent des notifications, tandis que les petits opérateurs restent encore en défaut. Il s'agissait principalement dans ce cadre de violations de la confidentialité en raison d'une erreur humaine ou d'une défaillance technique. Souvent, cela concernait des données de facturation dont des tiers avaient eu connaissance et de données à caractère personnel qui avaient été accessibles via les applications des opérateurs.
Le nombre de notifications en chiffres absolus (8 notifications) est également resté très limité et la Commission vie privée a remarqué que les opérateurs n'anticipaient pas encore entièrement l'obligation en vertu du RGPD qui consiste à évaluer la gravité et l'impact des violations sur les personnes concernées selon une méthodologie déterminée et à d'ores et déjà adapter aux termes du RGPD la notification aux clients, en matière de forme et de contenu. L'absence d'une méthodologie appropriée pour évaluer les risques de la violation pour les droits et libertés des personnes physiques concernées a conduit à une évaluation trop limitée de l'impact de la violation sur les clients concernés, ayant pour conséquence que l'opérateur n'a averti les clients que dans un nombre restreint de cas.
Un cas en juillet 2017 a retenu l'attention car la violation a d'abord circulé sur une plateforme de notification Twitter. La fuite de données concernait un malware sur un ordinateur personnel d'un sous-traitant d'un opérateur, établi dans un pays n'offrant pas un niveau adéquat de protection des données. Après concertation avec l'IBPT, la Commission vie privée a jugé que ce cas présentait un risque élevé pour les personnes physiques concernées et a demandé instamment à l'opérateur que la fuite de données soit tout de même notifiée aux clients.
Notifications non obligatoires
Dès 2013, la Commission vie privée a émis une recommandation sur les fuites de données. Il y est recommandé aux responsables du traitement de notifier à la Commission vie privée les fuites de données en matière de télécommunication, ainsi que dans d'autres secteurs.
En 2016, la Commission vie privée a traité 16 dossiers. En ce qui concerne 2017, 15 dossiers ont été ouverts pour une fuite de données "non-télécom”:
Dans la plupart des cas, les éventuelles recommandations complémentaires formulées par la Commission vie privée ont été explicitement suivies.
Depuis quelques années, les communes de Boom et Romst accueillent le festival « Tomorrowland ». Le festival attire chaque année plus de 200.000 visiteurs des quatre coins du monde. Comme le nombre de personnes intéressées excède la capacité réelle du festival, chaque visiteur potentiel doit s’enregistrer à l’avance. Les élus reçoivent ensuite leur ticket et le bracelet d’accès. Vu la participation massive et le contexte actuel de menace terroriste, la police fédérale d’Anvers a décidé, en concertation avec les organisateurs de Tomorrowland, de soumettre toutes les personnes enregistrées à un « screening » préventif.
Ce screening a eu pour effet que des dizaines de personnes se sont vu refuser l’accès au festival. Le refus de l’accès était la conséquence d’un avis négatif de la police fédérale d’Anvers qui devait être suivi par l’organisateur du festival. La police estimait que ces personnes représentaient un risque pour la protection de la sécurité publique. La police était arrivée à cette conclusion sur la base d’un screening des antécédents de ces personnes dans les banques de données de la police, fondé sur des critères non communiqués. Une liste avait été ensuite transmise à l’organisateur, suite à quoi les personnes concernées avaient personnellement reçu un e-mail mentionnant l’avis négatif de la police, ce qui leur valait un refus d’accès au festival.
Deux semaines avant le festival, la Commission vie privée avait reçu plusieurs plaintes et questions de personnes à qui l’accès à Tomorrowland avait été refusé « pour des raisons de sécurité ». Les victimes avaient été renvoyées vers la Commission vie privée pour davantage d'explications concernant cet avis négatif de la police fédérale.
La Commission vie privée n'avait en aucune façon été impliquée dans ce contrôle général préventif qui était problématique sur plusieurs points. La Commission vie privée a déploré de ne pas avoir été consultée au préalable pour examiner la licéité de ce contrôle préventif à la lumière de la Loi vie privée et a ouvert une enquête à ce sujet avec l'aide du Comité P et de l'Organe de Contrôle de la gestion de l'information policière (« COC »).
D’après la Commission vie privée, le contrôle des antécédents des visiteurs doit être considéré comme du profilage, étant donné que les personnes concernées sont évaluées par rapport à un comportement déterminé jugé indésirable afin d’obtenir un accès à un service bien déterminé, à savoir la participation à un festival accessible au public.
Dans une ordonnance intermédiaire du 27 juillet 2017 suite à l’action en référé introduite par 3 visiteurs refusés de Tomorrowland, le Président du tribunal de première instance de Bruxelles a estimé qu’à la lumière de la finalité avancée, à savoir la protection de la sécurité publique, le screening des antécédents policiers des plaignants était disproportionné. Le juge a également formulé des remarques concernant le degré de transparence à l’égard des visiteurs refusés et, bien qu’incidemment, concernant la licéité de la mesure policière. Il ressort également du rapport d’enquête du Comité P que la police ne s’est pas basée sur le bon fondement légal.
Le Règlement général sur la protection des données (RGPD) sera d’application à dater du 25 mai 2018. L’article 30 met à charge des responsables de traitement et des sous-traitants une obligation de tenir un Registre des activités de traitement. Ce Registre cartographie les traitements de données et tient des informations sur le but, les données, les destinataires, les délais, etc. A partir de 25 mai 2018 ce Registre pourra être demandé par la Commission vie privée dans le cadre de contrôles. La Commission vie privée reçoit un grand nombre de questions relatives à ce Registre. C'est la raison pour laquelle elle a décidé d'émettre une recommandation afin de guider les responsables de traitement et les sous-traitants dans la préparation de celui-ci. La recommandation abordera les questions suivantes :
La Commission vie privée a publié également un modèle de son propre registre, qui pourra servir d'exemple mais qui ne devra pas être considéré comme un modèle officiel.
Immédiatement après l’adoption du RGPD, les autorités de protection des données ont identifié la question du délégué à la protection des données comme prioritaire. Elles ont incité les responsables de traitement et sous-traitants à vérifier rapidement si oui ou non ils sont juridiquement tenus de désigner un délégué à la protection des données en application de l’article 37.1. du RGPD ainsi qu’à procéder aux engagements ou à programmer les formations nécessaires. Outre les questions récurrentes auxquelles elle répond par la voie de FAQ sur son site Internet (et pour la réponse auxquelles elle s’appuie sur le travail d’interprétation commune du groupe de l’Article 29 déjà cité), la Commission vie privée reçoit régulièrement la question de savoir si le « conseiller en sécurité » que doivent désigner certaines institutions, organismes et autres entités en application de différentes règlementations belges peut devenir le délégué à la protection des données - exigé pour toute autorité et organisme publics notamment. En d’autres termes, peut-il exercer cumulativement les fonctions de conseiller en sécurité et de délégué à la protection des données et, le cas échéant, à quelles conditions?
La recommandation 04/2017 de la Commission vie privée a pour objectif de guider les responsables de traitement et les sous-traitants dans leur analyse et leur choix d’un délégué à la protection des données dans le respect du RGPD (voy. le point III de la recommandation). Compte tenu des nombreuses questions que la Commission vie privée reçoit quant au cumul de cette fonction avec celle de « conseiller en sécurité », une attention particulière, mais non exclusive, est accordée à cet aspect dans la dite recommandation.
En conclusion de celle-ci, la Commission vie privée insiste sur les éléments ci-après :
C’est à l’aune des exigences du RGPD au regard du délégué à la protection des données que doit se faire, par le responsable de traitement ou le sous-traitant concerné, l’examen de la question de savoir si un cumul de cette fonction avec une autre fonction ou une transition automatique d’une fonction à l’autre est admissible au regard du RGPD ;
S’agissant des « conseillers en sécurité en particulier », il n’y a aucun automatisme ni transition systématique autorisée de cette fonction vers celle de délégué à la protection des données ; seul un examen in concreto par les responsables de traitement et sous-traitant concerné peut les guider à cet égard.
La recommandation met en évidence que la mission du délégué à la protection des données porte sur toutes les dispositions du RGPD, soit sur tous les aspects de la protection des données à caractère personnel (principes de licéité, finalité, proportionnalité et sécurité ; droits des personnes concernées ; protection des données dès la conception et par défaut ; registre des activités de traitement ; encadrement des flux transfrontières ; sécurité des traitements ; notification des violations de données, y inclus tous les aspects de la sécurité des traitements et de l’information ;
La recommandation relève aussi que le RGPD énonce une série d’éléments de garanties de l’indépendance du délégué à la protection des données qu’il appartiendra aux responsables de traitements et sous-traitants de mettre en œuvre et à l’aune desquels, en fonction de l’organisation interne, la fonction de délégué à la protection des données devra être organisée;
Enfin, s’agissant des qualifications du délégué, le RGPD exige que le délégué à la protection des données soit désigné sur la base de ses qualités professionnelles (en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données) et de sa capacité à accomplir ses missions. Ces missions couvrent comme rappelé ci-dessus, la protection des données dans tous ses aspects juridiques, techniques, organisationnels,…. La Commission vie privée souligne l’importance de cette approche holistique de la protection des données et de la sécurité de l’information. Elle nécessitera le plus souvent que le délégué s’entoure de collaborateurs, de personnes ressources aux profils variés et expertise dans l’un ou l’autre aspect plus pointu. Qu’il travaille seul, en réseau, en équipe, le délégué à la protection des données devra toujours être clairement identifié. Ces qualifications et aptitude ne seront pas validées a priori, ni par la Commission vie privée, ni par un Comité sectoriel/ de surveillance si le concept de ces comités devait être conservé au terme de la réforme organique de la Commission vie privée induite par le RGPD ;
Le nouveau règlement sur la protection des données encourage explicitement les fédérations et les organisations sectorielles à développer des outils tels que les codes de conduites, permettant ainsi de prendre en compte la spécificité de certains secteurs dans l’application du nouveau règlement. Cet outil peut servir d’élément pour démontrer le respect des obligations incombant au responsable du traitement et/ou aux sous-traitants.
A partir du 25 mai 2018 les projets de codes de conduite pourront être présentés par des fédérations et des organisations sectorielles à l’autorité nationale de contrôle.
Si le code de conduite concerne des activités de traitement menées dans plusieurs Etats membres, l’approbation finale pourra être accordée par la Commission européenne après avis du comité européen de protection des données, qui vérifiera s’ils présentent des garanties appropriées en vue du respect du nouveau règlement.
Afin d’apporter clarté, transparence et harmonisation sur la procédure ainsi que sur le contenu des codes de conduite, la rédaction de lignes directrices par le Groupe de Travail - Article 29 est actuellement en cours
La Commission vie privée estime utile de d’ores et déjà préciser que les principes généraux suivants sont fondamentaux et doivent impérativement guider l’élaboration de tout code de conduite :
De nombreux établissements d'enseignement sont contactés par des acteurs privés qui souhaitent les accompagner dans les démarches visant à respecter le Règlement général sur la protection des données (RGPD). Toutefois, ces établissements ne connaissent souvent pas assez ce nouveau règlement pour pouvoir estimer ce que l'on attend d'eux à partir du 25 mai 2018. Partant de ce constat, le département flamand de l'enseignement a pris contact avec la Commission vie privée afin de lancer conjointement une campagne d'information centrale. Le département flamand de l'enseignement souhaite ainsi informer et accompagner de manière uniforme les établissements d'enseignement en ce qui concerne les matières liées au RGPD.
Le rôle de la Commission vie privée dans tout cela consiste principalement à rédiger un document de base concernant les implications du Règlement général sur la protection des données dans le secteur de l'enseignement. Ce document donne un aperçu des principes et points d'attention majeurs relatifs au RGPD. L'approche adoptée pour ce document de base est "comment se préparer au RGPD en tant qu'établissement d'enseignement ?". Ce document mentionne dès lors également des actions concrètes. Ensuite, le département flamand de l'enseignement et les organisations de tutelle de l'enseignement se sont servi de ce document de base pour organiser eux-mêmes une campagne de sensibilisation relative au RGPD (sous la forme d'une brochure d'information, de modèles, de codes de conduite, de directives, ...). Après un dialogue fructueux avec les parties concernées, le déploiement de cette campagne devrait avoir lieu début 2018. Tout le matériel de sensibilisation sera notamment disponible sur les sites Internet de la Commission vie privée : www.privacycommission.be/fr et www.jedecide.be.
Vu que les établissements d'enseignement néerlandophones ne sont pas les seuls à devoir fonctionner conformément au RGPD à partir du 25 mai 2018, la Commission vie privée a également proposé ce document de base en français à l'administrateur général de la Fédération Wallonie-Bruxelles. Ici aussi, ce document de base sera utilisé pour organiser une propre campagne de sensibilisation concrète sur le RGPD.