Source: http://docplayer.fr/15170297-L-organisation-d-un-integrateur-de-services-federal-co-a-2015-025-donnees-a-caractere-personnel-ci-apres-la-lvp-en-particulier-l-article-29.html
Timestamp: 2018-12-15 18:57:04+00:00
Document Index: 147690080

Matched Legal Cases: ["l'article 29", "l'article 29", "l'article 29", "l'article 29", 'art. 8', 'art. 24', 'art 2']

l'organisation d'un intégrateur de services fédéral (CO-A ) données à caractère personnel (ci-après la "LVP"), en particulier l'article 29 ; - PDF
l'organisation d'un intégrateur de services fédéral (CO-A ) données à caractère personnel (ci-après la "LVP"), en particulier l'article 29 ;
Download "l'organisation d'un intégrateur de services fédéral (CO-A-2015-025) données à caractère personnel (ci-après la "LVP"), en particulier l'article 29 ;"
1 1/9 Avis n 20/2015 du 10 juin 2015 Objet : avis relatif au projet d'arrêté royal déterminant les critères sur la base desquels des données sont qualifiées d'authentiques en exécution de la loi du 15 août 2012 relative à la création et à l'organisation d'un intégrateur de services fédéral (CO-A ) La Commission de la protection de la vie privée (ci-après "la Commission") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 29 ; Vu la demande d'avis de Fedict, reçue le 30/04/2015; Vu les informations complémentaires reçues en date du 11/05/2015 Vu le rapport de Joël Livyns; Émet, le 10 juin 2015, l'avis suivant :
2 Avis 20/2015-2/9 I. OBJET ET CONTEXTE DE LA DEMANDE 1. Fedict sollicite pour la seconde fois 1 l avis de la Commission sur le projet d Arrêté royal exécutant l article 27, 2, a) de la loi du 15 août 2012 relative à la création et à l'organisation d'un intégrateur de services fédéral. Cette disposition prévoit que, sur proposition du comité de coordination et après avis de la Commission, le Roi détermine par arrêté délibéré en Conseil des Ministres les critères sur la base desquels des données sont qualifiées d'authentiques. 2. Selon l article 2 de la loi précitée du 15 août 2012, une source authentique est une banque de données dans laquelle sont conservées des données authentiques et une donnée authentique est définie comme suit : "donnée récoltée et gérée par une instance dans une base de données et qui fait foi comme donnée unique et originale concernant la personne ou le fait de droit concerné, de sorte que d'autres instances ne doivent plus collecter cette même donnée". 3. Bien que présentant des risques pour la vie privée au vu de leur nature à communiquer les données pour réutilisation, l instauration de sources authentiques de données permet d arriver à un équilibre acceptable par la mise en place de garanties visant à assurer la qualité des données authentiques, le caractère conforme aux principes de protection des données des accès aux données dans la mesure où l intégrateur de services veillera à ce qu ils soient bien préalablement autorisés La qualification de «donnée authentique» présente une importance particulière tant pour le citoyen que pour les administrations fédérales étant donné qu elle entraine l application du principe de collecte unique en application de la loi précitée du 15 août 2012 (art. 8, 3). En vertu de ce principe, une information concernant un citoyen, qualifiée d authentique, n est collectée qu une seule fois auprès de ce dernier et est réutilisée par d autres administrations fédérales qui en ont besoin dans l exercice de leurs missions. Les services publics participants, devant disposer d une donnée authentique dans le cadre de l exercice de leurs missions légales et n étant pas responsables de la collecte de cette donnée, ne peuvent plus collecter cette donnée auprès de la personne concernée mais doivent la recueillir auprès de l instance en charge de la source authentique, une fois qu ils disposent d un accès direct à cette source. 1 Cf. Avis 23/2013 du 26 juin 2013 relatif au projet d AR déterminant les critères sur la base desquels des données sont qualifiées d authentiques en exécution de la loi du 15 août 2012 relative à la création et à l organisation d un intégrateur de service fédéral. 2 Cf. à ce sujet la recommandation d initiative 09/2012 relative aux sources authentiques dans le secteur public
3 Avis 20/2015-3/9 5. Les critères définis par le présent projet d Arrêté royal s appliqueront uniquement aux autorités qui tombent dans le champ d application de la loi précitée de 2012, à savoir les services publics fédéraux, les SPF de programmation, la police fédérale, le Ministère de la Défense et toute instance ou service dépendant de l administration fédérale dans la mesure où ils décident de mettre une ou plusieurs sources authentiques de données à disposition de l intégrateur de services fédéral ou de collecter des données via celui-ci. Sont exclus les SPF en charge de la sécurité sociale ainsi que les institutions publiques qui font partie du réseau de la sécurité sociale. 6. La présente qualification de donnée authentique et par la force des choses, de source authentique se limite aux notions de données/sources authentiques visées au sein de la loi fédérale précitée de La détermination de critères en vertu desquels une donnée peut être qualifiée d authentique correspond à une demande de la Commission qui a relevé, dans son avis n 41/2008 du 17 décembre 2008, l importance d élaborer des critères de qualité permettant de consacrer le caractère authentique d une donnée. II. EXAMEN II. 1. Remarque préliminaire 8. A titre préliminaire, la Commission s interroge quant au fait qu une règlementation excessive de cette matière aille à l encontre de la faisabilité de la mise en place de sources authentiques et de projets touchant à l e-gouvernement. II.2. Déroulement du processus aboutissant à la consécration du caractère authentique d une donnée Considérations générales préalables relatives au phasage et à la transparence. 9. Le principal changement apporté au projet d Arrêté royal, par rapport à la version précédemment soumise à l avis de la Commission, consiste en la mise en place d un phasage dans le processus aboutissant à la mise en place de procédures devant être respectées par l instance chargée de la récolte et de la gestion des données qualifiées d authentiques.
4 Avis 20/2015-4/9 10. Phase 1 : Détermination de critères de fond sur base desquels une donnée pourra être qualifiée d authentique. L article 1 er du projet d AR se limite à deux critères : L enregistrement de la donnée concernée découle de missions attribuées par ou en vertu de la loi, d un décret ou d une ordonnance ; L instance en charge de sa gestion et de sa collecte donne des garanties en termes d exactitude, d exhaustivité et de disponibilité de la donnée. 11. Cette 1ère phase permettra d identifier les données pouvant être éligibles au statut d authentique ainsi que les administrations ou instances externes à l administration - en cas de collecte par ces dernières de données en application de la réglementation - pouvant être éligibles au statut d instance responsable de source authentique de données. 12. Dans la mesure où des obligations strictes de veiller à la qualité des données s imposeront par nature à ces instances, il conviendra de prendre soin, dans le choix des données, d opter pour des données qui ne sont pas sujettes à des changements trop fréquents. A cet égard, la donnée profession, reprise au Registre national et dont l accès est systématiquement refusé par le Comité sectoriel du Registre pour défaut de qualité, est un exemple éclairant. 13. Phase 2 : consécration légale de la donnée comme authentique par Arrêté royal, conformément à l article 27, 2, b) de la loi précitée de Phase 3 : Détermination des caractéristiques de la donnée et mise en place de diverses procédures par l instance en charge de la gestion de la donnée authentique, en concertation avec le Comité de coordination 3. Ces procédures sont destinées à assurer notamment la qualité des données authentiques, leur gestion et à coordonner les interventions de divers services publics à ce niveau. Il ressort du rapport au Roi que les procédures seront à respecter une fois que la qualification légale est intervenue mais pas nécessairement toutes en une fois ; il s agit d un processus évolutif. 15. Cette distinction entre les critères de contenu et de procédure et le caractère évolutif du processus de suivi des procédures par l instance responsable de la source authentique correspondent à une demande faite par la Commission dans son précédent avis de 2013 dans 3 Dans le cadre de l intégrateur de service fédéral, un comité de coordination est institué. Il se compose du fonctionnaire dirigeant de chaque service public participant à l intégrateur de service fédéral, de chaque intégrateur de services tout niveau de pouvoir confondu, du fonctionnaire dirigeant de l agence pour la simplification administrative et du président du Comité de direction de Fedict. (art. 24 Loi précitée de 2012)
5 Avis 20/2015-5/9 le but d éviter que la reconnaissance du caractère authentique d une donnée ne prenne trop de temps. 16. La Commission souhaite attirer l attention de l auteur du projet d Arrêté royal sur le fait que, tout en ayant à l esprit la rapidité du processus de reconnaissance légale, il ne peut être fait fi de l importance de veiller à la qualité des données reconnues légalement comme telles dans la mesure où la qualification légale (phase 2) engendre l application des conséquences légales attachées à la qualification de source authentique (obligation de collecte unique, ). Etant donné que ces conséquences sont importantes tant pour les citoyens que pour les administrations (dans la mesure où elles fondent leur décisions administratives qui engendrent des conséquences juridiques pour les citoyens sur ces données qu elles ne collectent plus directement auprès de ces derniers), il est impératif qu au moins la définition des données concernées et les procédures visant à assurer leur qualité (critères repris à l article 2, 1, 4 et 6 ) soient mises en place préalablement à la qualification légale de «donnée authentique». Soit la définition de la donnée concernée et les critères de procédure touchant à la qualité de la donnée figurent dans les critères de fond, soit il est précisé que ces critères doivent être respectés dès la désignation légale intervenue et non pas progressivement. De cela dépend la qualité des décisions administratives (parfois même automatiques dans le contexte de l e-gouvernement) ainsi que la garantie pour les citoyens que des décisions les concernant sont prises sur base de données exactes. Sans garantie de fiabilité à ce niveau, aucune réutilisation ne peut être encouragée. Comme précisé dans le rapport au Roi, le statut officiel de source unique exige de placer la barre haut concernant l exactitude, la tenue à jour et l exhaustivité des données authentiques. 17. La proposition du comité de coordination de consacrer le caractère authentique d une donnée par Arrêté royal devra être motivée en conséquence et préciser dans quelle mesure les garanties visant à assurer la qualité de la donnée concernée sont remplies. 18. Enfin, la Commission rappelle l importance d assurer que les instances en charge de sources authentiques de données soient désignées de manière transparente; ce qui fait actuellement défaut dans le présent projet d AR contrairement à la précédente version soumise à l avis de la Commission 4. Il s agit d un préalable nécessaire pour que les utilisateurs aient une vue claire des sources et données authentiques disponibles qu ils peuvent/doivent consulter pour l exercice de leur missions. De plus, cela permet aux citoyens de savoir quels organismes assurent la gestion de leurs données reprises dans les sources authentiques afin de savoir 4 La désignation d une instance responsable de la collecte, de la gestion et de la mise à disposition de la donnée était un des critères devant être satisfait préalablement à la reconnaissance légale de la donnée d authentique
6 Avis 20/2015-6/9 auprès de qui exercer leur droit d accès et éventuellement leur droit de rectification et droit d accès spécifique (connaître, sauf exception légale, les autorités qui ont eu accès à leurs données). Enfin, l instance en charge de la gestion de telle donnée devant veiller à la qualité des données, il importe qu elle soit désignée de manière transparente et concomitante à la qualification légale de la donnée authentique. L article 6 de la loi précitée de 2012 délègue au Roi la charge d une telle désignation. 19. A ce sujet également, la Commission constate que l article 16, 2 de loi précitée de 2012 n est pas encore entré en vigueur à ce jour. A l instar de ce qui existe au niveau du Registre national, cette disposition instaure au profit des citoyens un droit d accès spécifique à savoir le droit de prendre vigueur connaissance des autorités et organismes ayant consulté ou mis à jour leurs données au sein, entre autre, des sources authentiques. Celui-ci devra également entrer en vigueur en même temps que l adoption des arrêtés royaux désignant les données authentiques étant donné cela marquera le départ de l application de l obligation de collecte unique pour les données concernées. II. 3. Analyse des critères de contenu devant être satisfaits pour pouvoir faire l objet de la qualification légale de «donnée authentique» au sens de la loi précitée de Le premier critère de contenu sur base duquel une donnée peut être reconnue comme authentique consiste en ce que l enregistrement de la donnée découle de missions attribuées par ou en vertu d une loi, d un décret ou d une ordonnance. Cette formulation répond à la demande même de la Commission dans son précédent avis de Le second critère n appelle pas de remarques particulières. En vertu de ce critère, l instance en charge de la source authentique doit donner des garanties en termes d exactitude, d exhaustivité et de disponibilité de la donnée ; ce qui correspond aux qualités dont toute source authentique doit faire preuve selon la recommandation de la Commission en la matière émise le 23 mai Dans la mesure où une donnée authentique fera par nature l objet de réutilisations massives au sein des administrations sur base du principe de collecte unique et dans la mesure où la source de laquelle elle émane sera en principe d une base de données de grande échelle avec potentiellement des données sensibles, la Commission recommande qu il soit ajouté, comme critère de contenu, que la donnée soit issue d une source authentique/base de données disposant d une base légale afin de répondre aux critères habituels de prévisibilité.
7 Avis 20/2015-7/9 23. Pour le surplus, il est renvoyé aux remarques faites au point II.1. concernant l ajout de certains critères de procédure (ceux touchant à la détermination de la donnée et à sa qualité) au niveau des critères de contenu ou la précision que ces critères sont à respecter dès la désignation légale intervenue et non pas progressivement. II. 4. Analyse des critères de procédure devant être satisfaits progressivement une fois que la qualification légale de donnée authentique est intervenue. 24. Dans l ensemble, ces critères n ont pas été foncièrement modifiés par rapport à la précédente version du projet d Arrêté royal mis à part la suppression des deux critères suivants : celui précisant le caractère disponible de la donnée pour les services public participants pour autant qu ils disposent d autorisation en la matière (ce critère apparaissant en effet redondant par rapport à d autres dispositions légales tant de la loi précitée de 2012 que d autres lois) ainsi que celui prévoyant le caractère gratuit de la mise à disposition de la donnée (ce qui répond à une remarque de la Commission dans son avis de 2013). Il est également prévu dorénavant que les critères de procédure seront déterminés selon un procédure standardisée sur base de modèles approuvés par le Comité de coordination ; ce qui répond également à une demande de la Commission. 25. Le premier critère consiste en une détermination des caractéristiques de la donnée. La formulation de ce critère mérite d être améliorée. Il convient de viser en lieu et place la description de la donnée tant du point de vue de son contenu (notion) que des caractéristiques de sa configuration telles que son mode d enregistrement, la périodicité de ses mises à jour et d éventuelles spécificités techniques. 26. Par ailleurs, outre le fait que ce point doit constituer un préalable à la consécration légale du caractère authentique de la donnée (cf. supra), il convient de préciser dans le projet d Arrêté royal que cette description fera l objet d une publicité comme cela a déjà été demandé par la Commission dans son avis précédent. 27. Enfin, à ce sujet, la Commission rappelle l importance de veiller à ce que la description de la donnée soit la plus précise possible étant donné que des notions similaires ont des significations différentes en fonction de la réglementation concernées (ménage, rémunération, ). C est généralement le contexte de l utilisation d une donnée qui détermine si elle est pertinente ou non. Il importe également de fixer la valeur à accorder à une donnée.
8 Avis 20/2015-8/9 28. Les 3 critères suivants 5 sont inchangés et n appellent pas de remarque particulière comme déjà relevé par la Commission dans son précédent avis. 29. Le critère suivant consiste en la détermination d accords transparents avec le service public qui souhaite bénéficier de la donnée. Selon le rapport au Roi, ces accords concerneront tant des aspects techniques (modalités techniques de mise à disposition, adaptation à l évolution technologique, journalisation des accès et/ou modification, ) qu organisationnels (niveau de service level agreement, notifications des incidents, conditions financières, ) ; ce qui apparait justifié. Il importe en effet de prévoir un encadrement des modalités techniques et organisationnelles des consultations des données authentiques pour qu elles soient rapportables et que le cas échéant, l instance en charge de la gestion de la source authentique puisse assurer la réalisation d un audit de traçage complet au niveau de la consultation des données concernées. 30. Le 6 ème critère consiste en la détermination d une procédure de notification des erreurs et de correction de la donnée. La Commission insiste pour que cette procédure soit à disposition tant des utilisateurs de la source authentique que des personnes concernées en application de l article 12 de la loi vie privée (droit de rectification) et qu une transparence adéquate de cette procédure soit assurée. 31. Le dernier critère consiste en l organisation d une concertation entre les services publics en vue de l amélioration de la qualité, de la disponibilité et de l utilisation de la donnée. Selon les informations obtenues auprès du fonctionnaire délégué, il s agit de mettre en place une concertation continue entre tous les utilisateurs afin de veiller à ce que la source authentique réponde bien dans le temps à leurs besoins. Une telle mesure apparait appropriée. 32. Dans la mesure où diverses instances pourraient intervenir à différents niveaux dans la gestion d une donnée authentique, la Commission recommande qu un critère de procédure soit ajouté pour que soit mise en place une procédure visant à déterminer les différents niveaux de responsabilité dans les différentes phases de traitement/mise à jour de la donnée ou à tout le moins que ce point soit intégré dans la procédure d enregistrement et de gestion de la donnée (art 2, 2 ). 5 2 La procédure d enregistrement et de gestion de la donnée; 3 la procédure d accessibilité de la donnée;l4 la procédure visant à garantir l exactitude, l exhaustivité, la sécurité et la disponibilité de la donnée
9 Avis 20/2015-9/9 33. Enfin, de manière générale, la Commission doit à nouveau constater qu aucune transparence vis-à-vis du citoyen n a été prévue malgré les remarques répétées en ce sens de la Commission 6. La Commission renvoie à ses remarques à ce sujet faites au point II.1 et demande que soit assurée la transparence des données concernées et des instances en charge de la gestion des sources authentiques desquelles elles émanent et ce, vis-à-vis des personnes concernées. 34. Dans cet ordre idée, il conviendrait de confier à l intégrateur de service fédéral le soin de dresser, tenir à jour et assurer la publicité de la liste des différentes sources authentiques qui auront été reconnues au niveau fédéral ainsi que des données authentiques y reprises, à l instar de ce qui est fait au niveau de la Communauté flamande 7. Ce listing reprendra utilement l adresse ou le lien internet via lequel toute personne concernée pourra exercer ses droits d accès et de rectification. PAR CES MOTIFS, la Commission émet un avis favorable pour autant qu'il soit tenu compte des remarques mentionnées aux points 16 à 19, 22, 25, 26, 32 à 34. Pour l'administrateur f.f., abs. Le Président, (sé) An Machtens Chef de section OMR f.f. (sé) Willem Debeuckelaere 6 Avis 23/203, RecommCandation 09/