Source: https://www.ipnews.be/protection-des-donnees-personnelles-analyse-de-la-reglementation/
Timestamp: 2019-12-13 22:21:58+00:00
Document Index: 103535021

Matched Legal Cases: ['art. 1', '§ 2', 'art. 1', '§ 1', '§ 8', 'art. 6', '§ 1', 'art. 6', '§ 2', 'art. 8', '§ 1', 'art. 8', '§ 2', 'art. 17', '§ 1']

Protection des données personnelles: analyse de la réglementation – IPnews.be
Tout d’abord, l’entreprise devra se demander si elle effectuera un réel “traitement” de “données personnelles”.
La loi de 1992 précise ce qu’il faut entendre par “traitement“. Il s’agit de “toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction de données à caractère personnel” (art. 1, § 2).
S’agit-il de “données personnelles“?
Ici aussi, il faut se reporter à la définition de la loi: “Pour l’application de la présente loi, on entend par “données à caractère personnel” toute information concernant une personne physique identifiée ou identifiable, désignée ci-après “personne concernée”; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale” (art. 1, § 1er).
Ce que compte faire l’entreprise tombe donc bien dans le champ d’application de la loi de 1992. Cette loi a un champ d’application matérielle très large (article 3) puisqu’elle s’applique “à tout traitement de données à caractère personnel automatisé en tout ou en partie, ainsi qu’à tout traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier“.
lorsque la personne concernée a indubitablement donné son consentement. Par “consentement de la personne concernée”, on entend “toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement” (article 1, § 8);
La loi précise que l’ensemble de ces obligations repose sur les épaules du responsable du traitement. Elle définit le responsable du traitement comme “la personne physique ou morale, l’association de fait ou l’administration publique qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque les finalités et les moyens du traitement sont déterminés par ou en vertu d’une loi, d’un décret ou d’une ordonnance, le responsable du traitement est la personne physique, la personne morale, l’association de fait ou l’administration publique désignée comme responsable du traitement par ou en vertu de cette loi, de ce décret ou de cette ordonnance.”.
une entreprise ne peut pas effectuer un “traitement de données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la vie sexuelle” (art. 6, § 1er) sauf (art. 6, § 2) lorsque (i) la personne a donné son accord un arrêté royal pouvant préciser les cas où même l’accord de la personne ne rend pas le traitement légal dans ce cas-ci, lorsque (ii) le traitement est nécessaire afin “d’exécuter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail” (en clair les responsables du service RH de votre société peut traiter vos données issues de votre contrat de travail); lorsque (iii) le traitement est “lorsque le traitement est nécessaire à la défense des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement“; lorsque les traitements sont effectués par une ASBL ou une fondation et que les données concernent uniquement les membres de l’ASBL ou de la fondation et que l’ASBL ou la fondation s’engage à ne pas communiquer les données personnelles sans l’accord de ses membres; l’entreprise pourra toujours traiter des données manifestement rendues publiques par leurs propriétaires; “lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice” (il s’agit ici de LA disposition qui pourrait servir de base au traitement de données relatives aux infractions sur internet – nous verrons comment et si elle est vraiment utile); “lorsque le traitement est effectué par des associations dotées de la personnalité juridique ou par des établissements d’utilité publique qui ont pour objet social principal la défense et la promotion des droits de l’homme et des libertés fondamentales, en vue de la réalisation de cet objet, à condition que ce traitement soit autorisé par le Roi, par arrêté délibéré en Conseil des ministres, après avis de la Commission de la protection de la vie privée“;
de plus, une entreprise ne peut effectuer des traitements de données personnelles concernant la vie sexuelle sauf “lorsque le traitement est effectué par une association dotée de la personnalité juridique ou par un établissement d’utilité publique, qui a pour objet statutaire principal l’évaluation, la guidance et le traitement des personnes dont le comportement sexuel peut être qualifié d’infraction, et qui est agréé et subventionné par l’autorité compétente en vue de la réalisation de ce but; ces traitements, qui doivent être destinés à l’évaluation, la guidance et le traitement des personnes visées dans le présent paragraphe et qui ne peuvent porter que sur des données à caractère personnel qui, pour autant qu’elles sont relatives à la vie sexuelle, concernent les personnes visées dans le présent paragraphe, sont soumis à une autorisation spéciale individuelle accordée par le Roi, dans un arrêté royal délibéré en Conseil des ministres, après avis de la Commission de la protection de la vie privée”;
une entreprise ne peut pas non réaliser de traitement de données à caractère personnel relatives à des “litiges soumis aux cours et tribunaux ainsi qu’aux juridictions administratives, à des suspicions, des poursuites ou des condamnations ayant trait à des infractions, ou à des sanctions administratives ou des mesures de sûreté” (art. 8, § 1er) sauf (art. 8 § 2 et suivants) lorsque le traitement est effectué (i) sous le contrôle d’une autorité publique ou d’un officier ministériel au sens du Code judiciaire, lorsque le traitement est nécessaire à l’exercice de leurs tâches; (ii) par d’autres personnes lorsque le traitement est nécessaire à la réalisation de finalités fixées par ou en vertu d’une loi, d’un décret ou d’une ordonnance (disposition fourre-tout); (iii) par des personnes physiques ou par des personnes morales de droit public ou de droit privé pour autant que la gestion de leurs propres contentieux l’exige (disposition qui pourrait également être très utile en matière de lutte contre les téléchargements illicites); (iv) par des avocats ou d’autres conseils juridiques, pour autant que la défense de leurs clients l’exige (même remarque) et (v) pour les nécessités de la recherche scientifique, dans le respect des conditions fixées par le Roi par arrêté délibéré en Conseil des ministres, après avis de la Commission de la protection
L’entreprise devra déclarer le traitement qu’elle envisage de faire auprès de la Commission de la protection de la vie privée “préalablement à la mise en œuvre d’un traitement entièrement ou partiellement automatisé ou d’un ensemble de tels traitements ayant une même finalité ou des finalités liées” (art. 17, § 1er). La déclaration auprès de la Commission vie privée est donc toujours préalable. Il doit s’effectuer avant tout traitement. La loi en ses articles 23 et suivants a prévu l’organisation de cette Commission.
Toutefois, là aussi, la loi prévoit une exception. En effet, la déclaration préalable ne s’applique pas aux “traitements ayant pour seul objet la tenue d’un
registre qui, par ou en vertu d’une loi, d’un décret ou d’une ordonnance, est destiné à l’information du public et est ouvert à la consultation du public ou de toute personne justifiant d’un intérêt légitime“. Ce ne sera pas le cas pour notre entreprise. Donc, elle devra déclarer le traitement qu’elle envisage de faire à la Commission vie privée. Notons que chaque finalité ou ensemble de finalités liées pour lesquelles il est procédé à un ou à plusieurs traitements partiellement ou totalement automatisés doit faire l’objet d’une déclaration.
Le site de la Commission vie privée définit les finalités d’un traitement de la façon suivante: “Le responsable ne peut pas poursuivre n’importe quel objectif. Il va de soi qu’il doit s’agir d’un objectif légitime. Cela signifie que les intérêts du responsable du traitement doivent être en équilibre avec les intérêts de la personne concernée. Une finalité susceptible de porter atteinte à la vie privée de la personne concernée n’est pas une finalité légitime. Par exemple : la constitution d’un fichier reprenant des personnes qui approchent des soixante ans en vue de leur envoyer, lors de leur soixantième anniversaire, de la documentation sur une assurance obsèques “parce qu’il est temps d’y penser”, n’est pas une finalité légitime. Le préjudice subi par ces personnes dans ce cas est indubitablement plus grand que l’intérêt commercial de la personne qui constitue le fichier.“.
Outre l’hypothèse que j’ai mentionnée supra par rapport aux registres, certaines catégories de la déclaration peuvent être exemptées lorsque, compte tenu des données traitées, il n’y a “manifestement pas de risque d’atteinte aux droits et libertés des personnes concernées et que sont précisées les finalités du traitement, les catégories de données traitées, les catégories de personnes concernées, les catégories de destinataires et la durée de conservation des données“. Toutefois, lorsqu’une exemption de déclaration est accordée pour des traitements automatisés, les informations en question devront quand même pouvoir être communiquées par le responsable du traitement à toute personne qui en fait la demande.
Sep 12, 2012 Axel Beelen
Publié dansInternet Law Privacy Responsabilité Téléchargement illégal
Mots-clésdonnées à caractère personnel données personnelles Internet net privacy protection vie privée
Article précédentPrécédente Lutte contre le téléchargement illicite et le traitement des données personnelles: présentation de la réglementation
Article suivantSuivante Directive oeuvres orphelines: analyse du texte voté au Parlement européen en septembre 2012