1996009374 22 MAI 1996. - Arrêté royal n° 16 modifiant l'arrêté royal n° 2 du 28 février 1993 fixant le délai dans lequel le maître du fichier doit se conformer aux dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel pour les traitements existant au moment de l'entrée en vigueur de ces dispositions.

A l'article 3 de l'arrêté royal n° 2 du 28 février 1993 fixant le délai dans lequel le maître du fichier doit se conformer aux dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel pour les traitements existant au moment de l'entrée en vigueur de ces dispositions, les mots "un délai de trois mois" sont remplacés par les mots "un délai de dix-huit mois".

Le présent arrêté entre en vigueur le jour de sa publication au Moniteur belge.

Notre Ministre de la Justice est chargé de l'exécution du présent arrêté.

Donné à Châteauneuf-de-Grasse, le 22 mai 1996.

ALBERT

Par le Roi

Le Ministre de la Justice,

S. DE CLERCQ

Préambule

ALBERT II, Roi des Belges,

A tous, présents et à venir, Salut.

Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, notamment l'article 52, alinéa 2;

Vu les lois sur le Conseil d'Etat coordonnées le 12 janvier 1973, notamment l'article 3, § 1er, modifié par la loi du 4 juillet 1989;

Vu l'urgence;

Considérant que l'application de l'article 18, alinéa 4, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel suscite de nombreuses difficultés;

Considérant que l'application de cette disposition légale dans le chef du maître de fichier nécessite une adaptation du système informatique et implique par conséquent des frais considérables;

Considérant que, même en cas de maintien de l'obligation, des modalités d'exécution plus détaillées sont nécessaires dans tous les cas pour une application rationnelle de l'article 18, alinéa 4, de la loi;

Considérant que, conformément à l'arrêté royal n° 2 précité du 28 février 1993, modifié par l'arrêté royal n° 2bis du 29 septembre 1995, de nombreux traitements automatisés de données à caractère personnel feront très bientôt l'objet d'une déclaration et qu'il est très urgent de donner une réponse provisoire à la question de l'application de l'article 18, alinéa 4, de la loi du 8 décembre 1992;

Sur la proposition de Notre Ministre de la Justice,

Nous avons arrêté et arrêtons

Rapport au Roi

RAPPORT AU ROI.

Sire,

En ce qui concerne le registre public des traitements automatisés de données à caractère personnel, l'article 18, alinéa 4, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, prévoit ce qui suit

"Le numéro d'identification du traitement dans ce registre devra figurer sur toute pièce qui en matérialisera l'usage." L'objectif de cette disposition, qui a été insérée dans le projet à un stade relativement avancé de la discussion parlementaire ayant mené à la loi du 8 décembre 1992, a été formulé comme suit (Doc. Parl. Sénat, S.E. 1991-92, 445/10)

"Quand on s'inquiète du contenu des fichiers et qu'on organise des recours à cet égard, il paraît d'autant plus utile de pouvoir identifier ces fichiers facilement. S'agissant en l'occurrence de fichiers faisant l'objet de traitements automatisés, il n'est pas excessif de prévoir que le numéro d'identification dans le registre tenu par la Commission de la protection de la vie privée soit reproduit sur toute pièce qui en matérialise l'usage, en particulier les étiquettes utilisées pour des envois.

Il faut considérer cet ajout en fonction de l'article 17, § 1er. Avant de commencer le traitement automatisé de données à caractère personnel, le maître du fichier avertit la Commission de la protection de la vie privée. Cette Commission peut alors accorder un numéro d'identification du traitement. Ce numéro doit toujours être mentionné pour que l'on puisse retrouver l'identification et l'origine des données." L'application de l'article 18, alinéa 4, suscite divers problèmes.

Primo, le résultat auquel veut parvenir le législateur n'est pas clairement défini. Il ressort des travaux préparatoires au Parlement que le numéro d'identification du traitement doit permettre de retrouver facilement l'origine des données à caractère personnel. Une personne qui reçoit par la poste une offre publicitaire personnalisée sans l'avoir demandée, pourrait donc vérifier sur la base de quel fichier l'expéditeur a effectué l'envoi. Toutefois, l'indication du numéro d'identification permet rarement d'atteindre ce résultat. En effet, le numéro d'identification fait référence au traitement du (dernier) maître du fichier qui, dans pratiquement tous les cas, est l'expéditeur. Le numéro du traitement d'un éventuel autre maître du fichier duquel l'expéditeur a reçu les données à caractère personnel, n'est évidemment pas reproduit. Il est donc impossible de retrouver l'origine des données au moyen du numéro d'identification.

L'indication du numéro d'identification a pour seule utilité de renvoyer au registre public des traitements automatisés. Comme de nombreux traitements automatisés sont exemptés de l'obligation de déclarer (arrêté royal n° 13 du 12 mars 1996), le numéro d'identification peut signaler à l'intéressé qu'il s'agit d'un traitement figurant dans le registre public, c'est-à-dire d'un traitement duquel il peut être dit qu'il ne présente manifestement pas de risque d'atteinte à la vie privée. Cette fonction de signal n'était cependant pas dans l'intention du législateur.

Secundo, il est insensé de reproduire un numéro sur une pièce si la personne qui lit le document en ignore la signification. Quiconque observe une étiquette d'adresse choisie au hasard, constatera que dans la plupart des cas un certain nombre de références y figurent déjà.

La mention d'un numéro supplémentaire sur une telle étiquette n'apporte pas davantage d'explications au lecteur. Une telle indication n'a de sens que s'il est explicitement précisé qu'il s'agit du numéro d'identification du traitement du registre public tenu par la Commission de la protection de la vie privée.

Pour atteindre cet objectif, le Roi devrait d'abord fixer les modalités relatives à l'obligation visée à l'article 18, alinéa 4.

Tertio, il subsiste un doute quant à la question de savoir si l'obligation imposée par l'article 18, alinéa 4, de la loi du 8 décembre 1992, sera conservée lors de la transposition de la directive européenne 95/46/CE du 24 octobre 1995. La Belgique est en effet le seul Etat membre ayant introduit une telle règle. Les maîtres du fichier établis de manière permanente en Belgique et à propos desquels un traitement automatisé de données à caractère personnel n'est pas exempté de l'obligation de déclarer, seraient soumis à une obligation nécessitant une adaptation du système informatique et impliquant souvent des frais considérables.

Il est difficile de justifier ces frais dans la mesure où il n'est pas certain que l'obligation sera maintenue.

En ce qui concerne les maîtres du fichier n'étant pas établis de manière permanente en Belgique, la situation est encore plus complexe.

Nombre d'entre eux tombent actuellement sous l'application de la loi belge (art. 3, § 1er, 2°) et sont donc également soumis à l'obligation de déclarer, ce à quoi ils ne seront plus astreints après la transposition de la directive européenne. Cette directive comporte d'autres critères permettant de définir le champ d'application territorial (art. 4 de la directive). Ces maîtres du fichier devront effectuer les investissements dont il est question plus haut pour une courte période. On peut se poser la question de savoir si un tel effort se justifie.

Enfin, l'article 18, alinéa 4, de la loi, fait référence au numéro d'identification "sur toute pièce qui en matérialisera l'usage".

Qu'entend-on par "pièce". Les contacts commerciaux sont de plus en plus établis par téléphone ou par d'autres voies de télécommunications, tel que EDI ou Internet. Or, dans de tels cas, il n'est pas toujours question de "pièce". En outre, une "pièce" peut faire l'objet de différents traitements. Si l'on veut appliquer la loi correctement, il faut en l'occurrence reproduire sur la pièce le numéro de chaque traitement effectué. Certains maîtres du fichier du secteur public, par exemple, effectuent des dizaines de traitements mais utilisent chaque fois le même fichier d'adresses pour leurs envois. Ce fichier est donc considéré comme un élément parmi l'ensemble des traitements du maître du fichier pour autant qu'il soit employé à toutes fins. Quel est le "traitement" employé par le maître du fichier pour constituer la pièce (l'étiquette d'une adresse, par exemple).

L'article 3 de l'arrêté royal n° 2 du 28 février 1993 fixant le délai dans lequel le maître du fichier doit se conformer aux dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel pour les traitements existant au moment de l'entrée en vigueur de ces dispositions, (M.B., 18/03/1993, p. 5818), en ce qui concerne l'article 18, alinéa 4, prévoit ce qui suit

"Le maître du fichier d'un traitement automatisé de données à caractère personnel soumis à l'application de la même loi doit se conformer à l'article 18, alinéa 4, de cette loi dans un délai de trois mois à partir de l'attribution, par la Commission de la protection de la vie privée, du numéro d'identification de ce traitement dans le registre tenu par cette Commission, pour les traitements existants au moment de l'entrée en vigueur de cet article 18." Etant donné les nombreuses difficultés que suscite l'application de l'article 18, alinéa 4, le présent projet d'arrêté royal modifie le délai de trois mois en un délai de dix-huit mois.

J'ai l'honneur d'être,

Sire,

de Votre Majesté,

le très respectueux

et très fidèle serviteur,

Le Ministre de la Justice,

S. DE CLERCK