2019013116 2 JUIN 2019. - Arrêté royal fixant les conditions, la procédure et les conséquences de l'agrément de prestataires de services pour l'échange électronique de messages par le biais de l'eBox

1. Le 7° se réfère au niveau de garantie " substantiel " tel que défini, notamment, " dans l'annexe au règlement d'exécution (UE) n° 2015/1502 ".

Le projet sera revu afin de mentionner la référence complète à ce règlement, à savoir " règlement d'exécution (UE) 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d'identification électronique visés à l'article 8, paragraphe 3, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur ".

Par ailleurs, pour une information complète des destinataires de la règle, il sera précisé, dans le rapport au Roi dont il y a lieu de souligner qu'il est, en l'état, par trop succinct pour conférer un réel éclairage sur une matière particulièrement complexe, que le niveau de garantie " substantiel " se cumule avec le niveau de garantie " adapté " requis par le RGPD 6 et qu'il faut comprendre le " niveau de garantie substantielle " au sens de l'article 8, paragraphe 2, du règlement (UE) 910/2014, qui précise " le niveau de garantie substantiel renvoie à un moyen d'identification électronique dans le cadre d'un schéma d'identification électronique qui accorde un degré substantiel de fiabilité à l'identité revendiquée ou prétendue d'une personne, et est caractérisé sur la base de spécifications techniques, de normes et de procédures y afférents, y compris les contrôles techniques, dont l'objectif est de réduire substantiellement le risque d'utilisation abusive ou d'altération de l'identité ".

3. Le 8° sera omis, cette définition étant déjà prévue par l'article 2, 3°, de la loi du 27 février 2019 7 .

Toutefois, il est possible pour l'auteur du projet de fixer un champ d'application qui se limite à l'eBox pour personnes physiques; il lui appartient pour ce faire de prévoir, dans le dispositif, le champ d'application de l'arrêté en projet.

4. Le 13° définit les " spécifications techniques " comme le " manuel comprenant les spécifications techniques [...] ".

Interrogée quant à la possibilité de définir les " spécifications techniques " sans utiliser ces termes dans leur propre définition, la déléguée a répondu comme suit : " Een betere formulering zou inderdaad zijn `handleiding met technische instructies'/ `manuel comprenant les instructions techniques' ".

Si telle est la volonté de l'auteur du projet, celui-ci pourra être modifié en ce sens. Par ailleurs, dans la version française, la numérotation de cette définition sera revue, s'agissant du 13° et non du 34°.

5. Au 15°, la définition du " règlement général sur la protection des données " sera omise, celle-ci étant déjà prévue par l'article 2, 4°, de la loi du 27 février 2019. La suite du dispositif sera adaptée en utilisant l'expression définie par l'article 2, 4°, de la loi.

Les prestataires de services offrent gratuitement leur service d'extraction de données aux destinataires utilisant leur service, nonobstant le droit des prestataires de services d'imputer un coût aux destinataires pour d'éventuels services supplémentaires qu'ils leur fournissent.

§ 1er. Par le biais de leur service d'extraction de données, les prestataires de services extraient et visualisent pour chaque destinataire utilisant leur service tout message électronique se trouvant dans l'eBox de ce destinataire, sans aucune discrimination ni aucun filtrage de messages électroniques.

§ 2. Les prestataires de services assurent que leur prestation de services satisfait en tout temps aux conditions d'agrément telles qu'exposées dans cet arrêté, pendant la durée de l'agrément. Si, à un quelconque moment, ils disposent d'indications fondées selon lesquelles leur prestation de services ne satisfait plus aux conditions d'agrément, ils suspendent sans plus tarder leur prestation de services et signalent la cause possible de la non-conformité à l'autorité d'agrément.

CHAPITRE II. - Conditions d'agrément

Section 1re. - Conditions fonctionnelles et techniques

Sous-section 1re. - Le service d'extraction de données

1. L'alinéa 1er prévoit que le demandeur offre un service à des citoyens belges ou à des personnes morales établies en Belgique. Interrogée quant à cette limitation à des destinataires belges, la déléguée a répondu comme suit : " De eBox dienst wordt niet enkel aan Belgen aangeboden. Maar de dienst voor visualisatie van berichten moet wel al operationeel zijn in België (of heeft succesvol een pilootfase van de dienst van minimaal zes maanden afgerond) ".

Le projet sera modifié afin de ne pas limiter bénéfice du service aux seuls citoyens belges et aux personnes morales établies en Belgique. La même observation vaut pour l'alinéa 2 qui vise les " destinataires belges ".

2. L'alinéa 2 prévoit, comme condition d'agrément, que le demandeur offre le service depuis déjà au moins deux ans ou dispose déjà de minimum 50.000 destinataires belges au moment de l'introduction de la demande. Interrogée quant à ces conditions, la déléguée a répondu qu'elles portent sur un service de visualisation des messages en général. Cette précision sera apportée dans le projet afin de ne pas créer une confusion avec le " service d'extraction de données " au sens de l'arrêté en projet.

1. Le paragraphe 1er prévoit que le service d'extraction de données satisfait aux spécifications techniques que l'autorité d'agrément publie, à savoir le " service public fédéral compétent pour l'agenda numérique ".

Interrogée quant à l'auteur de ces spécifications techniques, la déléguée a répondu qu'il s'agit également de l'autorité d'agrément.

Cependant, une délégation de pouvoirs ne peut, par définition, être attribuée qu'à une personne physique ou morale qui, seule, peut valablement poser des actes juridiques. Il y a donc lieu de désigner un fonctionnaire déterminé ou un organe déterminé et non un " service public fédéral " non dotée de la personnalité juridique 8 .

En outre, selon l'article 108 de la Constitution, il appartient en principe au Roi de faire les règlements nécessaires pour l'exécution des lois. Les dérogations à cette règle de principe, qui permettraient par exemple au Roi de déléguer son pouvoir réglementaire à un organisme public, qui n'a aucune responsabilité politique à l'égard de la Chambre des représentants, ne sont admissibles qu'à des conditions strictes, notamment lorsque le caractère technique des mesures à prendre le justifie. Une pareille subdélégation de pouvoir réglementaire ne peut, en tout état de cause, se concevoir que si elle porte sur des éléments accessoires, dans le cadre d'une réglementation dont les éléments principaux sont définis par le Roi 9 .

L'habilitation envisagée n'est admissible que si elle s'inscrit dans ces limites.

2. Le paragraphe 2 mentionne les " exigences légales d'accessibilités applicables respectivement aux sites web ou applications mobiles d'instances publiques ".

Interrogée quant à l'origine de ces exigences, la déléguée a répondu ce qui suit

" De Wet van 19 juli 2018 inzake toegankelijkheid van de websites en mobiele applicaties van overheidsinstanties is van toepassing op overheidsinstanties. Dit KB vereist respect van deze regels ook voor dienstverleners die zich willen laten erkennen voor ontsluiting van de eBox ".

Le rapport au Roi gagnerait à le préciser afin d'assurer l'information complète des destinataires de la règle.

§ 1er. Le service d'extraction de données n'est pas activé par le prestataire de services à l'égard d'un destinataire tant que ce dernier n'a pas donné son consentement conformément à l'article 6 de la loi du 27 février 2019 relative à l'échange électronique de messages par le biais de l'eBox au prestataire de l'eBox visé à la même loi.

Le service d'extraction de données n'est pas activé par le prestataire de services à l'égard d'un destinataire tant que ce dernier n'a pas conclu un contrat avec le prestataire de services.

§ 2. Le prestataire de services informe le destinataire que ses messages sont aussi disponibles via son eBox sans faire appel à la prestation de services et ne peut en aucune façon empêcher ou décourager le destinataire d'utiliser l'eBox d'une manière autre que par le biais de la prestation de services.

Sous-section 3. - Identification par le destinataire

§ 1er. Le service d'extraction de données utilise un service d'identification électronique à garantie substantielle afin d'authentifier le destinataire avant qu'une transaction ne puisse être effectuée par le biais de la prestation de services.

§ 2. Lors de chaque identification, le service d'extraction de données envoie à l'autorité d'agrément le numéro d'identification unique du destinataire, sur la base duquel l'autorité d'agrément établit l'identité du destinataire et peut offrir au prestataire de services l'information concernant les éventuels messages disponibles dans l'eBox pour une transaction.

Sous-section 4. - Echange d'informations entre l'eBox, le prestataire de services et le destinataire

Dans le cadre du service d'extraction de données, l'échange d'informations entre l'eBox et le prestataire de services se déroule conformément aux protocoles techniques exposés dans les spécifications techniques.

1. Au paragraphe 2, il est prévu qu'" (e)n cas de détection d'un abus probable, le prestataire de services assure qu'aucun message ne sera extrait pour le destinataire ".

Interrogée quant aux conséquences d'une telle situation, la déléguée a précisé ce qui suit

" De documenten zijn altijd beschikbaar via de federale myebox interface. Daar wordt de bestemmeling van op de hoogte gebracht door de dienstverlener op het moment van onmogelijkheid om de dienst te leveren ".

Au vu de cette réponse, il sera précisé qu'aucun message ne sera extrait pour le destinataire " par le prestataire de services ".

2. Au paragraphe 3, mieux vaut remplacer le mot " pro-activement " par le mot " préventivement ".

3. Au paragraphe 4, les mots " à moins que le destinataire ne choisisse explicitement de pas recevoir " seront remplacés par les mots " à moins que le destinataire choisisse explicitement de ne pas recevoir ".

Le prestataire de services désigne un délégué à la protection des données qui satisfait aux articles 38 et 39 du Règlement général sur la protection des données 2016/679 et assure que chaque traitement tel que visé à l'article 11, § 3, 4 et 5 de la loi du 27 février 2019 relative à l'échange électronique de messages par le biais de l'eBox se fait sous le contrôle de ce délégué à la protection des données.

Le prestataire de services prend des mesures organisationnelles et techniques appropriées afin de garantir un niveau de sécurité adapté au risque pour chaque prestation de services et chaque transaction. Le prestataire de services documente dans un rapport de sécurité, qui peut en tout temps être demandé par l'autorité d'agrément, ces mesures et la façon dont elles maintiennent sous contrôle les risques de sécurité de manière appropriée.

Au 6°, dans la version française, la seconde occurrence de l'expression " de la notification " sera omise.

Au paragraphe 3, dans la version française, il y a lieu d'écrire

" (...) qu'il ne prend connaissance du contenu des messages échangés que si cela est strictement (...) ".

Sur base mensuelle, le service est disponible pendant au moins 99,9% du temps. Pour le calcul de la disponibilité, les indisponibilités prévues et l'indisponibilité des systèmes de l'autorité d'agrément ne sont pas considérées comme des indisponibilités.

Le prestataire de services constate les erreurs de système de la prestation de services et enregistre les moments auxquels des erreurs de système empêchent les envois ou les réceptions et met ces informations à la disposition de l'autorité d'agrément, des utilisateurs et des destinataires.

Sous-section 2. - Disponibilité des services de support

§ 1er. Pour les appels provenant des destinataires et de services publics autres que l'autorité d'agrément, le prestataire de services offre des services de support au minimum tous les jours ouvrables de 8 heures à 18 heures. Ces services de support comprennent au moins

1. un support téléphonique ou un autre canal pour support personnalisé;

2. une page Internet proposant des questions fréquemment posées (FAQ) ainsi qu'un manuel facilement accessible.

§ 2. Pour les appels provenant de l'autorité d'agrément, le prestataire de services offre des services de support tous les jours et 24 heures sur 24.

Ces services de support comprennent au moins : un support téléphonique.

Sous-section 3. - Gestion du déploiement

§ 1er. Le prestataire de services développe des systèmes qui garantissent la gestion du déploiement. Sauf décision contraire de l'autorité d'agrément, cette gestion du déploiement tient compte du fait que l'autorité d'agrément prend en considération, tous les six mois, de nouvelles versions logicielles afin d'introduire un déploiement logiciel ultérieur.

§ 2. La gestion du déploiement du prestataire de services suit celle de l'autorité d'agrément

Le prestataire de services soumet pour information à l'autorité d'agrément chaque nouvelle version logicielle qui a un impact significatif sur les destinataires ou l'autorité d'agrément, au plus tard trois mois avant la date d'introduction du déploiement, et l'accompagne d'une analyse d'impact, afin que l'autorité d'agrément puisse minimiser l'impact éventuel des modifications.

Sous-section 4. - Continuité du service

Le prestataire de services développe des mécanismes qui garantissent un service ininterrompu pendant la durée de l'agrément.

Sous-section 5. - Rapports

Le prestataire de services met en tout temps à la disposition de l'autorité d'agrément toute information relative à la disponibilité, au traitement des plaintes, aux enquêtes de sécurité ainsi qu'aux problèmes et incidents liés à la prestation de services, ainsi que toute information que l'autorité d'agrément demanderait et qui est nécessaire pour contrôler le respect de cet arrêté.

La référence à l'article 33, 3°, du RGPD sera corrigée, s'agissant en réalité de l'article 33, paragraphe 3.

Le prestataire de services désigne une personne de contact qui, en concertation avec le délégué à la protection des données du prestataire de services, à compter de la décision d'agrément, remettra tous les six mois à l'autorité d'agrément un rapport sur les conditions relatives à la gestion des services, accompagné des pièces justificatives pertinentes.

Section 3. - Conditions économiques, juridiques et organisationnelles

L'article 23 prévoit que le prestataire de service " [doit] veiller à ne pas se trouver dans l'une des situations suivantes " ensuite énumérées.

Comme en a convenu la déléguée, la disposition sera mieux formulée en prévoyant qu'il " ne se trouve pas dans l'une des situations suivantes ".

L'article 24 du projet dispose

" Le demandeur démontre qu'il est apte [...] à disposer de suffisamment de moyens financiers afin de poursuivre la prestation de services pendant la durée de l'agrément ". Interrogée quant à la portée de l'exigence de moyens financiers suffisants, la déléguée a précisé " dit artikel is in gelijkaardige vorm aanwezig onder andere in artikel 24 van de Verordening (EU) nr. 910/2014 van het Europees parlement en de raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van richtlijn 1999/93/EG. `een gekwalificeerde verlener van vertrouwensdiensten die gekwalificeerde vertrouwensdiensten verleent, zorgt ervoor dat hij, in verband met het risico op de in artikel 13 bedoelde aansprakelijkheid voor schade, voldoende financiële middelen ter beschikking heeft en/of sluit, overeenkomstig het nationale recht, een toereikende aansprakelijkheidsverzekering af;'

wij stellen voor om het artikel in het besluit als volgt te verduidelijken : `de aanvrager beschikt over voldoende functionele middelen om te functioneren overeenkomstig dit besluit en toont met name aan het risico van de aansprakelijkheid voor schade veroorzaakt door de dienstverlening op zich te kunnen nemen, door bijvoorbeeld een passende verzekering te sluiten' ".

La disposition sera précisée en ce sens.

Le demandeur doit disposer d'un plan de cessation efficace. Ce plan comporte des mesures concernant l'organisation en cas d'arrêt de la prestation de services ou de la reprise de la prestation de services par un autre prestataire de services, la façon dont les destinataires sont informés, ainsi que la façon dont les données à caractère personnel sont détruites ou transférées à l'autorité d'agrément ou à un autre prestataire de services.

CHAPITRE III. - La procédure d'agrément

Section 1re. - Introduction de la demande d'agrément

§ 1er. Le demandeur introduit une demande d'agrément pour un service d'extraction de données d'après le modèle de formulaire repris en annexe au présent arrêté. Il joint à sa demande un dossier de référence inventorié.

§ 2. La demande d'agrément est au minimum introduite sur support électronique, éventuellement confirmée sur support physique fourni à l'autorité d'agrément.

§ 3. L'autorité d'agrément remet immédiatement au demandeur une notification de réception de la demande d'agrément et du dossier de référence.

Le dossier de référence comprend au moins les éléments suivants

1. une description technique détaillée et un rapport d'audit externe attestant la conformité du service d'extraction de données aux conditions décrites au chapitre II, section 1re, et aux spécifications techniques;

2. des documents garantissant dans une mesure suffisante que le service d'extraction de données est capable de satisfaire aux exigences de disponibilité telles que décrites au chapitre II, section 2, sous-section 1re;

3. des documents garantissant dans une mesure suffisante que les services de support du service d'extraction de données répondent aux conditions décrites au chapitre II, section 2, sous-section 2;

4. une description détaillée de la gestion du déploiement telle que décrite au chapitre II, section 2, sous-section 3;

5. un rapport d'audit externe attestant que le prestataire de services a pris des mesures raisonnables pour garantir la continuité du service, conformément aux dispositions décrites au chapitre II, section 2, sous-section 4, et dans lequel seront repris les éléments suivants

1° une description de la gestion des changements;

2° une description des contrôles internes portant sur la prestation de services, ainsi que leur fréquence;

3° une évaluation de l'effectivité de ces contrôles internes donnant des garanties quant à la protection des données à caractère personnel, à la confidentialité, à l'intégrité et à la disponibilité du service;

4° une description des rapports établis pour l'autorité d'agrément relatifs à toute modification ayant un impact sur la prestation de services;

6. une description détaillée des processus et systèmes de rapports qui permettent, à tout moment, de mettre à la disposition de l'autorité d'agrément toute information relative au traitement des plaintes, aux enquêtes de sécurité ainsi qu'aux problèmes et incidents liés à la prestation de services;

7. des documents attestant que le prestataire de services satisfait aux conditions décrites au chapitre II, section 3.

Section 2. - Traitement de la demande d'agrément par l'autorité d'agrément

§ 1er. Au plus tard trois mois après réception de la demande d'agrément et du dossier de référence, l'autorité d'agrément agréera le demandeur, pour autant que la demande d'agrément et le dossier de référence comprennent toutes les pièces définies à l'article 28 et qu'il en ressorte que les conditions énumérées au chapitre II du présent arrêté sont respectées. Ce délai peut être prolongé de trois mois. Dans ce cas, l'autorité d'agrément en informera immédiatement le demandeur.

§ 2. Si la demande d'agrément soumise ou le dossier de référence sont incomplets, l'autorité d'agrément avertit le demandeur, par envoi recommandé, du refus de l'agrément, et ce, au plus tard un mois après la réception de la demande d'agrément et du dossier de référence.

§ 3. Le demandeur peut introduire une nouvelle demande si les raisons du refus ne s'appliquent plus.

Durant la procédure d'agrément, les demandeurs peuvent être entendus, et ce, à leur demande ou à la demande de l'autorité d'agrément.

CHAPITRE IV. - Conséquences de l'agrément

Section 1re. - Conséquences opérationnelles

Pendant la durée de l'agrément, le prestataire de services procédera à l'extraction et à la visualisation de messages électroniques dans l'eBox pour le destinataire qui en fait le choix conformément à l'article 6 § 1er.

Dans la version française du paragraphe 2, les mots " en compris le nom " seront remplacés par les mots " en ce compris le nom ".

Le prestataire de services conclut un contrat de collaboration avec l'autorité d'agrément.

Le prestataire de services participe de bonne foi aux mécanismes de concertation et moments de concertation mis en place par l'autorité d'agrément à l'égard de tous les prestataires de services agréés. A cette fin, le prestataire de services fournit à l'autorité d'agrément toutes les informations qui sont nécessaires à cette dernière pour évaluer le fonctionnement et la qualité des services d'extraction électronique de données. L'autorité d'agrément veille à la confidentialité éventuelle de ces données à l'égard d'autres prestataires de services.

Le prestataire de services et l'autorité d'agrément conviennent d'un plan commun pour le lancement et la communication de la prestation de services.

La prestation de services se fait conformément aux dispositions du présent arrêté, aux spécifications techniques ainsi qu'aux éléments et conditions repris dans le contrat de collaboration.

Le prestataire de services confirme qu'il satisfait toujours aux conditions d'agrément

1. dans un délai de 15 jours suivant la demande de l'autorité d'agrément;

2. dans un délai de 15 jours suivant chaque date anniversaire de la décision d'agrément;

3. avant une modification du contrôle du prestataire de services qui peut avoir un impact sur le service;

4. avant une modification du service;

5. dans un délai de 15 jours suivant la prise de connaissance d'une modification des conditions d'agrément;

6. dans un délai de 15 jours suivant la prise de connaissance d'une modification de la législation relative à la protection des données à caractère personnel.

§ 1er. Toute modification des données survenant au moment de la demande d'agrément et pouvant avoir un impact sur la prestation de services doit être notifiée à l'autorité d'agrément dans un délai d'un mois. Dans cette notification, le prestataire de services spécifie et motive la modification apportée.

§ 2. Si, de la notification conforme au 1er, il s'avère que la modification a un impact significatif sur la prestation de services et la modification concerne des éléments de la prestation de services qui nécessitaient un rapport d'audit externe conformément à l'article 27, l'autorité d'agrément peut demander un nouveau rapport d'audit externe.

§ 3. A l'occasion de chaque modification mentionnée au paragraphe 1er, l'autorité d'agrément peut décider de suspendre ou de retirer d'office l'agrément conformément à l'article 41.

Section 2. - Conséquences financières

Les prestataires de services ne reçoivent pas d'indemnités pour offrir leur service d'extraction de données.

Section 3. - Durée de l'agrément

1. L'article 39 est notamment relatif à la prolongation de l'agrément.

Le projet sera complété afin de prévoir le délai dans lequel la demande de prolongation doit être introduite. Il précisera de même le délai dans lequel la nouvelle demande d'agrément doit être introduite, en veillant à prévoir un délai suffisant pour que l'autorité puisse statuer sur cette demande avant l'expiration de la dernière période de prolongation de l'agrément.

2. Dans la version française, la deuxième occurrence du mot " simple " sera omise.

Lorsque le prestataire de services souhaite mettre fin à la prestation de services avant la fin de la période de trois ans, il envoie à l'autorité d'agrément un courrier motivé au plus tard trois mois avant la fin de la prestation de services.

CHAPITRE V. - Suspension et retrait de l'agrément

L'article 41 prévoit la possibilité de suspendre l'agrément pour la prestation de services.

Interrogée quant à la conséquence d'une absence de levée de la suspension, conformément à l'article 41, § 5, à l'expiration du délai de trois mois de suspension, délai prévu par l'article 11, § 8, de la loi, la déléguée a répondu que l'agrément est retiré.

Cette précision sera apportée au projet.

Dans la mesure où l'annexe à l'arrêté est annoncée à l'article 26, § 1er, du projet, l'article 42 est inutile, en ce qu'il a pour unique portée d'indiquer que l'annexe est jointe à l'arrêté.

L'article 42 sera donc omis.

L'article 43 du projet fixe son entrée en vigueur au jour de la publication au Moniteur belge.

La section de législation n'aperçoit pas les raisons pour lesquelles il y a lieu de déroger au délai usuel d'entrée en vigueur, fixé par l'article 6, alinéa 1er, de la loi du 31 mai 1961 `relative à l'emploi des langues en matière législative, à la présentation, à la publication et à l'entrée en vigueur des textes légaux et réglementaires' 10 .

La disposition sera omise.

Annexe

Le point III du formulaire de demande arrêté par l'annexe au projet vise les " critères d'exclusion ".

Interrogée quant à ces critères, la déléguée a répondu qu'il s'agit des critères figurant à l'article 23 du projet. Cette précision sera apportée dans l'annexe.

Le greffier,

CHARLES-HENRI VAN HOVE

La présidente,

MARTINE BAGUET