2021203710 18 JUILLET 2021. - Arrêté royal modifiant l'arrêté royal du 16 janvier 2002 relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale

Dans l'intitulé de l'arrêté royal du 16 janvier 2002 relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale, modifié par les arrêtés royaux du 15 octobre 2004 et 19 septembre 2019, les mots "et institutions publiques" sont remplacés par les mots ", institutions publiques et institutions coopérantes de droit privé".

9. Le segment de phrase " ainsi qu'aux institutions coopérantes de droit privé " doit être inséré avant le segment de phrase " qui relèvent des Communautés et des Régions ", et non après.

10. Compte tenu de l'observation formulée au point 3, on complétera le texte de l'article 3 du projet d'arrêté.

11. L'article 3, 2°, du projet permet la collecte et la communication de données sociales en rendant applicable l'article 5 de la loi du 15 janvier 1990.

Ainsi que l'Autorité de protection des données l'a observé dans son avis n° 133/2020, cet article 5 n'est pas suffisamment conforme au principe de légalité inscrit à l'article 22 de la Constitution. Il ne définit pas suffisamment les finalités du traitement des " données sociales " qui seront traitées sur la base de l'article précité, il ne détermine pas suffisamment les catégories concernées de données à caractère personnel et ne fixe pas de délai maximal de conservation 4 .

A l'article 3, § 1er, alinéa 2, en projet, de l'arrêté royal du 16 janvier 2002, le segment de phrase " et dans la mesure où les données à caractère personnel qu'ils traitent sont utiles pour la réalisation de recherches pouvant être utiles à la connaissance, à la conception et à la gestion de la protection sociale " est ajouté. Cet ajout, qui reproduit une partie de l'article 5, § 1er, de la loi du 15 janvier 1990, n'enlève toutefois rien aux objections relatives à la non conformité au principe de légalité. Une adaptation de l'article 5 de la loi du 15 janvier 1990 est donc toujours nécessaire.

LE GREFFIER

Greet VERBERCKMOES

LE PRESIDENT

Marnix VAN DAMME

Notes

1 Selon la note au Comité de gestion de la Banque-carrefour de la sécurité sociale et la note au Conseil des ministres, cette extension s'avère nécessaire au motif que, dans le cadre de matières touchant au domaine des soins de santé et de l'aide aux personnes qui ont été transférées aux communautés par la sixième réforme de l'Etat, des missions qui étaient auparavant exécutées (pour le compte de l'autorité fédérale) par des institutions coopérantes de sécurité sociale, qui appartenaient au réseau des institutions de sécurité sociale, le sont aussi par des personnes privées.

2 Voir aussi l'avis C.E. 66.178/1du 11 juillet 2019 sur un projet devenu l'arrêté royal du 19 septembre 2019 'modifiant l'arrêté royal du 16 janvier 2002 relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale'.

3 Conseil d'Etat, Principes de technique législative, Guide de rédaction des textes législatifs et réglementaires, Bruxelles, 2008, n° 30.

4 En réservant au législateur compétent le pouvoir de fixer dans quels cas et à quelles conditions il peut être porté atteinte au droit au respect de la vie privée, l'article 22 de la Constitution garantit à tout citoyen qu'aucune ingérence dans l'exercice de ce droit ne peut avoir lieu qu'en vertu de règles adoptées par une assemblée délibérante, démocratiquement élue. Une délégation à un autre pouvoir n'est toutefois pas contraire au principe de légalité, pour autant que l'habilitation soit définie de manière suffisamment précise et porte sur l'exécution de mesures dont les " éléments essentiels " sont fixés préalablement par le législateur (jurisprudence constante de la Cour constitutionnelle : voir plus particulièrement C.C., 18 mars 2010, n° 29/2010, B.16.1; C.C., 20 février 2020, n° 27/2020, B.17). Par conséquent, les " éléments essentiels " des traitements de données à caractère personnel doivent être fixés dans la loi elle-même. A cet égard, le Conseil d'Etat, section de législation, considère que, quelle que soit la matière concernée, constituent, en principe, des " éléments essentiels " les éléments suivants : 1°) les catégories de données traitées; 2°) les catégories de personnes concernées; 3°) la finalité poursuivie par le traitement; 4°) les catégories de personnes ayant accès aux données traitées; et 5°) le délai maximal de conservation des données (avis C.E. 68.936/AG du 7 avril 2021 sur un avant-projet de loi 'relative aux mesures de police administrative lors d'une situation d'urgence épidémique', observation 101 (Doc. parl., Chambre, 2020-21, n° 55 1951/001, p. 119).

A l'article 3 du même arrêté royal, modifié par l'arrêté royal du 19 septembre 2019, sont apportées les modifications suivantes

1° les mots "et institutions publiques" sont chaque fois remplacés par les mots ", institutions publiques et institutions coopérantes de droit privé";

2° au § 1er, l'alinéa 2 est remplacé par ce qui suit

"Sans préjudice de l'alinéa 1er, l'article 5 de la loi est applicable à titre complémentaire aux services publics, institutions publiques et institutions coopérantes de droit privé des Communautés et Régions qui font partie du réseau, dans la mesure où leurs missions portent sur une ou plusieurs des matières visées à l'article 2, 1°, 2°, 3°, 4°, 7°, 8°, 9°, 10°, 13°, 15° et 24°, et dans la mesure où les données à caractère personnel qu'ils traitent sont utiles pour la réalisation de recherches pouvant être utiles à la connaissance, à la conception et à la gestion de la protection sociale.".

A l'article 4 du même arrêté royal, modifié par les arrêtés royaux du 15 octobre 2004 et 19 septembre 2019, les mots "ou l'institution coopérante de droit privé" sont chaque fois insérés entre les mots "l'institution publique" et les mots "qui introduit la demande".

Le ministre qui a le Travail dans ses attributions, le ministre qui a les Affaires sociales dans ses attributions, le ministre qui a les Classes moyennes et les Indépendants dans ses attributions et le ministre qui a les Pensions dans ses attributions sont chargés, chacun en ce qui le concerne, de l'exécution du présent arrêté.

Signatures

Donné à Bruxelles, le 18 juillet 2021.

PHILIPPE

Par le Roi

Le Ministre du Travail,

P.-Y. DERMAGNE

Le Ministre des Affaires sociales,

F. VANDENBROUCKE

Le Ministre des Classes moyennes et des Indépendants,

D. CLARINVAL

La Ministre des Pensions,

K. LALIEUX

Préambule

PHILIPPE, Roi des Belges,

A tous, présents et à venir, Salut.

Vu la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale, l'article 18, modifié par la loi du 8 décembre 1992;

Vu l'arrêté royal du 16 janvier 2002 relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale;

Vu la proposition du Comité de gestion de la Banque-carrefour de la sécurité sociale du 25 septembre 2019;

Vu l'avis de l'Inspecteur des Finances, donné le 13 mars 2020;

Vu l'accord du Ministre du Budget du 5 mai 2020;

Vu l'avis n°133/2020 de l'Autorité de protection des données, donné le 11 décembre 2020;

Vu l'analyse d'impact de la réglementation réalisée conformément aux articles 6 et 7 de la loi du 15 décembre 2013 portant des dispositions diverses en matière de simplification administrative;

Vu l'avis 69.299/1 du Conseil d'Etat, donné le 28 mai 2021, en application de l'article 84, § 1er, alinéa 1er, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973;

Sur la proposition du Ministre du Travail, du Ministre des Affaires sociales, du Ministre des Classes moyennes et des Indépendants et de la Ministre des Pensions, et de l'avis des ministres qui en ont délibéré en Conseil,

Nous avons arrêté et arrêtons

Rapport au Roi

RAPPORT AU ROI

Sire,

Par l'arrêté royal du 16 janvier 2002, modifié par l'arrêté royal du 15 octobre 2004 et l'arrêté royal du 19 septembre 2019, la possibilité a été créée pour étendre le réseau de la sécurité sociale, sous certaines conditions, aux services publics et aux institutions publiques des entités fédérées. Certains articles de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale sont dès lors déclarés applicables à ces services et institutions, pour autant (1) que leurs missions portent sur des matières déterminées, (2) qu'ils aient systématiquement besoin, pour l'exécution de ces missions, de données à caractère personnel des institutions de sécurité sociale ou des organisations qui possèdent des données à caractère personnel que la Banque Carrefour de la sécurité sociale met à disposition avec des données à caractère personnel gérées par des acteurs du réseau de la sécurité sociale, au moyen d'un service intégré, et (3) que le comité de gestion de la Banque Carrefour de la sécurité sociale accède à leur demande, après délibération (favorable) du comité de sécurité de l'information.

L'arrêté royal du 16 janvier 2002 serait à présent (à nouveau) modifié pour les besoins des organisations coopérantes de droit privé des entités fédérées. Par la sixième réforme de l'Etat, les entités fédérées sont, depuis le 1er juillet 2014, compétentes pour une série de matières (notamment dans les soins de santé et l'aide aux personnes handicapées) qui relevaient jadis de la compétence de l'autorité fédérale. Lors de l'exercice de ces compétences, il est, le cas échéant, aussi fait appel aux services d'organisations privées, telles les sociétés mutualistes qui ont été créées par les mutualités qui font partie d'une même union nationale, en application de l'article 43bis de la loi du 6 août 1990 relative aux mutualités et aux unions nationales de mutualités. Dans la version actuelle de l'arrêté royal du 16 janvier 2002, l'extension du réseau de la sécurité sociale est réservée aux services publics et institutions publiques des Communautés et des Régions. Le projet d'arrêté royal vise à réaliser des adaptations dans ce sens, en particulier par l'utilisation de la notion de " institutions coopérantes de droit privé ". Ces organisations pourraient dorénavant adhérer, aux mêmes conditions que les services publics et les institutions publiques des entités fédérées, au réseau de la sécurité sociale.

Le projet d'arrêté royal tient compte des remarques du Conseil d'Etat formulées dans son avis 69.299/1 du 28 mai 2021, sauf en ce qui concerne l'applicabilité de l'article 5 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale.

Le Conseil d'Etat fait observer que les services et institutions des entités fédérées qui ont intégré le réseau de la sécurité sociale sont obligés de mettre leurs données à caractère personnel à la disposition de la Banque Carrefour de la sécurité sociale, en vue de leur communication ultérieure aux personnes qui en ont besoin pour la réalisation d'études utiles à la connaissance, à la conception et à la gestion de la protection sociale, alors qu'il appartient en réalité aux organisations concernées mêmes de déterminer si les données à caractère personnel dont elles disposent sont communiquées à des tiers, et dans quelle mesure, en vue de la réalisation d'études. Ainsi, l'article 5 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale ne pourrait pas être rendu applicable aux organisations (publiques et privées) des entités fédérées.

A cet égard, il y a cependant lieu de constater ce qui suit.

Tout d'abord, les organisations sont entièrement libres d'adhérer au réseau de la sécurité sociale. Il existe à ce propos une possibilité mais non une obligation. Toute organisation décide toujours de manière autonome si elle introduit à cet effet une requête auprès du Comité de gestion de la Banque Carrefour de la sécurité sociale.

Ensuite, l'article 5 de la loi du 15 janvier 1990 offre à la Banque Carrefour de la sécurité sociale la possibilité de collecter des données à caractère personnel auprès des sources authentiques. Toutefois, cela n'implique nullement pour ces mêmes sources authentiques l'obligation de mettre des données à caractère personnel à la disposition. Toute organisation qui intègre le réseau de la sécurité sociale reste entièrement responsable du traitement de ses données à caractère personnel et décide donc elle-même si elle les transmet à la Banque Carrefour de la sécurité sociale dans le cadre précité.

Enfin, il y a lieu de souligner que les données à caractère personnel qui ont été transmises, en application de l'article 5 de la loi du 15 janvier 1990, à la Banque Carrefour de la sécurité sociale par les organisations ayant intégré le réseau de la sécurité sociale, ne peuvent pas être communiquées, sans restrictions, à des tiers. En effet, la source authentique reste le propriétaire des données à caractère personnel qu'elle détient et doit donner son accord pour leur communication à des parties tierces.

Dans la mesure où les éléments précédents sont réunis - l'adhésion volontaire au réseau de la sécurité sociale et la pleine liberté de décision concernant la communication initiale de données à caractère personnel à la Banque Carrefour de la sécurité sociale et la communication ultérieure de ces données à caractère personnel à des tiers dans le cadre de recherches - il ne semble pas y avoir de renonciation aux compétences.

Telle est, Sire, la portée de l'arrêté qui Vous est soumis.

Nous avons l'honneur d'être,

Sire,

de Votre Majesté

les très respectueux et très fidèles serviteurs,

Le Ministre du Travail,

P.-Y. DERMAGNE

Le Ministre des Affaires sociales,

F. VANDENBROUCKE

Le Ministre des Classes moyennes et des Indépendants,

D. CLARINVAL

La Ministre des Pensions,

K. LALIEUX

CONSEIL D'ETAT

section de législation

Avis 69.299/1 du 28 mai 2021 sur un projet d'arrêté royal 'modifiant l'arrêté royal du 16 janvier 2002 relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale'

Le 28 avril 2021, le Conseil d'Etat, section de législation, a été invité par le Ministre des Affaires sociales à communiquer un avis, dans un délai de trente jours, sur un projet d'arrêté royal 'modifiant l'arrêté royal du 16 janvier 2002 relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale'.

Le projet a été examiné par la première chambre le 20 mai 2021. La chambre était composée de Marnix VAN DAMME, président de chambre, Bert THYS et Wouter PAS, conseillers d'Etat, et Greet VERBERCKMOES, greffier.

Le rapport a été présenté par Rein THIELEMANS, premier auditeur.

La concordance entre la version française et la version néerlandaise de l'avis a été vérifiée sous le contrôle de Wouter PAS, conseiller d'Etat.

L'avis, dont le texte suit, a été donné le 28 mai 2021.

PORTEE ET FONDEMENT JURIDIQUE DU PROJET

1. Le projet a pour objet d'inclure des " institutions coopérantes de droit privé " relevant des communautés et des régions dans le champ d'application de l'arrêté royal du 16 janvier 2002 'relatif à l'extension du réseau de la sécurité sociale à certains services publics et institutions publiques des Communautés et des Régions, en application de l'article 18 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale'. Ces institutions feront dès lors partie du réseau visé dans la loi du 15 janvier 1990 'relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale' 1 .

2. Le projet trouve un fondement juridique dans l'article 18 de la loi du 15 janvier 1990.

Aux termes de cette disposition, le Roi peut, aux conditions et selon les modalités qu'il fixe, par arrêté délibéré en Conseil des ministres, sur proposition du Comité de gestion de la Banque-carrefour et après avis de la Commission de la protection de la vie privée (lire : l'Autorité de protection des données), étendre à d'autres personnes que les institutions de sécurité sociale, tout ou partie des droits et obligations résultant de la loi du 15 janvier 1990 et de ses mesures d'exécution. Ces personnes sont intégrées dans le réseau dans la mesure de l'extension décidée.

EXAMEN DU TEXTE

OBSERVATIONS GENERALES

3. Le projet entend rendre les dispositions de l'arrêté royal du 16 janvier 2002 applicables également aux " institutions coopérantes de droit privé qui relèvent des communautés et des régions ".

Ainsi, l'article 3, 1°, du projet remplace les mots " et institutions publiques [des Communautés et des Régions] " par les mots ", institutions publiques et institutions coopérantes de droit privé [des Communautés et des Régions] " à l'article 3 de l'arrêté royal du 16 janvier 2002.

En outre, l'article 3, 2°, du projet remplace l'alinéa 2 de l'article 3, § 1er, du même arrêté. Le nouveau texte de l'article 3, § 1er, alinéa 2, ne fait mention que des " institutions publiques des Communautés et Régions ".

Le délégué a confirmé qu'il s'agissait d'une erreur

" De toepasselijkheid van artikel 5 van de wet van 15 januari 1990 (waardoor organisaties persoonsgegevens ter beschikking kunnen stellen van de Kruispuntbank van de Sociale Zekerheid met het oog op de verdere mededeling ervan, geanonimiseerd of gepseudonimiseerd, aan instanties die ze willen verwerken voor wetenschappelijke of beleidsvoorbereidende doeleinden) moet inderdaad ook gelden voor de private organisaties van de deelentiteiten. Dat was initieel ook zo voorzien in de versie van de ontwerptekst die aan de Gegevensbeschermingsautoriteit werd overgemaakt (versie 20201021). Naar aanleiding van een algemene opmerking van die laatste over de finaliteit werd echter (in versie 20201223) een bijkomende wijziging van artikel 3, § 1, tweede lid, doorgevoerd, waarbij de private organisaties alsnog weggevallen zijn. Het is echter wel degelijk de bedoeling dat er (ook) in artikel 3, § 1, tweede lid, van het koninklijk besluit van 16 januari 2020 sprake is van 'de tot het netwerk behorende overheidsdiensten, openbare instellingen en meewerkende instellingen van privaatrecht van de Gemeenschappen en Gewesten' ".

Compte tenu de l'objectif poursuivi par le projet et des précisions fournies par le délégué, le Conseil d'Etat considère donc que l'article 3, 2°, du projet vise à rendre l'article 5 de la loi du 15 janvier 1990 applicable également aux institutions coopérantes de droit privé.

4. L'article 3, § 1er, en projet, de l'arrêté royal du 16 janvier 2002 rend l'article 5 de la loi du 15 janvier 1990 applicable aux institutions publiques et institutions coopérantes de droit privé des communautés et des régions, dans la mesure où leurs missions portent sur certaines matières visées à l'article 2 de l'arrêté royal.

L'article 5 de la loi implique que la Banque-carrefour collecte auprès des services et institutions concernés des données sociales qui sont enregistrées, agrégées et communiquées à des personnes qui en ont besoin pour la réalisation de recherches pouvant être utiles à la connaissance, à la conception et à la gestion de la protection sociale, et que les services et institutions concernés sont tenus de mettre les données demandées à la disposition de la Banque-carrefour.

Au regard des principes régissant la répartition des compétences, il appartient toutefois à l'autorité compétente pour la matière concernée de déterminer si, et dans quelle mesure, les données sociales dont elle dispose sont communiquées à des tiers à des fins de recherches. Le caractère volontaire de l'intégration au réseau de la sécurité sociale, inscrit à l'article 2 de l'arrêté royal, ne saurait réfuter cette objection de compétence.

Les dispositions du projet qui y portent atteinte ne peuvent donc aboutir. On omettra plus précisément du projet la disposition relative à l'application de l'article 5 de la loi du 15 janvier 1990 aux services et institutions qui relèvent des communautés et des régions. Un tel dispositif pourrait cependant se concrétiser par la conclusion d'un accord de coopération avec les communautés et les régions, pour autant qu'il n'en résulte pas un abandon ou un échange de compétences 2 .

Les observations ci-après sont par conséquent formulées sous cette réserve.

5. Les institutions auxquelles l'application de la loi du 15 janvier 1990 peut être étendue sont définies dans le projet comme étant les institutions coopérantes de droit privé qui relèvent des communautés et des régions.

En ce qui concerne cette notion, le délégué a donné les explications suivantes

" De term 'meewerkende instellingen van sociale zekerheid' wordt in de wet van 15 januari 1990 gedefinieerd als 'de instellingen van privaatrecht, andere dan de sociale secretariaten voor werkgevers en de tariferingsdiensten van de apothekersverenigingen, die erkend zijn om mee te werken aan de toepassing van de sociale zekerheid'. De term 'meewerkende instellingen van privaatrecht' wordt weliswaar niet uitdrukkelijk gedefinieerd maar moet naar analogie worden geïnterpreteerd, als de private organisaties die (mede) instaan voor de toepassing van één van de bevoegdheden vermeld in het koninklijk besluit van 16 januari 2002. Er is dienaangaande geen exhaustieve lijst voorhanden. Het weze overigens benadrukt dat de toetreding tot het netwerk van de sociale zekerheid geen automatische toegang tot alle persoonsgegevens van het netwerk van de sociale zekerheid inhoudt. Ook al behoort een organisatie tot het netwerk van de sociale zekerheid, dan nog heeft zij in beginsel een beraadslaging van het informatieveiligheidscomité nodig om persoonsgegevens van andere actoren van het netwerk van de sociale zekerheid te kunnen verwerken ".

On ne peut simplement supposer que la définition visant les " institutions coopérantes de droit privé " sera interprétée par analogie avec la définition concernant les " institutions coopérantes de sécurité sociale " à l'article 2, 2°, b), de la loi du 15 janvier 1990.

Il y a lieu d'insérer une définition ou d'apporter des précisions dans l'arrêté royal du 16 janvier 2002. Cette observation est d'autant plus pertinente compte tenu de la nécessité de décrire avec précision le champ d'application de l'extension. En effet, cette dernière permet aussi de délimiter le traitement des données à caractère personnel concernées.

OBSERVATIONS PAR ARTICLES

Préambule

6. Conformément au Guide de légistique 3 , il n'est pas judicieux de mentionner dans le deuxième alinéa du préambule les modifications subies antérieurement par l'arrêté royal du 16 janvier 2002.