ECLI:BE:GBAPD:2024:AVIS.20241219.5

Avis n° 115/2024 du 19 décembre 2024 Objet: Demande d’avis concernant un projet d’arrêté du Gouvernement de la Communauté germanophone relatif au jury d’examen extrascolaire de la Communauté germanophone pour l’enseignement secondaire (CO-A-2024-267) Mots-clés : Jury central – Formulaire – Copie de carte d’identité – Lieu de naissance – Droit à l’image Introduction L’Autorité est consultée au sujet d’un projet d’arrêté du Gouvernement de la Communauté germanophone relatif au jury d’examen extrascolaire de la Communauté germanophone pour ’ensleignement secondaire. Cette demande, qui n’appelle que peu d’observations, est l’occasion pour l’Autorité de rappeler sa position habituelle en matière de recours à un formulaire et de copie de carte d’identité. Pour une liste exhaustive des observations, se rapporter au dispositif. Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »), Présent.e.s : Mesdames Cédrine Morlière, Nathalie Ragheno et Griet Verhenneman et Messieurs Yves- Alexandre de Montjoye, Bart Preneel et Gert Vermeulen; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA »); Vu l’article 43 du règlement d’ordre intérieur selon lequel les décisions du Service d’Autorisation et d’Avis sont adoptées à la majorité des voix; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »); Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD »); Vu la demande de Monsieur Jérôme Franssen, Ministre de l'Education, de la Formation et de l'Emploi (ci-après « le demandeur »), reçue le 3 octobre 2024; Émet, le 19 décembre 2024, l'avis suivant : I. OBJET ET CONTEXTE DE LA DEMANDE D’AVI 1. Le demandeur a sollicité l’avis de l’Autorité concernant un projet d’arrêté du Gouvernement relatif au jury d’examen extrascolaire de la Communauté germanophone pour l’enseignement secondaire (ci-après « le projet »), en particulier, l’art. 11. . 2. L’art. 11 en projet exécute les art. 13 et 38.4, §31 du décret du 18 avril 1994 relatif à l'installation d'un jury d'examen de la Communauté germanophone pour l'enseignement secondaire et à l'organisation des examens présentés devant ce jury 2. Il énumère3 les catégories de données à caractère personnel qu’un candidat à un examen organisé en dehors du cadre scolaire doit consigner dans son dossier d’inscription. 3. L’Autorité constate en outre que l’art. 9 en projet, qui concerne les renseignements à communiquer en vue de solliciter une demande de dispense de certaines épreuves (en exécution de l’art. 16, al. 2 du décret de 1994 précité), prévoit également le traitement de données à caractère personnel 4. II. EXAMEN DU PROJET 4. Le décret du 18 avril 1994 relatif à l'installation d'un jury d'examen de la Communauté germanophone pour l'enseignement secondaire et à l'organisation des examens présentés devant ce jury est la norme législative formelle appelée à contenir les éléments essentiels des traitements de données (le projet ne pouvant que préciser ces éléments). Ce décret excède toutefois la saisine de l’Autorité dans le cadre de la présente demande d’avis. Par conséquent, l’Autorité se contente de relever que la collecte du lieu de naissance apparait comme excessive. Pour le surplus, l’Autorité précise que l’absence d’observations formulées à l’égard des dispositions du décret ne peut en aucun être interprétée comme signifiant que celles-ci ne pourraient en aucun cas être considérées comme problématiques. 5. L’Autorité relève que le formulaire mentionné aux art. 9, §1er, al. 1er et 11, §1er, 3° en projet constitue un bon biais de communication que l’administration peut utiliser pour fournir aux personnes concernées toutes les informations qu’elle doit leur fournir en exécution l’article 13 du RGPD. L’Autorité estime toutefois que le modèle de formulaire devrait être annexé au projet d’arrêté et que les mentions suivantes gagneraient à y figurer : le nom et l’adresse du responsable du traitement, les coordonnées du délégué à la protection des données, les finalités de la collecte de données ainsi que la base juridique du traitement auquel les données sont destinées, les destinataires ou catégories de destinataires des données, l’existence des différents droits consacrés par le RGPD aux personnes concernées (y compris le droit d’accès et de rectification), le caractère obligatoire ou non de la communication de données ainsi que les conséquences d’un défaut de communication, la durée de conservation des données à caractère personnel collectées ou les critères utilisés pour déterminer cette dernière, le droit d’introduire une réclamation auprès de l’APD et le cas échéant, l’existence d’une prise de décision automatisée (y compris un profilage, visées à l’article 22 du RGPD) et les informations concernant sa logique sous-jacente ainsi que l’importance et les conséquences prévues de cette prise de décision automatisée pour les personnes concernées. 6. L’art. 11, §1er, 1° dispose que le dossier d’inscription doit comprendre une copie de pièce d’identité. A cet égard, l'Autorité attire l'attention sur le fait qu'en cas de demande d’identification et d’authentification à distance, la communication d'une copie du document d'identité n'offre aucune garantie que la personne qui communique cette copie est bien celle qu'elle prétend être. D'autres instruments permettent d’éviter plus efficacement une fraude à l’identité comme par exemple le recours à un formulaire d'enregistrement électronique via lequel la personne concernée s'identifie et s'authentifie à l'aide de son eID ou de la carte d'étranger électronique 5. 7. L'Autorité attire également l'attention du demandeur sur la recommandation de la Commission de la protection de la vie privée n° 03/2011 relative à la prise de copie des cartes d’identité ainsi qu’à leur utilisation et à leur lecture électronique 6, dans laquelle la Commission attirait l'attention sur le risque accru de vol d'identité à l'aide de photocopies de la carte d'identité7. Dans le dispositif, elle formulait 7 recommandations dont les suivantes sont pertinentes en la matière : "(…) 2. qu’aucune copie de carte d’identité ne soit réalisée en dehors des cas prescrits légalement ; (...) 4. que le législateur limite les cas où il prescrit la copie de la carte d’identité aux hypothèses le nécessitant pour des motifs d’intérêt public (...)". 8. L’Autorité accueille très favorablement le fait que l’art. 11, §3 en projet ne mentionne pas le courriel parmi les moyens de communication des dossiers d’inscription. L’Autorité constate toutefois que l’art. 9,§1er, al. 1er en projet est libellé de manière moins claire 8 et estime9 qu’il y a lieu d’exclure expressément l’envoi d’une demande de dispense par courriel. 9. En ce qui concerne le « formulaire en ligne », l’Autorité rappelle qu’il incombe au responsable du traitement de mettre en place des procédures et un canal de communication offrant un niveau de sécurité adapté à la nature des données transmises. Par conséquent, le maintien ou non de l’exigence de communication d’une copie de la carte d’identité aura un impact non négligeable sur le niveau des standards de sécurité requis. 10. L’art. 11, §1er, 3°, f) cite « la déclaration de consentement à l’image et à la publication » parmi les pièces devant être comprises dans le dossier d’inscription du candidat. Il n’apparait toutefois pas clairement où le traitement de données que ce consentement viendrait fonder est prévu, ni en vertu de quelle disposition le Gouvernement serait habilité à prévoir la collecte de ce consentement. L’Autorité estime par conséquent que cette disposition doit être omise du projet ou, à tout le moins, fortement clarifiée, en veillant à indiquer que la collecte de l’image n’est pas légalement imposé, que le fondement de l’enregistrement et de la diffusion de l’image n’est pas le consentement au sens du RGPD et qu’il s’agit en réalité de conserver la preuve que la personne concernée avait été informée et qu’elle avait marqué son accord (révocable à tout moment) pour la diffusion de son image pour des finalités précises qui lui ont été exposées préalablement. PAR CES MOTIFS, L’Autorité estime que : - à l’occasion d’une prochaine modification du décret, la collecte du lieu de naissance doit être omise (point 4) ; - un modèle de formulaire devrait être annexé au projet (point 5) ; - l’exigence d’une copie de carte d’identité devrait être reconsidérée (points 6 et 7) ; - l’art. 9 devrait expressément exclure l’envoi d’une demande de dispense par courriel (point 8) ; - l’exigence d’un consentement à l’image et à la publication doit être supprimé ou clarifié (point 10). Pour le Service d’Autorisation et d’Avis, (sé.) Cédrine Morlière, Directrice Document PDF ECLI:BE:GBAPD:2024:AVIS.20241219.5