ECLI:BE:GBAPD:2024:AVIS.20241018.2

Avis n° 98/2024 du 18 octobre 2024 Objet: Demande d’avis concernant un projet d’arrêté du Gouvernement de la Région de Bruxelles-Capitale du … portant modification de l’arrêté du Gouvernement de la Région de Bruxelles-Capitale du 21 mars 2018 portant le statut administratif et pécuniaire des agents des services publics régionaux de Bruxelles et de l’arrêté du Gouvernement de la Région de Bruxelles-Capitale du 21 mars 2018 portant le statut administratif et pécuniaire des agents des organismes d’intérêt public de la Région de Bruxelles-Capitale concernant la sélection et évaluation des mandataires (CO-A-2024-252) Mots-clés : fondement légal du projet – finalité - principe de minimisation – responsable du traitement - délai de conservation Version originale Introduction : L’avis concerne un projet d’arrêté du Gouvernement de la Région de Bruxelles-Capitale portant modification de l’arrêté du Gouvernement de la Région de Bruxelles-Capitale du 21 mars 2018 portant le statut administratif et pécuniaire des agents des services publics régionaux de Bruxelles et de l’arrêté du Gouvernement de la Région de Bruxelles-Capitale du 21 mars 2018 portant le statut administratif et pécuniaire des agents des organismes d’intérêt public de la Région de Bruxelles-Capitale concernant la sélection et évaluation des mandataires (ci-après le « projet »). L’Autorité relève principalement que certains éléments essentiels des traitements de données mis en place par le projet devraient être déterminés dans le projet (tels que la désignation du responsable du traitement et le délai de conservation) et que d’autres éléments essentiels devraient être prévus de manière plus claire/plus précise (tels que la délimitation des finalités et la mention des données traitées). Pour une liste exhaustive des observations, se rapporter au dispositif. Pour les textes normatifs émanant de l’Autorité fédérale, de la Région de Bruxelles-Capitale et de la Commission communautaire commune, les avis sont en principe disponibles en français et en néerlandais sur le site Internet de l'Autorité. La « Version originale » est la version qui a été validée collégialement. Le service de traduction de l’Autorité prépare la « Traduction » sur cette base. Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »), Présent.e.s : Mesdames Juline Deschuyteneer, Cédrine Morlière et Griet Verhenneman et Messieurs Yves-Alexandre de Montjoye, Bart Preneel et Gert Vermeulen; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA »); Vu l’article 43 du règlement d’ordre intérieur selon lequel les décisions du Service d’Autorisation et d’Avis sont adoptées à la majorité des voix ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD ») ; Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ; Vu la demande d'avis de Monsieur Sven Gatz, Ministre de la Région de Bruxelles-Capitale, en charge des Finances, du Budget, de la Fonction publique, de la Promotion du Multilinguisme et de l’Image de Bruxelles (ci-après « le demandeur »), reçue le 21 août 2024 ; Vu les informations complémentaires reçues le 26 septembre 2024, Emet, le 18 octobre 2024, l’avis suivant : I. OBJET ET CONTEXTE DE LA DEMANDE D’AVI 1. En date du 21 août 2024, le ministre de la Région de Bruxelles-Capitale, chargé des Finances, du Budget, de la Fonction publique, de la Promotion du Multilinguisme et de l’Image de Bruxelles a sollicité l’avis de l’Autorité concernant les articles 11 et 28 du projet. 2. Le projet entent modifier deux arrêtés du Gouvernement de la Région de Bruxelles-Capitale du 21 mars 2018, l’un portant le statut administratif et pécuniaire des agents des services publics de Bruxelles (ci-après « l’arrêté relatif aux services publics ») et l’autre portant le statut administratif et pécuniaire des agents des organismes d’intérêt public de la Région de Bruxelles-Capitale (ci-après « l’arrêté relatif aux organismes d’intérêt public ») en ce qui concerne la sélection et l’évaluation des mandataires. 3. Les deux arrêtés précités prévoient l’évaluation des mandataires par la commission d’évaluation qui est établie respectivement par l’article 463 de l’arrêté relatif aux services publics et par l’article 456 de l’arrêté relatif aux organismes d’intérêt public. Les deux articles précités prévoient que la commission d’évaluation est composée de membres qui disposent d’une expertise en rapport avec le management du secteur public et qui ne ressortissent pas aux services qui relèvent de la Région de Bruxelles-Capitale et identifient les titulaires de mandats qui doivent être évalués. Pour les services publics, il s’agit des titulaires de mandat à des emplois correspondant aux rangs A4, A4+, A5, A6 et A7. Pour les organismes d’intérêts publics, sont visés les mandataires occupant des emplois correspondant aux rangs A4, A4+ et A5. La version actuelle de chacune des dispositions précitées précise également que « le Gouvernement peut désigner un bureau externe pour assister cette commission d’évaluation dans ses missions ». 4. Les articles 11 et 28 du projet visent à modifier respectivement l’article 463 de l’arrêté relatif aux services publics et l’article 456 de l’arrêté relatif aux organismes d’intérêt public afin d’y préciser la mission du bureau externe, à savoir assister et soutenir la commission d’évaluation chargée d’évaluer les mandataires visés. Ainsi que cela ressort de la Note aux membres du Gouvernement, « sa mission est de signaler à la commission d’évaluation, dans son rapport, les points qui peuvent être identifiés sur la base du dossier d’évaluation et des entretiens menés ». Ce faisant, le projet entend également donner un cadre légal aux traitements de données à caractère personnel concernant les mandataires évalués qui sont actuellement prévus dans le cahier des charges du marché public désignant le bureau externe. 5. Concrètement, les articles 11 et 28 du projet entendent abroger aux articles 463 et 456 précités la phrase selon laquelle « le Gouvernement peut désigner un bureau externe pour assister cette commission d’évaluation dans ses missions » et ajouter un nouvel alinéa 11, qui est identique, à chacun desdits articles 463 et 456 : « Le Gouvernement sur proposition du Ministre compétent pour la Fonction Publique désigne un bureau externe chargé d’assister et de soutenir la commission d’évaluation. Pour rendre son rapport, le bureau externe dispose du dossier d’évaluation. Le bureau externe peut entendre le supérieur hiérarchique du mandataire évalué et les membres du personnel placés sous l’autorité directe de ce dernier. En outre, il peut également entendre des parties prenantes externes. Le bureau externe ne reprend pas, dans son rapport, l’identité des membres de personnel placés sous l’autorité directe du mandataire évalué qui ont été entendus . » 6. Par souci de clarté et facilité de lecture, l’avis focalise son analyse sur l’article 463, alinéa 11, en projet de l’arrêté relatif aux services publics (ci-après la « disposition en projet ») mais les observations émises sont applicables mutatis mutandis à l’article 456, alinéa 11 en projet de l’arrêté relatif aux organismes d’intérêts publics. II. EXAMEN DE LA DEMANDE D’AVI 1. Principes de nécessité et de proportionnalité 7. Toute ingérence dans le droit au respect de la privée et dans le droit à la protection des données à caractère personnel n’est admissible que si elle est nécessaire et proportionnée à l’objectif d’intérêt général qu’elle poursuit et qui doit par principe guider toute disposition légale encadrant un traitement de données à caractère personnel. L’auteur d’une telle norme doit être à même de démontrer la réalisation de cette analyse préalable de nécessité et de proportionnalité. 8. Si la nécessité du traitement de données à caractère personnel est démontrée, il faut par ailleurs encore démontrer que celui-ci est proportionné (au sens strict) à l’objectif qu’il poursuit, c’est-à-dire qu’il existe un juste équilibre entre les différents intérêts en présence, droits et libertés des personnes concernées ; en d’autres termes, il y a lieu de vérifier que les inconvénients causés par le traitement tel qu’il est envisagé ne sont pas démesurés par rapport à l’objectif poursuivi. 9. Le demandeur a été interrogé quant au caractère nécessaire de recourir à un bureau externe pour assister et soutenir la commission d’évaluation dans sa mission d’évaluation des titulaires de mandats concernés, dans la mesure où ladite commission d’évaluation est composée de membres qui ont une expertise en rapport avec le management du secteur public et qui ne ressortissent pas aux services qui relèvent de la Région de Bruxelles-Capitale. Il a été répondu ce qui suit : « Het extern bureau, dat reeds in de statuten is voorzien in de huidig geldende regelgeving, heeft tot doel de evaluatiecommissie te ondersteunen om een 360° evaluatie mogelijk te maken en hen toe te laten een beter en vooral ruimer beeld te krijgen van de te evalueren mandaathouder dan enkel het beeld dat men krijgt op basis van de al dan niet behaalde strategische en transversale doelstellingen. De evaluatiecommissie kan op deze wijze zaken in overweging nemen in hun evaluatie waar zij anders mogelijks geen weet van heeft. Dit situeert zich meer op de wijze waarop de mandaathouder zijn functie uitoefent ten aanzien van collega’s die onder zijn direct gezag staan, of belanghebbenden waar de overheidsdienst of de instelling nauw mee samenwerkt. Bovendien kunnen ook pertinente elementen uit pers- en parlementair onderzoek opgenomen worden in het analyserapport van het bureau, dat deel zal uitmaken van het evaluatiedossier. » 10. Le formulaire joint à la demande d’avis stipule également que le recours à un bureau externe, indépendant et impartial permet de garantir une évaluation objective des mandataires. 11. L’Autorité comprend dès lors que le caractère nécessaire du recours à un bureau externe (et par conséquent des traitements de données engendrés par un tel recours) est justifié par la volonté de permettre à la commission d’évaluation de réaliser une évaluation à 360° degrés des mandataires concernés en s’appuyant sur le rapport établi par un bureau sélectionné sur base de critères d’indépendance et d’impartialité, et ce afin de garantir une évaluation objective desdits mandataires. Elle recommande d’insérer dans la Note aux membres du Gouvernement cette justification du caractère nécessaire du recours à un bureau externe dans le cadre de l’évaluation des mandataires concernés. 2. Fondement légal du projet et principes de prévisibilité et de légalité 12. Les traitements de données à caractère personnel engendrés par le projet sont fondés sur l’obligation légale incombant au bureau externe désigné de soutenir et d’assister la commission d’évaluation dans le cadre de l’évaluation des mandataires concernés (article 6.1.c) du RGPD). Conformément à l’article 6.3 du RGPD, lu à la lumière du considérant 41 du RGPD, le traitement de données à caractère personnel jugé nécessaire au respect d’une obligation légale doit être régi par une réglementation qui soit claire et précise et dont l’application doit être prévisible pour les personnes concernées. En outre, selon l’article 22 de la Constitution, il est nécessaire que les « éléments essentiels » du traitement de données soient définis au moyen d’une norme légale formelle (loi, décret ou ordonnance). 13. En l’espèce, il convient d’apporter une précision importante quant à la nécessité ou non, d’une intervention du pouvoir législatif pour fixer les éléments essentiels des traitements de données envisagés par le projet, à la lumière des articles 40, §1er, de la loi spéciale relative aux institutions bruxelloises du 12 janvier 1989 et 87 de la loi spéciale de réformes institutionnelles du 8 août 1980. L’article 87 de la loi spéciale de réformes institutionnelles, qui est applicable à la Région bruxelloise, en vertu de l’article 40, §1 er de la loi spéciale relative aux institutions bruxelloises, confère au Gouvernement des entités fédérées la compétence de fixer le cadre du personnel de son administration. Force est de constater, d’une part, qu’en précisant les tâches du bureau externe chargé de soutenir et d’assister la commission qui doit évaluer les mandataires des services publics et organismes d’intérêts publics, le projet a directement trait à l’organisation de ressources humaines du pouvoir exécutif régional. D’autre part, le projet engendre une ingérence dans le droit à la vie privée des mandataires évalués dès lors qu’il prévoit notamment l’établissement et la communication par le bureau externe d’un rapport les concernant. Il est par conséquent aussi question de protection des droits fondamentaux. 14. Il appartient in fine au Conseil d’Etat de se prononcer sur la question de l’interaction entre le principe de légalité juste rappelé et le pouvoir réglementaire autonome dont jouit le gouvernement bruxellois dans l’organisation de l’administration publique relevant de sa compétence. 15. Cela étant dit, en l’espèce, l’Autorité estime que l’intervention du pouvoir législatif n’est pas nécessaire pour fixer les éléments essentiels des traitements de données envisagé par le projet. En effet, même si les traitements de données engendrés par le projet peuvent conduire à une décision emportant des conséquences négatives pour les mandataires concernés (à savoir une évaluation qui se termine par la mention défavorable), l’ingérence dans les droits et libertés de ces personnes semble suffisamment limitée pour ne pas devoir être qualifiée d’importante. De plus, les traitements de données concernent des personnes qui sont, eu égard à leur poste (mandat), directement impliquées dans la réalisation des objectifs d’intérêts généraux sous-tendant les missions d’intérêt public confiés aux services publics ou aux organismes d’intérêt publics bruxellois dont elles sont mandataires. Dans ces conditions, il peut être considéré, que le gouvernement de la Région de Bruxelles-Capitale est compétent pour organiser les traitements de données nécessaires à l’exercice de sa compétence relative à la fixation du statut des agents de l’administration publique régionale et fixer ainsi les éléments essentiels du traitement. Le projet doit donc reprendre les éléments essentiels suivants : les finalité(s) précise(s) et concrète(s)1 du traitement, l’identité du (des) responsable(s) du traitement, les (catégories de) données qui sont nécessaires à la réalisation de cette (ces) finalité(s), les catégories de personnes concernées dont les données seront traitées, les (catégories de) destinataires des données à caractère personnel, et le délai de conservation. 3. Finalités 16. Conformément à l'article 5.1.b) du RGPD, un traitement de données à caractère personnel ne peut être réalisé que pour des finalités déterminées, explicites et légitimes. 17. Il ressort clairement de l’article 463, alinéa 11, en projet de l’arrêté relatif aux services publics que la communication du dossier d’évaluation au bureau externe et l’établissement du rapport par ledit bureau visent à permettre à celui-ci de réaliser la mission qui lui incombe d’assistance et de soutien de la commission d’évaluation, laquelle est chargée d’évaluer les capacités de gestion et les compétences des mandataires concernés telles que définies dans la description de fonction arrêtée par le Gouvernement2. L’article 464 de l’arrêté relatif aux services publics3 précise également que, dans le cadre de l’évaluation réalisée par la commission d’évaluation, les éléments qui sont pris en considération sont la réalisation des objectifs stratégiques et transversaux définis pour la durée du mandat et du plan de gestion ainsi que la manière dont ces objectifs ont ou non été atteints. 18. Une telle finalité de soutien et d’assistance de la commission d’évaluation, chargée d’évaluer les capacités de gestion et les compétences des mandataires, telles que décrites ci-dessus, est explicite et légitime. Afin qu’elle puisse être considérée comme suffisamment déterminée au sens de l’article 5.1.b) du RGPD, il convient de s’assurer que la finalité est formulée dans le projet en des termes suffisamment clairs et précis afin de permettre aux personnes concernées de comprendre aisément les traitements de données les concernant qui sont réalisés. D’une part, il ressort des informations complémentaires ainsi que du formulaire joint à la demande d’avis que la ratio legis poursuivie par le projet en prévoyant le recours à un bureau externe, qui est chargé de réaliser un rapport indépendant et impartial, est de garantir une évaluation objective du mandataire concerné par la commission d’évaluation. Afin de renforcer la prévisibilité de la disposition en projet et le respect du principe de limitation de finalités, il convient de la compléter afin d’y prévoir l’évaluation objective du mandataire concerné par la commission d’évaluation. D’autre part, ainsi que cela a été confirmé par les informations complémentaires, il convient de préciser que le recours au bureau externe aura lieu pour chaque évaluation effectuée par le comité d’évaluation en vertu de l’article 472 de l’arrêté relatif aux services publics 4. Ceci permettrait d’éviter tout doute ou ambiguïté quant à la question de savoir quand le recours au bureau externe a lieu pour soutenir et assister la commission d’évaluation. 19. Il y a dès lors lieu de compléter l’article 463, alinéa 11, en projet de l’arrêté relatif aux services publics en ce sens5. 4. Principe de minimisation des données 20. L’Autorité rappelle que l'article 5.1.c) du RGPD prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités visées (principe de « minimisation des données »). En application des principes de légalité et de prévisibilité, les données à caractère personnel communiquées au bureau externe pour lui permettre d’exercer sa mission de soutien et d’assistance de la commission d’évaluation, doivent être mentionnées de manière exhaustive et claire dans le projet. 21. Tel ne semble pas être le cas actuellement de l’article 463, alinéa 11 en projet, de l’arrêté relatif aux services publics6. Cette disposition se limite en effet à indiquer que pour rendre son rapport, le bureau externe dispose du dossier d’évaluation, sans autre précision. 22. Il ressort des informations complémentaires que le dossier d’évaluation dont il est question est celui visé à l’article 468 de l’arrêté relatif aux services publics7. L’article 468, tel que modifié par le projet, énumère les données et documents que comporte le dossier d’évaluation, comme suit : 1° la description de fonction ; 2° les objectifs transversaux et stratégiques ; 3° l’avis ou les avis du ou des ministre(s) (fonctionnellement) compétent ; 4° le rapport d’évaluation ainsi que les éventuels précédents rapports d’évaluation ; 5° le rapport d’activité rédigé par le mandataire détaillant dans quelle mesure les objectifs qui lui sont assignés sont atteints et les moyens qui ont été mis en œuvre pour y parvenir ; 6° le rapport rendu par le bureau externe ; 7° tout document que le mandataire souhaite voir ajouter à son dossier, à condition que ces documents soient transmis au secrétariat de Bruxelles Fonction Public chargés des commissions de sélection et d’évaluation des mandataires au plus tard 10 jours avant l’entretien d’évaluation. En cas de remise tardive, la commission d’évaluation n’en tient pas compte. 23. Les informations complémentaires indiquent également que : « In het bestek staat hierover het volgende opgenomen: ‘In dit kader bezorgt talent.brussels het onafhankelijke bureau 2 maanden voor de evaluatie: het beheerplan (opgesteld door de mandataris aan het begin van zijn mandaat om de acties toe te lichten die hij wil ondernemen om zijn doelstellingen te bereiken), de doelstellingen (bepaald door de Regering), de functiebeschrijving (met een gedetailleerde beschrijving van de verwachte competenties), het PV van de selectie of vorige evaluatie van de mandataris, eventuele andere documenten uit het evaluatiedossier van de mandaathouder, en de contactgegevens van de HR-dienst van de organisatie in kwestie”’. Le demandeur précise également que: «Vervolgens is het de verantwoordelijkheid van de HR-dienst om het externe bureau de nodige contactgegevens op te sturen voor het kunnen uitsturen van de vragenlijsten. In het bestek staat hierover het volgende opgenomen: ‘De dienstverlener moet de HR-dienst van de organisatie in kwestie contacteren om de contactgegevens van de hiërarchische meerdere, personeelsleden onder het directe gezag en eventuele externe belanghebbenden (maximum 3, op vraag van de dienstverlener) van de mandaathouder te bekomen.’ » 24. Afin de renforcer la prévisibilité de la disposition en projet, il convient, d’une part, d’y préciser que le dossier d’évaluation dont il est question est celui qui est visé à l’article 468, en projet, du même arrêté. Il convient, d’autre part, de compléter ladite disposition afin qu’y soient mentionnés les autres données à caractère personnel qui ne font pas partie du dossier d’évaluation précité et qui seront communiquées au bureau externe, tout en veillant à ce que seules les données pertinentes, adéquates et limitées à ce qui est nécessaire au regard de la finalité poursuivie soient mentionnées. Il conviendra ainsi de préciser que le cas échéant, les données de contact de maximum trois « parties prenantes externes » seront communiquées. 25. Le fait de prévoir que le bureau externe ne reprend pas, dans son rapport, l’identité des membres du personnel placés sous l’autorité directe du mandataire évalué qui ont été entendus est une approche appropriée qui permet de répondre au principe de minimisation des données. Il n’est en effet pas nécessaire que ce rapport contienne cette donnée afin d’atteindre la finalité poursuivie par l’établissement de ce rapport (à savoir, assister et de soutenir la commission d’évaluation dans le cadre de sa mission d’évaluation des mandataires visés). L’Autorité souhaite toutefois rappeler que l’identification d’une personne ne vise pas uniquement la possibilité de retrouver son nom mais également la possibilité de l’identifier par un processus d’individualisation, de corrélation ou d’inférence. L’Autorité souligne également qu’elle est consciente que, même si l’identité de l’auteur d’un commentaire n’est pas reprise dans le rapport et si le rapport ne contient pas d’élément ou d’information permettant d’identifier les membres du personnel entendus, dans la pratique, la nature du commentaire peut être révélatrice de l’auteur de ce commentaire (par exemple, il peut être aisément déduit qu’un commentaire sur la gestion financière émanera du membre du personnel qui est chargé du budget du service public en question ou qu’un commentaire sur la gestion des ressources humaines émanera d’un membre du personnel responsable des ressources humaines) ou le nombre limité de membres du personnel placés sous l’autorité directe du mandataire évalué peut également permettre audit mandataire d’identifier l’auteur d’un commentaire de nature négative. Dans ces conditions, afin de répondre au mieux au principe de minimisation, la disposition en projet devrait être complétée afin de prévoir que lorsqu’il établit son rapport, le bureau externe s’assurera qu’il ne contient pas, dans la mesure du possible, d’élément ou d’information permettant d’identifier les membres du personnel placés sous l’autorité directe du mandataire évalué qui ont été entendus. Cela constituera une garantie appropriée pour les droits et libertés des membres du personnel visés. 26. A toutes fins utiles et par souci d’exhaustivité, l’Autorité souligne qu’une approche similaire devrait être adoptée en ce qui concerne l’identité des personnes physiques représentant les « parties prenantes externes »8, dans l’hypothèse où le bureau externe envisagerait de reprendre l’identité de ces personnes physiques dans son rapport. 27. Par ailleurs, afin de renforcer la prévisibilité de la disposition en projet et d’éviter le risque d’exposer les mandataires évalués à la collecte de données les concernant qui ne sont pas pertinentes ou sont excessives au regard de la finalité poursuivie, il conviendrait de préciser qui est visé concrètement par l’expression « parties prenantes externes ». Il ressort des informations complémentaires que : « Dit betreft de voornaamste externe partners waarmee wordt samengewerkt om hun vooropgestelde doelstellingen te kunnen behalen. Het gaat hier niet over ondernemingen die éénmalige leveringen doen. Het kan gaan om ondernemingen (of overheidsinstellingen) die een jarenlange samenwerking hebben met de betrokken overheid of instelling of andere overheden of instellingen die afhangen van de betrokken overheid of instelling . » 28. Dès lors, il convient de compléter la disposition en projet afin d’y prévoir une définition de l’expression de « parties prenantes externes » ou, à tout le moins, de préciser dans la mesure du possible qui sont les personnes qui sont visées par cette expression. 5. Responsable du traitement 29. L’Autorité constate que l’identité du responsable du traitement n’est pas indiquée dans le projet. 30. L’Autorité rappelle que la détermination par une norme légale du ou des responsable(s) du traitement participe également à la prévisibilité de ladite norme légale et à l’effectivité des droits des personnes concernées consacrés par le RGPD. L’Autorité en profite pour rappeler que la désignation d(u)(es) responsable(s) du traitement doit être adéquate au regard des circonstances factuelles. En d’autres termes, il est nécessaire de vérifier pour chaque traitement de données à caractère personnel qui, dans les faits, poursuit la finalité du traitement qui est mis en place et dispose de la maitrise des moyens utilisés pour atteindre cette finalité 9. 31. Lorsqu’une entité privée (telle que le bureau externe visé par le projet) se voit imposer la réalisation de traitement de données pour se conformer à une obligation légale leur incombant, c’est le débiteur de cette obligation qui est le responsable dudit traitement de données10. Il convient dès lors de compléter le projet afin de désigner le bureau externe en tant que responsable du traitement des données en cause. 6. Délai de conservation 32. En vertu de l'article 5.1.e) du RGPD, les données à caractère personnel ne peuvent pas être conservées sous une forme permettant l’identification des personnes concernées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées. 33. L'Autorité constate que le projet ne prévoit aucun délai de conservation des données à caractère personnel traités. 34. Interrogé quant au délai de conservation des données concernées par le bureau externe, la fonctionnaire déléguée a indiqué que : « De termijn van bewaring van de gegevens voor het extern bureau werd vastgesteld op 1 jaar. Dit met als doel nog te beschikken over deze gegevens gedurende de periode waarbinnen beroepen bij de regering en erna bij de Raad van State kunnen plaatsvinden. Erna moeten de gegevens door hen worden vernietigd. » 35. Il convient dès lors de compléter la disposition en projet afin d’y prévoir le délai de conservation d’un an des données traitées par le bureau externe. PAR CES MOTIFS, L’Autorité Est d’avis qu’il convient de/d’11 : 1. insérer dans la Note aux membres du Gouvernement la justification du caractère nécessaire du recours à un bureau externe dans le cadre de l’évaluation des mandataires concernés (point 11) ; 2. compléter la disposition en projet afin d’y prévoir l’évaluation objective du mandataire concerné par la commission d’évaluation et préciser que le recours au bureau externe a lieu pour chaque évaluation effectuée par le comité d’évaluation (points 18 et 19) ; 3. préciser que le dossier d’évaluation dont il est question est celui qui est visé à l’article 468, en projet, de l’arrêté relatif aux services publics et compléter la disposition en projet afin qu’y soient mentionnées les autres données à caractère personnel qui ne font pas partie du dossier d’évaluation précité et qui seront communiquées au bureau externe (point 24) ; 4. compléter la disposition en projet afin de prévoir que lorsqu’il établit son rapport, le bureau externe s’assurera qu’il ne contient pas, dans la mesure du possible, d’élément ou d’information permettant d’identifier les membres du personnel placés sous l’autorité directe du mandataire évalué qui ont été entendus (point 25) ; 5. compléter la disposition en projet afin d’y prévoir une définition de l’expression de « parties prenantes externes » ou, à tout le moins, de préciser dans la mesure du possible qui sont les personnes qui sont visées par cette expression (point 28) ; 6. compléter le projet afin de désigner le bureau externe en tant que responsable du traitement des données en cause (point 31) ; 7. compléter la disposition en projet afin d’y prévoir le délai de conservation d’un an des données traitées par le bureau externe (point 35). Pour le Service d’Autorisation et d’Avis, (sé.) Cédrine Morlière, Directrice Document PDF ECLI:BE:GBAPD:2024:AVIS.20241018.2