Wetsontwerp relatif à l'accès au Registre national des personnes physiques et l'utilisation du numéro du Registre national en vue de mettre en œuvre l'administration des salaires et du personnel des autorités et institutions publiques SOMMAIRE Pages Résumé 3 Exposé des motifs 4 Avant-projet de loi; 10 Avis du Conseil d'État 2 Projet de loi 18 Avis de l'Aurorté de protection des données. 20

relatif à l'accès au Registre national des personnes physiques et l'utilisation du numéro du Registre national en vue de mettre en œuvre l'administration des salaires et du personnel des autorités et institutions publiques SOMMAIRE Pages Résumé 3 Exposé des motifs 4 Avant-projet de loi; 10 Avis du Conseil d'État 2 Projet de loi 18 Avis de l'Aurorté de protection des données. 20 ConromeMENT À LARTELE 8, $ 1, 4°, DE LA LOI DU 15 DÉcEMARE 2013, LANALYSE D'IMPACT NA PAS ÉTÉ DEMANDÉE. LE GOUVERNEMENT DEMANDE L'URGENCE CONFORMÉMENT À L'ARTICLE 51 DU RÈGLEMENT. Le gouvernement a déposé ce projet de loi le 3 novembre 2022. Le “bon à tirer” a été reçu à la Chambre le na ieuw-Vaamse Aliante Écolo-Groën …_: Ecalagistss Canfédéré pour 'argansation da tes crig Fs Part Socialiste we Vas Bang, Ma Movement Réformateur ccëv Christ Demoeratsch en Visams PUDA-PTS -: Para van de Atbola van Baie Part du avai de Bag Open Va Open Viaame Heralan en democraen Veoruit Vecruit Les Engagés …_! Les Engagés Da Démocrate Fédéralsts Indépendant INDEP-ouArH ‘| Indépendant - Onalhankelf révisions dans numértatin des publications onva Question 2 Réponses éertes Can Varion provisoire dy Compte Rendu Intégral CRav Compte fence Anatque Compte Rendu magral ave, à gauche, I compte renk ca intégral et à roïte le compte renëu anahique adult des itervenens [ave les annexes) PLEN Séance penire Cou Réunion da carimission Wor oians déposez en conclusion diterpelatons (papis beige) RÉSUMÉ Le présent projet de loi a pour objet de prévoir une base légale atin que le service public fédéral Stratégie et Appui se voit, conformément à l'article 5 de la loi du 8 août 1983 organisant un Registre national des personnes physiques, autorisé, par le ministre qui à l'Intérieur dans ses attributions, à obtenir l'accès à certaines données à caractère personnel dans le Registre national en ce qui concerne les personnes engagées par les autorités et institutions publiques pour lesquelles le service public fédéral Stratégie et Appui exerce l'administration des salaires et du personnel

EXPOSÉ DES MOTIFS

MEsDauEs, MESSIEURS, EXPOSÉ GÉNÉRAL Le présent projet de loi vise à créer une base légale pour l'accès du SPF BOSA au Registre national. Le Conseil d'État a émis son avis sur le projet de loi le 8 août 2022. En exécution de ses missions réglementaires, le service public fédéral chargé de la Fonction publique, Plus précisément le service fédéral Stratégie et Appui, direction générale du Secrétariat Social PersoPoint, fournit entre autres des services en matière d'administration des salaires et du personnel à des autorités et institutions publiques. Dans le cadre de cette mission, le service public fédéral Stratégie et Appui traite entre autres des données à caractère personnel pour lesquelles le Registre national intervient à titre de source authentique. Pour l'instant, les personnes engagées par les autorités et institutions publiques, dont l'administration des salaires et du personnel est exercée par le service public fédéral Stratégie et Appui, doivent elles-mêmes obtenir ces données à caractère personnel via les canaux existants tels que les communes ou le Registre national pour ensuite les communiquer au service public fédéral Stratégie et Appui. La loi du 5 mai 2014 garantissant l'ancrage du principe de la collecte unique des données dans le fonctionnement des services et instances qui relèvent de ou exécutent certaines missions pour l'autorité et portant simplification et harmonisation des formulaires électroniques et papier a toutefois pour objectif de simplifier les obligations administratives des citoyens et des personnes morales en garantissant que les données déjà disponibles dans une source authentique ne doivent une nouvelle fois être communiquées à un service public fédéral, et de parvenir à une harmonisation parfaite entre formulaires électroniques et papier. En exécution de ce principe Only Once”, il est nécessaire de prévoir une base légale afin que le service public fédéral Stratégie et Appui se voit, conformément à l'article 5 de la loi du 8 août 1983 organisant un Registre national des personnes physiques, autorisé, par le ministre qui a l'Intérieur dans ses attributions, à obtenir l'accès à certaines données à caractère personnel dans le Registre national en ce qui concerne les personnes Selon le point de vue de l'Autorité de protection des données, il est nécessaire d'inclure les éléments essentiels du traitement dans une loi formelle, et plus particulièrement les objectifs finaux précis et légitimes explicitement décrits du traitement des données à caractère personnel; le(s) responsable(s) du traitement de chaque traitement des données à caractère personnel: les données (catégories) à caractère personnel qui seront traitées (et qui doivent être pertinentes et non excessives): les catégories des personnes concernées dont les données à caractère personnel seront traitées; les catégories des destinataires des données à caractère personnel (de même que les motifs pour lesquels ils reçoivent ces données et l'usage qu'ils en feront}; et le délai de conservation maximal des données à caractère personnel enregistrées

COMMENTAIRE DES ARTICLES

An.2 Cet article prévoit que ce projet de loi s'applique à la mise en œuvre de l'administration des salaires et du personnel des autorités et institutions publiques. Vu l'avis du Conseil d'État, il est expliqué que les autorités et institutions publiques en question ne concernent que les clients de la direction générale du Secrétariat social PersoPoint, pour lesquelles le Service public fédéral Stratégie et Appui met en œuvre l'administration des salaires et du personnel conformément à sa mission, telle que prévue à l'article 2, 10° de l'arrêté royal du 22 février 2017 portant création du Service public fédéral Stratégie et Appui. La catégorie des personnes dont les données à caractère personnel sont traitées est donc limitée au personnel employé par les autorités publiques et les institutions pour lesquelles le Service public fédéral Stratégie et Appui met en œuvre l'administration des salaires et du personnel. Vu l'avis du Conseil d'État, il est expliqué que l'administration des salaires et du personnel comprend toutes les opérations et tous les traitements nécessaires à la mise en œuvre de la gestion des salaires et du personnel dans le cadre de l'emploi du personnel, conformément aux dispositions contractuelles et statutaires. Il s'agit notamment de tenir un dossier du personnel dans le cadre de l'entrée en service, de l'emploi, de la retraite, de la pension et du décès de la personne concernée; le calcul, entre autres, de la rémunération, des indemnités, des cotisations sociales, du précompte professionnel ainsi que de la communication à cet égard avec les institutions publiques compétentes; la préparation de certificats fiscaux et d'autres types de certificats; assurer le suivi et la mise en œuvre des promotions administratives, des nominations, des mandats, de la mobilité volontaire et d'office, de l'octroi des honneurs, des mesures disciplinaires, des suspensions, etc.; suivi administratif et traitement du temps de travail, réduction du temps de travail, congés et absences, grossesse, accidents du travail et maladies professionnelles, télétravail, déplacements domicile-travail, etc. Ar. 3 Le projet de loi dispose que, pour accomplir la mission relative à l'exercice de l'administration des salaires et du personnel des autorités et institutions publiques, le service public fédéral Stratégie et Appui a accès aux données informatives visées à l'article 3, alinéa 1*, 1° à 9° inclus, 13°, 15° et 16° et alinéa 2, de la loi du 8 août 1983 organisant un Registre national des personnes physiques, et peut utiliser le numéro du Registre national des personnes concernées. L'objectif final du traitement des données à caractère personnel provenant du Registre national consiste expressément à exercer l'administration des salaires et du personnel des clients de la direction générale Secrétariat social PersoPoint comme mentionné dans l'arrêté royal du 22 février 2017 portant création du Service public fédéral Stratégie et Appui. La description des clients, plus spécifiquement ‘les autorités et institutions publiques”, est laissée suffisamment large pour permettre au service public fédéral Stratégie et Appui de mener à bien ses missions légales explicites. Les clients actuels du Service public fédéral Stratégie et Appui comprennent actuellement des clients du pouvoir exécutif par exemple: SPF intérieur, des intstitutions scientifiques etc.). et des clients du pouvoir législatif (par exemple: cours des comptes, autorité de protection des données) Les données à caractère personnel visées concernent le nom et les prénoms (1° le lieu et la date de naissance {2° le sexe (8°): la nationalité (4°), le lieu de résidence principale (5°): le lieu et la date du décès, ou, en cas de déclaration d'absence, la date de la transcription de la décision déclarative d'absence (6°) l'état civil (8°); la composition du ménage (9°); la cohabitation légale (13°): la mention des ascendants au premier degré, que la filiation soit établie par l'acte de naissance, par une décision judiciaire, par une reconnaissance où par une adoption (15°); et la mention des descendants en ligne directe au premier degré, que la filiation soit établie par l'acte de naissance, par une décision judiciaire, par une reconnaissance ou par une adoption (16°). L'accès aux modifications successives des données susmentionnées, de même que la date à laquelle elles produiront leurs effets, sont également prévus. Ces données à caractère personnel sont nécessaires au regard des différentes obligations légales qui incombent aux autorités et institutions publiques en tant qu'employeurs et qui justifient leur traitement par le service public fédéral Stratégie et Appui dans le cadre de l'administration des salaires et du personnel, comme par exemple l'attribution des allocations et indemnités et le calcul du précompte. Toutefois, la proportionnalité du traitement des données à caractère personnel sera explicitement démontrée suite à la demande d'autorisation auprès du ministre qui a l'Intérieur dans ses attributions. Étant donné que, lors du traitement des données à caractère personnel dans le cadre de l'administration des salaires et du personnel, le service public fédéral Stratégie et Appui agit de facto en qualité de soustraitant envers l'autorité ou l'institution publique belge adhérente qui agit elle en qualité de responsable du traitement qui la concerne, il est recommandé d'en faire expressément mention. Le Comité de sécurité de l'information a confirmé cette qualification dans de recommandation n° 19/033 du 5 novembre 2019, modifiée le 14 janvier 2020 et modifiée le 6 octobre 2020. En ce qui concerne le traitement des données à caractère personnel des membres du personnel du service public fédéral Stratégie et Appui, le service public fédéral Stratégie et Appui même agira évidemment en tant que responsable du traitement. La communication des données informatives, que le service public fédéral Stratégie et Appui reçoit par le biais du Registre national sur base de cette disposition légale et après l'autorisation du ministre qui a l'Intérieur dans ses attributions et la communication du numéro du Registre national sont en principe interdites à des tiers. Eu égard à la nature de la mission d'administration des salaires et du personnel, les données à caractère personnel et le numéro du Registre national peuvent toutefois bel et bien être communiquées à la personne concernée elle-même ou à ses représentants légaux et aux instances auxquelles les données informatives en question doivent être communiquées dans le cadre de l'exercice de l'administration des salaires et du personnel, et qui sont également habilitées à recevoir ces données à caractère personnel, comme l'Office National de la Sécurité Sociale et le service public fédéral Finances. Etant donné que le service public fédéral Stratégie et Appui agit en qualité de sous-traitant envers l'autorité ou l'institution publique adhérente, les données à caractère personnel peuvent également être communiquées à l'autorité ou l'institution publique adhérente concemée en sa qualité de responsable du traitement, et ce toutefois exclusivement aux fins d'administration des salaires et du personnel. Cela signifie que l'autorité ou l'institution publique concernée ne peu, traiter les données informatives concernées reçues pour d'autres objectifs que l'administration des salaires et du personnel, en ce qui concerne la personne concernée. Pour ce qui est du délai de conservation des données, les données informatives reçues par le service public fédéral Stratégie et Appui ne peuvent être conservées que dans le cadre de l'administration des salaires et du personnel, et ce pendant la durée des services prestés pour l'autorité ou l'institution publique concernée. En cas d'éventuelle cessation des services prestés par le service public fédéral Stratégie et Appui à l'autorité ou l'institution publique adhérente, les dossiers du personnel, en ce compris les données informatives provenant du Registre national, sont rendus à l'autorité ou l'institution publique concernée. Les données informatives ne peuvent être conservées par le service public fédéral Stratégie et Appui que pour autant que cela soit nécessaire à l'exercice de l'administration des salaires et du personnel, en ce qui concerne la personne concernée, avec un délai de conservation de maximum dix ans après la fin de la relation de travail. Ce délai de conservation est nécessaire afin de par exemple d'assurer des recalculs corrects des salaires. Afin de faire face à de futurs amendements législatifs susceptibles d'influer sur le délai de conservation, une réserve est émise dans le projet de loi au cas où un délai de conservation plus long des données serait prévu dans des lois spéciales. Vu l'avis du Conseil d'État, il est expliqué que le délai maximal de conservation de dix ans après la fin de la relation de travail de la personne concemée est également nécessaire, par exemple dans le cadre d'un nouvel emploi auprès d'un autre employeur, pour répondre aux questions d'information de la personne concemée et/ où du nouvel employeur aux fins, entre autres, du (re) calcul correct des jours de congé, de l'ancienneté, de la rémunération, etc. En ce qui concerne les lois spéciales, par exemple, l'augmentation ou la réduction de l'âge D0c55 2953/001 légal de pension peut avoir une incidence sur la durée de conservation des données à caractère personnel en question. La ministre de la Fonction publique, Petra DE SUTTER AVANT-PROJET DE LOI Soumis à l'avis du Conseil d'État Avant-projet de loi relative à l'accès au Registre national des personnes physiques et l'utilisation du numéro du Registre national en vue de mettre en œuvre l'administration des salaires et du personnel des autorités et institutions publiques Article 1. La présente loi règle une matière visée à l'article 74 de la Constitution.

Art. 2. La présente loi s'applique à la mise en œuvre de l'administration des salaires et du personnel des autorités et Art, 3. $ 1°. Afin de mettre en œuvre l'administration des salaires et du personnel des autorités et institutions publiques, le service public fédéral Stratégie et Appui, ou l'organisation qui ui succède, a accès aux informations visées à l'article 3, premier alinéa, 1° à 9°, 18°, 15° et 16°, et deuxième alinéa, de la loi du 8 août 1983 organisant un registre national des personnes physiques et peut utliser le numéro d'identification du Registre national des personnes concernées. 82. Lors du traitement des données informatives mentionnées au paragraphe 1, l'autorité ou l'institution publique qui emploie la personne concemée agit en qualité de responsable du traitement. Le service public fédéral Stratégie et Appui agit en qualité de sous-traitant Art. 4 1. Les données informatives reçues en application de l'article 8 ainsi que le numéro du Registre national ne peuvent être communiquées à des tiers. Ne sont pas considérés comme tiers pour l'application de l'alinéa 1°: 1° les personnes physiques auxquelles les données informatives se rapportent ainsi que leurs représentants légaux; 2° les autorités et institutions publiques et les personnes qui sont habilitées à recevoir les données informatives contormément à l'article 5 de la loi du 8 août 1983 organisant un Registre national des personnes physiques ou à utiliser le numéro du Registre national, 8° l'autorité ou l'institution publique qui emploie la personne concernée, et ce exclusivement aux ins d'administration des salaires et du personnel. $ 2. Les données informatives ne peuvent être conservées parle service public fédéral Stratégie et Appui que pour autant que cela soit nécessaire à l'exercice de l'administration des salaires et du personnel, en ce qui concerne la personne concemée, avec un délai de conservation de maximum dix ans après la fin de la relation de travail de la personne concemée, sauf disposition contraire dans des lois particulières

AVIS DU CONSEIL

D'ÉTAT N°71.762/2/V DU 8 AOÛT 2022 Le 23 juin 2022, le Conseil d'État, section de législation, a été invité par la Vice-Première ministre et ministre de la Fonction publique, des Entreprises publiques, des Télécommunications et de la Poste à communiquer un avis, dans un délai de trente Jours prorogé de plein droit jusqu'au 9 aout 2022, sur un avant-projet de loi “elative à l'accès au Registre national des personnes physiques et l'utilisation du numéro du Registre national en vue de mettre en œuvre l'administration des salaires et du personnel des autorités et instiutions publiques L'avant-projet a été examiné par la deuxième chambre des vacations le 8 aout 2022. La chambre était composée de Martine Bauer, président de chambre, Luc Causten et Patrick Ronvaux, consellrs d'État, Marianne Donv, a8SeSseur, et Anne-Catherine Van Geensoxeue, greffier. Le rapport a été présenté par Véronique Scsurz, premier auditeur. La concordance entre la version française et la version néerlandaise a été vériiée sous le contrôle de Martine Baouer. L'avis, dont le texte suit, a été donné le 8 aout 2022. Ce délai résulte de l'article 84, $ 1, alinéa 1, 2°, in fine, des lois sur le Conseil d'État, coordonnées le 12 janvier 1973 qui précise que ce délai est prolongé de plein droit de quinze jours lorsqu'il prend cours du 15 juillet au 81 ile ou lorsqu'il expire entre le 15 juillet et le 15 aout vocss 2953/001 Comme la demande d'avis est introduite sur la base de l'article 84, $ 1“, alinéa 1, 2°, des lois “sur le Conseil d'État”, coordonnées le 12 janvier 1973, la section de législation limite son examen au fondement juridique de l'avant-projet', à la compétence de l'auteur de l'acte ainsi qu'à l'accomplissement des formalités préalables, conformément à l'article 84, $ 8, des lois coordonnées précitées. Sur ces trois points, l'avant-projet appelle les observations suivantes. Ossenvanon préaLiaLE Il est rappelé qu'en vertu des articles 8, $ 1”, et 82, des lois “sur le Conseil d'État”, coordonnées le 12 janvier 1978, la section de législation doit pouvoir pendant toute la procédure poser des questions ou entendre le fonctionnaire délégué ou le représentant du ministre, désigné dans la demande d'avis pour donner les explications utiles. Latiention du demandeur d'avis est attirée sur la nécessité de s'assurer de la disponibilité des personnes qu'il désigne pour donner les explications utiles à la section de législation‘. 1l sera veillé à l'avenir au respect des exigences ainsi énoncées parles articles 3, $ 1°, et 82, des lois “sur le Conseil d'État"

FORMALITÉ PRÉALABLE

L'article 86, paragraphe 4, du règlement (UE) n° 2016/679 du Parlement européen et du Consel du 27 avril 2016 “relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)" (ci-après ‘le RGPD”), combiné avec l'article 57, paragraphe 1, c) le considérant 96 de ce règlement, et l'article 2, alinéa 2, de la loi du 30 juillet 2018 “relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel”, prévoit une obligation de consulter l'autorité de contrôle, en l'occurrence l'Autorité de protection des données visée dans la loi du 3 décembre 2017 “portant création de l'Autorité de protection des données”, dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. Il ressort de l'exposé des motifs que “Île présent projet de loi vise à créer une base légale pour l'accès du SPF BOSA au Registre national. © S'agissant d'un avant-projet de loi, on entend par “fondement juridique” la conformité aux normes supérieures. Enl'espèce, el ne pouvait être le cas qu'à partir du 17 aout 2022 I s'agit dès lors bien d'un traitement de données à caractère personnel. L'avis a été salicité auprès de l'Autorité de protection des données le 21 juin 2022 c'est-à-dire pratiquement concomi tamment à la saisine de la section de législation. À l'heure actuelle, cet avis n'a pas été donné de telle manière que si l'accomplissement de cette formalité devait encore donner lieu à des modifications autres que de forme et ne résultant pas également des suites réservées au présent avis, ces moaifications devraient être soumises à nouveau à l'avis de la section de législation, conformément à l'article 3, $ 1”, alinéa 1, des lois coordonnées “sur le Conseil d'État”. Onsenvnons cénéraLes 1. Le texte en projet a pour objet de permettre au Service publi fédéral Stratégie et Appui ou l'organisation qui lui succède d'accéder aux informations visées à l'article 3, alinéa 1, 1° à 2°, 13°, 18° et 16° el alinéa 2, de la loi du 8 aout 1983 “organtsant un registre national des personnes physiques” (article 3, & 1°, de l'avant-projet) ce qui constitue une ingérence dans le droit au respect de la vie privée des personnes concernées, en l'occurrence le personnel des autorités et des institutions publiques visées par l'avant-projet, garanti notamment par l'article 22 de la Constitution et l'article 8 de la Convention européenne des droits de l'homme. Dans son avis n° 70.542/AG/AV donné le 24 décembre 2021 sur un avant-projet de loi relatif à la vaccination obligatoire des professionnels des soins de santé contre la COVID-19", la section de législation a observé ce qui suit: 62. Pour être admissible au regard des dispositions précifées, l'ngérence dans l'exercice du droit au respect de la vie privée doit être définie en des termes clair et suffisamment précis qui permettent d'appréhender de manière prévisible les hypothèses dans lesquelles le législateur autorise une pareille ingérence. Toute ingérence dans le droit au respect de la vie privée doi, en outre, reposer sur une justification objective et raisonnable et, par conséquent, être proportionnée aux buts poursuivis parle législateur: Si les ingérences prévues par le 2 Note de bas de page n° 122 de l'avis cité: As 63.192/2 donné Le 19 avi 2018 sur un avant-projet devenu la loi du 30 juillet 2018 ‘relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (Doc. part, Chambre, 2017-2018, n° 54-3126/001, pp. 402 à 456; http: wwnw.raadvst-consetat beldbxlavis/6319 pdf; avis 63,202/2 donné le 26 avri 2018 sur un avant-projet devenu la loi du 5 septembre 2018 “instituant le comité de sécurité de l'information et modifiant diverses lois concernant la mise en œuvre du Règlement (UE) 2016/679 du Parlement européen du Conseil du 27 avi 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel t à la libre circulation de ces données, et abrogeant a directive 95/46/ GE (Doc. pari, Chambre, 2017-2018, n° 54-3188/00, pp. 120 à 145, Mpi/www raadvst-consotat boldbxlavisl6320 pal. projet à l'examen poursuivent un objectif légitime (voy. supra, n° 43 à 45) il convient de vérifier le respect des exigences de légalité (), de pertinence et de proportionnalité (i). 5 La légalité 63. Surle principe de légalité inhérent au droit au respect de la vie privée garanti par l'article 22 de la Constitution, l'assemblée générale de la section de législation a exposé ce qui suit dans son avis 68.936/AG précité: “Conformément à l'article 22 de la Constitution, tout traite ment de données à caractère personnel el, plus généralement, toute atteinte au droit à la vie privée, sont soumis au respect d'un principe de légalité formelle. En réservant au législateur compétent le pouvoir de fixer dans quels cas et à quelles conditions il peut être porté atteinte au droit au respect de la vie privée, l'article 22 de la Constitution garantit à tout citoyen qu'aucune ingérence dans l'exercice de ce droit ne peut avoir lieu qu'en vertu de règles adoptées par une assemblée délibérante, démocratiquement élue. Une délégation à un autre pouvoir n'est toutefois pas contraire au principe de légalité, pour autant que l'habitation soit définie de manière suffisamment précise et porte sur l'exécution de mesures dont les “éléments essentiels” sont fixés préalablement par le législateur* Par conséquent, les “éléments essentiels” des traitements de données à caractère personnel doivent être fixés dans la loi elle-même. À cet égard, la section de législation considère que, quelle que soit la matière concernée, constituent, en principe, des “éléments essentiels” les éléments suivants: 1°) les catégories de données traitées; 2°) les catégories de personnes concernées; 3°) la finalité poursuivie par le traitement, 4°) les catégories de personnes ayant accès aux données traitées; et 5°) le délai maximal de conservation des données". 2.1. En l'espèce, l'avant-projet détermine l'identité du responsable du traitement (article 3, $ 2, de l'avant-projet, le type de données nécessaires à la réalisation de ces finalités (article 3, $ 1”, de l'avant-projet) le délai de conservation des données (article 4, $ 2, de l'avant-projet), les catégories de personnes concernées par les données qui seront traitées Note de bas de page n° 129 de l'avis cité: Note de bas de page n° 174 de l'avis cité: Déjà invoqué plus avant, numéros 70 êt s. + Note de bas de page n° 124 de l'avis cité: Note de bas de page n° 175 de l'avis cité: Jurisprudence constante de la Cour Gonsttutionnell: voi notamment C.C. 18 mars 2010, n° 29/2010, 8161; C.C, 20 février 2020, n° 27/2020, B.17. <_ Note de bas de page n° 125 de l'avis cité: Avis 68.936/AG précité, observation n° 10 (Doc. par, Chambre, 2020-2021, n° 55-1961/001, p. 119; hp-/iwww raadvst-consetat beldbx! avis16893 pdf) © htpilwwmraadvst-consetat boldbx/avis/7054 pdt. (article 2 de l'avant-projet) et les destinataires ou catégories de destinataires auxquels les données sont communiquées etles circonstances dans lesquelles elles le seront (article 4, $ 1°, de l'avant-projet) 2.2.1 y alieu de relever d'emblée que ne sont pas définies dans l'avant-projet les notions “d'autorité” et “d'institution publique” (article 2 de l'avant-projet) de telle manière que les catégories de personnes concernées par les données traitées ne sont pas strictement énumérées. 2.3. En ce qui concerne les finalités du traitement des données, l'article 5, paragraphe 1 b), du RGPD impose qu'elles soient déterminées, explicites et légitimes. Ces finalités sont décrites comme suit par l'article 2 de l'avant-projet “La présente loi s'applique à la mise en œuvre de l'administration des salaires et du personnel des autorités et inst lutions publiques. Il ya leu de constater que cette formulation est rédigée de manière fort large et qu'il serait utile de la développer afin de pouvoir mieux cemer ce qu'il y a leu d'entendre par “la mise en œuvre de l'administration des salaires et du personnel”. 2.4. En effet, conformément à l'article 5, paragraphe 1, c) du RGPD, les données à caractère personnel qui font l'objet d'un traitement doivent être “adéquates, pertinentes et imitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées”. Si en l'espèce, les données faisant l'objet du traitement sont imitativement énumérées parmi celles énumérées à l'aricle 3 de la loi du 8 aout 1988 (article 3, $ 1“, de l'avant projet) il résulte de l'imprécision des finalités poursuivies qu'il est difficile d'examiner non seulement la proportionnalité des catégories de données retenues mais aussi le caractère strictement nécessaire des données qui feront l'objet d'un traitement au regard des finalités poursuivies”. 2.5. Quant à la durée de conservation des données qui. auxtermes de l'article 5, paragraphe 1, €), du RGPD, ne peut “excé(der) [.. celle nécessaire au regard des finalités pour lesquelles elles sont traitées”, elle doit être pertinente. 1 ressort du commentaire de l'article 4 que “[eJe délai de conservation [de maximum dix ans] est nécessaire afin de par exemple assurer des recalculs corrects des salaires” et qu“alfin de faire face à des futurs amendements législatifs susceptibles d'influer sur le délai de conservation, une réserve est émise dans l'avant-projet de loi au cas où un délai de conservation plus long des données serait prévu dans des lois spéciales”. À ire d'exemple, la question se pose à propos de l'article 4, alinéa 1°, 15, de La loi du 8 aout 1983 qui st relatif à “la mention des ascendants au premier degré, que le lien de fliation soit établi dans l'acte de naissance, par décision juciciaire, par reconnaissance où par une adoption’. À cet égard, une justification plus circonstanciée du choix de la durée de dix ans après la fin de la relation de travail de la personne concernée et des hypothèses envisagées dans le cadre de lois particulières est nécessaire. 2.6. L'avant-projet sera complété en conséquence des observations qui précèdent Le greffier, Le président, Anne-Catherine Martine BAGUET VAN GEERSDAELE PHILIPPE, Roi oes Beuces, À tous, présents et à venir, Saur. Sur la proposition de la ministre de la Fonction publique, NOUS AVONS ARRÊTÉ ET ARRÉTONS: La ministre de la Fonction publique est chargée de le projet de loi dont la teneur suit Article 1° Le présent projet de loi règle une matière visée à l'article 74 de la Constitution. Le présent projet de loi s'applique à la mise en œuvre de l'administration des salaires et du personnel des autorités et institutions publiques.

Art. 3. $ 1°. Afin de mettre en œuvre l'administration des salaires et du personnel des autorités et institutions publiques, le service public fédéral Stratégie et Appui, ou l'organisation qui lui succède, a accès aux informations visées à l'article 3, premier alinéa, 1° à 9°, 18°, 16 et 16°, et deuxième alinéa, de la loi du 8 août 1983 organisant un registre national des personnes physiques et peut utiliser le numéro d'identification du Registre national des personnes concernées. $ 2. Lors du traitement des données informatives mentionnées au paragraphe 1°, l'autorité ou l'institution publique qui emploie la personne concernée agit en qualité de responsable du traitement. Le service public fédéral Stratégie et Appui agit en qualité de sous-traitant.

Art. 4 & 1°. Les données informatives reçues en application de l'article 3 ainsi que le numéro du Registre national ne peuvent être communiquées à des tiers. Ne sont pas considérés comme tiers pour l'application de l'alinéa 1° 1° les personnes physiques auxquelles les données informatives se rapportent ainsi que leurs représentants légaux; qui sont habilitées à recevoir les données informatives conformément à l'article 5 de la loi du 8 août 1983 organisant un Registre national des personnes physiques ou à utiliser le numéro du Registre national: 3° l'autorité ou l'institution publique qui emploie la personne concernée, et ce exclusivement aux fins d'administration des salaires et du personnel. $ 2. Les données informatives ne peuvent être conservées par le service public fédéral Stratégie et Appui que pour autant que cela soit nécessaire à l'exercice de l'administration des salaires et du personnel, en ce qui concerne la personne concernée, avec un délai de conservation de maximum dix ans après la fin de la relation de travail de la personne concernée, sauf disposition contraire dans des lois particulières Donné à Bruxelles, le 14 octobre 2022 PHILIPPE Par LE Roï BMM Autorité de protectior on | Gegevensbeschermin Objet: Avant-projet de loi relative à l'acc et l’utilisation du numéro du Registre nai des salaires et du personnel des autorité Le Centre de Connaissances de l'Autorité de p Présent.e.s: Mesdames Cédrine Morlière et Montjoye et Bart Preneel; Vu la loi du 3 décembre 2017 portant créatio, les articles 23 et 26 (ci-après « LCA »); Vu le règlement (UE) 2016/679 du Parlemer protection des personnes physiques à l'égard libre circulation de ces données, et abrogeant Vu la loi du 30 juillet 2018 re/ative à la prote de données à caractère personnel (ci-après « Vu la demande d'avis de la Vice-Première mini publiques, des Télécommunications et de la F émet, le 9 septembre 2022, l'avis suivant: L OBJET DE LA DEMANDE D'AV 1. La Vice-Première ministre et ministre dé Télécommunications et de la Poste (ci-ay le 23 juin 2022, concernant l'avant-prc personnes physiques et l'utilisation du nu l'administration des salaires et du person projet »).

2

PORTÉE DU PRÉSENT AVIS

1. Compte tenu du nombre exceptionnellem faute de disposer de moyens humains su de procéder à un examen de toutes demandeur n'indique pas que le projet p libertés des personnes concernées et w formulaire ne permettent pas non plus de craprès un avis général!. 2. Cet avis général rappelle les exigences traitements de données à caractère pers aucun cas être déduit du présent avis que de la loi qui s'imposent en vertu du RGP droits fondamentaux de l'Union européer ci-après « la CEDH ») 3

QUANT AU FOND

A. Quant à l'exigence de nécess qui sont encadrés par le pro) À Autorité doi procéder à des choix stratégiques, comp et des principes figurant dans le RGPD (comme le princi C'est la raison pour laquele elle analyse d'abord le de étlau de l'arbcie 36.4 du RGPD, uniquement sur le bese (Ge m'est que dans le cas où les réponses fournies dan normatif implique un risque élevé que l'Autorité pra proprement it et émet concrètement un avis. Dans les autres cas - comme dans le présent doss pas à une analyse du texte du projet de texte appartient au demandeur de s'assurer concrète qualité de Ia loi qui s'imposent en vertu du RGPE dela CEDH. Ave 1857202 - 316 données à caractère personnel constitue une ingérence e et le droit à la protection des données à caractère dmissible que pour autant qu'elle soit nécessaire et s à caractère personnel est considéré comme étant oins attentatoire pour atteindre l'objectif légitime qu'il urer qu'il n'y à pas d'autres mesures moins attentatoires erées qui permettent d'atteindre l'objectif poursuivi. 11 envisagé permette effectivement d'atteindre l'objectif ment qu'il constitue la mesure la moins intrusive dans les ses (critère de nécessité au sens strict). Concrètement, dre l'objectif recherché au moyen d'une mesure moins privée ou le droit à la protection des données à caractère lement envisagé ne pourra pas être mis en place. à caractère personnel est établie, il faut encore que le | proportionné (au sens strict) à l'objectif qu'il poursuit, équilibre entre les différents intérêts en présence, droits n d'autres termes, il faut qu'il y ait un équilibre entre : vie privée et à la protection des données à caractère permet effectivement d'atteindre - ce traitement. Les : données en question doivent donc être plus importants »s personnes concernées (critère de proportionnalité au ir sur l'obligation de s'assurer que les traitements de par le projet ou qui seront mis en place en exécution du et proportionnés à l'objectif poursuivi. sibilité des traitements de données à caractère aitement de données à caractère personnel doit disposer ant à l'article 6.1 du RGPD. Les traitements de données qui sont instaurés par une mesure normal ou e) du RGPD?. 8. En vertu de l'article 22 de la Constitution tels traitements doivent être prévus par ul être prévisible pour les personnes concen ou dont la mise en œuvre implique des | prévisibilté et de précision, de telle so entrevoir clairement les traitements qui lesquelles ces traitements sont autorisés. 9. Toutefois, cela ne signifie pas que chaque spécifique régissant explicitement l'ense contexte. En effet, dans certains cas, | personnel qui est nécessaire à l'exécution norme qui attribue cette mission au resp combinaison avec d'autres normes égaler 10. La question se pose dès lors de savoir 6 spécifique est nécessaire. S'il n'y a pas di de déterminer avec certitude quand ur traitement de données à caractère perso! et à en assurer la prévisibilté, l'Autorité c 11. L'article 6.2 du RGPD prévoit que « Le dispositions plus spécifiques pour adapt qui est du traitement dans le but de res plus précisément les exigences spécifiqu visant à garantir un traitement licite et traitement comme le prévoit le

chapitre 1

12. Le considérant 10 du RGPD, qui est relat la législation générale et horizontale rel directive 95/46/CE, il existe, dans les Eta 2 Arte 6.1 du RGPD: "Le traitement n'est lite que aan est nécssae aurepect dure bat €) le traitement est nécessare à l'exécution d'une mis est investi le responsable du traitement; (.)" 3 Voir également le considérant 41 du RGPD. dans des domaines qui requièrent des dig aux Etats membres une marge de man concerne le traitement de catégories part le présent règlement n'exclut pas que le situations particulières de traitement y & dans lesquelles le traitement de donnée souligne). 13. De plus, le RGPD renvoie également, à plu un encadrement spécifique pour certains imposer l'adoption de. mesures _appre fondamentaux et les intérêts des personn 14. L'Autorité identifie, notamment, trois situe spécifiquement des traitements de donné . lorsqu'il est nécessaire d'assu personnel nécessaire à l'exer simplement au libellé de la r prévoir des garanties spécificoncernées; . lorsqu'il est nécessaire d'asst réaliser un traitement de dt propos, l'Autorité relève que spécifier la finalité concrète être réalisé et, d'autre part, é traitement ne doit, en princip réaliser le traitement de dont obligation légales. . lorsque le RGPD où la L d'encadrement de traitement * C'est le cas, par exemple, pour les traitements portant sens de l'aile 9 du RGPD (données reetves à lorig l'exécution des oblgetions des responsables du traitemer es données qui sont nécessaires pour des maëfs dintér Groupe de travel « Atide 29 », Aus 06/2014 sur ka? données au sens de l'article 7 de la drective 95/46, absence de marge d'appréciation, incombe toujours à concerné à l'obligation en cause ainsi qu'au RGPD. ave sron 66 fiques de sauvegarde pour les droits et libertés des ment de données à caractère personnel constitue une t donc toute ingérence dans le droit à la vie privée) ne it être spécifiquement encadré par une norme de droit apitre spécifique consacré aux traitements de données à ts de données nécessaires à l'exécution d'une mission pour autant que les missions de service public (qui de données à caractère personnel) soient décrites et (telle que les finalités de ces traitements peuvent être dites et qu'on ne se trouve pas dans une des situations nécessaire d'encadrer spécifiquement ces traitements de e RGPD peut, dans certains cas, suffire à encadrer lesdits l'absence de risque spécifique pour les droits et libertés s'assurer que le Projet répond bien à l'exigence de , éventuellement combinée à la lecture du cadre normatif sent entrevoir clairement les traitements qui seront faits x lesquelles ces traitements sont autorisés. ONE 6 ones fe un irakien de catégories parles e donnes à carte 10 RCD cd ré dr ed de ME RES à des RE ds rames nes (22 ROPD 10 D an ce a GE GO à bp de = ”. MMM Autorité de protectio on | Gegevensbeschermir Het Kenniscentrum van de Gegevensbescher aanwezig: mevrouw Cédrine Morlière en mev Montjoye en Bart Preneel; Gelet op Verordening (EU) 2016/679 van h betreffende de bescherming van natuur! persoonsgegevens en betreffende het vrie | 95/46/EG (hierna AVG"); Gelet op de adviesaanvraag de ViceOverheidsbedrijven, Telecommunicatie en Po: Brengt op 9 september 2022 het volgende ac L VOORWERP VAN DE ADVIES) L Vice-eersteminister en minister van Amb IL

REIKWDDTE VAN HET ONDE

Mens (hierna "het EVRM").

IL. TEN GRONDE

A. Wat betreft de vereiste v gegevensverwerkingen die d B. Wat betreft de vereiste vi persoonsgegevens 8. Verder herinnert de Autoriteit eraan dat el of een rechtmatigheidsgrond moet hebb 11. De vraag rijst dan wanneer en in welk 13. Overweging 10 van de AVG, die betrekk samenhang met de algemene en ho 2 Arkel 6, id 1, ven de AVG: "De vernerting is aleen re voorwaarden & voldaan: (.) ©) de venwering is noadzakelk om te volioen aan ee Sd wmerthg & oocttelh var de venin vr toefenng van het openbaar ger2g dt aan de vernerk 3 2 00k verveging 41 van de AVG. Zoverre staat deze verordening niet in dé ‘het gebied van gegevensvenwerking nade te bepalen in weke gevallen verwe (onderstreept door de Autoriteit) 14. Bovendien verwijst de AVG o0k meermaa voor bepaalde venwerkingen van persoon en specifieke maatregelen ter. bescher betrokkenen, op te leggen*. 15. De Autoriteit stelt met name drie situati persoonsgegevens specifiek moet regeler + wanneer het noodzakelifk is! verwerking van persoonsge nodig is om aan zijn wetteli “ Dati ivoarbeeld het geva voor ververkingen betref