- Avis of July 6, 2011

06/07/2011 - 14/2011

Case law

Summary

Sommaire 1

La Commission ne s'exprime pas sur les avant-projets de loi faisant partie du paquet routier qui ne lui sont pas soumis pour avis. Elle se réserve la possibilité d'émettre le cas échéant ultérieurement un avis d'initiative sur ces avant-projets de loi.

D'une part, l'avant-projet combine plusieurs éléments spécifiques35 impliquant un risque accru pour la protection de la vie privée, et d'autre part il comporte plusieurs lacunes à l'égard tant de la réglementation européenne en matière de protection des données (Règlement n° 1071/200936 et Directive 95/46/CE) que de la LVP. En ce qui concerne ce dernier point, la Commission souligne surtout les imprécisions37 dans le texte qui compromettent une application univoque de l'exigence d'autorisation ainsi que l'attribution de responsabilité dans le chef du CSAF, dans le secteur des transports et de la mobilité et en dehors de ce secteur.

Vu le nombre et l'importance de ces éléments, la Commission se voit contrainte d'émettre un avis négatif quant au présent avant-projet de loi.

La Commission prend également l'initiative de signaler au législateur que plusieurs remarques formulées dans le présent avis concernent aussi indirectement la nécessité de préciser et d'adapter les imprécisions formulées de manière similaire dans les lois du 19 mai 2010 (banque-carrefour des véhicules) et du 14 avril 2011 (banque-carrefour des permis de conduire).

La Commission de la protection de la vie privée se tient à disposition pour une éventuelle poursuite de la concertation et pour d'autres discussions ou avis.


Avis - Integral text

La Commission de la protection de la vie privée (ci-après "la Commission") ;

Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après "la LVP"), en particulier l'article 29 ;

Vu la demande d'avis du Secrétaire d'État à la Mobilité, reçue le 08/06/2011 ;

Vu le rapport de monsieur Bart De Schutter ;

Émet, le 06/07/2011, l'avis suivant :

I. OBJET ET CONTEXTE DE L'AVIS

A. Contexte européen de l'avant-projet

1. Selon la demande d'avis, l'avant-projet est "(...) nécessaire et urgent pour satisfaire à l'article 16 du Règlement (CE) n° 1071/2009 du Parlement européen et du Conseil du 21 octobre 2009 établissant des règles communes sur les conditions à respecter pour exercer la profession de transporteur par route, et abrogeant la Directive 96/26/CE du Conseil. Ce Règlement est apparenté aux Règlements (CE) n° 1072/2009 et 1073/2009 qui règlementent l'accès au marché respectivement du transport de marchandises et de personnes par route. Le 4 décembre 2011 au plus tard, tous les États membres de l'Union européenne doivent disposer d'un registre central électronique reprenant toutes les entreprises habilitées de transport de marchandises et de voyageurs par route ainsi que les gestionnaires de transport. Ensuite, ces registres nationaux devront être interconnectés au niveau européen, au plus tard le 31 décembre 2012." [Traduction libre réalisée par le secrétariat de la Commission, en l'absence de traduction officielle]

B. Objet de la demande d'avis

2. La Commission n'examine ci-après que l'avant-projet de loi relative à l'eRegistre des entreprises de transport par route. Les autres avant-projets de loi faisant partie dudit "paquet routier", parmi lesquels figurent également un avant-projet de loi distinct relatif au transport de marchandises et l'avant-projet de loi relatif au transport de voyageurs, n'ont pas été soumis pour avis. La Commission se réserve la possibilité d'émettre le cas échéant un avis d'initiative sur ces avant-projets de loi.

C. Finalité de l'avant-projet

3. La demande précise que "Le projet de loi relative à l'eRegistre vise la création d'un cadre légal pour cette banque de données électronique, lequel tient compte de la protection des données à caractère personnel. Il fait partie dudit "paquet routier" dont font également partie un projet de loi distinct relatif au transport de marchandises et un projet de loi relatif au transport de voyageurs." [Traduction libre réalisée par le secrétariat de la Commission, en l'absence de traduction officielle]

4. Les objectifs (stratégiques) européens de l'eRegistre sont décrits concrètement dans l'Exposé des motifs comme suit :

"- la promotion de la collaboration administrative entre les États membres afin d'améliorer la surveillance des entreprises qui sont actives dans plusieurs États membres et afin de réduire les coûts de la gestion des contrôles ;

- l'amélioration de la transparence en offrant aux "clients" des entreprises de transport un instrument qui leur donne la possibilité de vérifier si les entreprises concernées disposent effectivement des licences appropriées ;

- permettre aux États membres de faire rapport à la Commission quant à l'honorabilité, la capacité professionnelle et la capacité financière des entreprises de transport routier (confection de statistiques) ;

- éviter que les entreprises de transport commettent des infractions dans d'autres États membres que celui où elles sont établies."

D. Deux niveaux d'échange de données

5. Selon l'Exposé des motifs, il y a concrètement deux niveaux d'échange de données, à savoir l'échange de données sur les infractions "graves" à la législation sur le transport (par des transporteurs non résidents) et sur l'honorabilité des transporteurs.

E. Description des données propres à chaque niveau d'échange de données

a. Données relatives à l'échange entre administrations (infractions graves à la législation en matière de transport)

6. Les données échangées pour le premier flux de données concernent "au moins"

- une description de l'infraction, la date et le moment auxquels elle a été commise ;

- la catégorie, le type et la gravité de l'infraction ;

- la sanction infligée et la sanction exécutée.

7. Il faut également y inclure les données relatives à la correspondance entre les administrations des États membres et de l'État de la licence. L'Exposé des motifs affirme ensuite que "L'État membre d'accueil peut, en outre, demander aux instances compétentes de l'état membre d'établissement d'infliger certaines sanctions. L'État membre d'établissement prendra les dispositions adéquates, telles que, par exemple, le retrait de la licence du transporteur, des copies certifiées conformes de cette licence ou de l'attestation de conducteur. Les autorités compétentes de l'État membre d'établissement sont, ensuite, obligées d'informer l'autorité compétente de l'état membre où l'infraction a été constatée, le plus rapidement et au plus tard 6 semaines après la décision définitive en la matière si des sanctions ont été infligées et, dans l'affirmative, lesquelles. "

8. Actuellement, des licences sont octroyées aux entreprises (et non directement à leurs chauffeurs) sur la base d'exigences d'honorabilité, de capacité professionnelle et financière1. Cette "exigence d'honorabilité" est commentée plus avant à l'article 6.1, deuxième alinéa du Règlement (CE) n° 1071/2009, qui dispose notamment que les condamnations, sanctions ou infractions de l'entreprise elle-même, de ses gestionnaires de transport et de toute autre personne concernée qui pourrait être désignée par l'État membre peuvent entrer en ligne de compte pour l'examen de l'exigence d'honorabilité de l'entreprise (de transport). D'après le Règlement, ces sanctions ou infractions peuvent concerner différents domaines parmi lesquels le droit commercial, le droit de l'insolvabilité, le droit salarial et du travail (pour autant qu'il s'applique à la profession de transporteur), la législation relative à la circulation routière, la responsabilité professionnelle et la traite d'êtres humains ou le trafic de stupéfiants.

b. Données concernant l'honorabilité des transporteurs

9. Par ailleurs, l'Exposé des motifs dispose que l'incapacité ou la non-honorabilité d'un transporteur "dépend du fait de savoir s'il n'a pas été condamné pour quelconque fait punissable ou si aucune sanction ne lui a été infligée pour des infractions graves, à savoir à la législation communautaire en matière de transport routier."

II. EXAMEN GÉNÉRAL

A. Considérations générales relatives à l'applicabilité de la LVP et à la cohérence avec la LVP

a. Applicabilité de la LVP

10. D'après article 3 de l'avant-projet, la LVP s'applique aux données à caractère personnel visées dans cet avant-projet. Le Règlement n° 1071/2009 confirme également dans le considérant 82 que l'identification des personnes physiques concernées est un objectif et dans le considérant 14 que les États membres "devraient donc prendre les mesures nécessaires pour garantir le respect de la directive 95/46/CE (...) notamment en ce qui concerne le contrôle du traitement des données à caractère personnel par des autorités publiques, le droit d'information des personnes concernées, leur droit d'accès et leur droit d'opposition. (...)"

b. Personnes concernées

11. Selon les articles 2, point 43, 4 et 6, point 1, alinéa 2 du Règlement n° 1071/2009 et l'article 6 de l'avant-projet, les personnes concernées sont :

i. les entreprises de transport par route ou les entrepreneurs (dans la mesure où il s'agit de personnes physiques) ;

ii. le(s) "gestionnaire(s) de transport" (gérants au sein de ces entreprises) ;

iii. "toute autre personne concernée qui pourrait être désignée par l'État membre".

c. Disposition de concordance avec la LVP

12. L'article 3 de l'avant-projet dispose ce qui suit : "En cas de contradiction entre les dispositions de la présente loi et celles de la loi du 8 décembre 1992, la réglementation la plus favorable à la protection de la vie privée des personnes physiques sera d'application."

13. L'Exposé des motifs n'est pas cohérent en tous points avec ce qui précède étant donné qu'il dispose en haut de la page 5 qu'en cas de contradiction entre les dispositions de l'avant-projet et la LVP, "la présente loi a, en tant que loi particulière, prépondérance sur la loi générale." La Commission demande dès lors de supprimer ce passage de l'Exposé des motifs.

B. Clarté de l'avant-projet/sécurité juridique

14. Contrairement à la situation antérieure à 2009, la Commission se réjouit de voir qu'en ce qui concerne la mobilité, le législateur a manifestement tenté à plusieurs reprises4, et également dans le présent avant-projet, d'ancrer dans la loi les éléments essentiels des traitements (article 22 de la Constitution). Les finalités d'utilisation (article 5) et les données de l'eRegistre (article 6) sont notamment énoncées clairement dans l'avant-projet, tout comme la compétence du Comité sectoriel pour l'Autorité Fédérale (ci-après le "CSAF").

15. Cela n'empêche toutefois pas la Commission de constater malgré tout plusieurs imprécisions dans le texte.

a. Finalités

16. L'article 5 de l'avant-projet reprend la liste suivante des objectifs pour lesquels les données peuvent être utilisées dans l'eRegistre :

"1° rendre possible l'imposition de sanctions administratives ;

2° rendre possible la recherche, la constatation et la poursuite des infractions ;

3° rendre possible l'établissement de statistiques anonymes ;

4° permettre la gestion et la vérification des licences de transport et des conditions d'accès à la profession et au marché des entreprises de transport par route ;

5° coordonner et faciliter le contrôle de la réglementation par l'échange de données avec les États membres de l'Union européenne, de sorte que les entreprises de transport ne prennent pas le risque de commettre des infractions graves ;

6° organiser une collaboration administrative efficace entre les États membres de l'Union européenne, de sorte que les coûts des contrôles par l'autorité ainsi que les charges administratives des entreprises de transport diminuent."

17. La Commission examine plus avant les dispositions des points 1° et 2° ci-après dans le commentaire du principe de proportionnalité.

b. Terminologie "responsable du traitement" vs "service gestionnaire"

18. D'après l'article 1, § 4 de la LVP, le responsable du traitement est (dans l'hypothèse où les finalités et les moyens du traitement sont déterminés par ou en vertu d'une loi) "la personne physique, la personne morale, l'association de fait ou l'administration publique désignée comme responsable du traitement par ou en vertu de cette loi, de ce décret ou de cette ordonnance."

19. D'après l'article 7 de l'avant-projet, le service gestionnaire est "le service responsable du traitement des données à caractère personnel contenues dans l'eRegistre." Le service gestionnaire est, d'après l'article 2, 3° de l'avant-projet "le service compétent pour le transport par route du Service public fédéral".

20. Indépendamment du fait que la désignation de l'administration publique (au sein du SPF Mobilité) aurait pu être plus claire et explicite, l'usage de la terminologie alternative "gestion" et "service gestionnaire"5 au lieu de la terminologie propre à la LVP telle que "responsable du traitement" et "sous-traitant" n'est pas une nouveauté dans le présent avant-projet. On retrouvait déjà aussi ces termes dans la loi du 14 avril 2011 portant des dispositions diverses6 (banque-carrefour des permis de conduire - avis de la Commission n° 14/2010 du 31 mars 2010) et dans la loi du 19 mai 2010 portant création de la Banque-Carrefour des véhicules 7 (troisième avis de la Commission n° 06/2009 du 18 mars 20098).

21. La Commission fait remarquer que l'utilisation et l'introduction systématiques d'une nouvelle terminologie de ce type peuvent donner lieu à une confusion lors de la désignation du destinataire de la norme et de l'attribution de responsabilité en vertu de la LVP, surtout s'il s'agit d'applications en réseau complexes (par exemple, la consultation et/ou la modification de l'eRegistre à distance) ou en lorsque l'on se demande qui doit se charger de l'obligation de déclaration et de l'obligation d'information (article 9 de la LVP) concernant quel(s) traitement(s) .

22. La formulation de l'article 7 de l'avant-projet donne également l'impression (à tort) que l'on doit d'abord connaître le service compétent au sein du SPF Mobilité avant de pouvoir attribuer la responsabilité en vertu de la LVP. D'après l'Exposé des motifs, la dénomination concrète du service compétent n'a pas été précisée dans l'avant-projet de loi "pour anticiper sur de possibles nouvelles dénominations dans le futur (par exemple suite à une restructuration)".

23. Cette approche est non seulement confuse pour la personne concernée, mais n'est en outre pas cohérente avec l'article 1, § 4 de la LVP et l'article 2 (d) de la Directive 95/46/CE sur laquelle se base cet article. Le risque réside en outre dans le fait que de telles notions connaîtront une évolution propre et seront interprétées en tant que telles dans le secteur belge de la mobilité, en porte-à-faux avec la Directive 95/46/CE et l'interprétation européenne des notions complexes de "responsable" et de "sous-traitant"9.

24. Dès lors, la Commission préfère avant tout la suppression d'une nouvelle terminologie de ce type ("service gestionnaire" et "gérer"). Elle recommande pour la suite de n'utiliser qu'une terminologie plus neutre, cohérente avec la réglementation tant belge qu'européenne sur la protection de la vie privée. Cette remarque vaut également pour une éventuelle révision de la législation relative à la banque-carrefour des véhicules et des permis de conduire.

25. Subsidiairement, si le législateur belge souhaite malgré tout maintenir ces notions ("service gestionnaire" et "gérer") - selon le raisonnement qu'elles sont déjà utilisées dans les lois existantes du 19 mai 2010 et du 14 avril 2011 -, la Commission estime qu'il est essentiel de le faire avec la rigueur qui est de mise. La Commission souligne à cet égard les points suivants :

i. une désignation exacte du service au sein du SPF Mobilité qui assume le rôle de responsable du traitement, afin que la personne concernée ne doive pas faire cette recherche elle-même ;

ii. une désignation de l'objet de la responsabilité ; en d'autres termes, à quels traitements cette responsabilité se rapporte-t-elle 10?

iii. les cas d'une éventuelle responsabilité partagée doivent également être définis plus clairement par le législateur (par exemple, en cas de transmission de données à la Banque-carrefour) ;

iv. une utilisation de la terminologie correcte (responsable du traitement, sous-traitant, tiers, ...) (cf. l'article 1, §§ 4 à 7 inclus de la LVP).

c. Détermination des "services qui sont chargés de la collecte primaire et de la tenue à jour des données visées à l'article 6"

26. Au niveau de la rédaction du texte, l'avant-projet s'inspire fortement, sur certains points, de lois analogues relatives à des banques-carrefour comme la loi du 19 mai 2010 (banque-carrefour des véhicules) et la loi du 14 avril 2011 portant des dispositions diverses (banque-carrefour des permis de conduire).

27. Bien que ces projets aient été soumis précédemment à l'avis de la Commission, une nouvelle consultation (voir ci-après) a quand même fait apparaître que plusieurs dispositions analogues des lois précitées ont donné lieu à quelques imprécisions. Au cours de ces derniers mois, la Commission a reçu des questions quant à une interprétation11, tant du SPF Mobilité que de fournisseurs de données structurels de l'actuelle DIV (future banque-carrefour des véhicules)12.

28. La Commission estime notamment que la définition à l'article 8 de l'avant-projet n'est pas suffisamment claire ("services qui sont chargés de la collecte primaire et de la tenue à jour des données visées à l'article 6").

29. Une des questions soulevées précédemment était de savoir si les fournisseurs de données structurels auront automatiquement besoin de et donc le droit d'accéder, en vue de l'exécution de la mission (par exemple, déclaration de sinistres à la banque-carrefour des véhicules), à "autant d'informations que possible" gérées par le SPF Mobilité, et si ces fournisseurs ne doivent dès lors pas être dispensés a priori de l'exigence d'autorisation.

30. La Commission ne souscrit pas à l'interprétation selon laquelle chaque service qui, d'après le législateur, "sera associé au fonctionnement de la Banque-Carrefour" (article 13 de la loi du 19 mai 2010)13 ou "est désigné par le Roi en tant que service chargé de la collecte primaire et de la tenue à jour des données" (formulation de l'article 8 de l'avant-projet et de l'article 12 de la loi du 14 avril 2011) dispose aussi automatiquement d'un droit d'utilisation des données de la banque-carrefour, sans devoir satisfaire à l'exigence d'autorisation (voir ci-après le point concernant l'autorisation du CSAF).

31. La Commission recommande que le législateur distingue plus clairement le droit d'utiliser des données et l'obligation de fournir des données. Autrement dit, l'obligation de fournir des données n'implique pas automatiquement un droit d'utiliser ces données de la banque-carrefour, et cette obligation ne peut pas non plus être confondue avec la tenue à jour des données par le responsable du traitement au moyen des données fournies.

d. Indication de sources authentiques

32. La Commission recommande de désigner clairement les sources authentiques en tant que telles. L'article 8 de l'avant-projet y fait plus que probablement allusion ("services qui sont chargés de la collecte primaire et de la tenue à jour des données"), mais le texte actuel ne mentionne pas littéralement le fait qu'il s'agira des sources authentiques. Lors de la désignation des sources authentiques, il convient également de formuler avec précision quelles données relèvent de leur compétence (ce de manière à désigner une seule source authentique par donnée).14

C. Droits des personnes concernées

a. Droit d'accès

33. Bien que l'article 13 de l'avant-projet15 prévoie un droit d'accès gratuit, d'une part il manque un renvoi explicite à l'article 10 de la LVP, et d'autre part il semble que l'Exposé des motifs déroge à la disposition de l'article 10 de la LVP16 et des articles 32 à 35 inclus de l'arrêté royal du 13 février 2001. Le droit d'accès est en effet défini de manière plus limitée dans l'Exposé de l'avant-projet que dans l'article 10 de la LVP (sur la base de l'Exposé, il semble par exemple que la personne concernée n'ait pas le droit de connaître les catégories de destinataires des données, tandis que l'article 10 de la LVP le prévoit bel et bien). La Commission ne voit pas comment on pourrait justifier une dérogation à l'article 10 de la LVP.

34. La Commission demande d'adapter l'Exposé des motifs en se référant explicitement à l'article 10 de la LVP et à l'arrêté royal de 2001.

b. Éléments supplémentaires liés au droit d'accès (droit de suite)

35. Pour compenser le droit de suite extraterritorial (des services publics) qui permet aux services compétents, en vertu du Règlement n° 1071/2009, d'échanger des données sur les personnes concernées au sein du marché intérieur du transport par route, on peut encourager le législateur à associer plusieurs autres éléments au droit d'accès gratuit, comme :

i. la connaissance des possibilités nationales de recours (également dictée par une autre base juridique que le droit d'accès, comme le droit à un procès équitable17) ;

ii. un droit de suite (pour la personne concernée). Cela signifie qu'outre la consultation de ses données à caractère personnel proprement dites, le droit de consultation dans le cadre d'une plateforme d'échange peut également impliquer que la personne concernée a en principe le droit de vérifier à quels acteurs/instances ses données sont envoyées via l'eRegistre ou par qui ses données sont consultées18. On pourrait préciser ce point dans le texte de l'avant-projet, à l'instar de précédents dans le cadre de la coopération policière et judiciaire19.

c. Droit de rectification

36. Un droit de "rectification gratuite" est prévu à l'article 14 de l'avant-projet, notamment dans le cas où les traitements de données seraient "en violation de la réglementation communautaire, de la présente loi ou de ses arrêtés d'exécution, ou de la loi du 8 décembre 1992." À cet égard, il convient de souligner que le fait d'appliquer le droit de rectification à des données d'appréciation comme l'honorabilité de transporteurs n'est à première vue pas évident, même si l'article 6 du Règlement comporte quelques critères objectifs pour apprécier (notamment) l'honorabilité des personnes concernées.

37. Ainsi, il est généralement admis qu'il faut prévoir la possibilité de mentionner la présence d'une contestation de certaines appréciations (par exemple lors d'une procédure de recours pendante contre une décision de l'administration) en marge d'une appréciation déterminée20 (ce qu'on appelle le "signalement" d'appréciations), de manière à ce que les éventuels destinataires de données puissent, à tout moment, se faire une idée exacte du statut et du contexte des données d'appréciation.

d. Droit d'opposition pour des raisons sérieuses et légitimes tenant à la situation particulière de la personne concernée

38. Bien que le Règlement mentionne explicitement ce droit21, le présent avant-projet ne comporte pas d'explication supplémentaire quant au droit particulier d'opposition des personnes concernées. La Commission demande que soit au moins reprise une référence explicite à l'article 12, § 1, deuxième alinéa analogue à la LVP.

D. Garanties de procédure, principe de proportionnalité et principe de loyauté (article 4, § 1, 1° et 3° de la LVP et article 8 de la CEDH)

a. Principe de proportionnalité/formulation des données traitées relatives à des "faits graves"

39. L'Exposé des motifs22 exige un certain degré de gravité pour les deux types de traitements. En d'autres termes, seules des données relatives à des faits "graves" peuvent donner lieu à un échange d'informations ou à un jugement quant à l'honorabilité des transporteurs. Des faits moins graves ne peuvent ni ne doivent dès lors pas être enregistrés pour les traitements précités.

40. Le Règlement (CE) n° 1071/2009 du 21 octobre 200923 mentionne clairement et à plusieurs reprises le fait qu'il ne s'agit que d'infractions graves. La Commission se réfère notamment aux dispositions suivantes de ce Règlement : considérants 924, 15-16, 24 et article 6.

41. On ne retrouve toutefois pas cette limitation logique de manière suffisamment claire dans le texte de l'avant-projet, en particulier à l'article 5,1° et 5,2° de l'avant-projet. Sur ce point, l'avant-projet donne plutôt l'impression que le SPF Mobilité pourrait enregistrer, pour chaque transporteur, n'importe quel fait sur n'importe quelle infraction et n'importe quelle sanction administrative ou pénale, alors qu'il est quand même question ailleurs (article 6, § 1, 9°) des "données relatives aux infractions graves qui ont donné lieu à une condamnation ou à une sanction, qui peuvent compromettre l'honorabilité en vertu des réglementations visées à cet article".

42. La Commission estime que les deux premiers objectifs énoncés à l'article 525 sont peut-être formulés de manière trop large. L'appréciation de la nécessité de l'échange ainsi que de l'aptitude ou de l'honorabilité des transporteurs doit être considérée dans son contexte (application de normes propres au secteur des transports au lieu de l'application générale de la législation fiscale) et chaque sanction administrative légère (par exemple, une redevance infligée par une entreprise de stationnement) ou chaque infraction (par exemple, une contravention pour stationnement dangereux) ne sera probablement pas de nature à pouvoir remettre en cause d'emblée l'aptitude du transporteur.

43. L'appréciation quant à savoir quel fait est grave ou non est par ailleurs confiée en majeure partie à l'administration.

44. La Commission estime que le législateur doit établir des seuils minimaux de manière plus précise, en tenant compte des différents facteurs qu'il doit définir (par exemple, les circonstances comme les faits répétés ou la récidive, la détermination des infractions que l'administration doit considérer comme graves).

b. Exigence d'un ancrage légal explicite des garanties de procédure

45. L'appréciation de l'aptitude des chauffeurs concerne l'application de différents droits et libertés. À cet égard, il importe que les autorités prévoient des garanties légales et de procédure claires permettant à l'administration de prendre des décisions administratives sur la qualité ou le "profil" positif ou négatif d'un transporteur ou d'un gérant.

46. Étant donné que l'avant-projet implique le traitement de données à caractère personnel sensibles au sens de l'article 8, § 1 de la LVP et que le Règlement n° 1071/2009 prévoit un principe d'accessibilité générale26 (entre services compétents), le législateur (ou du moins le Roi) doit prévoir un certain nombre de garanties adéquates (article 8.5 de la Directive 95/46/CE et article 8, § 4 de la LVP). La Commission pense qu'il faut au moins prévoir des garanties de procédure pour les personnes concernées qui sont énoncées dans le Règlement n° 1071/2009, comme :

i. l'introduction par le législateur de ce que l'on appelle un droit de suite (voir ci-avant) ;

ii. le fait de prévoir des procédures communes pour le traitement de données à caractère personnel entre administrations, au moins au niveau des délais et de la nature des données à transmettre27. Le Roi pourrait recevoir à cet égard une délégation plus large pour définir les modalités de conservation, plutôt que seulement la durée de conservation maximale (article 10 de l'avant-projet) ou le lieu de conservation des données (article 8, troisième alinéa 3 de l'avant-projet) ;

iii. la définition des garanties et conditions d'une éventuelle "accessibilité générale"28 du registre électronique national, après avis de la Commission. À ce niveau, la Commission renvoie à l'arrêt pertinent de la Cour constitutionnelle relatif à la pratique du sport dans le respect des impératifs de santé29, qui a jugé disproportionnée une publication (bien que sous une forme plus large) des consommateurs de produits dopants sur un site Internet ;

iv. le fait de prévoir une obligation de motivation pour l'appréciation du statut d'honorabilité (article 6.2 a), deuxième alinéa du Règlement n° 1071/2009), ce qui est indirectement important si l'on souhaite exercer le droit de rectification.

E. Information aux personnes concernées (article 9 de la LVP)

47. L'article 7 de l'avant-projet dispose ce qui suit : "Le Roi peut, après l'avis du comité sectoriel, déterminer de quelle manière et à quelles conditions le service gestionnaire et les services qui fournissent des données doivent respecter leur devoir d'information conformément à l'article 9 de la loi du 8 décembre 1992."

48. Cet article contraste avec la disposition plus stricte et plus explicite de l'article 17, a) du Règlement n° 1071/2009 énoncée comme suit : "(les États membres veillent en particulier à ce que) toutes les personnes soient informées lorsque des données les concernant sont enregistrées ou qu'il est envisagé de les transmettre à des tiers. Les informations fournies précisent l'identité de l'autorité responsable du traitement des données, le type de données traitées et les motifs d'une telle action ;".

49. La Commission se réfère en outre à la recommandation relative à l'obligation d'information renforcée telle que prévue à l'article 4 de la recommandation européenne en vertu de la Convention n° 108 sur le profilage de personnes physiques30, en particulier aux points sur lesquels la législation n'est pas claire à l'égard des personnes concernées.

50. La Commission demande par conséquent au législateur de reprendre le texte de l'article 17, a) du Règlement dans la disposition de l'article 7 de l'avant-projet.

F. Autorisation préalable du CSAF (article 36bis de la LVP)

51. D'après l'article 12 de l'avant-projet, l'accès à l'eRegistre requiert une autorisation préalable du CSAF (voir l'article 36bis de la LVP).

52. La Commission estime que les exceptions à cette obligation d'autorisation31 - prévues à l'article 12, § 2 (premier tiret) de l'avant-projet - ne concordent pas avec plusieurs facteurs, tels que :

i. l'exigence explicite du Règlement n° 1071/2009 de prévoir un "contrôle du traitement des données à caractère personnel par des autorités publiques" (considérant 14), donc un contrôle de l'autorité de contrôle ;

ii. les dispositions de l'article 20 de la Directive 95/46/CE, dans la mesure où l'exigence d'autorisation préalable du CSAF (tout comme la compétence d'avis de la Commission) doit être comprise comme une mesure d' "examen préalable" recommandée si les traitements impliquent potentiellement des risques spécifiques pour les droits et libertés personnels. Le fait qu'il faut considérer que ces risques spécifiques sont présents en raison de la combinaison d'éléments tels que (notamment) le traitement de données à caractère personnel sensibles au sens de l'article 8 de la LVP et le traitement de profils personnels d'entrepreneurs, de gestionnaires de transport et (éventuellement) de personnes jugées pertinentes (par exemple, des chauffeurs d'autocars ou de camions), comme régi par la recommandation européenne en vertu de la Convention n° 108 sur le profilage de personnes physiques32 ;

iii. le couplage mutuel prévu33 et l' "accessibilité générale" des informations dans l'eRegistre au plus tard au 31 décembre 2012, bien que ce soit pour "toutes les autorités compétentes de l'État membre concerné". Concrètement, le législateur doit se concentrer davantage sur les risques spécifiques pour les personnes concernées, risques qui sont propres à des formes d'accessibilité potentiellement indirectes et involontairement extrêmes dans certains États membres, sur lesquels le considérant 15 et l'article 16.5 du Règlement restent vagues, par exemple via une réutilisation commerciale et/ou une coopération via sous-traitance de la gestion de données. L'expérience montre en effet que la disponibilité d'informations encourage tôt ou tard une demande émanant de tiers visant à accéder à ces informations. La question de savoir s'il faut ou si l'on peut permettre (en combinaison avec d'autres sources juridiques européennes appliquées aux données disponibles dans les eRegistres nationaux) la réutilisation commerciale et/ou la coopération via sous-traitance avec (par exemple) des entreprises d'informations commerciales, des informations mentionnées à l'article 16.2 du Règlement n° 1071/200934 peut dès lors se poser tôt ou tard.

G. Compétence d'avis de la Commission

53. L'avant-projet attribue dans plusieurs articles une compétence d'avis au CSAF en lieu et place de la Commission, comme prévu à l'article 29 de la LVP (notamment l'article 7, alinéa 2, les articles 8 et 15 de l'avant-projet).

54. Pour des raisons de cohérence avec la LVP et de cohérence générale du contenu au niveau des missions d'avis quant à l'application de la LVP à l'égard du législateur, la Commission estime qu'il est préférable de lui confier cette compétence d'avis plutôt qu'au CSAF. Elle demande dès lors que les articles de l'avant-projet soient adaptés.

PAR CES MOTIFS,

La Commission ne s'exprime pas sur les avant-projets de loi faisant partie du paquet routier qui ne lui sont pas soumis pour avis. Elle se réserve la possibilité d'émettre le cas échéant ultérieurement un avis d'initiative sur ces avant-projets de loi.

D'une part, l'avant-projet combine plusieurs éléments spécifiques35 impliquant un risque accru pour la protection de la vie privée, et d'autre part il comporte plusieurs lacunes à l'égard tant de la réglementation européenne en matière de protection des données (Règlement n° 1071/200936 et Directive 95/46/CE) que de la LVP. En ce qui concerne ce dernier point, la Commission souligne surtout les imprécisions37 dans le texte qui compromettent une application univoque de l'exigence d'autorisation ainsi que l'attribution de responsabilité dans le chef du CSAF, dans le secteur des transports et de la mobilité et en dehors de ce secteur.

Vu le nombre et l'importance de ces éléments, la Commission se voit contrainte d'émettre un avis négatif quant au présent avant-projet de loi.

La Commission prend également l'initiative de signaler au législateur que plusieurs remarques formulées dans le présent avis concernent aussi indirectement la nécessité de préciser et d'adapter les imprécisions formulées de manière similaire dans les lois du 19 mai 2010 (banque-carrefour des véhicules) et du 14 avril 2011 (banque-carrefour des permis de conduire).

La Commission de la protection de la vie privée se tient à disposition pour une éventuelle poursuite de la concertation et pour d'autres discussions ou avis.

Pour l'Administrateur e.c., Le Président,

(sé) Patrick Van Wouwe (sé) Willem Debeuckelaere

Free keywords

  • Avant-projet de loi relative à l'eRegistre des entreprises de transport par route (CO-A-2011-015)