Commission pour la Protection de la Vie Privée - Avis du 26 juillet 2006 (Belgique)

Publication date :
26-07-2006
Language :
French Dutch
Size :
4 pages
Section :
Case law
Source :
Justel 20060726-2
Role number :
29/2006

Summary

Sommaire 1

------------------------------
(vide)
------------------------------

---------------------------------------------------
(vide)
---------------------------------------------------

Demande d'avis concernant le projet d'arrêté ministériel fixant les mesures administratives et techniques afin de permettre aux services d'urgence de lutter contre les appels malveillants

http://jure.juridat.just.fgov.be/view_decision.html?justel=F-20060726-2&idxc_id=30195&lang=FR
---------------------------------------------------


Avis

La Commission de la protection de la vie privée (" la Commission ") ;
Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (" LVP "), en particulier l'article 29 ;
Vu la demande d'avis envoyée le 11 mai 2006 par la Vice-Première Ministre et Ministre du Budget et de la Protection de la Consommation ;
Vu le rapport de Monsieur De Schutter ;
Emet, le 26 juillet 2006, l'avis suivant :
A. INTRODUCTION
1. Le 11 mai 2006, la Vice- Première Ministre et Ministre du Budget et de la Protection de la Consommation a demandé à la Commission d'émettre un avis au sujet d'un projet d'arrêté ministériel (ci-après " le projet ") fixant les mesures administratives et techniques permettant aux services d'urgence de lutter contre les appels malveillants. Le projet met à exécution l'article 107, ,§ 2, 2ème alinéa, de la loi du 13 juin 2005 relative aux communications électroniques (ci-après la " LCE ").
La Commission émettra donc ci-après un avis relatif au projet, en tenant compte des informations dont elle dispose.
B. LEGISLATION APPLICABLE
2. La loi du 13 juin 2005 relative aux communications électroniques est applicable, en particulier l'article 107.
3. La LVP est également applicable, puisqu'il est question d'un traitement de données à caractère personnel.
C. EXAMEN DE LA DEMANDE D'AVIS
C.1. Avis n° 24/2003 émis le 12 mai 2003 par la Commission au sujet du projet d'arrêté royal relatif à l'identification de la ligne appelante pour les services d'urgence
4. L'article 107, ,§ 2, 2ème alinéa, de la LCE est libellé comme suit : " (...) (Les centrales de gestion des centres de télé-accueil, du centre anti-poison, de la prévention du suicide, du centre européen pour enfants disparus et sexuellement exploités et des services écoute-enfants obtiennent gratuitement des opérateurs concernés l'identification de la ligne appelante disponible sur le réseau des opérateurs, afin de pouvoir traiter les appels d'urgence et de lutter contre les appels malveillants répétés, même si l'utilisateur a entrepris des démarches pour empêcher l'envoi de l'identification. Le format d'identification de la ligne appelante fournie doit être conforme aux normes ETSI applicables, définies par l'Institut en concertation avec les services d'urgence.
L'identification de la ligne appelante peut être utilisée par les organisations auxquelles il est fait référence dans le présent paragraphe, à l'aide de mesures administratives et techniques approuvées par le ministre sur proposition de l'Institut et de la Commission pour la protection de la vie privée, afin de lutter contre les appels malveillants. Ces mesures ne peuvent toutefois entraîner une inaccessibilité du numéro d'urgence de l'organisation en question à partir d'une connexion bien précise pendant une période ininterrompue excédant 24 heures.) (...) ".
5. Ce paragraphe a été inséré dans l'article 107, ,§ 2, de la LCE, environ un mois après la publication de cette dernière au Moniteur, via la loi-programme du 20 juillet 2005 (Loi portant des dispositions diverses).
Du fait de celle-ci, les centrales de gestion des centres de télé-accueil, du centre antipoison, des centres de prévention du suicide, du centre européen pour enfants disparus et sexuellement exploités et des services " écoute-enfants " ont par conséquent la possibilité d'identifier la ligne appelante et d'entreprendre des démarches en vue de lutter contre les appels malveillants.
6. Pour plus d'informations à ce propos, la Commission souhaite renvoyer à son avis n° 24/2003, relatif à un précédent projet d'arrêté royal concernant également la problématique précitée, à savoir le projet d'arrêté royal relatif à l'identification au profit des services d'urgence de la ligne appelante.
Le dispositif de l'avis susmentionné était rédigé comme suit :
" Compte tenu des informations disponibles, la Commission émet un avis défavorable, sauf en ce qui concerne l'identification des appels d'urgence par le centre anti-poison.
La Commission recommande, en tout état de cause, que soit examinée la possibilité technique pour les membres d'un centre d'appel, sans prendre eux-mêmes connaissance des données d'appel, de mettre immédiatement et automatiquement en contact l'appelant avec les services d'urgence 100 ou 101 qui disposent de la faculté d'identifier directement la ligne appelante et l'appelant.
Cette solution présenterait l'avantage d'éviter l'enregistrement systématique des données d'appel par les services SOS et donc de préserver l'anonymat des appelants, tout en donnant aux services d'urgence les moyens d'intervenir dans des cas exceptionnels.
En ce qui concerne la nécessité de lutter contre les appels malveillants, la Commission considère que la justification sort du cadre fixé par la loi, et que les procédures existantes doivent être considérées comme suffisantes. "
7. Dès lors, la Commission déplore qu'un passage ayant trait à l'identification de la ligne appelante par les services d'urgence ait été ajouté à l'article 107 de la LCE par la loi-programme du 20 juillet 2005 sans que son avis eût été sollicité au préalable à ce propos.
C.2. Discussion article par article
8. Dans les lignes qui suivent, la Commission procède à une analyse des articles du projet.
Article 1
9. Quelques définitions sont fournies dans cet article. Celle de " l'appel malveillant " est donnée au point 4° : " un appel (,) qui n'aboutit pas nécessairement à une conversation (,) qui perturbe ou rend impossible (sic) ou plus difficiles les activités normales et habituelles de l'appelé, en occupant la ligne de l'appelé ou en importunant celui-ci. "
Dans sa forme actuelle, la définition est linguistiquement incorrecte ; de plus, il y a lieu de remplacer " l'appelé " par " le service d'urgence ".
Enfin, il est permis de s'interroger quant à la clarté de la définition donnée de " l'appel malveillant ", d'autant plus que selon la note explicative accompagnant le projet d'arrêté ministériel, les services d'urgence doivent établir à l'intention de leurs collaborateurs des directives relatives à l'application de l'arrêté, plus spécialement en ce qui concerne les éléments concrets permettant de qualifier un appel de " malveillant ". Normalement, la définition devrait être assez claire pour que la loi puisse être appliquée. Il y a donc lieu de la préciser et de la clarifier.
Article 2
10. En vertu de l'article 2, chaque service d'urgence communique à l'IBPT (" l'institut ") les coordonnées de la personne responsable en son sein de l'application de l'arrêté, ainsi que celles des personnes ayant accès aux données relatives à des appels malveillants détenues par le service d'urgence. Chaque année, celui-ci doit transmettre à l'IBPT un rapport relatif à l'application de l'arrêté.
Il ressort de l'article 16, ,§,§ 2, 3 et 4, de la LVP que dans le cadre du traitement, le responsable de celui-ci est soumis à diverses obligations en matière de sécurité et de confidentialité.
Par conséquent, le service d'urgence agissant en tant que responsable du traitement doit notamment prendre des mesures techniques et organisationnelles visant à protéger les données. Le niveau de protection exigé varie en fonction des données, des frais y afférents, de l'état de la technique et des risques potentiels.
Dans la plupart des cas, les données relatives aux appels malveillants détenues par le service d'urgence seront des données judiciaires au sens de l'article 8 de la LVP. Elles requièrent donc un niveau de protection supérieur à la moyenne.
A ce sujet, la Commission renvoie pour information aux normes de sécurité qu'elle a établies, normes qui doivent selon elle être applicables, au cas par cas, à un traitement de données à caractère personnel.
11. Enfin, la Commission souhaite également avoir connaissance du rapport du service d'urgence relatif à l'application de l'arrêté.
Article 3
12. L'article 3 prévoit la possibilité pour les services d'urgence de mettre en place et d'utiliser des " mécanismes automatisés de traitement des appels malveillants ". Ces " mécanismes " utiliseraient les numéros d'appel reçus et enregistrés dans le but de détecter et de traiter les appels malveillants.
L'article 3 stipule ensuite qu'un mécanisme automatisé ne peut pas enregistrer, reproduire ou traiter de quelque autre manière des données à caractère personnel, " hormis le cas où un service d'urgence y est autorisé en vertu d'une autre législation ou réglementation ". Cet alinéa doit être adapté. En effet, dans sa forme actuelle, le projet semble interdire tout enregistrement de données à caractère personnel par un " mécanisme automatisé ", alors que les numéros d'appel dont il prévoit par ailleurs l'enregistrement sont bien des données à caractère personnel au sens de la LVP. Il est donc recommandé de rectifier comme suit l'alinéa : " un mécanisme automatisé ne peut pas enregistrer (...) des données à caractère personnel à l'exception des numéros d'appel ".
Le service d'urgence doit en outre veiller à ce que les numéros d'appel enregistrés ne soient pas communiqués à des tiers. A cet égard, on peut de nouveau se référer aux obligations en matière de sécurité et de confidentialité découlant de l'article 16, ,§,§ 2, 3 et 4 de la LVP.
L'article 3, ,§ 2, prévoit que dans les trente jours suivant un avis en ce sens du Ministre, le service d'urgence doit prendre les mesures (nécessaires) pour que le mécanisme soit utilisé conformément aux exigences de l'arrêté. Aucune disposition n'est prévue pour le cas où le service d'urgence n'obtempérerait pas. Il convient de préciser ici qu'à défaut de se conformer à l'arrêté dans le délai fixé, le service d'urgence ne pourra pas recourir au " mécanisme automatisé " visé à l'article 3.
Article 4
13. Cet article règle la question de l'enregistrement du numéro d'où provient un appel malveillant et de l'envoi à ce numéro d'un message d'avertissement.
Ledit message mentionnera au moins le service d'urgence concerné et l'éventualité, en cas de récidive, d'un blocage de l'accès au service en question, ainsi que les sanctions pénales possibles.
Il devrait également reprendre les autres informations prévues à l'article 9, ,§ 1, de la LVP.
Article 6
14. L'article 6 stipule que le service d'urgence doit établir à l'intention de son personnel des directives relatives à l'application de l'arrêté, et les porter à la connaissance du ministre ainsi que de l'IBPT.
La Commission souhaite que ces directives lui soient également communiquées. Le cas échéant, ceci peut être fait par le service d'urgence, en même temps que la déclaration de traitement que celui-ci doit effectuer auprès de la Commission en vertu de l'article 17 de la LVP.
Article 7
15. Conformément à cet article, le numéro téléphonique à partir duquel un ou plusieurs appels malveillants ont été reçus doit être détruit par les services d'urgence " au plus tard deux mois après le dernier cas d'appel malveillant au départ de ce numéro ".
Il est tout d'abord recommandé de préciser qu'en parlant de destruction du numéro d'appel, on entend par là le fait d'ôter un numéro de téléphone de la banque de données concernant les appels malveillants.
En outre, on peut se poser la question si le délai de deux mois n'est pas excessif au regard de l'article 4, ,§ 1, 5°, de la LVP, en vertu duquel des données à caractère personnel ne peuvent pas être conservées plus longtemps que ne le requiert la réalisation des finalités pour lesquelles elles ont été obtenues.
PAR CES MOTIFS,
La Commission de la protection de la vie privée émet un avis favorable, à condition, toutefois, que les remarques formulées ci-dessus soient prises en considération.
L'administrateur, Le président,
Jo BARET Michel PARISSE