- Avis du 9 février 2011

09/02/2011 - 7/2011

Jurisprudence

Résumé

Sommaire 1

Avis - Texte intégral

Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après LVP), en particulier l'article 29 ;

Vu la demande d'avis du Ministre des Finances reçue le 13/12/2010;

Vu le rapport de Monsieur Peter Poma;

Émet, le 9 février 2011, l'avis suivant :

A. OBJET DE LA DEMANDE

1. Le 13 décembre 2010, la Commission a reçu un courrier du 10 décembre 2010 de Monsieur D. Reynders, Ministre des Finances, demandant un avis sur un projet d'arrêté royal relatif à la Centrale des Crédits aux Entreprises (CCE). Ce projet vise à exécuter la loi relative à la CCE (LCCE) dont le projet a été soumis pour examen par même courrier adressé à la Commission et qui fait l'objet d'un avis distinct émis à la même date.

B. LEGISLATION APPLICABLE

2. La Loi Vie Privée est d'application lorsqu'il est question d'un traitement de données à caractère personnel (art. 3 de la Loi Vie Privée).

3. Il ressort du projet de LCCE que sont visées les entreprises tant personnes morales que personnes physiques. La Loi Vie Privée est d'application au traitement de données des personnes physiques (indépendants) dans la CCE ou des personnes indirectement identifiables par référence à des éléments spécifiques. Les dispositions du projet d'arrêté royal concernant ces mêmes personnes, les traitements mis en oeuvre sont soumis à la Loi Vie Privée.

C. EXAMEN DE LA DEMANDE D'AVIS

4. Observation : le projet de texte de l'arrêté royal n'est pas accompagné d'un rapport au Roi, ce qui n'en facilite pas ni la compréhension, ni l'analyse de la pertinence du traitement de certaines données.

Article 1er

5. Cet article procède à la définition de certains termes et ne suscite pas de remarque.

Article 2

6. Cet article exécute l'article 4 alinéa deux du projet de LCCE en déterminant :

• les bénéficiaires dont les contrats ne sont pas enregistrés dans la CCE ;

• les contrats dont les données ne pas enregistrées dans la CCE (parmi ces contrats, sont visés ceux dont l'enregistrement est régi par la loi du 10 août 2001 relative à la Centrale des Crédits aux Particuliers ou encore, ceux qui tombent dans le champ d'application de la loi du 12 juin 1991 relative au crédit à la consommation).

La Commission n'a pas de remarque à ce propos, mais attire l'attention sur le fait que l'article 3, § 1er, 5° de la loi du 12 juin 1991 relative au crédit à la consommation visé à l'alinéa 2, 4° de l'article 2 a été abrogé le 1er décembre 2010 par l'article 4, d) de la loi du 13 juin 2010 modifiant la loi du 12 juin 1991.

Article 3

7. Cet article définit les données qui sont enregistrées dans la CCE :

• au § 1er en fonction du type de bénéficiaire, personne morale ou personne physique ;

• au § 2, en ce qui concerne les contrats :

- les points 1° et 2° : bien que ceci ne soit pas explicitement précisé, on peut considérer qu'il s'agit jusqu'ici des données du volet positif de la CCE ;

- les points 3° à 5° : il s'agit des données du volet négatif de la Centrale. Concernant la probabilité d'un défaut de paiement dans un délai de 1 an, la Commission en estime les critères insuffisamment précisés.

8. Concernant les données des personnes physiques bénéficiaires qui sont enregistrées dans la CCE, seules les données essentielles (nom, prénom, date de naissance) peuvent être enregistrées, sous peine de redondances. En cas de nécessité, les données volatiles doivent être recherchées auprès de la source authentique en la matière via l'usage d'un webservice.

Pour ces mêmes personnes, la Commission recommande qu'il soit fait référence à l'adresse du siège de l'entreprise par préférence à celle du domicile ou de la résidence de la personne physique, sauf en cas d'absolue nécessité.

Les conditions d'accès à la BCE doivent évidemment être respectées. Les données enregistrées doivent en outre être mises à jour au sein de la Centrale (article 4, § 1er, 4° de la LVP).

Article 4

9. Cet article énonce, aux §§ 1er à 5, le principe de la communication des données énumérées à l'article 3 par les institutions (à l'exception généralement de la situation juridique du bénéficiaire).

Avis 07/2011 - 4/6

Il prévoit une série d'exceptions à la communication de certaines données selon le type d'institutions déclarantes. Ces exceptions apparaissant a priori pertinentes (par ex., non disponibilité de la donnée), la Commission n'a pas d'objection à cet égard.

10. Le § 6 exécute l'article 5 du projet de loi et dispose, notamment, que les institutions tenues à déclaration ne communiqueront le numéro d'identification du Registre national que si le bénéficiaire ne dispose pas d'un numéro d'entreprise. Sur cette question, la Commission renvoie à l'avis de même date sur le projet de LCCE.

Article 5

11. Cet article oblige à la communication mensuelle des données et en fixe le délai. Pas de remarques.

Article 6

12. L'alinéa 1er de cet article vise l'exercice par la personne physique de son droit d'accès ou de rectification.

Le projet prévoit, pour celui qui exerce ce droit, l'obligation d'attester de son identité au moyen, notamment, de sa carte d'identité. Il n'est pas requis de joindre à sa demande une photocopie recto-verso de son document d'identité1.

1 Ce qui est requis pour l'exercice de son droit d'accès à ses données dans la Centrale des Crédits aux Particuliers.

2 En bref, parmi les données du volet négatif, ne sont communiquées à la personne intéressée que les défauts de paiement consécutifs au non-remboursement total ou partiel d'un somme dans un délai de 90 jours !

13. L'alinéa 2 prévoit que les données relatives à la probabilité de la survenance d'un défaut de paiement dans un délai de 1 an ainsi qu'au montant total que l'institution estime pouvoir récupérer en recourant à toutes les garanties fournies ne sont pas communiquées dans la réponse de la Centrale2 à l'exercice du droit d'accès.

La Commission émet les plus expresses réserves sur le contenu de cet alinéa. En effet, un arrêté royal ne peut déroger à la loi, en l'occurrence l'article 10 de la Loi Vie privée qui prévoit la communication, sous une forme intelligible, à la personne concernée de ses données faisant l'objet d'un traitement. Certes, l'article 3, § 5 de la Loi Vie Privée énumère limitativement les hypothèses dans lesquelles les articles 9, 10 § 1er et 12 de la loi ne s'appliquent pas. La Commission constate que l'on ne se trouve dans aucune de ces hypothèses. Une dérogation éventuelle devrait être prévue par une loi. En outre, la Commission estime qu'une telle dérogation ne serait admissible que si les données liées à un risque de défaut de paiement étaient bien enregistrées de manière codée ainsi qu'elle le recommande dans son avis sur le projet de loi.

14. Dans la prolongation du droit d'accès et des mesures organisationnelles et techniques requises en matière de sécurité (cf. l'article 16 de la Loi Vie privée), la Commission recommande avec insistance de prévoir une journalisation (logging) en vue du traçage des accès aux données permettant à l'instar de ce qui se fait au Registre national3 à la personne concernée de prendre connaissance des entités qui, aux cours des 6 mois écoulés, ont consulté ou mis à jour ses données. Il faudra tenir compte, au besoin, des restrictions d'information et d'accès à certains défauts de paiement.

Article 7

15. Il est prévu qu'en cas de consultation de la Centrale par les institutions, la réponse ne mentionnera au rang des données enregistrées, ni le nom de l'institution déclarante, ni le montant total que l'institution déclarante estime pouvoir récupérer en recourant à toutes les garanties fournies, ni les données relatives à la probabilité de la survenance d'un défaut de paiement dans un délai de 1 an (en ce compris la date et le montant du défaut). Voir avis de même date sur le projet de LCCE.

16. En cas de consultation de la Centrale par les entreprises d'assurance-caution et d'assurance-crédit, la réponse ne mentionne aucunes données relatives aux défauts de paiement.

La Commission n'a pas de remarque à formuler sur cet article.

Article 8

17. Les données enregistrées dans la Centrale sont conservées au maximum 1 an après leur date de référence en vue de leur consultation par les institutions. Sauf élément qui échappe à la Commission, des données relatives à un contrat arrivé à échéance pourraient être conservées dans la CCE encore un an après la date de référence à laquelle cette échéance a été communiquée. La Commission ne saisit pas a priori dans une telle hypothèse ce qui justifie une durée de conservation de 1 an. Selon les explications fournies par la CCE, l'évaluation d'un risque sur un débiteur va au-delà de sa situation au moment de l'interrogation. Il peut être important de connaitre une situation plus ancienne (1 an suffit) et l'évolution de celle-ci au cours de plusieurs mois. Actuellement, cette conservation est de 27 mois maximum (cf. l'article 10 de

'Arrêté royal du 12 décembre 1994 relatif à la centralisation des informations relatives aux risques de crédit) alors que dans les centrales semblables étrangères, cette durée va jusqu'à 10 ans.

Si cela est vraiment utile, la Commission se demande pourquoi les données des contrats de crédit ne sont conservées dans la CCP pendant un an que lorsqu'il y a eu une défaillance régularisées mais disparaissent au plus tard dans les trois mois et 8 jours, en cas de remboursement sans avoir connu de défaillance. N'y aurait-il pas lieu de procéder ici également à cette distinction ?

18. La possibilité de conservation plus longue à des fins scientifiques ou statistiques devrait être explicitée quant aux modalités de cette conservation (mesures de sécurité adoptées, données rendues non-identifiables et/ou codées, etc...).

Articles 9 à 11

19. Etant donné que la Commission considère que lorsque la source authentique (la BCE) dispose des données nécessaires et que celle-ci a, par ailleurs, un lien avec le Registre national, l'accès aux données doit s'opérer par la BCE.

20. La Commission attire l'attention sur le fait que le Roi n'est plus compétent pour autoriser l'accès aux données du Registre national et l'utilisation du numéro d'identification du Registre national.

PAR CES MOTIFS,

La Commission émet un avis favorable sur le projet d'arrêté royal pour autant que celui-ci soit davantage explicite (à défaut, dans un rapport au Roi) et tienne compte des remarques émises aux points 8, 10, 13, 14, 17, 18, 19 et 20 du présent avis.

Pour l'Administrateur e.c., Le président,

(sé) Patrick Van Wouwe (sé) Willem Debeuckelaere

Mots libres

  • Projet d'arrêté royal relatif à la Centrale des Crédits aux Entreprises (CO-A-2010-030)