L'Autorité de Protection des Données belge (APD / GBA) dans une décision récente (37/2021) a ordonné à la partie défenderesse (une institution publique souhaitant rester anonyme) de se conformer aux principes de limitation de la finalité du traitement et du respect du principe de minimisation des données, en lui ordonnant de supprimer la mention du titre de noblesse de la carte d'identité de la plaignante. Les faits: La plaignante, membre de la noblesse (comtesse) s'est adressée à sa commune afin de pouvoir faire établir sa carte d'identité et son passeport sans mentionner son titre. La défenderesse a estimé que la demande n'était pas recevable dans la mesure où le titre ferait, à son avis, partie intégrante du nom de la plaignante et devrait donc figurer sur la carte d'identité ainsi que sur le passeport à des fins d'identification. Contestation: La mention du titre de membre de la noblesse d'une personne sur sa carte d'identité est-elle conforme aux principes de limitation des finalités et de minimisation des données?
Le respect des principes généraux du RGPD sera dorénavant un préalable nécessaire à la réalisation de tout traitement de données à caractère personnel. Ces principes sont divisés en 2 grands groupes: les principes qui s'appliquent aux données personnelles et les principes qui s'appliquent aux traitements. Le respect de ces principes doit présider la mise œuvre du processus de mise en conformité des traitements de données à caractère personnel réalisés par un établissement soumis au RGPD. Les principes s'appliquant aux données Le RGPD introduit plusieurs principes qui doivent être appliqués: Le principe de transparence: les données collectées doivent être manipulées en respectant la loi et de manière transparente (communication à la personne concernée avant toute manipulation de ses données); Le principe de limitation des finalités: les données ne doivent servir qu'aux finalités déterminées avant la réalisation du traitement. Les données ne peuvent pas être réutilisées pour une finalité autre que l'initiale; Le principe de minimisation des données: les données collectées et traitées doivent se limiter au nécessaire au regard des finalités du traitement.
Dans le RGPD, on peut lire que les données sont « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Il s'agit du principe de minimisation des données. Mais concrètement, qu'est-ce que cela veut dire? Le principe de minimisation peut en fait se traduire de différentes façons. 1- Limiter sa collecte dès le départ En créant vos propres formulaires, outils ou process de collecte, assurez-vous dès le départ que ces éléments vous permettront de collecter le strict nécessaire. Ainsi, vous éviterez les collectes disproportionnées dès le début! 2- Faire du tri Si les données vous sont fournies directement par les personnes concernées, sans cadre strict, il est fréquent que les collectes de données s'avèrent disproportionnées. C'est le cas lorsqu'on laisse dans des questionnaires des champs libres, ou que l'on utilise des zones blocs notes. Mais cela peut aussi arriver si la personne vous envoie d'elle-même des courriers ou courriels trop généreux en informations!
En même temps, ils doivent correspondre à un ou plusieurs des cas de figure légitimes prévus par le RGPD (finalités légitimes). En principe, les données ne doivent pas être traitées pour des finalités "incompatibles" avec ces finalités d'origine. Principe de minimisation des données Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Egalement appelé principe de nécessité et de proportionnalité, la minimisation des données signifie que vous devez traiter uniquement les données qui sont nécessaires (et non seulement utiles) à la réalisation des finalités. Principe d'exactitude Les données personnelles doivent être exactes, et si nécessaire, tenues à jour. En effet, de bons résultats ne peuvent pas être atteints si le traitement se base sur des données erronées ou caduques. Pour cela, vous devez prendre toutes les mesures raisonnables afin de garantir que les données personnelles inexactes soient rectifiées ou supprimées sans tarder.
À l'inverse, pour un contrat d'assurance habitation, le nombre de personnes dans le foyer et la situation familiale de la personne concernée peuvent être pertinentes. Pour le second ensemble de finalités (pour la prospection commerciale de l'organisme d'assurance), les données sensibles ne sont pas nécessaires. Outre l'application du principe de minimisation, les traitements de certaines catégories de données sont soumis à des restrictions particulières, telles que le NIR dont l'utilisation en dehors des cas d'usages visés par décret (par exemple dans le secteur de la santé ou le secteur social) est interdite. C'est également le cas des données sensibles comme les données de santé, dont le traitement est en principe interdit, malgré certaines dérogations. Traitement du numéro de sécurité sociale (NIR) Toute utilisation du NIR dans un traitement de données personnelles doit être autorisée par un décret en Conseil d'État (en dehors des exceptions prévues par l'article 30 de la loi Informatique et Libertés, telles que les finalités de statistique publique, de recherche, ou de mise à disposition d'un téléservice).
Existe-t-il une base légale (mission d'intérêt public) le justifiant? Motivations de l'APD: Quant au respect des principes de minimisation et de limitation des finalités (article 5 (1) (c) et article 5 (1) (b) du RGPD): L'APD belge considère que l'indication du nom, du prénom, de la date et du lieu de naissance ainsi que le numéro de registre national de la plaignante sont suffisants pour l'identifier. Le fait que jusqu'en 2011, la mention du titre de noblesse sur le passeport était facultative tend à appuyer le fait que le titre de noblesse n'est pas nécessaire aux fins d' identifier l'intéressée. L'APD belge considère en outre que dans la mesure où la carte d'identité est appelée à être utilisée régulièrement et au quotidien, il est nécessaire d'être d'autant plus vigilant que seules les informations strictement nécessaires à son identification y figurent. Quant à la base juridique de l'exercice d'une mission d'intérêt public (article 6, paragraphe 1, point e), du RGPD): Dans l'état actuel du droit, l'APD belge constate qu'il existe une incertitude concernant l'obligation ou non d'afficher le titre à côté du nom sur les pièces d'identité.
2. a du RGPD). Pour être valable, il doit être libre, éclairé, spécifique et univoque. Le caractère libre du consentement doit faire l'objet d'une attention particulière dans le cas de l'exécution d'un contrat, y compris pour la fourniture d'un service: refuser de consentir à un traitement qui n'est pas nécessaire à l'exécution du contrat ne doit pas avoir de conséquence sur son exécution ou sur la prestation du service. Pour être libre, ce consentement doit donc porter sur des traitements nécessaires à l'exécution du contrat d'assurance. Le consentement explicite pourra notamment permettre le traitement de données de santé dans le cadre de contrats ne relevant pas du domaine de la protection sociale, tels que l'assurance emprunteur ou la prévoyance individuelle. Le traitement des données de santé est également possible dans certaines conditions pour la constatation, l'exercice ou la défense d'un droit en justice. Attention au secret médical En tout état de cause, outre la question de la base légale des traitements de données de santé, certaines données sont couvertes par le secret médical, et imposent alors la mise en place de mesures techniques et organisationnelles spécifiques pour assurer leur confidentialité.