Avis, Commission pour la Protection de la Vie privée, 2020-12-18

CourtCommission pour la Protection de la Vie privée
Judgment Date18 décembre 2020
ECLIECLI:BE:COPRIV:2020:AVIS.20201218.5
Docket Number138/2020
Link to Original Sourcehttps://juportal.be/content/ECLI:BE:COPRIV:2020:AVIS.20201218.5

1/17

Avis n° 138/2020 du 18 décembre 2020

Objet : projet d'arrêté royal concernant l’enregistrement et le traitement de données
relatives aux vaccinations contre la COVID-19 (CO-A-2020-147)

L’Autorité de protection des données (ci-après l’ "Autorité") ;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier
les articles 23 et 26 (ci-après "la LCA") ;

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement général sur la
protection des données, ci-après "le RGPD") ;

Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements
de données à caractère personnel (ci-après "la LTD") ;

Vu la demande d'avis de Monsieur Frank Vandenbroucke, Vice-premier Ministre et Ministre des Affaires
sociales et de la Santé publique, reçue le 15/12/2020 ;

Vu la demande de traiter la demande d’avis en urgence, plus précisément dans les 7 jours ;

Vu le rapport de Madame Alexandra Jaspar ;

Émet, le [date], l'avis suivant :

.
.
.
Avis 138/2020 - 2/17

I. OBJET DE LA DEMANDE D’AVIS

1. Le Vice-premier Ministre et Ministre des Affaires sociales et de la Santé publique (ci-après le
demandeur) sollicite en extrême urgence (dans les 7 jours) l’avis de l’Autorité sur un projet d’arrêté
royal concernant l’enregistrement et le traitement de données relatives aux vaccinations contre la
COVID-19 (ci-après le projet).

Contexte et procédure

2. Le projet vise manifestement à exécuter l’article 11 d’une proposition de loi portant diverses mesures
relatives aux tests antigéniques rapides et concernant l’enregistrement et le traitement de données
relatives aux vaccinations dans le cadre de la lutte contre la pandémie de COVID-19 (ci-après la
proposition de loi1) qui dispose ce qui suit :
"Le médecin ou l’infirmier qui administre un vaccin contre la COVID-19 ou qui supervise la vaccination
enregistre chaque vaccination dans la base de données désignée par la Conférence interministérielle
Santé publique. Le Roi précise, par arrêté délibéré en Conseil des ministres, les modalités de cet
enregistrement et définit au moins les finalités du traitement de données, les catégories de personnes
à propos desquelles des données sont traitées, les catégories de données traitées, les responsables
du traitement des données ainsi que la durée de conservation des données."

3. L’Exposé des motifs2 de la proposition de loi susmentionnée précise notamment ce qui suit :
"L’enregistrement des vaccinations est nécessaire pour mener une gestion de crise réfléchie, garantir
le suivi médical (vigilance) de la personne vaccinée, suivre l’immunisation de la population et estimer
l’impact sur l’assurance maladie et sur le nombre d’hospitalisations attendues. (…) La base de données
sera créée et gérée en collaboration très étroite avec les entités fédérées. (…) Les entités fédérées et
l’entité fédérale ont l’intention de préciser les règles de l’enregistrement et du traitement de données
que celui-ci implique dans un Accord de coopération au sens de l’article 92bis de la loi spéciale de
réformes institutionnelles du 8 août 1980. Vu l’extrême urgence d’entamer la vaccination et l’absolue
nécessité d’enregistrer les vaccinations pour les raisons susmentionnées, il est entre-temps pourvu à
la présente réglementation."

4. Le projet doit donc encadrer l’enregistrement des vaccinations contre la COVID-19 dans une base de
données des vaccinations ainsi que les traitements de données à caractère personnel y afférents3.

1
Doc. Parl. 55 - 1677/003.
2
Doc. Parl. 55 - 1677/001.
3
Son préambule précise que le projet a trait à une situation de crise exceptionnelle, à savoir l’impact de la pandémie liée au
COVID-19 qui sévit actuellement en Belgique, ce qui donne lieu à des problèmes spécifiques et graves en termes de santé
publique. Dans l’intérêt de la santé publique et pour éviter une résurgence de la pandémie liée au COVID-19, les mesures
nécessaires concernant les vaccinations doivent pouvoir être prises.
Avis 138/2020 - 3/17

5. Le projet définit à cet effet quelles vaccinations de quelles personnes concernées donnent lieu à un
enregistrement dans la base de données des vaccinations (article 2), les catégories de données à
caractère personnel à enregistrer (article 3), les finalités de traitement pouvant être poursuivies
(article 4), la durée de conservation des données enregistrées (article 6), les divers responsables du
traitement en la matière (article 7).
Le projet établit ensuite que les données de la base de données des vaccinations peuvent être
transmises à des instances ayant une mission d'intérêt général pour les finalités dont sont chargées
ces instances par ou en vertu d’une loi, d’un décret ou d’une ordonnance, et ce après délibération de
la chambre sécurité sociale et santé du Comité de sécurité de l’information (article 5).

6. L’Autorité prend acte de l’intention de préciser l’enregistrement des vaccinations contre la COVID-19
et les traitements de données à caractère personnel y afférents dans un Accord de coopération au
sens de l’article 92bis de la loi spéciale de réformes institutionnelles du 8 août 1980.
Elle prend également acte de la mention, dans l’Exposé des motifs de l’article 11 de la proposition de
loi, que l’extrême urgence d’entamer les vaccinations et la nécessité de les enregistrer contraignent le
législateur à attribuer au Roi dans cet article 11 la compétence de préciser entre-temps les règles et
conditions de cet enregistrement et des traitements y afférents, dont au moins les finalités, les
catégories de personnes concernées, les catégories de données à caractère personnel et leur durée de
conservation ainsi que le(s) responsable(s) du traitement.

7. Il appartient d’abord au Conseil d’État d’évaluer cette méthode d’un point de vue juridico-technique.
L’Autorité constate néanmoins qu’en violation de l’article 36.4 du RGPD, la proposition de loi, et son
article 11 en particulier, n’a pas été soumise au préalable à l’avis de l’Autorité 4.

8. L’Autorité souligne que son avis a été émis en extrême urgence5 et uniquement sur la base des
informations dont elle dispose et sous réserve d’éventuelles considérations futures. L’Autorité fait en
outre remarquer qu’il est inhabituel d’émettre un avis sur un projet qui exécute une proposition de loi
qui n’a pas encore été votée.

4
L’Autorité ne comprend pas pourquoi seul le projet d’arrêté d’exécution a été soumis pour avis et non la proposition de loi
proprement dite. Le Conseil d’État est pourtant clair concernant le caractère obligatoire de cette formalité (voir par ex. l’avis
n° 67/692/1/V du 4 août 2020) : "L’article 36, paragraphe 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil
du 27 avril 2016 ‘relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)’,
combiné avec l’article 57, paragraphe 1, c), et le considérant 96 de ce règlement, prévoit une obligation de consulter l’autorité
de contrôle, en l’occurrence l’Autorité de protection des données visée dans la loi du 3 décembre 2017 ‘portant création de
l’Autorité de protection des données’, dans le cadre de l’élaboration d’une proposition de mesure législative devant être adoptée
par un parlement national, ou d’une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement
de données à caractère personnel."
5
L’autorisation pour fin 2020 de divers vaccins contre la COVID-19 est annoncée depuis des mois. L’Autorité regrette dès lors
que l’on ait attendu jusque mi-décembre 2020 pour préciser l’enregistrement des vaccinations contre la COVID-19 jugé
nécessaire en la matière et pour soumettre ce projet de précision à l’Autorité, la contraignant ainsi à se prononcer en extrême
urgence, d’autant que le projet, notamment en raison du traitement à grande échelle de données de santé sensibles, constitue
une ingérence importante dans le droit à la protection des données à caractère personnel.
Avis 138/2020 - 4/17

9. L’Autorité espère en tout état de cause être consultée en temps opportun au sujet de l’Accord de
coopération annoncé dans ce contexte.

II. EXAMEN DE LA DEMANDE D'AVIS

1. Remarques générales concernant la légalité et la prévisibilité du projet

10. La création/l’extension d’une base de données centralisée des vaccinations 6, qui implique un traitement
à grande échelle notamment de catégories particulières de données à caractère personnel sensibles
(en l’occurrence des données de santé), qui poursuit plusieurs finalités distinctes et qui est en outre
rendue accessible à des tiers7, constitue incontestablement une ingérence importante dans le droit à
la protection des données à caractère personnel. L’Autorité rappelle, à cet égard, que toute ingérence
dans le droit au respect de la protection des données à caractère personnel, en particulier lorsque
l’ingérence s’avère importante, n’est admissible que si elle est nécessaire et proportionnée à l’objectif
(ou aux objectifs) qu’elle poursuit et qu’elle est encadrée par une norme suffisamment claire et précise
et dont l’application est prévisible pour les personnes concernées 8.

11. En vertu de l’article 6.3 du RGPD, lu conjointement avec l’article 22 de la Constitution et l’article 8 de
la CEDH, il doit s’agir d’une norme légale formelle (loi, décret ou ordonnance) 9 définissant les éléments
essentiels du traitement accompagnant l’ingérence publique 10. Dans la mesure où les traitements de
données à caractère personnel accompagnant l’ingérence publique représentent une ingérence
importante dans les droits et libertés des personnes concernées, ce qui est le cas en...

Pour continuer la lecture

SOLLICITEZ VOTRE ESSAI

VLEX uses login cookies to provide you with a better browsing experience. If you click on 'Accept' or continue browsing this site we consider that you accept our cookie policy. ACCEPT