Avis, Autorité de protection des données, 2022-09-29

1/14

Avis n° 232/2022 du 29 septembre 2022

Objet: Demande d’avis concernant un projet d’ordonnance relative à la création d’une
banque de données dénommée Talent.Analytics.brussels (CO-A-2022-235)

Le Centre de Connaissances de l’Autorité de protection des données (ci-après « l’Autorité »),
Présent.e.s : Mesdames Marie-Hélène Descamps, Cédrine Morlière et Griet Verhenneman et Messieurs
Yves-Alexandre de Montjoye, Bart Preneel et Gert Vermeulen ;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier
les articles 23 et 26 (ci-après « LCA »);

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »);

Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements
de données à caractère personnel (ci-après « LTD »);

Vu la demande d'avis du Ministre du Gouvernement de la Région de Bruxelles-Capitale en charge de
la Fonction publique, Monsieur Sven Gatz (ci-après « le demandeur »), reçue le 28 juillet 2022 ;

Émet, le 29 septembre 2022, l'avis suivant :

.
.
.
Avis 232/2022 - 2/14

I. Objet et contexte de la demande d’avis

1. Le demandeur a introduit auprès de l’Autorité une demande d’avis concernant un projet d’ordonnance
relative à la création d’une banque de données dénommée Talent.Analytics.brussels (ci-après, « le
projet »).

2. Ce projet prévoit en substance la communication annuelle, par les entités régionales qu’il désigne,
d’une série de données à caractère personnel relative aux membres de leur personnel à l’Intégrateur
de Services Régional (ci-après « CIRB »), qui est chargé de la pseudonymisation de ces données ainsi
que de l’hébergement et de l’organisation de la banque de données1. A l’aide de ces données
pseudonymisées, le service désigné par le Gouvernement réalise un rapport annuel présentant l’état
des lieux de l’emploi au sein de la fonction publique régionale. Ce rapport - devant répondre au
standard élevé de l’anonymisation - est communiqué au Parlement et aux organisations syndicales 2.

3. Le Gouvernement de la Région de Bruxelles-Capital (ci-après « le Gouvernement ») avait sollicité l’avis
de la Commission de la Protection de la Vie privée (ci-après « CPVP »)3 – prédécesseur de l’Autorité -
sur un projet devenu l’arrêté du 4 décembre 1997 créant une banque de données concernant le
personnel du Ministère de la Région de Bruxelles-Capitale et des organismes d'intérêt public qui
dépendent de la Région de Bruxelles-Capitale4.

4. Il a également sollicité l’avis de la CPVP5 et de la Commission de contrôle bruxelloise6 au sujet d’un
projet d’arrêté créant une banque de données dénommée Observatoire de l’Emploi Public Régional.
Suite à cela, il est apparu que l’adoption d’une ordonnance s’imposait.

5. Le Gouvernement a donc déposé au Parlement, le 27 février 2019, un projet d’ordonnance relative à
la création d’une banque de données dénommée Observatoire de l’Emploi Public Régional remplaçant
un projet d’arrêté du Gouvernement de la Région de Bruxelles-Capitale créant une banque de données

1
Le CIRB n’est toutefois pas désigné comme responsable du traitement
2
Il est par ailleurs publié sur internet
(https://www.talent.brussels/sites/default/files/rapport_talentanalytics.brussels_2021.pdf)
3
Avis n°02/97 du 8 janvier 1997 (https://www.autoriteprotectiondonnees.be/publications/avis-n-2-1997.pdf); la CPVP y
questionnait le caractère nécessaire du traitement de la date de naissance exacte des personnes concernées; voy. également
l’avis n°26.534/2 rendu par la section de législation du Conseil d’Etat le 6 octobre 1997
4
MB 16.07.1998 (http://www.ejustice.just.fgov.be/eli/arrete/1997/12/04/1998031276/justel)
5
16/2016 du 27 avril 2016
(https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/avis_16_2016_1.pdf); voy. également
l’avis n°59.642/4 rendu par la section de législation du Conseil d’Etat le 11 janvier 2017
6
laquelle avait d’abord rendu un avis-décision négatif (n°005/2016 du 10 juin 2016) et ensuite un avis favorable (n°017/2017
du 14 juillet 2017) dans lequel elle avait estimé que le demandeur devait encadrer la banques de données par voie d’ordonnance
et non d’arrêté
Avis 232/2022 - 3/14

dénommée Observatoire de l’Emploi Public régional7 et a sollicité l’avis de l’Autorité à ce sujet8. Ce
projet n’a toutefois jamais été adopté. Par conséquent, les traitements de données nécessaires à la
réalisation du rapport annuel de talentAnalytics.brussels sont, à ce jour, toujours fondés sur l’arrêté
du 4 décembre 1997.

6. L’exposé des motifs du présent projet précise que son but est d’impliquer davantage d’organismes
régionaux, d’adapter l’objet de la banque de données « afin de mieux anticiper l’évolution des emplois
et de fournir un diagnostic plus complet », d’améliorer la collecte des données et d’en collecter de
nouvelles « afin de répondre à d'autres obligations légales et à divers engagements, par exemple le
cadre stratégique européen pour l'éducation et la formation, en matière de diversité et d'intégration
du genre (ex : pourcentage de personnes en situation de handicap,% hommes/femmes dans les comité
de direction ou de gestion), télétravail, plan de personnel, plan de déplacement... ».

II. Examen du projet

II.1. Principes de prévisibilité et de légalité

7. L’Autorité comprend que les données dont le projet prévoit le traitement sont tout d’abord collectées
et traitées par les services des ressources humaines des entités concernées, pour des finalités propres
liées à l’exercice des missions d’intérêt public des entités en question. Le projet entend donc fonder
un traitement ultérieur de ces données (leur communication au CIRB, leur enregistrement, leur
pseudonymisation, leur analyse et, finalement, leur anonymisation dans le cadre de l’élaboration d’un
rapport) à des fins pouvant s’apparenter à du monitoring.

8. L’Autorité souligne d’emblée que le projet présente une ingérence importante dans les droits et
libertés des personnes concernées et ce, pour les raisons suivantes :
- le traitement envisagé concerne l’ensemble du personnel de la fonction publique régionale, soit un
grand nombre de personnes concernées ;
- le traitement à vocation à être réalisé de manière récurrente, pendant une durée indéterminée,
afin de disposer de chiffres actualisés permettant de mettre en évidence des évolutions au sein de
l’administration régionale ;
- plus généralement, la finalité du traitement implique qu’il est susceptible d’avoir un effet sur l’accès
à l’emploi si des mesures (de discrimination positive) sont mises en place, par exemple pour
renforcer la diversité dans la fonction publique régionale.

7
Doc. Parl. Bru., 27 fév. 2019, A-818/1, 2018-2019 (http://weblex.brussels/data/crb/doc/2018-19/136835/images.pdf)
8
Avis 82/2018 du 5 septembre 2018 (https://www.autoriteprotectiondonnees.be/publications/avis-n-82-2018.pdf)
Avis 232/2022 - 4/14

9. Pour rappel, dans le cadre d’un traitement impliquant une ingérence importante dans les droits et
libertés des personnes concernées, l’Autorité considère qu’en vertu de l’article 22 de la Constitution, lu
en combinaison avec l’article 8 de la CEDH et 6.3 du RGPD, une norme de rang législatif doit déterminer
dans quelles circonstances un traitement de données est autorisé. Conformément au principe de
légalité, cette norme législative doit ainsi, en tout cas, fixer les éléments essentiels du traitement.
Lorsque le traitement de données constitue une ingérence particulièrement importante dans les droits
et libertés des personnes concernées, comme c’est le cas en l’espèce, il est nécessaire que les éléments
essentiels suivants soient déterminés par le législateur : la (les) finalité(s) précise(s)9 à la lecture de
laquelle (desquelles) on peut déjà apercevoir les traitements de données qui seront mis en place pour
sa (leur) réalisation, l'identité du (des) responsable(s) du traitement (si c'est déjà possible), les
(catégories de) données qui sont nécessaires à la réalisation de cette (ces) finalité(s), le délai de
conservation des données, les catégories de personnes concernées dont les données seront traitées,
les (catégories de) destinataires auxquels les données seront communiquées, les circonstances dans
lesquelles elles seront communiquées ainsi que l'éventuelle limitation des obligations et/ou des droits
visé(e)s aux articles 5, 12 à 22 et 34 du RGPD. L’Autorité évalue ci-après si tel est bien le cas.

10. L'article 22 de la Constitution interdit par ailleurs au législateur de renoncer à la possibilité de définir
lui-même quelles sont les intrusions qui peuvent restreindre le droit au respect de la vie privée 10. Dans
ce contexte, une délégation au Gouvernement, « n’est pas contraire au principe de légalité, pour autant
que cette délégation soit définie de manière suffisamment précise et porte sur l’exécution de mesures
dont les éléments essentiels sont fixés préalablement par le législateur »11.

11. En l’espèce, le projet délègue au Gouvernement la détermination des catégories de données à
caractère personnel traitées, l’établissement de la liste des entités chargées de communiquer les

9
Voir aussi l'article 6, 3., du RGPD.
10
Avis...