Avis, Autorité de protection des données, 2023-06-16

Avis n° 97/2023 du 16 juin 2023
Objet: demandes d’avis concernant 1) un avant-projet de loi portant création de la banque de données commune « Terrorisme, Extrémisme, processus de Radicalisation » (ci-après « T.E.R. ») et modifiant la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, la loi du 30 juillet 2018 portant création de cellules de sécurité intégrale locales en matière de radicalisme, d'extrémisme et de terrorisme et la loi du 5 août 1992 sur la fonction de police (CO-A-2023-144) et 2) un projet d’arrêté royal relatif à la banque de données commune T.E.R. (CO-A-2023-145)
Version originale
Le Centre de Connaissances de l’Autorité de protection des données (ci-après « l’Autorité »), Présent.e.s : Mesdames Cédrine Morlière, Nathalie Ragheno et Griet Verhenneman et Messieurs Yves-
Alexandre de Montjoye et Bart Preneel;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA »);
Vu l’article 25, alinéa 3, de la LCA selon lequel les décisions du Centre de Connaissances sont adoptées à la majorité des voix ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »);
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD »);
Vu la demande d'avis du Vice-Premier ministre et ministre de la Justice et de la Mer du Nord, Monsieur Vincent Van Quickenborne (ci-après « le demandeur »), reçue le 13.04.2023 ;
Émet, le 16 juin 2023, l'avis suivant1 :
I. Objet et contexte de la demande d’avis
1. Le demandeur a introduit auprès de l’Autorité une demande d’avis concernant un avant-projet de loi portant création de la banque de données commune T.E.R. (ci-après « la BDC ») et modifiant la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, la loi du 30 juillet 2018 portant création de cellules de sécurité intégrale locales en matière de radicalisme, d'extrémisme et de terrorisme et la loi du 5 août 1992 sur la fonction de police (ci-après, « le Projet de loi ») ainsi qu’un projet d’arrêté royal relatif à la BDC (ci-après, « le Projet d’AR »).
2. Il est précisé que seules les nouveautés sont explicitées et commentées dans l’exposé des motifs. En ce qui concerne les dispositions existantes, transférées sans modification de fond, il est renvoyé aux justifications qui sous-tendaient leur adoption figurant dans les travaux préparatoires de la loi du 27 avril 2016 relatif à des mesures complémentaires en matière de lutte contre le terrorisme 2 et aux rapports au Roi des AR d’exécution précités.
3. A l’occasion de l’introduction de sa demande d’avis, le fonctionnaire délégué a précisé que l’avis de l’APD était uniquement demandé au sujet de la participation des services, qui ne relèvent pas de la compétence du COC et du Comité R, « au fonctionnement de la BDC ». Par conséquent, même lorsque cela n’est pas expressément mentionné dans le présent avis, il y a lieu de considérer que les observations de l’Autorité ne sont à prendre en compte que « pour autant que les traitements de données à caractère personnel prévus par une version modifiée de ces projets impliquent toujours des services autres que ceux relevant de la compétence du COC et du Comité R ».
a) Concernant la BDC
4. Le projet de loi entend transposer les dispositions de la loi sur la fonction de police (ci-après « LFP ») relatives aux BDC3 dans une loi spécifique et y intégrer, pour reprendre les termes de l’exposé des motifs, « un maximum d’éléments » contenus, à ce jour, dans les arrêtés d’exécution.
5. L’art. 3 du projet de loi dispose que la BDC « permet le traitement commun, par tout ou partie des services de base4 et des services partenaires5, des données à caractère personnel et des informations relatives aux missions de prévention et de suivi du terrorisme et de l’extrémisme, lorsqu’il peut mener au terrorisme (…)6, de ces services, chacun dans le cadre de ses compétences légales ».
6. Par rapport à la situation actuelle, les projets entendent (1) supprimer les accès dont disposaient jusqu’à présent l’Autorité Nationale de sécurité et de la Commission permanente de la police locale (ci-après « la CPPL »), (2) mentionner (et de facto étendre) les droits d’accès du service des Cultes et de la Laïcité et l’administration de la Trésorerie - qui figuraient jusqu’à présent dans un AR - dans la loi, (3) étendre les accès du service des Douanes et accises et du Centre de Crise (mais, en ce qui concerne ce dernier, uniquement pour les détachés de la police et de la Sûreté de l’Etat (ci-après « la VSSE ») au sein de la BELPIU7 et de l’Unité ETIAS8) et (4) créer de nouveaux droits d’accès au profit des services d’Aide à la Jeunesse des Communautés française et germanophone.
7. Seuls les services de base auront la possibilité de « créer une entité » ou fiche d’information9 (d’initiative ou sur proposition d’un service partenaire) au sujet de laquelle, après validation par l’OCAM, tous les services de base et les services partenaires disposant d’un droit d’écriture 10, communiqueront et enregistreront les données (non classifiées) dont ils disposent. Il est expressément prévu que ces fiches d’informations peuvent être communiquées à des destinataires « non partenaires » (par exemple le bourgmestre)11.
8. Les données relatives à la santé (physique et mentale) et des données relatives à la dangerosité d’une personne enregistrées dans la BDC peuvent également être communiquées par les services de base aux professionnels des soins de santé12.
9. Le projet prévoit également une possibilité d’interconnexion d’autres banques de données « opérationnelles » d’un service de base ou d’un service partenaire ou avec une source authentique (par exemple le Registre national ou la DIV), afin de permettre une alimentation automatisée de la BDC par les données de sources authentiques ou la détection de hits par le croisement automatisé des données de la BDC avec les banques de données opérationnelles des services de base et des services partenaires13.
10. L’art. 3 du projet de loi mentionne la création d’ « une » BDC. A cet égard, l’Autorité relève que la mention, dans la loi, du caractère unique de la BDC est une nouveauté par rapport au libellé des textes qu’il entend remplacer14 et à la compréhension du COC, du Comité R15 et du Conseil d’Etat16. L’Autorité présume qu’il s’agit de la concrétisation de la « piste à suivre » annoncée dans le Rapport au Roi accompagnant le projet d’AR du 20 décembre 2019 17. Quoiqu’il en soit, ceci (de même que l’énumération dans la loi de tous les services ayant accès à la BDC 18) ne constitue pas pour autant un modification anodine puisque, par exemple, le service des cultes et de la laïcité, qui n’avait jusqu’à présent légalement accès qu’à la seule BDC PH19 (en vertu de l’AR du 23 avril 2018) 20, disposera désormais d’une base légale pour accéder à « toute » la BDC.
11. Par ailleurs, à la lecture de ces modifications et du nombre de services, « centralisés » dans le projet, ayant accès à la BDC, un doute subsiste quant au sort que le demandeur entend réserver à l’ensemble des « 47 services partenaires » ayant accès à la BDC dont il est question dans le Rapport d’activité 2019 du Comité R21. L’Autorité estime qu’il convient de clarifier ce point.
12. L’Autorité souligne enfin que son prédécesseur en droit – la Commission de la protection de la vie privée –ont rendu de nombreux avis sur des projets de normes législatives et réglementaires relatives à la BDC22. Bien que la compétence de l’Autorité soit aujourd’hui23 limitée par la compétence du COC et du Comité R, l’Autorité y renvoie pour les aspects qui ne sont pas couverts par le présent avis.
b) Concernant les Task Forces Locales
13. Il est par ailleurs prévu que les données à caractère personnel des personnes concernées (couvertes par la notion d’« entité », susmentionnée) devront être consultées par les services de base et les services partenaires en vue de la (1) la concertation coordonnée entre les services de base et les services partenaires, (2) la nécessité stratégique, tactique ou opérationnelle de traiter en commun des données à caractère personnel et des informations pour exercer les missions respectives des services de base et des services partenaires, (3) l’aide à la prise de décisions par les autorités administratives ou à la prise de décisions de police administrative ou judiciaire et (4) l’analyse, l’évaluation de la menace et le suivi, en ce compris la prise de mesures, des entités enregistrées dans BDC et l’analyse, l’évaluation et le suivi du phénomène du terrorisme et de l’extrémisme lorsqu’il peut mener au terrorisme sur base d’une évaluation de la menace.
14. C’est dans cette optique que l’exposé des motifs précise que « l’objectif est aussi, dans le cadre de le stratégie T.E.R24, de mettre l‘accent sur la nécessaire concertation entre professionnels de la sécurité à propos des données contenues dans la banque de données commune T.E.R. lesquels doivent notamment s'entendre sur l’opportunité de la prise de mesures lorsqu’une entité est enregistrée dans la banque de données commune ». Le projet de loi entend rencontrer cet objectif à travers les dispositions du chapitre 3 consacré à la concertation au sein des Task Forces Locales (ci-après « TFL »).
II. Examen
II.1. Principes de prévisibilité et de légalité
15. Conformément à l'article 6.3 du RGPD, lu à la lumière du considérant 41 25 du RGPD, le traitement de données à caractère personnel jugé nécessaire au respect d'une obligation légale 26 et/ou à l'exécution d'une mission...