RGPD - Communication de données extraites du Registre de la Population - Protocole d'échange des données - Pour approbation

Description

Délibération

Vu l'article L1122-30 du Code de la démocratie locale et de la décentralisation,

Vu le règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après RGPD),

Vu la loi du 8 août 1983 organisant le Registre national des personnes physiques,

Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel,

Vu l'arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers,

Vu les instructions du SPF Intérieur relatives à la tenue des registres de la population dans leur version coordonnée du 31 mars 2019,

Considérant le courrier de Monsieur Nicolas CORDIER, administrateur délégué de la SA INESU-IMMO , inscrite à la Banque Carrefour des Entreprises sous le numéro BE 412.377.880, et dont le siège social est situé à 1348 Louvain-la-Neuve, Place Louis Pasteur n°3 (Bâtiment Mercator, 2e étage), daté du 21 novembre 2024 et portant sur l'enquête démographique UCLouvain 2025,

Considérant que ce courrier porte sur une enquête visant le recensement de la population de Louvain-la-Neuve permettant notamment de planifier le développement urbain en matière d'habitat,

Considérant que cette enquête a déjà connu plusieurs éditions depuis 1994,

Considérant que l'INESU-IMMO (mandatée par l'"UCLouvain") a déjà reçu le concours de la Ville dans le cadre de la réalisation de ces enquêtes,

Considérant que cette enquête vise notamment :

• "la mise à jour des résultats des dernières éditions",
• "l'analyse de l'évolution de la "spécialisation" des quartiers de Louvain-la-Neuve", et plus précisément "l'évolution et l'occupation des développements immobiliers les plus récents à savoir le quartier de Courbevoie, la zone AGORA et les immeubles compris dans la zone rue Charlemagne, Grand Place, rue du traité de Rome, la Place du Coq Hardy et la Place de l'Université", 

Considérant qu'afin de réaliser cette enquête, la SA INESU-IMMO (mandatée par l'"UCLouvain") sollicite l'accès de données extraites du "Registre de la Population" et concernant la "population résidente" à Louvain-la-Neuve,

Considérant que l'INESU-IMMO  demande plus spécifiquement l'accès aux données suivantes :

• le nom et prénom (en clair),
• le sexe,
• la date de naissance (jour, mois, année),
• le lieu de naissance
• la nationalité,
• l'adresse précise,
• le code d'identification du ménage,
• la composition du ménage
• l'état civil,
• la filiation, le lien avec la personne référence du ménage
• la date d'entrée dans la commune,
• la commune de provenance,

Considérant que, même si la législation en vigueur autorise le traitement des données à caractère personnel à des fins archivistiques, historiques, statistiques et scientifiques, des conditions spécifiques doivent être respectées pour ce faire,

Considérant qu'en l'état, la demande de la SA INESU-IMMO (mandatée par l'UCLouvain) est conforme aux conditions prescrites par l'article 7 de l'Arrêté Royal du 16 juillet 1992 relatif à la communication des informations contenues dans le Registre de la Population en ce que :

• le demandeur fait bien partie d’un organisme de droit belge remplissant une mission d’intérêt général ainsi que voulu par l'article 7 de l’arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers,
• la demande porte, de manière générale, sur une étude scientifique et statistique,
• le demandeur a bien introduit sa demande par écrit, à l'attention du Collège communal,

Considérant qu'en l'état, la demande de l'INESU-IMMO (UCLouvain) n'est pas conforme en ce que :

• elle porte en partie sur des données sortant du cadre autorisé par l’article 7 de l’arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population, à savoir que ne peuvent être communiquées les données relatives :
  • à la date d'entrée dans la commune,
  • à la commune de provenance,

Considérant l'avis positif sous conditions de la DPO:

La demande adressée par la SA INESU-IMMO est recevable en ce qu’elle respecte les conditions prescrites par l’article 7 de l’arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans les Registres de la population.

Les informations contenues dans le courrier de Monsieur Nicolas Cordier en date du 21 novembre 2024 permettent d’apprécier les principes de finalité de la demande ainsi que les mesures de sécurité qui seront prises pour protéger les données communiquées.

Nous attirons cependant l'attention sur le fait qu'en terme de proportionalité, certaines informations demandées telles que la date complète de naissance ainsi que les noms et prénoms des personnes concernées sortent du cadre. Il serait dès lors opportun de redéfinir les données qui seront effectivement communiquées ainsi que leur mode de transmission au travers d'un protocole d'échange de données.

En conséquence de quoi, la déléguée à la protection des données remet un avis positif aux conditions suivantes :

1. Un protocole de communication de données devra être établi tel que prévu par l’article 20 de la loi du 30 juillet 2018 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel ;
2. La communication des données entre la Ville et l’UCLouvain se fera de manière sécurisée :
   • Le fichier transmis sera verrouillé au moyen d’un mot de passe.
   • Le fichier sera déposé sur un serveur sécurisé de la Ville et communiqué à l’UCLouvain au moyen d’un lien permettant le téléchargement de ce fichier ; le fichier sera supprimé endéans les 10 jours ouvrables après la communication du lien et du mot de passe.
   • La communication du mot de passe pour ouvrir le fichier sera réalisée par un autre moyen que celui utilisé pour la communication du lien permettant le téléchargement du fichier.

Considérant en conséquence qu'il convient d'encadrer ce transfert de données à caractère personnel par un protocole d'échange de données,

Considérant que l'échange des données ne se fera que sous réserve de réception du mandat par lequel l'UCLouvain permet à la SA INESU-IMMO de l'engager et de signer ledit protocole,

Considérant le projet de protocole ci-annexé,

DECIDE PAR 30 VOIX CONTRE 1 :

1. D'approuver le protocole à conclure avec la SA INESU-IMMO , inscrite à la Banque Carrefour des Entreprises sous le numéro BE 412.377.880, et dont le siège social est situé à 1348 Louvain-la-Neuve, Place Louis Pasteur n°3 (Bâtiment Mercator, 2e étage) - mandatée par l’Université catholique de Louvain (« UCLouvain »), inscrite auprès de la Banque Carrefour des entreprise sous le numéro 0419.052.272 et dont les bureaux sont sis à 1348 Ottignies-Louvain-la-Neuve, Place de l’Université 1  tel que rédigé comme suit :

Le présent protocole est conclu conformément à l’article 20 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (LTD). À cet égard, il a également été tenu compte de la recommandation de l’Autorité de protection des données (APD) n° 02/2020 du 31 janvier 2020.

Entre :

1. La Ville d’Ottignies-Louvain-la-Neuve, inscrite auprès de la Banque carrefour des entreprises sous le numéro 0216.689.981 et dont les bureaux sont sis à 1340 Ottignies-Louvain-la-Neuve, avenue des Combattants, 35, valablement représentée par Monsieur Nicolas Van der Maren, Bourgmestre et Monsieur Grégory Lempereur, Directeur général, agissant en exécution de la délibération du Conseil communal du …

Ci-après : dénommée « la Ville »;

Et :

2. La SA INESU-IMMO (en charge du développement urbain de l’UCLouvain), inscrite auprès de la Banque carrefour des entreprises sous le numéro 412.377.880 et dont les bureaux sont sis à 1348 Ottignies-Louvain-la-Neuve, Place Louis Pasteur n°3, valablement représentée par Monsieur Nicolas Cordier, en sa qualité d’administrateur délégué.                                                                                                                                                                                                                La SA INESU-IMMO est mandatée par l’Université catholique de Louvain (« UCLouvain »), inscrite auprès de la Banque Carrefour des entreprise sous le numéro 0419.052.272 et dont les bureaux sont sis à 1348 Ottignies-Louvain-la-Neuve, Place de l’Université 1. (Voir le mandat en annexe dudit protocole)

Ci-après : dénommée « l’INESU »;

Après avoir exposé (dispositions introductives) :

1. L’UCLouvain porte depuis de nombreuses années une attention particulière à l’évolution démographique à Louvain-la-Neuve et procède régulièrement à des recensements et enquêtes à ce sujet. Ceux-ci lui ont permis de recueillir des informations permettant notamment de planifier le développement urbain en matière d’habitat. L’exploitation scientifique de ce recensement est réalisée par le Centre de recherche en démographie de l’UCLouvain. Plus concrètement, la recherche porte sur :

1. La population inscrite au Registre de la population de la Ville d’Ottignies-Louvain-la-Neuve et domiciliée à Louvain-la-Neuve (code postal : 1348). L’analyse porte sur les effectifs de la population, la structure par âge et sexe, la situation de ménage et la, nationalité à l’échelle de Louvain-la-Neuve et de ses quartiers et sous-quartiers. Les résultats s’inscriront dans une perspective temporelle, car comparés à ceux des cinq dernières éditons du recensement de la population de Louvain-la-Neuve. Il s’agit donc de la mise à jour des opérations de recensement de la population de Louvain-la-Neuve réalisées précédemment.
2. La population résidente de trois zones spécifiques située à Louvain-la-Neuve (code postal : 1348) :

• Le nouveau quartier Courbevoie ;
• La zone Agora (immeubles compris dans la zone : rue de l’Hocaille, place Raymond Lemaire, cours Michel Woitrin, rampe du Val (Hôtel Martins et résidence services, immeuble à appartement) ;
• Les immeubles compris dans la zone : rue Charlemagne, Grand Place, rue du Traité de Rome, Place du Coq Hardy et place de l’université. En ce qui concerne ce dernier, les résultats seront comparés à ceux extraits des recensements réalisés précédemment. Cela nécessitera de circonscrire cette zone dans les bases de données précédentes.

2. Le délégué à la protection des données de la Ville a fourni un avis en date du 15/01/2025. Celui-ci est joint en annexe du présent protocole.
3. Le délégué à la protection des données de l’UCLouvain a fourni un avis en date du 20/02/2023. Celui-ci est joint en annexe du présent protocole.
4. Une fois conclu, le protocole sera publié par les parties sur leur site Internet.

Il est convenu ce qui suit :

Article 1^er - Identification de l’autorité publique qui communique les données à caractère personnel ainsi que du destinataire (LTD, article 20, § 1^er, 1° - 2°)

Le présent protocole est établi entre :

1. La Ville d’Ottignies-Louvain-la-Neuve (ci-après « la Ville »)

Et

2. La SA INESU-IMMO (ci-après « l’INESU »)

Et est conclu par leurs responsables de traitement, à savoir :

1. Pour la Ville : le Collège communal, représenté par Monsieur Nicolas Van der Maren, Bourgmestre ;
2. Pour l’INESU : Monsieur Nicolas Cordier, Administrateur délégué.

Article 2 - Coordonnées des délégués à la protection des données (LTD, article 20, § 1er, 3°)

La déléguée à la protection des données de la Ville peut être contactée :

• par courrier postal à l’adresse suivante : Avenue des Combattants, n°35 à 1340 Ottignies-Louvain-la-Neuve ;
• par e-mail à l’adresse suivante : [email protected].

La déléguée à la protection des données de l’UCLouvain peut être contactée :

• par courrier postal à l’adresse suivante : Place de l’Université, 1 bte L0.01.07 à 1348 Louvain-la-Neuve ;

• par e-mail à l’adresse suivante : [email protected]

Article 3 - Finalités pour lesquelles les données à caractère personnel sont communiquées (LTD, article 20, § 1^er, 4°)

L’objectif poursuivi par ce traitement de données est la planification du développement urbain de Louvain-la-Neuve en regard de son évolution démographique.

Cela implique l’étude des différents profils de population représentés à Louvain-la-Neuve au moment du présent recensement et la comparaison de ces résultats avec ceux des études précédentes.

Article 4 - Catégories de données à caractère personnel communiquées (LTD, article 20, § 1^er, 5°)

Pour chaque habitant domicilié sur le territoire de Louvain-la-Neuve (code postal : 1348), les catégories de données traitées sont :

• Les données d’identification personnelles (adresse actuelle, à savoir rue et numéro d’habitation) ;
• Les caractéristiques personnelles – détails personnels (année de naissance, lieu de naissance, sexe, nationalité, état civil)
• La composition du ménage – détails sur les autres membres de la famille ou du ménage (qualité des autres membres du ménage).

Les données (anonymisées) sont communiquées à partir du Registre de la population et des étrangers, à un moment déterminé qui correspond à la situation au 1^er janvier de l’année qui suit la demande.

Article 5 - Catégories de destinataires (LTD, article 20, § 1^er, 6°)

Les catégories de destinataire sont :

• Les chercheurs, employés par un organisme de droit belge remplissant des missions d’intérêt général, à savoir l’UCLouvain, et qui justifient expressément d’un intérêt historique clair ou de tout autre intérêt scientifique.

Article 6 - Base légale de la communication de données à caractère personnel (LTD, article  20, § 1^er, 7°) et de la réception des données à caractère personnel

L’article 7 de l’arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers précise que : “Par dérogation à l'article 6, sur demande écrite et en stipulant la finalité pour laquelle elles sont sollicitées, des listes de personnes ne reprenant pas d'autres informations que celles énumérées à l'article 3, alinéa 1er, de la loi du 8 août 1983 organisant un Registre national des personnes physiques, peuvent seules être communiquées :
a) aux organismes de droit belge remplissant des missions d'intérêt général qui n'ont pas fait l'objet d'une désignation nominative par le Roi pour accéder aux informations du Registre national des personnes physiques, par application de l'article 5 de la loi du 8 août 1983 organisant un Registre national des personnes physiques; le collège des bourgmestre et échevins apprécie le bien-fondé de la demande;

[…]

e) aux chercheurs qui justifient expressément d'un intérêt historique clair ou de tout autre intérêt scientifique. Dans ce cas, la liste peut également mentionner la filiation ascendante, et ce par dérogation à ce qui est stipulé à l'alinéa 1er.”

Article 7 - Modalités de la communication utilisée (LTD, article 20, § 1^er, 8°) et définition fonctionnelle des mesures de sécurité

Les données  sont communiquées via une extraction de la base de données de la Ville, présentée sous un format structuré via un fichier Excell. Ce dernier est ensuite converti en fichier .zip et protégé par un mot de passe.

Le fichier est stocké sur les serveurs de la Ville et accessible pour le destinataire via une url qui lui est communiquée par e-mail. Le mot de passe est communiqué via un courrier postal adressé au chercheur responsable de l’étude.

Le fichier est disponible pour le destinataire pendant une période de 10 jours ouvrables à compter de l’envoi du courrier postal. Il est ensuite supprimé de manière définitive des serveurs de la Ville.

Article 8 - Mesures spécifiques encadrant la communication conformément au principe de proportionnalité et aux exigences de protection des données dès la conception et par défaut (LTD, article 20, § 1^er, 9°)

L’identité (nom et prénoms) des personnes concernées n’est pas transmise. Par ailleurs, les données individuelles ne seront pas diffusées ou publiées. Les résultats ne présenteront que des données agrégées sous la forme d’indicateurs (taux, quotients, pourcentages, etc.). Lorsque l’indicateur relatif concernera moins de 10 individus ou évènements, il sera remplacé par une information « non disponible ».

L’ensemble des données sont stockées sur un serveur sécurisé dans l’infrastructure de l’UCLouvain. Les données seront cryptées et l’accès se fera uniquement par ftp sur le réseau de l’UCLouvain.

Les extractions opérées sur la base de données individuelles seront localisées sur un seul ordinateur sécurisé avec un code d’accès et crypté. Cette base de données sera accessible uniquement au logisticien de recherche. Les autres chercheurs participants à ce projet auront accès à des fichiers de travail comprenant uniquement les données pertinentes pour leurs sujets d’étude. Ces fichiers seront également sécurisés et cryptés.

La base de données transmise par la Ville ne sera conservée en l’état que pour une période d’un an, à dater de la date de la communication des données. Elle sera ensuite détruite.

Les bâtiments de l’UCLouvain dans lesquels se trouvent les bureaux et ordinateurs sont surveillés par des gardes de sécurité afin d’éviter les vols et le vandalisme.

Article 9 - Restrictions légales applicables aux droits de la personne concernée auprès du destinataire (LTD, article 20, § 1^er, 10°)

Conformément à l’article 17 §3 b) et d) du RGPD, il est fait exception au droit à l’oubli.

Conformément à l’article 20§3 du RGPD, il est fait exception au droit à la portabilité des données.

Conformément à l’article 21§6 du RGPD, il est fait exception au droit d’opposition au traitement.

Article 10 - Modalités des droits de la personne concernée auprès du destinataire (LTD, article 20, § 1^er, 11°)

Les personnes concernées peuvent obtenir des informations complémentaires et exercer leurs droits auprès de la déléguée à la protection des données de l’UCLouvain, Madame Michèle REMY via e-mail à l’adresse [email protected] ou via courrier postal à l’adresse suivante : Place de l’Université, 1 bte L0.01.07 à 1348 Louvain-la-Neuve. 

Article 11 - Durée du protocole (LTD, article 20, § 1^er, 13°)

Le présent protocole est renouvelable à chaque nouvelle opération de recensement. Celle-ci devra faire l’objet d’une demande écrite telle qu’exigée par l’article 7 de l’arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans le registre de la population et dans le registre des étrangers  et ce, de manière à vérifier sa conformité aux règlementations en vigueur et permettre, le cas échant, l’adaptation du présent protocole.

Article 12 - Sanctions applicables en cas de non-respect du protocole, sans préjudice du titre 6 de la LTD (LTD, article 20, § 1^er, 14°)

La communication cesse dès que l’on constate que les dispositions prévues dans le présent protocole ne sont plus exécutées.

2. De charger le Collège d'exécuter la présente décision