L'article 4 de la loi du 8 décembre 1992 dispose que lorsque des données sont recueillies en vue d'un traitement auprès d'une personne physique, celle-ci doit être mise en possession des informations qui suivent :
- coordonnées de l'institution qui réalise l'appel des données ;
- base légale et finalité de la collecte desdites données ;
- lorsqu'il s'agit d'un traitement automatisé, de la possibilité d'obtenir des renseignements complémentaires auprès d'un registre public ;
- du droit d'accéder aux données réunies et du droit de demander rectification de celles-ci.
Appliquée aux caisses, la notion de traitement renvoie aussi bien à la tenue de fichiers manuels permettant des consultations systématiques de données personnelles concernant le droit aux prestations, qu'aux divers traitements automatisés débouchant sur le paiement desdites prestations.
Par "tenue d'un fichier manuel", on entend l'enregistrement, la conservation, la modification, l'effacement, la consultation ou la diffusion de données à caractère personnel sous forme d'un fichier sur un support non automatisé.
Est dénommé "traitement automatisé", tout ensemble d'opérations réalisées en tout ou en partie à l'aide de procédés automatisés et relatif à l'enregistrement et la conservation de données à caractère personnel, ainsi qu'à la modification, l'effacement, la consultation ou la diffusion de ces données.
A dater du 1er septembre 1993, les caisses ont ainsi un devoir général d'information à l'égard des assurés sociaux, lequel s'applique naturellement lorsque des données à caractère personnel sont recueillies auprès de ceux-ci en vue d'opérations de traitement concernant le droit aux prestations familiales.
En corollaire, les caisses ont l'obligation de rendre effectif le droit des assurés sociaux de prendre connaissance des données détenues sur leur compte et d'éventuellement faire rectifier celles-ci, conformément à l'information délivrée.
Enfin, bien que la loi n'ait prévu aucun devoir d'information spécifique à ce propos, une garantie supplémentaire de protection de la vie privée des assurés sociaux a été établie, consistant en la possibilité pour ceux-ci de demander la suppression ou l' interdiction d'utilisation de certaines données les concernant.
La présente circulaire a ainsi pour objet :
- de fournir aux caisses un modèle de communication standardisé afin d'informer correctement les assurés sociaux ;
- de définir les conditions dans lesquelles les droits des assurés sociaux d'obtenir l'accès et la rectification des données utilisées, peuvent être exercés ;
- d'attirer l'attention des caisses sur la possibilité pour l'assuré social de faire supprimer ou d'interdire l'utilisation de données ;
- d'exposer les possibilités de recours auprès des juridictions civiles et les dispositions pénales dont la loi est assortie.
Les différents textes sont repris en annexe.
1. Directives pratiques concernant les communications à réaliser en application de l'article 4 de la loi du 8 décembre 1992
1.1. Obligation d'information
Sur toute demande de données opérée périodiquement ou non, l'information décrite à l'article 4 de la loi relative au traitement de données à caractère personnel doit être communiquée à l'aide du texte suivant :
"La loi du 8 décembre 1992 relative au traitement de données à caractère personnel s'applique au traitement des données recueillies sur base du présent formulaire (du formulaire ci-annexé).
Les données sont recueillies sur base des lois relatives aux allocations familiales pour travailleurs salariés.
Ces données seront traitées par et sous la responsabilité de..., pour l'application de la sécurité sociale, en particulier pour l'établissement du droit aux prestations familiales et leur paiement.
Le traitement de ces données est inscrit dans le registre public des traitements automatisés de données à caractère personnel sous le numéro.... Si vous souhaitez de plus amples renseignements à ce sujet, vous pouvez vous adresser à la Commission de la protection de la vie privée, place Poelaert 3 à 1000 BRUXELLES.
Si vous souhaitez prendre connaissance des données vous concernant ou si vous souhaitez les faire rectifier, vous pouvez vous adresser à... "
Nous attirons votre attention sur le fait qu'abstraction faite des données personnalisées, ce texte doit être utilisé ne varietur.
Les caisses d'allocations familiales qui n'utilisent pas de formulaires préimprimés indiqueront cette information sur tout document à l'aide duquel elles demandent de leur fournir des données à caractère personnel.
S'il n'est pas possible - par manque de place - d'insérer l'avis en question dans le formulaire même, l'obligation d'information peut être respectée en joignant un avis contenant les renseignements précités à toute demande de données. Pour les caisses d'allocations familiales qui utilisent des formulaires préimprimés, ceci vaut également jusqu'à épuisement des stocks existants.
L'Office adaptera systématiquement les formulaires types à cette obligation.
Cette obligation d'information s'applique également en cas de demande orale. C'est pourquoi dans chaque local où des données sont régulièrement collectées oralement (p. ex. la réception), un tel avis sera affiché à un endroit bien visible.
1.2. Destinataires de l'information
Toute personne physique qui se trouve sur le territoire belge et auprès de laquelle des données sont recueillies doit recevoir l'information visée à l'article 4 de la loi. Lorsque la collecte de données a toutefois trait à plusieurs personnes habitant sous le même toit, une seule communication suffit.
1.3. Exécution
Des données à caractère personnel qui seront traitées d'une manière automatisée ou dans un fichier manuel seront communiquées pour toute demande de prestations familiales. Ceci vaut en principe aussi pour toute demande ultérieure de renseignements émanant de l'organisme d'allocations familiales. C'est pourquoi un avis conforme à l'article 4 de la loi doit accompagner tout formulaire de demande (comme les modèles A, E et Ebis) et tout questionnaire.
Les caisses d'allocations familiales profiteront du prochain envoi de formulaires de contrôle périodique pour informer les ayants droit auxquels des données à caractère personnel sont demandées.
2. Conditions d'exercice des droits d'accès et de rectification : articles 10 et 12 de la loi du 8 décembre 1992 et arrêtés royaux d'exécution n° 3, 4 et 5 du 7 septembre 1993
2.1. Accès aux données
Toute personne justifiant de son identité peut par lettre datée et signée adressée ou remise à l'un des sièges de la caisse compétente à son égard, demander la communication de toutes les données à caractère personnel détenues à son sujet et faisant l'objet d'un traitement.
Il s'agira par exemple des données suivantes qui seraient reprises dans un traitement : les données signalétiques, l'état civil, la nationalité, la composition de ménage, la profession ou sa classification (ouvrier, employé,...), le lien de parenté avec l'enfant bénéficiaire, le numéro de compte en banque, la qualité de l'enfant bénéficiaire, le degré de handicap de celui-ci, l'historique de ces divers éléments, etc.
En cas de remise de la demande sur place, la personne qui reçoit l'assuré social délivre immédiatement un accusé de réception daté et signé.
Une redevance est due à la caisse avant toute communication des données détenues, ceci en vue de couvrir les frais administratifs générés par la demande d'accès aux données.
En pratique, en ce qui concerne l'ONAFTS et les caisses spéciales, doivent être apposés sur la lettre envoyée ou remise, des timbres fiscaux annulés d'une valeur de 100 BEF.
Pour les caisses libres, la demande d'accès aux données s'accompagnera soit d'un paiement en espèces ou par chèque d'un montant de 100 BEF, soit de la remise de la preuve qu'un virement de la somme précitée a été effectué. Ces redevances profitent au compte des frais d'administration des caisses.
La redevance est due pour chaque nouvelle demande d'accès.
La demande d'accès aux données ne pourra concerner que les données à caractère personnel relatives au demandeur même. Elle pourra être formulée par :
- l'attributaire;
- l'allocataire;
- l'enfant bénéficiaire majeur non allocataire;
- l'enfant bénéficiaire mineur par la voix de son représentant légal.
Les renseignements seront communiqués sans délai et au plus tard dans les quarante-cinq jours de la réception de la demande.
2.2. Rectification des données
Tout attributaire, allocataire ou enfant bénéficiaire pourra obtenir sans frais, la rectification de toute donnée à caractère personnel inexacte qui le concerne en propre. Le caractère inexact de la donnée faisant l'objet du traitement est à prouver par toute voie de droit par le demandeur.
La demande en rectification est à notifier à la caisse compétente.
Dans le mois de la réception de la demande, la caisse a l'obligation de communiquer au demandeur les rectifications apportées aux données.
3. Droit pour l'assuré social d'obtenir la suppression ou l'interdiction d'utilisation de données le concernant : articles 5 et 12 de la loi du 8 décembre 1992 et arrêté royal n° 5 du 7 septembre 1993
L'assuré social qui a obtenu communication des données le concernant peut requérir la suppression ou l'interdiction d'utilisation de celles-ci, lorsque les éléments en cause, au regard de la mission de paiement des allocations familiales :
- sont incomplets ou non pertinents ;
- jouissent d'une protection légale telle qu'ils ne peuvent être enregistrés, communiqués ou conservés (par exemple appartenance syndicale d'un travailleur actif, origine ethnique);
- ont été conservés au-delà de la période autorisée.
Le droit de l'assuré social précisé ici doit être mis en rapport avec l'application du principe de finalité défini à l'article 5 de la loi commentée (disposition applicable au 1.10.1993), principe obligeant les caisses à n'utiliser les données personnelles recueillies qu'eu égard à l'application stricte des lois coordonnées. Les données collectées ne peuvent ainsi être utilisées qu'à des fins adéquates, pertinentes et non excessives.
Il s'ensuit qu'aucune interrogation des assurés sociaux ne peut être réalisée si elle ne mène pas à une utilisation en rapport nécessaire avec l'ouverture ou le maintien du droit aux allocations familiales de ceux-ci.
A titre préventif également, les caisses veilleront strictement à ne plus conserver de données au-delà de la période autorisée (cf. C.O. 399).
La procédure définie au point 2.2. ci-dessus est applicable aux demandes en suppression ou en interdiction d'utilisation des données.
4. Recours civils et sanctions pénales : articles 14, 15, 39 à 41 de la loi du 8 décembre 1992
Sur le plan civil, le président du tribunal de première instance, siégeant comme en référé, connaît de toute demande relative au droit d'obtenir communication de données à caractère personnel, et de toute demande tendant à faire rectifier, supprimer ou interdire d'utiliser toute donnée à caractère personnel inexacte ou, compte tenu du but du traitement, incomplète ou non pertinente, dont l'enregistrement, la communication ou la conservation sont interdits ou encore qui a été conservée au-delà de la période autorisée.
L'action n'est recevable que si la demande de l'assuré social a été rejetée ou s'il n'y a pas été donné suite dans les quarante-cinq jours.
Dès la réception de la demande tendant à faire rectifier, supprimer ou interdire d'utiliser ou de divulguer des données à caractère personnel ou dès la notification de l'introduction de l'instance devant le président du tribunal de première instance et jusqu'à ce qu'une décision non susceptible de recours soit rendue, la caisse doit indiquer clairement, lors de toute communication d'une donnée à caractère personnel que celle-ci est contestée.
Au plan pénal, est puni d'une amende de cent francs à cent mille francs :
- quiconque a recueilli en vue d'un traitement des données à caractère personnel sans donner les informations prévues à l'article 4 (cf. point 1 ci-dessus);
- le préposé ou mandataire d'une caisse ayant traité des données en contravention du principe de finalité (cf. point 3 ci-dessus) ;
- le préposé ou mandataire d'une caisse qui n'aurait pas donné communication dans les quarante-cinq jours de la réception de la demande, des renseignements demandés par l'assuré social ou donné sciemment des renseignements inexacts ou incomplets (cf. point 2.1. ci-dessus).
En cas de condamnation, le juge peut ordonner l' insertion du jugement intégralement ou par extraits, dans un ou plusieurs journaux dans les conditions qu'il détermine, aux frais du condamné.
Le juge peut également prononcer la confiscation des supports matériels des données à caractère personnel formant l'objet de l'infraction tels que les fichiers manuels, disques et bandes magnétiques ou ordonner l'effacement de ces données.
Le juge peut enfin interdire au condamné de gérer personnellement ou par personne interposée, et pour deux ans au maximum, tout traitement de données à caractère personnel.
