L’autorité belge de protection des données a aujourd’hui publié une décision à l’encontre de CAW Oost-Vlaanderen, comprenant le prononcé d’une réprimande pour des manquements liés à l’utilisation non autorisée du numéro de registre national dans la gestion des dossiers clients.

Cette affaire débute par une plainte déposée en 2019 par un membre du personnel de CAW Oost-Vlaanderen, signalant l’usage non autorisé du numéro de registre national. Des signalements complémentaires ont été faits en février 2019 par le service d’accès au registre national relevant du ministère de l’Intérieur, concernant l’utilisation de ce numéro sans autorisation valable. Une plainte du 18 juin 2021 portait également sur une violation présumée du droit d’accès au dossier du personnel.

L’enquête menée par l’autorité a permis de constater :
* Obligation d’autorisation préalable pour l’utilisation du numéro de registre national (article 8 §1 de la loi sur le registre national) : CAW Oost-Vlaanderen a utilisé ce numéro de janvier 2018 à avril 2019 sans disposer d’une autorisation délivrée par le ministre compétent, en violation de la loi sur le registre national et de l’article 6 §4 de la loi sur la carte d’identité électronique (eID-Wet). La société a déposé une demande d’autorisation en janvier 2018, mais celle-ci n’a pas été traitée avant la prise de relais de la nouvelle autorité en juin 2018. Une décision conditionnelle a été prise en mars 2019, avec des conditions à respecter, et l’utilisation a cessé en avril 2019 après un avis négatif du délégué à la protection des données interne.

* Obligation de licéité du traitement des données personnelles ( article 6 du RGPD) : aucune base légale valable n’a été établie pour le traitement des données issues du registre national durant la période concernée, rendant le traitement illégal.

* Obligation d’information des personnes concernées (article 12 du RGPD) : CAW Oost-Vlaanderen n’a pas respecté ses obligations d’information, notamment en ne disposant pas d’une déclaration de confidentialité spécifique relative à l’utilisation du numéro de registre national. La chambre contentieuse a toutefois décidé de ne pas donner de suites à ce manquement, l'entreprise l'ayant corrigé au cours de la procédure.

* Obligation de tenue d’un registre des activités de traitement (article 30 du RGPD) : l’autorité a constaté l’absence d’un registre complet, manquant notamment la désignation du responsable de traitement et du délégué à la protection des données, les finalités du traitement, ainsi que la description des mesures techniques et organisationnelles de sécurité.

En conséquence, la structure s’est vue infliger une simple réprimande. En outre, l’autorité a ordonné la publication de la décision sur son site internet, compte tenu de l’importance de l’affaire pour la protection des données des citoyens belges et du rôle public de CAW Oost-Vlaanderen.