19 JUILLET 2019. - Arrêté du Gouvernement flamand portant les modalités concernant le traitement, la conservation et la force probante des données électroniques relatives aux allocations dans le cadre de la politique familiale

LE GOUVERNEMENT FLAMAND, Vu le décret du 7 juillet 2017 portant création d'une agence autonomisée externe de droit public « Vlaams Agentschap voor de Uitbetaling van Toelagen in het kader van het Gezinsbeleid » (Agence flamande de Paiement des Allocations dans le cadre de la Politique familiale), établissant des normes d'autorisation pour des acteurs de paiement privés et modifiant le décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique « Kind en Gezin » (Enfance et Famille), l'article 7, alinéa 2, l'article 21 ;

Vu le décret du 27 avril 2018 réglant les allocations dans le cadre de la politique familiale, l'article 7, § 8, § 9 et § 10, l'article 16, § 1er, alinéa 3, l'article 64, § 6, l'article 65, § 6, l'article 71, § 6, l'article 72, § 6, l'article 73, § 7, et l'article 126, § 2 ;

Vu le décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique Grandir régie (« Opgroeien regie »), les articles 7/1 et 10, alinéa 7 ;

Vu l'avis favorable de l'Inspection des Finances, donné le 28 août 2018 ;

Vu l'avis de la « Vlaamse Toezichtcommissie » n° 2019/04, rendu le 8 avril 2019 ;

Vu l'avis 66.277/1 du Conseil d'Etat, rendu le 2 juillet 2019, en application de l'article 84, § 1er, alinéa 1er, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973 ;

Sur la proposition du Ministre flamand du Bien-être, de la Santé publique et de la Famille ;

Après délibération, Arrête : CHAPITRE 1er. - Définitions

Article 1er.Dans le présent arrêté, on entend par : 1° agence : l'agence autonomisée externe de droit public « Vlaams Agentschap voor de Uitbetaling van Toelagen in het kader van het Gezinsbeleid », (Agence flamande de Paiement des Allocations dans le cadre de la Politique familiale), visée à l'article 2, 1°, du décret du 7 juillet 2017 ;2° source authentique : un fichier de données, tenu de manière électronique, qui a été identifié par une autorité comme étant le plus complet et de qualité supérieure, et qui est utile ou nécessaire dans le cadre de l'échange électronique de données administratives ;3° règlement général sur la protection des données : le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;4° arrêté du Gouvernement flamand du 7 décembre 2018 : l'arrêté du Gouvernement flamand du 7 décembre 2018 concernant les modalités d'obtention d'une allocation de soins ;5° décret du 7 juillet 2017 : le décret du 7 juillet 2017 portant création de la « Vlaams Agentschap voor de Uitbetaling van Toelagen in het kader van het Gezinsbeleid » (Agence flamande de Paiement des Allocations dans le cadre de la Politique familiale), établissant des normes d'autorisation pour des acteurs de paiement privés et modifiant le décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique « Kind en Gezin » (Enfance et Famille) ;6° décret du 27 avril 2018 : le décret du 27 avril 2018 réglant les allocations dans le cadre de la politique familiale;7° formulaires électroniques : documents électroniques et applications numériques dans lesquels des données sont remplies en ligne dans des espaces de réponse préstructurés et sont transmises électroniquement, accompagnées d'éventuelles annexes, aux acteurs de paiement par le biais de l'application offerte ou indiquée en vue de l'application du décret du 27 avril 2018 ;8° réseau de données KRING : « KRuispunt van de Informatiestromen met betrekking tot het Groeipakket » et en particulier le réseau visé à l'article 7/1, alinéa 1er, 4° du décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique Grandir régie (« Opgroeien regie »), qui permet l'échange de toutes les données nécessaires avec des sources de données authentiques et les acteurs de paiement ;9° Agence Grandir régie (« Agentschap Opgroeien regie ») : l'agence autonomisée interne dotée de la personnalité juridique « Opgroeien regie », créée par le décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique Grandir régie (« Opgroeien regie ») ;10° Ministre : le Ministre flamand ayant l'assistance aux personnes dans ses attributions ;11° Réseau secondaire Panier de croissance (« Secundair netwerk Groeipakket ») : le réseau de l'Agence Grandir régie, l'agence et les acteurs de paiement.12° acteurs de paiement : l'agence et les acteurs de paiement privés, visés à l'article 3, § 1er, 45°, du décret du 27 avril 2018. CHAPITRE 2. - Partage et traitement de données en vue du paiement des allocations dans le cadre de la politique familiale Section 1re. - Dispositions générales

Art. 2.§ 1er. Tout partage de données au sein du Réseau secondaire Panier de croissance en exécution du décret du 27 avril 2018 se fait via le réseau de données KRING. § 2. Pour le partage des données via le réseau de données KRING, les acteurs de paiement et l'Agence Grandir régie utilisent les moyens d'identification suivants : 1° le numéro d'identification du Registre national, s'il s'agit de données relatives à une personne physique inscrite au Registre national ;2° le numéro d'identification de la Banque Carrefour de la Sécurité Sociale, mentionnée dans la loi du 15 janvier 1990Documents pertinents retrouvés type loi prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 source service public federal interieur Loi relative à l'institution et à l'organisation d'une Banque-Carrefour de la Sécurité sociale. - Coordination officieuse en langue allemande fermer portant création et organisation d'une Banque Carrefour de la Sécurité Sociale, s'il s'agit de données relatives à une personne physique non inscrite au Registre national ;3° le numéro d'entreprise si les données ont trait à une entreprise enregistrée à la Banque-Carrefour des Entreprises ;4° les moyens d'identification des sources de données authentiques.

Art. 3.Le traitement de données par le Réseau secondaire Panier de croissance s'effectue via des sources de données authentiques ou via des banques de données numériques, dont l'utilisation a été autorisée par l'Agence Grandir régie. L'enquête auprès du bénéficiaire au moyen d'un formulaire ou par tout autre moyen n'est autorisée que si ces données ne peuvent être obtenues de la manière visée à l'alinéa 1er.

Art. 4.§ 1er. Dans le présent paragraphe, on entend par : 1° Application du Panier de croissance : le moteur de calcul avec les processus clés correspondants que tous les acteurs de paiement utilisent pour octroyer et verser les allocations dans le cadre de la politique familiale ;2° Cadastre flamand du Panier de croissance : le répertoire central pour tous les enfants qui ouvrent un droit aux allocations dans le cadre de la politique familiale, dans lequel sont indiqués les acteurs de paiement autorisés à octroyer et à payer lesdites allocations, tel que repris à l'article 7/1, alinéa 1er, 5°, du décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique Grandir régie (« Opgroeien regie »). Les acteurs de paiement auront accès aux données des personnes affiliées à l'acteur de paiement en question via le réseau de données KRING en vue du paiement des allocations et de toutes les missions connexes. L'attribution à l'acteur de paiement compétent se fait par le biais du Cadastre flamand du Panier de croissance.

Les acteurs de paiement traitent les données personnelles dans l'Application du Panier de croissance.

Chaque acteur de paiement est le responsable du traitement des données personnelles qu'il traite dans l'Application du Panier de croissance. § 2. L'agence aura accès aux données personnelles via le réseau de données KRING aux fins suivantes : 1° les tâches de l'agence, visées à l'article 5 du décret du 7 juillet 2017 ;2° les tâches du service des plaintes et de médiation, visées à l'article 19 du décret du 7 juillet 2017 ;3° les tâches du service d'inspection sociale et d'encadrement, visées à l'article 23 du décret du 7 juillet 2017. Les acteurs de paiement, les allocataires et les bénéficiaires transmettent, à la demande du service des plaintes et de médiation ou du surveillant, les données demandées de la manière et dans le délai indiqués dans la demande. Ces informations sont demandées en ce qui concerne les tâches visées au paragraphe 2 et uniquement dans la mesure où elles ne sont pas disponibles dans le réseau de données KRING ou d'autres sources numériques. § 3. L'Agence Grandir régie aura accès aux données personnelles via le réseau de données KRING aux fins suivantes : 1° les tâches, visées à l'article 7/1 du décret du 30 avril 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique Grandir régie (« Opgroeien regie ») ;2° les tâches de la commission de litiges, visée à l'article 104 du décret du 27 avril 2018. Les acteurs de paiement, les allocataires, les bénéficiaires et le service des plaintes et de médiation de l'agence transmettent, à la demande de la commission de litiges visée à l'article 104 du décret du 27 avril 2018, les données demandées de la manière et dans les délais indiqués dans la demande. Ces informations sont demandées en ce qui concerne les tâches visées au paragraphe 3 et uniquement dans la mesure où elles ne sont pas disponibles dans le réseau de données KRING ou d'autres sources de données numériques. § 4. L'agence, l'Agence Grandir régie et les acteurs de paiement peuvent échanger les données personnelles pertinentes à l'occasion de : 1° un litige entre un acteur de paiement et un bénéficiaire concernant un droit aux allocations dans le cadre de la politique familiale ou le paiement de celles-ci, qui a été traité par le service des plaintes et de médiation, si le bénéficiaire introduit ensuite un dossier auprès de la commission de litiges visée à l'article 104 du décret du 27 avril 2018 ;2° un dossier de recours qui a été traité par la commission de litiges visée à l'article 104 du décret du 27 avril 2018, pour lequel un contrôle est demandé à l'inspection sociale et au service d'encadrement visé à l'article 110, alinéa 2, du décret du 27 avril 2018. L'agence Grandir régie peut préciser les exigences formelles qui s'appliquent au rapport annuel en ce qui concerne les plaintes et les dossiers de médiation que l'agence suit. L'agence Grandir régie arrête la date limite pour la soumission des rapports. § 5. L'agence Grandir régie et l'agence conservent les données jusqu'à cinq ans après la clôture du dossier conformément aux articles 95 à 99 du décret du 27 avril 2018.

Les données qui ne sont plus utilisées pour l'octroi des allocations dans le cadre de la politique familiale sont archivées conformément aux dispositions du décret de gouvernance du 7 décembre 2018. Section 2. - Traitement des données dans le cadre du contrôle du

compte bancaire des bénéficiaires

Art. 5.§ 1er. En vue du contrôle du compte bancaire, visé à l'article 4, § 1er, alinéa 2, et § 2, alinéa 2, de l'arrêté du Gouvernement flamand du 29 juin 2018 portant les modalités relatives à la désignation des bénéficiaires des allocations familiales et au paiement des allocations dans le cadre de la politique familiale, l'acteur de paiement compétent transmet les données suivantes concernant les bénéficiaires à l'agence Grandir régie : 1° le numéro de dossier unique que l'acteur de paiement a établi ;2° le numéro d'identification du registre national ou de la Banque Carrefour de la Sécurité sociale du bénéficiaire ;3° le numéro de compte sur lequel les allocations dans le cadre de la politique familiale sont versées. § 2. L'acteur de paiement informe le ou les bénéficiaires de la manière dont il vérifie si les bénéficiaires sont titulaires ou co-titulaires du numéro de compte bancaire indiqué, en faisant référence à la déclaration de confidentialité visée à l'article 14. § 3. L'agence Grandir régie transmet les données suivantes à l'institution financière : 1° le premier prénom, le nom et la date de naissance du ou des bénéficiaires ;2° le numéro de compte qui doit être contrôlé. § 4. La banque confirme à l'agence Grandir régie que les bénéficiaires sont ou non titulaires ou co-titulaires du compte bancaire indiqué.

Les modalités du contrôle visée au paragraphe 1er sont arrêtées dans un accord conclu entre l'agence Grandir régie et l'institution financière. § 5. L'agence Grandir régie renvoie le résultat du contrôle à l'acteur de paiement. Section 3. - Traitement des données dans le cadre de l'octroi d'une

allocation de soins pour des enfants ayant un besoin de soutien spécifique

Art. 6.§ 1er. Dans le présent article, on entend par médecin évaluateur : un médecin qui dispose d'un agrément de l'agence Grandir régie conformément à l'article 21 de l'arrêté du Gouvernement flamand du 7 décembre 2018. § 2. Le médecin évaluateur détermine la gravité des conséquences du besoin de soutien spécifique en vue du paiement d'une allocation de soins aux enfants ayant un besoin de soutien spécifique, telle que visée à l'article 16, § 1er, du décret du 27 avril 2018 et conformément aux articles 6 et 7 de l'arrêté du 7 décembre 2018. § 3. Les bénéficiaires ou l'allocataire soumettent les données suivantes à l'agence Grandir régie : 1° les données d'identification de l'enfant ;2° le numéro de registre national de l'enfant ;3° les données d'identification des parents ou des éducateurs de l'enfant ;4° les coordonnées de l'auteur de la demande de constatation médicale ;5° les données sociales et médicales mentionnées sur le formulaire d'information fourni par l'agence Grandir régie au bénéficiaire ;6° le formulaire d'information médicale établi par le médecin traitant. L'agence Grandir régie transmet les données au médecin évaluateur. Le médecin fournit à l'agence Grandir régie le résultat final de la constatation des conséquences du besoin de soutien spécifique.

L'agence Grandir régie transmet ensuite le résultat final de cette constatation à l'acteur de paiement compétent. § 4. Si une équipe multidisciplinaire introduit une demande d'aide à la jeunesse non directement accessible, le médecin qui était associé à cette demande au sein de l'équipe multidisciplinaire constate également la gravité du besoin de soutien spécifique, visée à l'article 16, § 1er, du décret du 27 avril 2018, conformément aux articles 6 et 7 de l'arrêté du 7 décembre 2018.

Dans l'alinéa 1er, on entend par équipe multidisciplinaire : une équipe multidisciplinaire agréée, telle que visée à l'article 1er, 12°, de l'arrêté du Gouvernement flamand du 21 février 2014 relatif à l'aide intégrale à la jeunesse.

Le médecin visé à l'alinéa 1er, transmet à l'agence Grandir régie la constatation de la gravité des conséquences du besoin de soutien spécifique. Le médecin transmet également toutes les informations pertinentes sur le besoin de soutien spécifique constaté de l'enfant à l'agence Grandir régie pour la procédure de révision visée aux articles 19 et 20 de l'arrêté du Gouvernement flamand du 7 décembre 2018. L'agence Grandir régie transmet ensuite la constatation à l'acteur de paiement compétent. § 5. Les données relatives à la santé des enfants ayant un besoin de soutien spécifique sont traitées auprès de l'agence Grandir régie sous la responsabilité d'une personne qui, conformément à la loi relative à l'exercice des professions des soins de santé, coordonnée le 10 mai 2015, est autorisée à exercer la médecine.

Toutes les personnes associées au traitement des données dans le cadre de l'octroi de l'allocation de soins auprès de l'agence Grandir régie et auprès des acteurs de paiement, sont soumises à l'obligation de confidentialité. Elles signent une déclaration de confidentialité à cette fin. Section 4. - Traitement des données en vue du maintien à l'égard des

citoyens et à l'égard de l'acteur de paiement

Art. 7.Pour les missions visées au livre 3, partie 2, titres 3 et 4 du décret du 27 avril 2018, l'agence Grandir régie et l'agence traitent les données à caractère personnel, y compris les condamnations pénales et les infractions.

Les données visées à l'alinéa 1er ne sont accessibles qu'aux membres du personnel compétents pour la surveillance visée à l'article 121 du décret du 27 avril 2018 et de la punition visée aux articles 189, 190 et 191 du décret du 27 avril 2018, et sont conservées jusqu'à cinq ans après la clôture du dossier de famille. Section 5. Traitement des données en vue du paiement des allocations

de participation sélectives

Art. 8.Les acteurs payeurs peuvent obtenir toutes les informations nécessaires à l'application de l'article 24 du décret du 27 avril 2018 réglant les allocations dans le cadre de la politique familiale et de l'arrêté du Gouvernement flamand du 17 mai 2019 relatif aux allocations de participation sélectives d'élève.

Les acteurs de paiement peuvent également échanger des données avec les autorités compétentes pour l'aide financière aux études à l'étranger, pour autant que cet échange d'informations soit nécessaire pour l'application de la réglementation étrangère et s'inscrit dans un cadre d'accords écrit entre l'agence Grandir régie et les services publics concernés, dans le respect du règlement général sur la protection des données.

Le demandeur de l'allocation de participation sélective, la personne qui reçoit l'allocation de participation sélective ou la personne qui subvient aux besoins de l'élève, doit mettre son acteur de paiement au courant de nouvelles données pertinentes pour le traitement du dossier. CHAPITRE 3. - La force probante des données traitées par l'agence, par l'agence Grandir régie et les acteurs de paiement privés :

Art. 9.§ 1er. L'agence, l'agence Grandir régie et les acteurs de paiement privés disposent d'une procédure pour : 1° le stockage systématique et complet des données ;2° la représentation fidèle, durable et complète de l'information ;3° la conservation soigneuse, la classification systématique et la protection des données contre toute forme de falsification ;4° l'intégrité et la lisibilité des données pendant toute la durée de conservation. § 2. L'agence, l'agence Grandir régie et les acteurs de paiement privés disposent d'une documentation détaillée sur la procédure utilisée, visée au paragraphe 1er. Toute modification de cette procédure est ajoutée à la documentation détaillée. La procédure utilisée et toute modification sont datées. § 3. La procédure répond aux conditions suivantes : 1° la procédure suivie est décrite en détail ;2° la technologie utilisée garantit une représentation fidèle, durable et complète des données ;3° les données sont enregistrées systématiquement et sans omission ;4° les données traitées sont soigneusement conservées, systématiquement classées et protégées contre toute falsification ;5° les informations suivantes sur le traitement des données sont conservées : a) l'identité du responsable du traitement et de l'exécutant ;b) la nature et l'objet des données faisant l'objet du traitement ;c) la date et le lieu de l'exécution ;d) les défaillances éventuelles constatées lors du traitement.

Art. 10.Sans préjudice de l'application d'une réglementation contraire, les données stockées et conservées conformément à la procédure visée à l'article 10, ainsi que leur reproduction sur un support lisible, ont force probante jusqu'à preuve du contraire. Cette force probante s'applique à partir de la date mentionnée dans la documentation détaillée visée à l'article 10, § 2.

Art. 11.Le Ministre peut arrêter des modalités et fixer la procédure de stockage et de conservation des données dont disposent l'agence ou l'agence Grandir régie ou les acteurs de paiement privés ou qui leur sont transmises en exécution du décret du 27 avril 2018 et du décret du 7 juillet 2017 ou de leurs arrêtés d'exécution. CHAPITRE 4. - La force probante des formulaires électroniques

Art. 12.§ 1er. Les formulaires électroniques, visés à l'article 7, § 10, du décret du 27 avril 2018, obtiennent la force probante d'un formulaire papier portant le même titre, pour autant qu'ils soient remplis, validés et transmis conformément aux conditions suivantes : 1° les données électroniques mentionnent l'identité de l'auteur, qui est authentifiée au moyen d'un certificat d'identité figurant sur la carte d'identité électronique ou d'un autre certificat délivré par un service de confiance qui répond aux dispositions du titre 2 du livre XII du Code de droit économique ;2° les données électroniques peuvent être étroitement liées à une date et une heure de référence ;3° les données électroniques ne peuvent plus être modifiées imperceptiblement après la mention de l'identité de l'auteur, visée au point 1°, et leur liaison à une date et une heure de référence, telles que visées au point 2° ;4° si les données électroniques ont été rédigées par plusieurs personnes, elles répondent aux exigences visées aux points 1°, 2° et 3° pour chaque auteur en ce qui concerne les données qu'il a rédigées ;5° les données électroniques peuvent être lues pendant au moins la période imposée par la réglementation applicable. Les formulaires sont remplis à l'avance avec les données disponibles. § 2. L'obligation d'envoyer plusieurs exemplaires est réputée remplie dès que les documents ont été transmis par voie électronique. § 3. L'obligation de fournir un accusé de réception peut être valablement remplie par voie électronique. § 4 Le Ministre détermine quels formulaires électroniques doivent répondre à ces conditions. CHAPITRE 5. - Dispositions générales sur la transparence de l'information, la communication et les modalités d'exercice des droits des personnes concernées

Art. 13.§ 1er. Conformément à l'obligation de transparence et de communication, visée à l'article 12 du règlement général sur la protection des données : 1° chaque responsable du traitement dispose d'une procédure simple et accessible pour informer activement les personnes concernées du traitement de leurs données à caractère personnel conformément aux articles 13 et 14 du règlement général sur la protection des données et de la manière dont elles peuvent exercer leurs droits concernant ce traitement conformément aux articles 15 à 22 dudit règlement ;2° chaque responsable du traitement publie sur son site internet une déclaration de confidentialité dans laquelle les personnes concernées peuvent trouver, de manière simple, accessible et compréhensible, le cas échéant à l'aide d'une visualisation supplémentaire, toutes les informations sur : a) quelles données personnelles sont utilisées, à quelles fins et pendant combien de temps elles sont conservées ;b) quels droits les personnes concernées peuvent exercer à l'égard de leurs propres données à caractère personnel ; La déclaration de confidentialité, visée à l'alinéa 1er, 2°, est également mise à disposition sur papier à la demande de la personne concernée. § 2. Le Ministre peut arrêter des modalités relatives à la manière dont le respect de l'obligation visée à l'article 28, 6°, du décret du 7 juillet 2017 par les acteurs de paiement privés est démontré. CHAPITRE 6. - Dispositions générales sur la sécurité du traitement

Art. 14.§ 1er. Chaque responsable du traitement dispose d'un document exposant la manière dont les obligations en matière de sécurité du traitement, visé au règlement général sur la protection des données, sont respectées. § 2. Lorsqu'un acteur de paiement signale une infraction en ce qui concerne des données à caractère personnel à l'autorité de contrôle conformément à l'article 33 du règlement général sur la protection des données, l'acteur de paiement concerné en informe l'agence Grandir régie conformément aux modalités définies par celle-ci. CHAPITRE 7. - Communication de données par d'autres services de la Communauté flamande, de la Région flamande, des provinces, des fédérations de communes, des communes, des associations dont ils font partie, des établissements publics qui en dépendent, et de tous les établissements publics et coopérants qui relèvent de la compétence de la Communauté flamande ou de la Région flamande.

Art. 15.Les services de la Communauté flamande, de la Région flamande, des provinces, des fédérations de communes, des communes, des associations dont ils font partie, des établissements publics qui en dépendent, et de tous les établissements publics et coopérants qui relèvent de la compétence de la Communauté flamande ou de la Région flamande, fournissent aux surveillants, conformément à l'article 126, § 2, du décret du 27 avril 2018, toutes les données dont ils font la demande.

Lors de l'échange de données, visé à l'alinéa 1er, les services visés à l'alinéa 1er respectent les règles européennes, fédérales et flamandes relatives au traitement et au transfert de ces données ainsi que la réglementation relative au secret professionnel. CHAPITRE 8. - Dispositions finales

Art. 16.Le présent arrêté est cité comme : Arrêté sur le Traitement de données Allocations Politique familiale du 19 juillet 2019.

Art. 17.Le Ministre flamand ayant l'assistance aux personnes dans ses attributions est chargé de l'exécution du présent arrêté.

Art. 18.Le présent arrêté produit ses effets le 1er janvier 2019.

Bruxelles, le 19 juillet 2019.

La Ministre-Présidente du Gouvernement flamand, L. HOMANS Le Ministre flamand du Bien-Etre, de la Santé publique et de la Famille, J. VANDEURZEN