7 DECEMBRE 2016. - Arrêté royal relatif à la force probante des données traitées par les institutions de sécurité sociale

PHILIPPE, Roi des Belges, A tous, présents et à venir, Salut.

Vu la loi du 4 avril 1991 réglant l'utilisation des informations du Registre national des personnes physiques par des services ministériels et par les institutions de sécurité sociale relevant du Ministère de la Prévoyance sociale, article 18;

Vu la loi du 30 décembre 1992Documents pertinents retrouvés type loi prom. 30/12/1992 pub. 18/06/2012 numac 2012000355 source service public federal interieur Loi portant des dispositions sociales et diverses. - Coordination officieuse en langue allemande d'extraits fermer portant des dispositions sociales et diverses, article 124;

Vu la loi du 6 août 1993Documents pertinents retrouvés type loi prom. 06/08/1993 pub. 18/12/1998 numac 1998015163 source ministere des affaires etrangeres, du commerce exterieur et de la cooperation au developpement Loi portant assentiment à la Convention n° 148 concernant la protection des travailleurs contre les risques professionnels dus à la pollution de l'air, au bruit et aux vibrations sur les lieux de travail, adoptée à Genève le 20 juin 1977 par la Conférence internationale du travail lors de sa soixante-troisième session type loi prom. 06/08/1993 pub. 04/06/2015 numac 2015000253 source service public federal interieur Loi portant approbation et exécution de la Convention internationale portant création d'un fonds international d'indemnisation pour les dommages dus à la pollution par les hydrocarbures, faite à Bruxelles le 18 décembre 1971, et portant exécution des Protocoles à cette Convention, faits à Londres le 27 novembre 1992 et le 16 mai 2003. - Coordination officieuse en langue allemande fermer portant des dispositions sociales et diverses, article 42;

Vu la loi du 25 janvier 1999Documents pertinents retrouvés type loi prom. 25/01/1999 pub. 06/02/1999 numac 1999021025 source services du premier ministre Loi portant des dispositions sociales fermer portant des dispositions sociales, article 246;

Vu l'arrêté royal du 22 mars 1993 relatif à la force probante des informations enregistrées, conservées ou reproduites par des institutions de sécurité sociale;

Vu l'arrêté royal du 28 novembre 1995 relatif à la force probante, en matière de sécurité sociale des travailleurs indépendants, des informations utilisées par l'Administration et les organismes coopérants en matière de sécurité sociale des travailleurs indépendants;

Vu l'arrêté royal du 15 mars 1999 relatif à la valeur probante, en matière de sécurité sociale et de droit du travail, des informations échangées, communiquées, enregistrées, conservées ou reproduites par les services ministériels et les parastataux du Ministère de l'Emploi et du Travail;

Vu l'arrêté royal du 9 janvier 2000 relatif à la force probante des informations utilisées par l'Administration des Pensions pour l'application de la législation dont elle est chargée;

Vu l'avis du Comité de gestion de la Banque- Carrefour de la sécurité sociale, donné le 22 juin 2016;

Vu l'avis de l'Inspecteur des Finances, donné le 14 juillet 2016;

Vu l'accord de la Ministre du Budget du 29 juillet 2016;

Vu l'avis 60.059 du Conseil d'Etat, donné le 27 septembre 2016, en application de l'article 84, § 1er, alinéa premier, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973;

Sur la proposition du Ministre de l'Emploi, de la Ministre des Affaires sociales et du Ministre des Indépendants et de l'Intégration sociale, Nous avons arrêté et arrêtons : CHAPITRE Ier. - Force probante des données traitées par les institutions publiques de sécurité sociale et les services publics fédéraux chargés de l'application de la sécurité sociale

Article 1er.Pour l'application du présent chapitre, on entend par: 1° "institutions publiques de sécurité sociale": la Banque-carrefour de la sécurité sociale et les institutions publiques de sécurité sociale visées à l'article 2, alinéa 1er, 2°, a), de la loi du 15 janvier 1990Documents pertinents retrouvés type loi prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 source service public federal interieur Loi relative à l'institution et à l'organisation d'une Banque-Carrefour de la Sécurité sociale. - Coordination officieuse en langue allemande fermer relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale;2° "services publics fédéraux chargés de l'application de la sécurité sociale": le service public fédéral Sécurité sociale, le service public fédéral Emploi, Travail et Concertation sociale et le service public de programmation Intégration sociale, Lutte contre la Pauvreté, Economie sociale et Politique des Grandes Villes;3° "ministre compétent": le ministre de tutelle de l'institution publique de sécurité sociale concernée ou le ministre compétent pour le service public fédéral chargé de l'application de la sécurité sociale;4° "Comité sectoriel de la sécurité sociale et de la santé": le Comité sectoriel de la sécurité sociale et de la santé visé à l'article 37 de la loi du 15 janvier 1990Documents pertinents retrouvés type loi prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 source service public federal interieur Loi relative à l'institution et à l'organisation d'une Banque-Carrefour de la Sécurité sociale. - Coordination officieuse en langue allemande fermer relative à l'institution et à l'organisation de la Banque-carrefour de la sécurité sociale.

Art. 2.Les institutions publiques de sécurité sociale et les services publics fédéraux qui sont chargés de l'application de la sécurité sociale peuvent soumettre à l'agréation du ministre compétent les conditions et modalités d'enregistrement, de conservation, d'échange, de communication ou de reproduction, par des procédés photographiques, optiques, électroniques ou par toute autre technique ou sur un support lisible, des données dont ils disposent ou qui leur sont transmises, en vue de l'application de la sécurité sociale.

Ils soumettent leur proposition ainsi qu'une autoévaluation succincte du respect des conditions visées à l'article 3 au ministre compétent et simultanément à l'avis du Comité sectoriel de la sécurité sociale et de la santé.

Art. 3.Le Comité sectoriel de la sécurité sociale et de la santé vérifie que la procédure proposée satisfait aux conditions suivantes: 1° la proposition décrit la procédure avec précision;2° la technologie utilisée garantit une reproduction fidèle, durable et complète des données;3° les données sont enregistrées systématiquement et sans lacunes;4° les données traitées sont conservées avec soin, classées systématiquement et protégées contre toute altération;5° les renseignements suivants relatifs au traitement des données sont conservés: a) l'identité du responsable du traitement et de l'exécutant;b) la nature et le sujet des données faisant l'objet du traitement;c) la date et le lieu de l'exécution;d) les dysfonctionnements éventuels qui ont été constatés pendant le traitement.

Art. 4.Le Comité sectoriel de la sécurité sociale et de la santé peut entendre les représentants du demandeur avant de formuler son avis.

Des adaptations peuvent être apportées à la procédure proposée, en concertation avec ces représentants.

Art. 5.Le Comité sectoriel de la sécurité sociale et de la santé communique son avis motivé au ministre compétent, au plus tard dans un délai de deux mois à compter de la date d'expédition de la proposition visée à l'article 2, alinéa 2. Cet avis est réputé favorable s'il n'est pas communiqué dans ce délai. Le Comité sectoriel de la sécurité sociale et de la santé communique en même temps son avis au demandeur.

Art. 6.Le ministre compétent communique sa décision motivée au demandeur et au Comité sectoriel de la sécurité sociale et de la santé, au plus tard dans un délai de quatre mois à compter de la date d'expédition de la proposition visée à l'article 2, alinéa 2. Si la décision motivée n'est pas communiquée au demandeur dans ce délai, la procédure proposée par ce dernier est censée être agréée par le ministre compétent, sauf si l'avis fourni par le Comité sectoriel de la sécurité sociale et de la santé conformément à l'article 5 est défavorable. Dans ce cas, l'agréation de la procédure proposée est toujours subordonnée à une décision expresse et motivée du ministre compétent.

Avant de prendre sa décision, le ministre compétent vérifie aussi le respect des conditions prévues à l'article 3.

Le Comité sectoriel de la sécurité sociale et de la santé enregistre et conserve les procédures qui ont été agréées par le ministre compétent ou qui sont censées avoir été agréées par le ministre compétent, sans préjudice de l'article 9.

Art. 7.Lorsque la procédure soumise par le demandeur est agréée par le ministre compétent ou est censée être agréée par le ministre compétent, les données enregistrées, conservées, échangées, communiquées ou reproduites selon cette procédure de même que leur représentation sur un support lisible ont valeur probante pour l'application de la sécurité sociale, jusqu'à preuve du contraire.

Cette valeur probante est acquise à partir de la date à laquelle la procédure est agréée ou est censée être agréée conformément à l'article 6.

Art. 8.Toute modification apportée à une procédure agréée, expressément ou tacitement, pour un motif se rapportant à une des conditions visées à l'article 3 est soumise aux dispositions des articles 2 à 7.

Art. 9.Le ministre compétent peut retirer l'agréation expresse ou tacite lorsqu'il constate que les conditions d'agréation ne sont plus remplies, partiellement ou totalement.

Avant de prendre sa décision, le ministre compétent peut demander l'avis du Comité sectoriel de la sécurité sociale et de la santé. Dans ce cas, les dispositions de l'article 4 sont applicables par analogie.

Le Comité sectoriel de la sécurité sociale et de la santé communique son avis motivé au ministre compétent, au plus tard dans un délai de deux mois à compter de la date d'envoi de la demande d'avis. Si cet avis n'est pas communiqué dans ce délai, il est réputé favorable.

Le ministre compétent communique sa décision motivée au demandeur et au Comité sectoriel de la sécurité sociale et de la santé.

Le retrait de l'agréation produit ses effets à la date de la communication de la décision du ministre compétent au demandeur.

L'article 7 reste applicable pour la période antérieure à la date d'effet du retrait de l'agréation. CHAPITRE II. - Force probante des données traitées par les autres institutions de sécurité sociale et les secrétariats sociaux d'employeurs

Article 10.Pour l'application du présent chapitre, on entend par: 1° "institutions": les institutions coopérantes de sécurité sociale, les fonds de sécurité d'existence et les centres publics d'action sociale, visés à l'article 2, alinéa premier, 2°, b), c) et f), de la loi du 15 janvier 1990Documents pertinents retrouvés type loi prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 source service public federal interieur Loi relative à l'institution et à l'organisation d'une Banque-Carrefour de la Sécurité sociale. - Coordination officieuse en langue allemande fermer relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale, et les secrétariats sociaux d'employeurs;2° "la procédure": l'ensemble des procédures, des processus et des architectures (matérielle et logicielle) utilisés;3° "données numérisées": données enregistrées, traitées et communiquées selon un procédé optique et photographique;4° "le format": le code sous lequel des données numérisées sont enregistrées sur un support de données;5° "compression": le traitement permettant de limiter la taille de la représentation numérique des images afin de limiter la capacité de stockage et d'accélérer la transmission des données;6° "métadonnées": l'ensemble de données décrivant le contexte, le contenu et la structure des données numérisées;7° "le système": l'ensemble des appareils, des systèmes d'exploitation et des logiciels applicatifs;8° "le centre de données": le local où sont physiquement installés les équipements d'information et de communication (appareil IT) sur lesquels les données numérisées sont traitées et/ou enregistrées.

Art. 11.Les données enregistrées, traitées ou communiquées selon un procédé optique et photographique ainsi que leur représentation sur papier ou sur tout autre support lisible ont valeur probante jusqu'à preuve du contraire, si la procédure d'enregistrement, de traitement, de communication ou de reproduction de ces données que l'instance a fixée conformément à l'article 12 satisfait aux conditions énumérées au présent chapitre et que les données ont été enregistrées, traitées ou communiquées conformément à cette procédure.

Cependant, les données numérisées ne peuvent être privées de leur validité juridique au seul motif qu'il est contestable que la procédure réellement suivie réponde aux conditions du présent arrêté si celui qui a recours à ces données est en mesure de montrer par tous les moyens de droit que la dérogation par rapport aux conditions du présent chapitre n'a pas remis en question la fiabilité des données.

Art. 12.L'institution fixe la procédure selon laquelle elle enregistre, traite ou communique, selon un procédé optique et photographique, les données dont elle dispose ou qui lui sont transmises, en vue de l'application de la sécurité sociale, ainsi que la procédure selon laquelle elle reproduit ces données sur papier ou sur tout autre support lisible, conformément au présent chapitre.

Art. 13.L'institution utilise une procédure: 1° d'enregistrement systématique et exhaustif des données;2° de reproduction fidèle, durable et complète des données;3° de conservation méticuleuse, de classification systématique et de protection des données contre toute forme d'altération;4° d'intégrité et de lisibilité des données durant toute la durée du délai de conservation.

Art. 14.L'institution dispose d'une documentation détaillée et régulièrement mise à jour sur la procédure utilisée.

Cette documentation contient au moins les renseignements suivants: 1° les données d'identification du sous-traitant éventuel auquel l'institution fait appel ainsi que le nom et l'adresse du propriétaire du matériel et du logiciel utilisé;2° la marque et le type de matériel utilisé et la dénomination du logiciel utilisé;3° la description précise du matériel et du logiciel, avec mention des caractéristiques techniques principales du mode d'enregistrement, de traitement et de communication des données selon le procédé optique et technique utilisé;4° la documentation de l'infrastructure d'enregistrement utilisée;5° la description des modalités selon lesquelles l'intégrité des données numérisées est garantie et peut être contrôlée;6° la description des contrôles de qualité réalisés;7° la documentation du logiciel d'amélioration de la qualité de l'image et du logiciel de reconnaissance;8° la description des modalités selon lesquelles la disponibilité et l'accessibilité des données numérisées sont garanties;9° une description des modalités selon lesquelles les données numérisées sont protégées contre tout accès illicite;10° une description de la politique de sauvegarde. Toute modification apportée à la procédure utilisée est immédiatement ajoutée à la description détaillée.

L'institution est en mesure de soumettre à tout moment la documentation au Comité sectoriel de la sécurité sociale et de la santé visé à l'article 37 de la loi du 15 janvier 1990Documents pertinents retrouvés type loi prom. 15/01/1990 pub. 08/07/2010 numac 2010000396 source service public federal interieur Loi relative à l'institution et à l'organisation d'une Banque-Carrefour de la Sécurité sociale. - Coordination officieuse en langue allemande fermer relative à l'institution et à l'organisation de la Banque-carrefour de la sécurité sociale.

Tant la documentation de la procédure que le lien entre cette documentation et les données numérisées sont conservées durant toute la durée du délai de conservation.

Art. 15.L'accès aux données numérisées a lieu conformément aux règles et aux procédures en vigueur au sein de l'institution.

Tout traitement des données numérisées ainsi que l'identité du sous-traitant sont conservés dans un journal.

Art. 16.Les données numérisées sont conservées dans des formats de fichiers validables, normés et dûment documentés qui conviennent à la conservation à long terme.

Si un format intermédiaire est utilisé, il ne peut y avoir de perte significative de la qualité lors de la conversion du format intermédiaire en le format final.

La compression est uniquement autorisée si la preuve est fournie qu'il n'y a pas de perte significative des informations.

Art. 17.Les données numérisées sont enregistrées le jour de leur création sur l'infrastructure d'enregistrement qui garantit l'intégrité et la pérennité des données.

Les données numérisées et les données originales non numérisées restent liées entre elles au moyen d'un identifiant unique jusqu'au moment où l'original est détruit.

Art. 18.Le traitement de données numérisées a lieu dans un Etat membre de l'Union européenne ou dans un Etat tiers auquel la libre circulation des services a été étendue et qui s'est engagé à respecter la réglementation de l'Union européenne relative au traitement de données à caractère personnel dans le cadre d'un accord international avec l'Union européenne.

Art. 19.L'intégrité du contenu, la pérennité, l'accessibilité et la lisibilité des données numérisées et des métadonnées y associées sont garanties durant le délai de conservation imposé par la réglementation applicable.

Les métadonnées sont attribuées de manière structurée et cohérente.

Le couplage entre les données numérisées et les métadonnées correspondantes peut être reconstruit durant toute la durée du délai de conservation.

Toute donnée numérique peut être retrouvée dans un délai raisonnable au moyen des métadonnées correspondantes et peut être rendue décelable ou lisible, dans le respect des autorisations.

Le système utilisé importe, convertit, migre et exporte les données numérisées et les métadonnées correspondantes tout en préservant leur fiabilité, intégrité et exploitabilité.

Art. 20.Les mesures de sécurité garantissant l'intégrité des données sont rédigées conformément à la politique de sécurité de l'information de l'institution.

L'institution réalise une analyse des risques systématique, notamment concernant le traitement des données, les systèmes, le personnel et les exigences de sécurité.

L'institution dispose d'une politique de sécurité de l'information dans laquelle sont reprises l'ensemble des stratégies et des mesures choisies de protection des données.

La politique mentionnée à l'alinéa précédent est basée sur les normes et/ou les directives reconnues par les instances nationales et internationales.

L'institution doit donc au moins prévoir ce qui suit: 1° elle dispose d'une liste des mesures de sécurité appliquées et vérifie périodiquement (de manière externe ou non) si les mesures de sécurité instaurées sont encore adéquates;2° elle dispose d'une politique de sauvegarde adéquate et documentée et d'un plan de secours et de récupération;3° elle prend toutes les mesures nécessaires afin d'éviter que les données numérisées ne se perdent, en partie ou totalement, durant le délai de conservation.A cet effet, l'institution réalise périodiquement des copies de sauvegarde des données numérisées et conserve ces copies de sauvegarde à un autre endroit sécurisé; 4° elle procède à des intervalles réguliers au test des plans de sauvegarde et de récupération et adapte si nécessaire ces plans;5° elle dispose d'une politique de contrôle des accès actualisée en vue de l'octroi, de la modification et de la suppression des droits d'accès au système;6° en cas de sous-traitance, elle impose des conditions de sécurité à ce tiers au moyen d'un contrat;7° à l'issue du délai de prescription appliqué par l'institution qui doit au moins être égal au délai de prescription légal, elle détruit les données numérisées au moyen d'un processus documenté et applique, en cas de données sensibles, des méthodes de destruction sécurisées;8° elle dispose d'un centre de données dûment sécurisé qui est équipé entre autre d'un système d'air conditionné, d'une alarme et d'un dispositif de détection d'incendie, d'un contrôle d'accès, d'un câblage ordonné et d'un réseau d'alimentation électrique de secours;9° elle prévoit une redondance pour l'infrastructure d'enregistrement;10° elle entrepose les supports d'information et les copies de sauvegarde en un endroit sécurisé sur le plan physique;11° elle dispose de suffisamment de collaborateurs ayant les connaissances et les compétences requises pour pouvoir réaliser toutes ses missions et responsabilités sur le plan de la gestion des données numérisées;12° en cas de migration vers de nouveaux formats de fichier, les transferts vers des supports de données sont réalisés, dans les délais impartis, afin de pouvoir garantir l'intégrité et l'accès permanent aux données numérisées durant toute la période du délai de conservation. Les mesures de sécurité minimales dont question à l'alinéa précédent restent applicables au processus de migration documenté réalisé par l'institution. CHAPITRE III. - Dispositions diverses

Art. 21.Les arrêtés royaux suivants sont abrogés: 1° l'arrêté royal du 22 mars 1993 relatif à la force probante des informations enregistrées, conservées ou reproduites par des institutions de sécurité sociale;2° l'arrêté royal du 28 novembre 1995 relatif à la force probante, en matière de sécurité sociale des travailleurs indépendants, des informations utilisées par l'Administration et les organismes coopérants en matière de sécurité sociale des travailleurs indépendants;3° l'arrêté royal du 15 mars 1999 relatif à la valeur probante, en matière de sécurité sociale et de droit du travail, des informations échangées, communiquées, enregistrées, conservées ou reproduites par les services ministériels et les parastataux du Ministère de l'Emploi et du Travail;4° l'arrêté royal du 9 janvier 2000 relatif à la force probante des informations utilisées par l'Administration des Pensions pour l'application de la législation dont elle est chargée.

Art. 22.Les agréations expresses ou tacites sur la base d'un arrêté royal visé à l'article 21 conservent leur effet aussi longtemps qu'elles satisfont aux conditions visées dans ces arrêtés royaux.

Art. 23.Les demandes d'agréation introduites sur la base d'un arrêté royal visé à l'article 21 avant la date d'entrée en vigueur du présent arrêté royal sont traitées conformément à l'arrêté royal applicable visé à l'article 21.

Art. 24.Le ministre qui a l'Emploi dans ses attributions, le ministre qui a les Affaires sociales dans ses attributions et le ministre qui a les Indépendants et l'Intégration sociale dans ses attributions sont chargés, chacun en ce qui le concerne, de l'exécution de cet arrêté.

Donné à Bruxelles, le 7 décembre 2016.

PHILIPPE Par le Roi : Le Ministre de l'Emploi, K. PEETERS La Ministre des Affaires sociales, M. DE BLOCK Le Ministre des Indépendants et de l'Intégration Sociale, W. BORSUS