SERVICE PUBLIC FEDERAL JUSTICE

Directive commune contraignante des Ministres de la Justice et de l'Intérieur relative aux règles d'accès des membres des services de police à la banque de données nationale générale, aux banques de données de base, particulières et techniques A Mesdames et Messieurs les Bourgmestres, Au Commissaire général de la police fédérale.

Pour information à : Mesdames et Messieurs les Procureurs généraux, Madame et Messieurs les Gouverneurs de province, Monsieur le Ministre-Président de la Région de Bruxelles-Capitale, Monsieur le Procureur fédéral et Mesdames et Messieurs les Magistrats du parquet fédéral, Mesdames et Messieurs les Commissaires d'arrondissement, Monsieur le Président de la Commission Permanente de la police locale, Mesdames et Messieurs les Chefs de corps de la police locale, Madame et Messieurs les Présidents de l'Organe de contrôle de l'information policière, du Comité permanent de contrôle des services de police et de l'Inspection générale de la police fédérale et de la police locale.

Madame le Bourgmestre, Monsieur le Bourgmestre, Monsieur le Commissaire général, I. CADRE GENERAL L'article 44/4, § 3 de la loi sur la fonction de police (ci-après « LFP ») constitue la base légale pour la présente directive concernant les règles d'accès des membres des services de police à la Banque de Données Nationale Générale (ci-après « BNG »), aux banques de données de base, particulières et techniques.

Conformément à cet article, les ministres de l'Intérieur et de la Justice, chacun dans le cadre de leurs compétences et sans préjudice des compétences des autorités judiciaires, déterminent par directive générale et contraignante, publiée au Moniteur belge, les règles d'accès des membres des services de police aux banques de données visées à l'article 44/2, §§ 1er et 3.

Pour ce qui concerne les données de police judiciaire, il y a lieu de se conformer également aux règles des autorités judiciaires et de procédure pénale, en particulier en ce qui concerne le secret de l'information et de l'instruction.

Le 22 mai 2019, la LFP a été modifiée à la lumière des nouvelles dispositions en matière de protection des données. Auparavant, les règles d'accès des membres des services de police ne devaient pas être publiées au Moniteur belge. De ce fait, les directives en la matière étaient incluses dans la partie non publiée de la circulaire MFO-3.

L'avis du Conseil des bourgmestres a été donne le 12 août 2020, celui de l'Organe de contrôle de l'information policière le 22 septembre 2020 et celui du Collège des Procureurs Généraux le 4 mars 2021.

II. LES REGLES D'ACCES A LA BNG ET AUX BANQUES DE DONNEES DE BASE, PARTICULIERES ET TECHNIQUES Les membres des services de police ont un accès à la BNG, aux banques de données de base, particulières et techniques (ci-après « banques de données ») pour accomplir des missions de police administrative et de police judiciaire.

L'accès à ces banques de données et aux données qu'elles contiennent leur est octroyé parce qu'ils ont le besoin d'en connaître.

Pour cette raison, l'accès doit être nécessaire pour exécuter les tâches attribuées.

Les membres des services de police s'identifient et sont authentifiés préalablement à chaque accès aux banques de données et aux données qu'elles contiennent et chaque accès fait l'objet d'une journalisation1.

Les chefs de corps, pour la police locale, le commissaire général, les directeurs généraux et les directeurs, pour la police fédérale, ci-après "l'autorité", décident pour les membres de leur personnel quels accès sont nécessaires pour exécuter les tâches qu'ils leur confient.

Pour déterminer si l'accès à une banque de données est nécessaire, l'autorité s'appuie sur les finalités définies dans la LFP pour cette catégorie de banque de données2.

Si la tâche vise l'une des finalités, c'est que l'accès à la banque de données est nécessaire.

L'autorité sera particulièrement vigilante lorsqu'elle appliquera cette règle pour décider de donner l'accès aux données relatives aux enquêtes et à la gestion de celles-ci. En effet, cet accès se justifie pour les membres des services de police réellement engagés dans ces tâches spécialisées et pour cette raison il fait partie d'un profil spécifique.

Pour déterminer si l'accès à une catégorie de données est nécessaire, l'autorité s'appuie sur les critères suivants : 1) la ou les catégorie(s) de personnes visées à l'article 44/5 de la LFP.Les catégories des témoins et des victimes sont examinées avec la plus grande rigueur. 2) le niveau d'évaluation des données3 sur la base de sa source, de la qualité de la donnée et de l'usage qui peut en être fait;3) le niveau de validation des données.Les données sont soit validées, soit non validées.

Pour déterminer si l'accès aux données à caractère personnel relatives à l'origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l'appartenance syndicale, à la santé ou à la vie ou l'orientation sexuelle et si le traitement de données génétiques ou biométriques4 est justifié pour un membre des services de police, il est en outre vérifié qu'il appartient à l'une des catégories de personnes désignées par le responsable du traitement pour un tel accès ou traitement5.

Pour déterminer le droit d'accès nécessaire, l'autorité considère le traitement de données à réaliser : une consultation (lecture) simple ou sur la base de paramètres, un enregistrement (écriture), un transfert, une validation, une modification, un archivage, un effacement ou tout autre traitement de données.

Afin de permettre une prise de décision en connaissance de cause, des directives internes à la police intégrée contiennent, pour les banques de données et les applications techniques, les informations suivantes : 1) les finalités;2) les catégories de personnes visées à l'article 44/5 de la LFP;3) le niveau d'évaluation des données;4) le niveau de validation des données;5) le profil requis pour y accéder;6) les droits d'accès et ce qu'ils permettent. Ces directives sont tenues à la disposition de l'Organe de contrôle de l'information policière.

L'application de ces règles vise à individualiser les accès des membres des services de police.

L'autorité décide pour les membres de son personnel pour quelle durée l'accès est accordé. Une tâche temporaire ne nécessite pas un accès permanent. Par exemple, en cas de détachement ou de réaffectation dans une autre zone de police, l'accès à l'ISLP de la zone est accordé pendant la durée du détachement ou de la réaffectation. En revanche un accès à la BNG peut être permanent et rester actif aussi longtemps que le membre des services de police est engagé dans des missions de police judiciaire ou de police administrative dans la mesure où la BNG est la banque de données dont l'ensemble des services de police ont besoin pour exercer leurs missions.

L'autorité s'assure que les membres de son personnel ont les connaissances requises pour accéder aux banques de données et aux données qu'elles contiennent ainsi que pour effectuer les activités de traitement prévues pour le droit d'accès octroyé.

L'autorité dispose d'une politique d'accès traduisant les règles en fonction de la situation locale dont elle est responsable. Pour l'accès aux banques de données particulières et techniques locales, le responsable du traitement peut déroger à certaines règles de la présente pour autant que l'objectif à atteindre par la règle ne soit pas ou très peu impacté. Il s'agit par conséquent de poursuivre le même objectif mais en utilisant d'autres moyens. Dans ce cas, il faut être en mesure d'en motiver la raison et de la conserver afin de pouvoir expliquer son approche en cas de contrôle par les services compétents. Il s'agit en premier lieu de l'Organe de contrôle de l'information policière.

Les accès des membres des services à la BNG, aux banques de données de base, particulières et techniques sont donc encadrés par la présente directive, par des directives internes à la police intégrée et par la politique d'accès de l'autorité. Chaque niveau est ainsi impliqué et prend les responsabilités qui lui incombent pour permettre la bonne application des règles d'accès et la bonne gestion de ceux-ci.

III. LA GESTION DES ACCES Les règles sont mises en oeuvre dans le cadre d'une gestion globale des accès avec des procédures et des systèmes de gestion des accès.

Les procédures de demande et d'autorisation d'accès font l'objet de directives internes à la police intégrée. Celles-ci sont tenues à la disposition de l'Organe de contrôle de l'information policière.

Sauf dérogation dûment justifiée, la gestion des accès est supportée par un système de permissions basé sur des rôles. C'est le registre central des profils et des accès.

Pour les banques de données particulières et techniques locales, le registre est organisé localement par le responsable du traitement et respecte les mêmes règles.

Le registre a pour objectif de : 1) contenir les décisions portant sur les accès et les profils des membres des services de police;2) connaître en permanence les accès et profils qui leur sont individuellement octroyés;3) rendre compte globalement ou individuellement sur les accès et les profils.Il s'agit notamment de tenir à la disposition de l'Organe de contrôle de l'information policière les profils d'accès et l'identification des personnes ayant accès.

L'enregistrement des décisions, des accès et des profils et leur mise à jour dans le registre central se fait localement au niveau le plus proche de la décision. L'autorité peut décider de déléguer cette tâche.

Exceptionnellement, la direction qui gère et développe la BNG procède à l'enregistrement, par exemple, en raison de la sensibilité6 particulière des données ou lorsqu'il s'agit de donner un profil déterminé.

Les données à caractère personnel relatives aux membres des services de police sont automatiquement mises à jour dans le registre par la connexion avec la source authentique pour la gestion du personnel de la police intégrée. La mise à jour garantit notamment que les membres du personnel partis à la retraite n'aient plus d'accès aux banques de données.

La gestion des accès est un processus dynamique avec des mises à jour régulières de sorte que seuls les accès nécessaires soient actifs.

Nous chargeons en plus chaque autorité de vérifier au moins une fois par an que les données du registre sont toujours à jour. Les accès doivent en effet rester nécessaires et autorisés. Les contrôles et mises à jour sont importants, par exemple, parce que les tâches d'un membre des services de police ont changé.

IV. LES PROFILS Pour des raisons techniques et logiques liées aux processus de travail, des profils sont créés. Ils rendent uniforme la correspondance entre des tâches et les accès nécessaires pour les exécuter.

Un profil est conforme à la loi s'il peut être démontré que, lors de sa détermination, il a été tenu compte des règles d'accès développées au point II. L'autorité décide pour les membres de son personnel quel profil est nécessaire pour exécuter les tâches qu'elle leur confie.

De ce fait, elle donne l'autorisation de l'accès.

Comme les profils peuvent évoluer en fonction du travail policier et de la technologie, ils sont déterminés dans des directives internes à la police intégrée. Celles-ci sont tenues à la disposition de l'Organe de Contrôle de l'information policière.

V. L'IDENTIFICATION, L'AUTHENTIFICATION ET LA JOURNALISATION (LOGGING) La règle d'identification et d'authentification vaut pour chaque accès aux banques de données et aux données qu'elles contiennent.

L'identification vérifie techniquement que celui qui se connecte afin d'accéder aux banques de données est bien un membre des services de police et que son autorité hiérarchique a autorisé cet accès.

La garantie que l'on est un membre des services de police est donnée en consultant la source authentique pour la gestion du personnel de la police intégrée.

L'authentification garantit techniquement que le membre des services de police qui s'est identifié et dispose de l'accès requis est bien le membre du personnel réellement concerné.

L'authentification multifacteur7 est la norme pour les solutions informatiques déployées postérieurement à la présente directive.

L'identifiant et le moyen d'authentification sont strictement personnels.

L'accès aux banques de données et le traitement de données qu'elles contiennent font l'objet d'une journalisation (logging) qui établit, a posteriori, qui a eu accès et a fait quel traitement, de quelle donnée, quand et, formulé de façon compréhensible, pourquoi.

Une consultation irrégulière peut constituer une infraction pénale, entraînant la rédaction d'un procès-verbal et est donc également susceptible de constituer une transgression disciplinaire.

Lorsque le traitement est une communication de données, la journalisation établit aussi les systèmes qui les ont communiquées, les catégories de destinataires des données à caractère personnel, et, si possible, l'identité des destinataires de ces données.

Sauf dérogation dûment justifiée, la journalisation est supportée par un système appelé « registre central des loggings ».

Pour les banques de données particulières et techniques locales, le registre est organisé localement par le responsable du traitement et respecte les mêmes règles.

Les données de journalisation sont conservées dans le registre pendant : 1) 30 ans à partir du traitement dans la BNG;2) 15 ans à partir du traitement dans les banques de données de base;3) 10 ans, au minimum, à partir du traitement dans les banques de données particulières.Le responsable du traitement peut décider de prolonger ce délai de maximum 20 ans en motivant sa décision. 4) 10 ans à partir du traitement dans les banques de données techniques. La journalisation est utilisée uniquement à des fins de vérification de la licéité du traitement, d'autocontrôle par les services de police, de garantie de l'intégrité et de la sécurité des données à caractère personnel, à des fins de procédures pénales et à des fins de surveillance par l'Organe de contrôle de l'information policière ou par d'autres instances de contrôle.

L'accès au registre des loggings est réglé par des procédures internes garantissant la nécessité, la proportionnalité et la sécurité de l'accès. Celles-ci sont soumises à l'avis de l'Organe de contrôle de l'information policière.

Les procédures de demande de données de la journalisation et le traitement des demandes font l'objet de directives internes à la police intégrée. Celles-ci sont tenues à la disposition de l'Organe de contrôle de l'information policière.

Le Ministre de la Justice, V. VAN QUICKENBORNE La Ministre de l'Intérieur, A. VERLINDEN _______ Notes 1 Le point V définit ces notions et leurs objectifs. 2 Pour la BNG à l'article 44/7; les banques de données de base à l'article 44/11/2 § 1er; les banques de données particulières à l'article 44/11/3 § 2; les banques de données techniques à l'article 44/11/3septies. 3 Les niveaux d'évaluation des données sont déterminés dans des directives non publiées. 4 Il s'agit des catégories particulières de données à caractère personnel visées à l'article 34 de la loi du 30 juillet 2018Documents pertinents retrouvés type loi prom. 30/07/2018 pub. 05/09/2018 numac 2018040581 source service public federal justice, service public federal interieur et ministere de la defense Loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel fermer relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. 5 Il s'agit de l'application de l'article 44/1 § 2, alinéa 3 de la loi sur la fonction de police. 6 La sensibilité pourrait par exemple concerner des données biométriques ou encore des données relatives à la santé. 7 Authentification basée sur plusieurs facteurs ou « Multi-Factor Authentication » (M.F.A.) repose sur au moins deux des trois éléments suivants : un élément "connaissance" (quelque chose que seul l'utilisateur connaît), un élément "possession" (quelque chose que seul le signataire possède) et un élément "inhérence" (quelque chose que l'utilisateur est)