1. Introduction
Depuis l'entrée en vigueur de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale, la communication de données sociales à caractère personnel, dans ou hors du réseau de la sécurité sociale doit faire l'objet d'une autorisation de principe par le Comité de surveillance près la Banque-carrefour de la sécurité sociale.
Pour rappel, la définition de données sociales à caractère personnel, au sens où l'entend la loi du 15 janvier 1990, on est : " toutes données sociales concernant une personne identifiée ou identifiable ".
Dans le secteur de la Répartition nationale, qui relève du contrôle et de la responsabilité de l'Office, des communications de données sociales à caractère personnel étaient adressées, régulièrement ou de manière ponctuelle, à des employeurs, des secrétariats sociaux, des organismes assureurs et des sociétés de logement.
Cette situation de fait ne répondait pas aux dispositions légales. C'est la raison pour laquelle, par ma lettre du 28 mars 1995, je vous ai invités expressément à ne plus transmettre, en dehors du réseau, des données sociales à caractère personnel, tant sur support papier que par voie informatique.
Conformément aux dispositions des articles 15 et 46, 6°, de la loi du 15 janvier 1990, l'Office, par ses lettres des 28 février 1995 et 15 juin 1995 a introduit auprès du Comité de surveillance près la Banque-carrefour de la sécurité sociale une demande d'autorisation, pour lui-même et l'ensemble des caisses d'allocations familiales, de communication de certaines données sociales à caractère personnel concernant les attributaires ou les allocataires d'allocations familiales, à des employeurs, à des secrétariats sociaux, à des organismes assureurs et à des sociétés de logement.
Cette demande globale portait sur la communication des données sociales à caractère personnel suivantes :
- 1. Communication aux employeurs des attributaires et allocataires, afin de leur permettre d'informer ces derniers sur leurs droits aux allocations familiales.
- Communications faites à des employeurs ou à leurs mandataires (secrétariats sociaux), de données sociales à caractère personnel dont dépend l'octroi d'avantages extralégaux ou de libéralités, liés à la qualité de bénéficiaires d'allocations familiales.
- Communication de certaines données sociales à caractère personnel, à des employeurs ou à des secrétariats sociaux, à leur demande, en vue de l'application par ceux-ci des lois sociales ou des lois relatives aux impôts directs.
- Communications faites aux mutualités et aux sociétés de logement, en faveur d'enfants bénéficiaires, afin que les familles des enfants bénéficiaires d'allocations familiales puissent obtenir des réductions diverses ou conserver certains avantages sociaux.
Par sa délibération n° 95/48 du 12 septembre 1995, dont vous trouverez copie en annexe, le Comité de surveillance près la Banque-carrefour de la sécurité sociale a autorisé l' Office ainsi que les caisses d'allocations familiales tombant sous sa juridiction, à effectuer les communications de données sociales à caractère personnel faisant l'objet de nos demandes, suivant les modalités reprises ci-dessous.
De même, par sa délibération n° 95/58 du 24 octobre 1995, le Comité de surveillance près la Banque-carrefour de la sécurité sociale a autorisé les institutions de sécurité sociale à communiquer des données sociales à caractère personnel à des personnes autres que les institutions de sécurité sociale qui ont besoin de ces données en vue de remplir leurs obligations en matière de sécurité sociale, leurs préposés ou mandataires ainsi que ceux qu'elles autorisent expressément à les recevoir (voir la C.O. 1292 du 16 janvier 1996). Vous trouverez donc repris sous le point II.3. ci-après la description de l'autorisation consentie et des modalités d'application.
2. Principe de base
Sont énumérés ci-après les communications qui peuvent être faites, leur forme et les modalités, ainsi que leur finalité. Il s'agit d'une liste exhaustive. Tout autre type de communication de données sociales à caractère personnel hors du réseau reste tributaire d'une demande d'autorisation formelle au Comité de surveillance près la Banque-carrefour de la sécurité sociale.
1. Communication aux employeurs des attributaires afin de leur permettre d'informer ces derniers sur leurs droits aux allocations familiales
Donc, la communication à l'employeur des données suivantes relatives à ses attributaires qui ont donné leur consentement, pourra se faire selon le modèle obligatoire repris en annexe. Seul un support papier est autorisé.
- nom et prénom de l'attributaire,
- paiement effectué,
- dossier en examen,
- paiement suspendu.
Conformément aux dispositions de l'article 14, 1° de la loi du 15 janvier 1990 déjà citée, ces communications pourront être faites aux employeurs à condition que les travailleurs aient donné leur consentement exprès.
2. Communication de données sociales à caractère personnel à des employeurs ou à leurs mandataires (secrétariats sociaux)
Certains employeurs octroient des avantages extralégaux aux membres de leur personnel qui perçoivent des allocations familiales. Ces avantages peuvent être prévus par contrat, par convention collective du travail, ou peuvent être de pures libéralités. Ils sont octroyés selon les cas, aux membres du personnel qui justifient soit la qualité d'attributaire, soit celle d'allocataire ou de parent(s) d'enfant(s) bénéficiaire(s). Le plus souvent, il s'agit d'allocations payées de manière régulière ou ponctuelle, de primes d'études, primes de communion, primes de rentrée des classes, de Saint-Nicolas, de Noël, etc.
Dans ce but d'octroi d'avantages extralégaux, la communication des données sociales à caractères personnel pourra se faire, à des employeurs ou à des secrétariats sociaux, selon les principes suivants :
A. Données
Seules les données suivantes pourront être communiquées :
- la qualité d'attributaire, le numéro d'ordre, le nom et le prénom, la période de référence,
- la qualité d'allocataire, le numéro d'ordre, le nom et le prénom, la période de référence,
- la qualité d'enfant bénéficiaire, le nom et le prénom, la période de référence,
- le montant des allocations familiales,
- le nombre d'enfants bénéficiaires.
B. Mode de transmission
La communication pourra se faire soit sur support papier, soit sur support magnétique.
C. Destinataires
Ces communications de données pourront se faire aux employeurs ou à des secrétariats sociaux qui en ont besoin pour octroyer des avantages extralégaux ou des libéralités. S'il s'agit de communications faites à un secrétariat social intervenant en qualité de mandataire de l'employeur, il devra s'agir d'un secrétariat social agréé.
D. Conditions particulières
- Conformément aux dispositions de l'article 14, 1° de la loi du 15 janvier 1990 déjà citées, ces communications pourront s'effectuer directement aux employeurs ou aux secrétariats sociaux, à condition que les travailleurs concernés aient donné leur consentement exprès.
- Les caisses d'allocations familiales seront tenues de réclamer à chaque employeur ou secrétariat social concerné, une déclaration indiquant : la nature de l'information demandée, sa fréquence, sa finalité, la disposition contractuelle (contrat d'emploi, ou convention collective du travail) prévoyant les avantages sociaux qui justifient la communication des données.
3. Communication de certaines données sociales à caractère personnel à des employeurs ou à des secrétariats sociaux agréés, en vue de l'application des lois sociales ou des lois relatives aux impôts directs
Deux avis distincts ont été émis par le Comité de surveillance près la Banque-carrefour au sujet de la communication de données sociales à caractère personnel en vue de l'application des lois sociales ou des lois relatives aux impôts directs.
En vertu de l'avis ayant fait l'objet de la délibération n° 95/48 du 12 septembre 1995, pour l'application des lois relatives aux impôts directs, la communication des données suivantes pourra être effectuées en application de l'article 14, 2° de la loi du 15 janvier 1990 déjà citée, directement aux employeurs ou aux secrétariats sociaux agréés, sur support papier ou, à la demande, sur support magnétique :
- nom et prénom de l'attributaire,
- numéro d'ordre auprès de l'employeur,
- nombre d'enfants bénéficiaires dans le ménage,
- mutations :
- arrivée d'enfants bénéficiaires
- départ d'enfants bénéficiaires
D'autre part, en vertu de l'avis ayant fait l'objet de la délibération n° 95/98 du 24 octobre 1995, les données sociales à caractère personnel nécessaires peuvent être communiquées aux employeurs ou à leurs mandataires, en vuede permettre à ces derniers de remplir leurs obligations en matière de sécurité sociale. La nature du support de la communication importe peu.
La finalité de ce type de communication doit viser l'application des obligations légales telles qu'elles sont définies à l'article 2, 1er alinéa, 1°, g) de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale.
4. Communication de certaines données sociales à caractère personnel à des institutions ou à des organismes, afin que les familles d'enfants bénéficiaires d'allocations puissent obtenir certaines réductions ou conserver le bénéfice de certains droits sociaux.
Il s'agit ici de communications faites à des mutualités ou à des sociétés de logement donnant droit à certaines réductions.
Les données communiquées sont les suivantes :
- nom et prénom(s), adresse de l'attributaire et/ou de l'allocataire,
- numéro de dossier,
- nom et prénom(s) des enfants bénéficiaires,
- leur date de naissance,
- éventuellement, mention de l'existence d'un handicap au sens où l'entend l'article 63 des lois coordonnées,
- éventuellement, mention que l'enfant concerné est orphelin.
Ces communications collectives et aux organismes concernés, devront se faire par l'intermédiaire de la Banque-carrefour conformément à l'article 14, alinéa 1 de la loi du 15 janvier 1990.
Etant donné que le concept de l' attestation globale (c'est-à-dire des données du secteur des allocations familiales qui seraient accessibles à tous les organismes du réseau de la sécurité sociale intéressés via la B.C.S.S.) n'est pas encore opérationnel au stade actuel, il va de soi que la communication des données nécessaires, soit aux mutualités, soit aux sociétés de logement, pourra continuer à se faire, à la condition qu'elle soit directement adressée aux personnes auxquelles les données se rapportent.
Ceci vaut également pour les communications de données sociales à caractère personnel à destination des secteurs des pensions, des malades professionnelles, des accidents du travail, etc., pour lesquels aucune autorisation n'a été demandée. Pour ces secteurs donc, aucun envoi massif ne peut être effectué ; seules des communications individuelles pourront continuer à être faites.
Dès que le concept de l'attestation globale sera opérationnel, les organismes d'allocations familiales en seront avisés.
3. Modalites d'administration et de controle
1. Remarques préliminaires
Le principe essentiel de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale, veut que la communication entre institutions de sécurité sociale se fasse à l'intervention de la Banque-carrefour, qui est l'institution-clé et garante du système d'échange de données sociales à caractère personnel.
Le Comité de surveillance près la Banque-carrefour de la sécurité sociale a, par sa délibération n° 95/48 du 12 septembre 1995 autorisé que des communications de données sociales puissent être effectuées en dehors du réseau, selon les principes et les formes repris sous le point II ci-dessus. Il s'agit essentiellement de communications de données sociales à caractère personnel faites par l'O.N.A.F.T.S. ou des caisses d'allocations familiales à des employeurs ou à des secrétariats sociaux agréés.
Ces communications ne pourront être faites que pour les fins qui ont été définies aux points II. 1, 2 et 3. Elles devront être pertinentes et proportionnelles aux demandes que les sociétés - employeurs ou secrétariats sociaux - qui souhaitent obtenir certaines données, auraient formulées à cet égard.
J'attire d'ores et déjà votre attention sur le fait que l'Office exercera un contrôle afin de vérifier si les communications effectuées le seront conformément aux dispositions de la présente circulaire et veillera à ce que les principes de finalité, de pertinence et de proportionnalité soient rigoureusement respectés. Car, il ne faut pas perdre de vue que les attributaires, allocataires et enfants bénéficiaires, ont le droit au respect de leur vie privée, et que, selon les dispositions légales, des informations ne peuvent être recueillies ou transmises que conformément aux finalités établies par la loi.
C'est dans cet esprit que l'autorisation a été accordée par le Comité de surveillance près la Banque-carrefour de la sécurité sociale.
2. Modalités administratives
Les types de communication repris sous les points II. 1 et II. 2 sont soumis au consentement exprès des membres du personnel de l'employeur pour lesquels de telles communications de données sociales à caractère personnel seront effectuées.
Chaque dossier individuel d'employeur devra donc contenir le document signé et daté par lequel la personne intéressée autorise expressément la caisse d'allocations familiales à faire ce type de communication ponctuelle ou régulière.
Ce document soit individuel, soit sous forme de liste pour les employeurs occupant de nombreux employés, devra reprendre les indications suivantes :
- la formule d'autorisation expresse avec la dénomination complète de la caisse d'allocations familiales, et son adresse, qui est autorisée à effectuer les communications,
- le type de données sociales à caractère personnel qui, seules, peuvent être communiquées (voir points II.1 et II.2 à cet égard),
- le fait que la personne peut à tout moment interdire la communication de telles données,
- la possibilité :
- de faire contrôler par l'organisme de tutelle (O.N.A.F.T.S.) l'usage qui est fait de l'autorisation expresse consentie,
- de déposer plainte auprès de la Commission de la protection de la vie privée si la personne intéressée juge qu'il est fait un usage illicite ou abusif des données sociales à caractère personnel qui la concernent.
Pour les cas où un employeur changerait de caisse d'allocations familiales, l'organisme devenu compétent, s'il souhaite effectuer le même type de communication pour les employés concernés, devra être en possession d'une copie des autorisations consenties. Des copies dans le sens où l'entend l'article 173ter, L.C., peuvent être acceptées.
De plus, en ce qui concerne les communications du type décrit sous le point II.2., chaque dossier d'employeur individuel devra contenir soit une déclaration de cet employeur, soit du secrétariat social agréé dûment mandaté pour le représenter, indiquant :
- la nature de l'information demandée,
- sa fréquence,
- sa finalité,
- la disposition contractuelle (contrat d'emploi, ou convention collective du travail) prévoyant les avantages sociaux qui justifient les communications de données.
Il est à noter que s'il s'agit de " libéralités " pures qui ne font pas l'objet d'une disposition contractuelle ou réglementaire, la déclaration rédigée par l'employeur ou son mandataire l'indiquera.
3. Modalités de contrôle
Conformément aux dispositions de l'article 144, L.C. et aux instructions qui font l'objet du Règlement n° 4 de l'Office, il sera procédé à un contrôle des modalités d'application de cette circulaire.
Ce contrôle sera effectué, soit dans le cadre du contrôle général, soit par recherche aléatoire ou systématique, soit encore à la demande de personnes concernées.
D'une part, il consistera à déterminer si pour les types de communications qui ont été faites, ou qui font l'objet d'une plainte, les documents et autorisations nécessaires ont été fournis (préalablement aux communications) et sont préservés selon les modalités indiquées au point III. 2.
D'autre part, il portera sur la conformité des communications faites par rapport :
- aux autorisations expresses consenties par les intéressés et aux finalités recherchées,
- aux données sociales à caractère personnel qui, pour chaque type de communication, ont reçu l'autorisation du Comité de surveillance.
Les personnes habilitées à effectuer ces contrôles, au sens de l'article 144, L.C. et du Règlement n° 4, pourront consulter sur place tout document, et auront accès aux sources informatiques, afin qu'ils puissent en toute circonstance et en parfaite liberté contrôler si les communications faites par des caisses d'allocations familiales à des employeurs ou à leurs mandataires agréés répondent aux principes de finalités, de pertinence et de proportionnalité, eu égard aux demandes formulées par les entités juridiques qui en sont les destinataires.
S'ils le souhaitent, il pourront à leur simple demande exiger de produire l'original ou le " print " d'une communication faite, par voie magnétique, par l'organisme d'allocations familiales à un employeur ou à un secrétariat social dûment mandaté.
Le rapport des contrôles effectués sera fait au Comité de gestion de l'Office conformément aux dispositions de l'article 13 du Règlement n° 4.
Au début de chaque année et, au plus tard, pour le 28 février (29 pour les années bissextiles), rapport sera fait par l'Office au Comité de surveillance près la Banque-Carrefour de la sécurité sociale des contrôles effectués au cours de l'année précédente.
4. Mesures de sécurité
Conformément aux dispositions de l'arrêté royal du 12 août 1993 relatif à l'organisation de la sécurité de l'information dans les institutions de sécurité sociale (cfr. C.O. 1274 du 12 janvier 1994), les services chargés de la sécurité de l'information, placés sous la direction du conseiller en sécurité propre à l'organisme d'allocations familiales, veilleront au respect des règles de sécurité imposées par la présente.
5. Remarques finales
Cette circulaire, qui a reçu l'avis favorable du Comité de surveillance près la Banque-carrefour de la sécurité sociale est d'application immédiate.
