Traitement de données personnelles et religion
Nouvelles règles pour le traitement des données personnelles et de la religion par les paroisses et les doyennés
Chacun de nous possède de nombreuses données personnelles: nom, adresse, numéro de téléphone, l’adresse IP de notre ordinateur, un historique de navigation sur internet, ce que nous partageons ou aimons sur les médias sociaux etc. Une fois ces données traitées dans un fichier (électronique ou papier), le nouveau Règlement Général sur la Protection des Données est d’application.
Depuis le 25 mai 2018, une nouvelle législation s’applique à ce sujet dans toute l’Union européenne. Cette nouvelle législation vise une approche plus uniforme de la protection des données dans les États membres de l'Union.
L'innovation la plus importante est que tout le monde doit désormais toujours donner son accord actif avant que ses données puissent être collectées et traitées. Chacun a également le droit de demander lesquelles de ses données sont conservées par une entreprise, une organisation ou une institution. Ces entreprises, organisations ou institutions sont obligées d'y répondre clairement. Chacun peut également demander que ses données soient corrigées ou effacées.
La collecte de données personnelles est uniquement autorisée à des fins spécifiques. En outre, il faut pouvoir démontrer que cela est fait avec soin, de manière sûre et responsable. Une déclaration de confidentialité doit toujours être établie qui indique clairement ce qui est collecté et pourquoi, si ces données seront transmises à des tiers et combien de temps ces données seront conservées.
Une protection supplémentaire sera accordée aux ‘catégories spéciales de données personnelles’. Ce sont les données sensibles telles que celles sur la santé. Les informations sur les convictions religieuses tombent également sous ce volet.
- Art. 9 du RGPD : les traitements qui révèlent les convictions religieuses sont en principe interdits . L’interdiction est levée aux conditions ci-dessous :
• si le traitement est effectué par une fondation, une association ou tout autre organisme à but non lucratif poursuivant une finalité religieuse dans le cadre de leurs activités légitimes ;
• que le traitement se rapporte exclusivement aux membres, aux anciens membres ou aux personnes qui entretiennent avec cet organisme des contacts réguliers en liaison avec ses finalités ;
• que les données ne soient pas communiquées en dehors de cet organisme, sans le consentement des personnes concernées.
- Art 91 du RGPD : les églises, les associations ou communautés religieuses qui, à la date du 24 mai 2016, tenaient un traitement des données selon un ensemble complet de règles, peuvent continuer d’appliquer les mêmes règles à condition de les mettre en conformité avec le présent règlement.
Les églises, les associations ou communautés religieuses sont soumises au contrôle d’une autorité de contrôle indépendante.
Les Etats membres doivent instituer une ou plusieurs autorités de contrôle.
Ces autorités de contrôle sont chargées de surveiller l’application du règlement.
Le Moniteur belge du 10 janvier 2018 a publié la loi du 3 décembre 2017 créant
l’autorité de protection des données. Cette autorité de protection des données remplace
la Commission sur la protection de la vie privée.
Les paroisses doivent se conformer aux dispositions du règlement et particulièrement aux articles 9 et 91.
1. Le curé ou le doyen est responsable du traitement des données . Il
- doit s’identifier vis-à-vis de la personne concernée (communiquer ses coordonnées)
La « personne concernée » est la personne physique vivante visée par le traitement
des données personnelles ;
- doit informer la personne concernée de la finalité du traitement (objectif) et de ses
droits (accès aux données, droit de les faire corriger, de les faire mettre à jour, de
les faire effacer, de faire supprimer le lien) – voir annexe 1 ;
- ne peut demander que les données nécessaires à la finalité ;
- doit veiller à ce que les données soient exactes ;
- doit assurer la confidentialité et la sécurité des données ;
- ne doit pas conserver les données plus longtemps qu’il n’est nécessaire à la finalité.
Pour les registres paroissiaux, les données sont conservées ad vitam aeternam.
2. Pour pouvoir rassembler les données, il faut le consentement de la personne concernée et si par ailleurs les données collectées doivent être transmises « en dehors » de cet organisme, la personne concernée doit donner son consentement sur ce point.
Le consentement n’est pas exigé lorsque le traitement est nécessaire au respect d’une obligation légale dans le chef du responsable du traitement, par exemple dans le cadre d’un contrat de travail ou d’un statut.
3. Le délégué à la protection des données (article 37 1. c) du RGPD)
Le responsable du traitement désigne un délégué à la protection des données lorsque les activités de base du responsable du traitement consistent en un traitement à grande échelle de données qui révèlent les convictions religieuses.
Le délégué à la protection des données est désigné sur base de ses qualités professionnelles, de ses connaissances du droit et des pratiques en matière de protection des données.
Pour l’Eglise en Belgique le secrétaire général de la Conférence Episcopale de l’Eglise catholique est le délégué à la protection des données personnelles (Centre Interdiocésain asbl, Rue Guimard 1, 1040 Bruxelles, tél : 02/507 05 93).
4. Registre des activités de traitement des données personnelles - article 30 du règlement – (sorte de règlement d’ordre intérieur)
Modèle du registre des activités de traitement
Le registre peut se présenter sous forme papier ou électronique et doit comporter les mentions exigées par l’art.30 du règlement.
1. Coordonnées du responsable du traitement et du délégué à la protection des données ;
2. Description précise des finalités du traitement - voir exemples annexe 2 ;
3. Les catégories de personnes concernées ( hommes-femmes-enfants…) ;
4. Les catégories de données à caractère personnel de personnes concernées (nom, adresse postale, adresse mail, photo…);
5. Les transferts de données à caractère personnel (par exemple pour le Saint-Siège) ;
6. Combien de temps doit-on conserver les données ? (par exemple 10 ans ou ad vitam aeternam);
7. Une description des mesures techniques et organisationnelles prises pour garantir la sécurité et la confidentialité du traitement (par exemple : code d’accès).
8. Le délai pour l’effacement des données (le « droit à l’oubli ») - délai raisonnable. (A ce jour, il n’est pas possible de préciser comment dans la pratique sera réalisé l’effacement. Cette question, déjà posée à la commission de la vie privée, restée sans réponse, sera à nouveau posée, à l’autorité de protection des données, après le 25 mai 2018.)
Suggestions
- Nous conseillons de faire apparaître de manière claire sur le site web de votre paroisse ou de votre doyenné, les coordonnées du responsable du traitement pour votre paroisse ou votre doyenné ainsi que du délégué à la protection des données et de l’autorité de contrôle (voir annexe 1).
- Nous conseillons également d’envoyer l’annexe 1 complétée, aux personnes physiques reprises dans votre fichier d’adresses en leur demandant de la signer et de la renvoyer à la paroisse ou au doyenné.
Questions courantes
Questions courantes au sujet du Règlement Général sur la Protection des Données
