Art. M1.RAPPORT AU GOUVERNEMENT DE LA REGION DE BRUXELLES-CAPITALE
A l'attention des membres du Gouvernement,
Le présent arrêté vise, d'une part, à mettre en oeuvre les articles 3 et 30 à 34 de l'ordonnance du 13 octobre 2023 instituant un cadre en matière de planification, de mise en oeuvre et de suivi de la politique de mobilité et de sécurité routière (ci-après l'ordonnance) et, d'autre part, à faire entrer en vigueur l'article 32, § 1er, a), de l'ordonnance.
Il est nécessaire pour permettre à la Région par l'intermédiaire de Bruxelles Mobilité, par le biais de l'Observatoire bruxellois de la mobilité et de la sécurité routière visé à l'article 3 de l'ordonnance (ci-après l'Observatoire), d'assurer le suivi et l'évaluation de la politique de mobilité menée en Région de Bruxelles-Capitale.
L'article 1er est relatif aux définitions et n'appelle pas d'explication complémentaire.
Les articles 2 à 5 sont relatifs aux définitions, à la composition et au fonctionnement de l'Observatoire et n'appellent pas d'explication complémentaire.
L'article 6 désigne le responsable de traitement (pour le traitement de données à caractère personnel, dans le champ d'application du RGPD) - à savoir Bruxelles Mobilité - et n'appelle pas d'explication complémentaire.
L'article 7 fait entrer en vigueur l'article 32, § 1er, a), de l'ordonnance. L'article 32, § 1er, a), de l'ordonnance prévoit que les services de police transmettent des données au responsable de traitement - à savoir Bruxelles Mobilité - afin que celui-ci puisse réaliser des études, des enquêtes et des analyses visant à contribuer à l'élaboration, la mise en oeuvre, le suivi, l'évaluation et l'amélioration de la politique de mobilité et de sécurité routière sur la base des données issues de différentes sources de données. L'Organe de contrôle de l'information policière (ci-après le COC) a émis un avis défavorable, estimant que la Région de Bruxelles-Capitale n'est pas compétente pour traiter des données policières dans le cadre de la mobilité et de la sécurité routière, cette compétence relevant du fédéral, lorsque le présent arrêté lui a été soumis au stade de projet. Les objections du COC ont été examinées et n'ont pas été retenues. Dans les points qui suivent, nous examinerons brièvement le point de blocage soulevé par le COC et l'argumentaire du législateur avant de conclure.
I. Avis du COC :
Dans son avis (réf. DA240010_F) au point 14.1, le COC mentionne ce qui suit (point 14.1) :
" Si l'ordonnance du 13 octobre 2023 veut charger les services de police de missions de police (administrative), et notamment d'un traitement policier d'informations et de données à caractère personnel, il convient de se demander également si c'est conforme à l'article 10 de la loi spéciale de réformes institutionnelles du 8 août 1980. Dans ce cas, le législateur régional pourrait en effet invoquer la théorie des `compétences implicites', de sorte que l'auteur du décret ou de l'ordonnance devrait alors prouver que le fait de charger les services de police du traitement des données policières visées dans l'ordonnance n'a qu'une incidence marginale sur la compétence de l'Etat fédéral. Ce point n'est en tout cas aucunement prouvé dans les projets d'ordonnance qui faisaient l'objet des deux avis susmentionnés du COC, et il y a manifestement tout lieu d'en douter sur le fond. Les traitements d'images de caméras de la police sont en effet devenus dans l'intervalle un aspect indissociable et fondamental de la gestion de l'information policière qui relève de la compétence de réglementation fédérale, de sorte qu'il ne peut plus être question d'une incidence seulement `marginale', ni sur le plan de la réglementation ni en termes d'impact pratique. " [nous soulignons].
II. Argumentation du législateur :
Les commentaires de l'article 32, § 1er, développent l'argumentation du législateur :
" [...]
La présente ordonnance encadre bien les traitements de données à caractère personnel nécessaires à l'exécution des missions d'intérêt public dont est chargée la Région et plus spécifiquement Bruxelles Mobilité. Le caractère nécessaire et proportionné de chaque donnée sollicitée est argumenté.
Les données relatives aux accidents sont nécessaires en vue d'(i) établir un état des lieux de la sécurité routière en Région de Bruxelles-Capitale, (ii) établir des diagnostics de gravité par voirie ou par carrefours, (iii) identifier les tronçons de voiries et les carrefours à forte concentration d'accidents, et (iv) à établir les publics cibles des campagnes de sensibilisation.
Ces missions d'intérêt public sont confiées à Bruxelles Mobilité par l'ordonnance du 19 mai 2011 relative à la gestion des infrastructures routières et par ses arrêtés d'exécution, lesquels transposent partiellement la Directive 2008/96/CE du Parlement européen et du Conseil du 19 novembre 2008 concernant la gestion de la sécurité des infrastructures routières. En outre, la loi spéciale des réformes institutionnelles du 8 août 1980 charge les régions de la compétence relative à la promotion de la Sécurité routière. Le fait de "promouvoir" signifie bien "établir une politique de sécurité routière", ce qui se fait nécessairement sur base de données, notamment celles liées aux accidents et disponibles auprès de la Police.
Il convient de souligner que la section législation du Conseil d'Etat a examiné la compétence de l'auteur et n'a formulé aucune remarque ni réserve dans son avis n° 73447 quant à la compatibilité de ce traitement avec la Loi sur la Fonction de Police.
[...]
Sur base des compétences implicites visés par l'article 10 de la loi spéciale du 8 août 1980, tel qu'il a été modifié par la loi spéciale du 8 août 1988, la Région est compétente pour adopter le contenu de la disposition ici commentée. En effet, pour pouvoir exercer les pouvoirs reconnus aux Régions par cette disposition :
1)L'empiétement sur la compétence fédérale doit être nécessaire à l'exercice par la collectivité fédérée d'une compétence qui lui est attribuée. In casu, l'article 32, § 1, a) de la présente ordonnance est effectivement nécessaire pour permettre à la Région (Bruxelles Mobilité) d'accomplir de manière complète et cohérente les missions d'intérêt publique qui lui ont été attribuées.
2)L'incidence sur la matière fédérale doit être marginale.1 Dans la mesure où la présente ordonnance n'empêche pas les ministres fédéraux de dresser la liste des autorités à qui les données à caractère personnel policières peuvent être transmises, la condition de proportionnalité est également remplie.
Il est également précisé que, pour exercer ses missions, Bruxelles Mobilité n'a pas besoin d'un accès à la banque de données mais simplement d'une communication de données qui sont agrégées avant de lui être transmises ".
Considérant que nous avons une vue plus fine depuis la rédaction du commentaire d'article, il faudrait lire celui-ci comme étant non pas de transmission de données " agrégées ", mais bien - de manière à respecter les principes de protection des données - de minimisation des données, de généralisation de certaines données par diminution de leur niveau de détail, etc.
III. Développements :
a. Empiétement nécessaire :
L'empiétement sur la compétence fédérale est nécessaire à l'exercice par la Région des compétences qui lui sont attribuées d'une part par l'article 6, § 1er, XII., 7° de la loi spéciale du 8 août 1980, tel qu'il a été inséré par la loi spéciale du 6 janvier 2014 relative à la Sixième Réforme de l'Etat et, d'autre part, la directive 2008/96/CE du Parlement européen et du Conseil du 19 novembre 2008 concernant la gestion de la sécurité des infrastructures routières, telle que modifiée par la directive (UE) 2019/1936 du Parlement européen et du Conseil du 23 octobre 2019.
En effet, sans la communication des données policières visée à l'article 32, § 1er, a), de l'ordonnance, la Région n'est pas en mesure de récolter les informations nécessaires à la promotion, la sensibilisation et l'information en matière de sécurité routière. Elle n'est pas non plus en mesure de préparer les rapports d'accidents qu'elle est tenue de réaliser par la directive 2008/96/CE.
L'annexe IV précise que nous sommes tenus de communiquer, via les rapports d'accidents, les données suivantes :
" 1) localisation aussi précise que possible de l'accident ;
2)images et/ou diagrammes du lieu de l'accident ;
3)date et heure de l'accident ;
4)informations concernant la route, telles que la nature de la zone, le type de route, le type de jonction, mais aussi la signalisation, le nombre de voies, le marquage, le revêtement, l'éclairage et les conditions météorologiques, la limitation de vitesse, les obstacles en bord de route ;
5)gravité de l'accident, y compris le nombre de personnes décédées et blessées, si possible selon des critères communs à définir conformément à la procédure de réglementation avec contrôle visée à l'article 13, paragraphe 3 ;
6)caractéristiques des personnes concernées telles qu'âge, sexe, nationalité, taux d'alcoolémie, usage ou non d'équipements de sécurité ;
7)données relatives aux véhicules concernés (type, âge, pays, équipements de sécurité le cas échéant, date du dernier contrôle technique périodique conformément à la législation applicable);
8)données relatives à l'accident telles que type d'accident, type de collision, manoeuvres du véhicule et du conducteur ;
9)chaque fois que cela est possible, informations sur la période de temps écoulée entre le moment de l'accident et son enregistrement ou l'arrivée des services de secours. "
Nous soulignons également que l'empiétement est rendu nécessaire par l'inaction de l'exécutif fédéral qui n'a toujours pas adopté l'arrêté visé à l'article 44/11/9, § 2, de la loi du 5 août 1992 sur la fonction de police ni, le cas échéant, par celle du législateur fédéral s'il devait être nécessaire d'adjoindre les mots " sécurité routière " au mot " sécurité ".
b. Incidence marginale sur la matière fédérale :
On peut affirmer que l'incidence sur la matière fédérale est marginale étant donné que la Région se contente de palier à la carence du fédéral en précisant que ses services peuvent être les destinataires de données policières afin de remplir leurs missions.
Par ailleurs, Bruxelles Mobilité limite au maximum le caractère sensible des données demandées afin de limiter les contraintes qui s'appliquent aux services de police lors du transfert des données.
En effet, les données issues de la Police Fédérale contiennent principalement des données généralisées (classes d'âge, résultat d'alcoolémie et non taux précis, etc.) ou pseudonymisées. Par ailleurs, le système de communication des données dites policières - via des conventions d'échanges - est similaire à ceux déjà en vigueur dans les autres Régions et avec d'autres entités. Ces données sont donc déjà traitées de la sorte par la Police Fédérale afin d'être communiquées vers plusieurs destinataires dont les missions sont similaires à celles de Bruxelles Mobilité.
De plus, toujours dans l'optique de limiter la charge de travail des services de police, lorsque cela est possible, la Région récupère les données nécessaires via des tiers de confiance - tel que STATBEL - qui reçoivent les données brutes de la police et procèdent au traitement préalable de celles-ci (cf. IV.).
Enfin, aucun empiétement n'a lieu sur la compétence fédérale liée aux images caméras étant donné qu'aucune image des caméras de la Police Fédérale et aucun PV ne sont traités directement par la Région, contrairement à ce que le COC évoque dans son avis.
La Police Fédérale communiquera uniquement à la Région les informations pertinentes nécessaires à la bonne exécution des missions régionales, et cela dans le cadre strict tant des données que des finalités décrites dans l'ordonnance.
IV. Minimisation des données traitées
Suite aux avis formulés par l'APD sur les projets d'ordonnance, les données, y compris celles reprises à l'article 32, § 1er, a), ont soit été reformulées en vue de leur minimisation (classes d'âge au lieu de l'âge, résultats de tests d'alcoolémie au lieu du taux précis, etc.) soit justifiées et détaillées dans les commentaires d'articles. Le caractère nécessaire et proportionné de chaque donnée sollicitée y est argumenté. Seule une précision peut encore être apportée concernant la donnée " possession d'un permis de conduire pour le véhicule utilisé et la date de ce permis ". Il ne s'agit pas tant de la date précise mais plutôt de l'année d'obtention du permis ou même d'une échelle progressive (par exemple " depuis moins de 6 mois, depuis 6 mois à 2 ans, depuis 2 à 5 ans, depuis 5 à 10 ans, depuis plus de 10 ans ")
Comme susmentionné, les données demandées sont minimisées, généralisées et pseudonymisées soit par les services de Police, soit par des tiers de confiance. Ces derniers effectuent des croisements de données - par exemple avec la DIV pour les données relatives aux véhicules impliqués dans un accident - afin de permettre à la Région de disposer de données généralisées et de métadonnées. Ces données présentent l'avantage d'être suffisamment précises, tout en limitant drastiquement les risques et possibilités de réidentification de personnes physiques, pour permettre à la Région d'exécuter les missions qui lui sont confiées par l'ordonnance.
Toutes les données citées à l'article 32, § 1er, a), ne sont pas issues de la Police Fédérale. Lorsque cela est possible, la Région privilégie l'obtention des données par le biais de croisements réalisés par des tiers de confiance - par exemple : STATBEL pour les informations liées aux véhicules impliqués dans les accidents - et ce afin de minimiser l'incidence et donc la charge de travail de la Police.
Il est par ailleurs utile de rappeler que lorsque les conditions pour réaliser une analyse d'impact (AIPD) sont réunies, dans le cadre d'une étude, d'une analyse ou d'un projet spécifique, le responsable de traitement - à savoir Bruxelles Mobilité - réalise celle-ci avant la mise en oeuvre des traitements, conformément à l'article 35 du RGPD.
V. Conclusion
Avec cet arrêté, la Région sera en mesure de recevoir les données des services de police nécessaires à l'exercice de ses missions grâce à l'entrée en vigueur de l'article 32, § 1er, a), de l'ordonnance. Le COC a contesté, dans son avis, la capacité de la Région à adopter cet article mais il reconnait néanmoins que la Région peut bel et bien prendre cette mesure sur base des compétences implicites et ce pour peu que les conditions soient remplies. Comme déjà montré, la Région respecte les conditions relatives à l'exercice de ses compétences implicites, à savoir : l'empiétement sur la compétence fédérale doit être nécessaire à l'exercice par la collectivité fédérée d'une compétence qui lui est attribuée et l'incidence sur la matière fédérale doit être marginale.
Pour information du Gouvernement de la Région Bruxelles-Capitale :