Le Registre national explique lui-même le cadre applicable aux délégués à la protection des données (DPO) dans le cadre de l’initiative « Stay Tuned as DPO » – Administration publique

Résumé pour la direction

• Le 21 septembre, le Registre national présente lui-même le cadre législatif, suivi d’une séance de questions-réponses modérée
• Le numéro de Registre national relève d’un régime propre, à côté du RGPD : son traitement est en principe interdit, sauf autorisation ou obligation légale
• Les connexions réseau doivent figurer dans la demande d’autorisation ; toute modification requiert une approbation préalable
• Une autorisation entraîne une obligation propre de désigner un DPO, avec publication et communication à l’APD et au ministre de l’Intérieur
• La session pratique s’appuie sur des cas issus des administrations fédérales, flamandes et locales, service Population compris
• Également au programme : les compétences des autorités et l’utilisation communale des caméras ANPR

Le Registre national autour de la table : ce que les DPO du secteur public en retirent

Presque tous les traitements d’une administration belge touchent tôt ou tard au Registre national. Et presque tous les DPO du secteur public font la même expérience : le régime qui l’entoure est strict, les sources juridiques sont dispersées, et la question arrive généralement au moment où quelque chose a déjà été construit.

Le 21 septembre 2026, le Registre national viendra lui-même présenter cette matière lors de Stay Tuned as DPO – Overheid, suivi d’une séance de questions-réponses modérée. Ce n’est pas un invité ordinaire. C’est l’instance qui examine les autorisations, qui tient à jour les connexions réseau et qui voit chaque jour sur quoi les demandes achoppent.

Le texte de loi vous dit ce qui est permis. La source vous dit comment une demande est réellement évaluée. C’est précisément tout l’enjeu de ce sujet.

Pourquoi le numéro de Registre national relève d’un régime particulier

En Belgique, le numéro de Registre national est une donnée à caractère personnel faisant l’objet d’une protection spécifique. Son traitement est en principe interdit, avec deux exceptions : une autorisation, ou une obligation légale. Ce régime est fixé par la loi du 8 août 1983 organisant un Registre national des personnes physiques, et il existe à côté du RGPD — et non à sa place.

L’autorisation est accordée par le ministre ayant l’Intérieur dans ses attributions, après examen des finalités. Celles-ci doivent être déterminées, explicites et légitimes, et les données demandées doivent être adéquates, pertinentes et non excessives. Pour les administrations qui se fondent sur une mission d’intérêt général, cela signifie que cette mission doit leur avoir été confiée par la loi ou être reconnue comme telle.

Il existe une exception importante, souvent invoquée à tort. Une autorisation n’est pas requise lorsque le numéro sert exclusivement à l’identification et à l’authentification au sein d’une application informatique d’un organisme désigné par la loi. C’est une exception étroite, et c’est le mot « exclusivement » qui fait tout le travail.

Qu’est-ce qu’une connexion réseau, et en quoi cela concerne-t-il votre registre ?

C’est l’aspect le plus sous-estimé dans la pratique.

Une connexion réseau est la communication automatique de données à caractère personnel à des tiers par l’interconnexion de systèmes d’information, le numéro de Registre national étant utilisé comme clé primaire. Ces connexions doivent être mentionnées spécifiquement dans la demande d’autorisation, afin que le Registre national puisse publier le cadastre des connexions réseau. Et toute modification doit être soumise au préalable à l’approbation du ministre ayant l’Intérieur dans ses attributions.

Relisez cette dernière phrase en pensant à votre propre administration. Chaque nouvelle interconnexion entre deux applications qui s’appuie sur le numéro de Registre national est potentiellement une modification de vos connexions réseau.

Le problème est rarement qu’un service utilise mal le numéro. Le problème est que personne ne tient à jour les interconnexions ajoutées depuis l’autorisation initiale. Une autorisation n’est pas une formalité ponctuelle. C’est un document vivant — et son suivi est une tâche de gouvernance, pas une tâche IT.

L’autorisation entraîne sa propre obligation en matière de DPO

Autre disposition rarement abordée dans les formations RGPD générales : quiconque se prévaut d’une autorisation pour accéder au Registre national, obtenir la communication de données ou utiliser le numéro de Registre national doit désigner un délégué à la protection des données au sens de l’article 37 du RGPD.

Les coordonnées de ce DPO doivent en outre être publiées et communiquées à la fois à l’Autorité de protection des données et au ministre ayant l’Intérieur dans ses attributions. Deux destinataires, pas un seul.

Pour la plupart des administrations, cela change peu de choses — le DPO est déjà en place. Mais il s’agit bien d’un fondement de désignation distinct, assorti de ses propres obligations de publication et de communication, qui sont régulièrement perdues de vue lors d’un changement de DPO.

Pourquoi entendre la source elle-même n’a rien à voir avec lire le texte

Vous pouvez lire la loi de 1983. Ce que vous n’y trouverez pas, c’est sur quoi les demandes achoppent en pratique, comment le Registre national évalue une description des finalités, ou avec quelle rigueur est lue la formule « exclusivement à l’identification et à l’authentification ».

C’est toute la valeur de cette session. L’exposé est suivi d’une séance de questions-réponses modérée au cours de laquelle vous pouvez soumettre votre propre situation. Le programme passe ensuite à la pratique, avec des cas concrets issus de l’autorité fédérale, de l’Autorité flamande et des pouvoirs locaux — avec une attention particulière pour l’échange de données avec le Registre national. La session se clôture par des lignes directrices pratiques, notamment sur l’utilisation du numéro de Registre national par le service Population.

La partie pratique est préparée sous la direction de Joseph Bertels, chef du service Sécurité de l’information de la Province de Flandre-Orientale. Quelqu’un qui connaît les questions parce qu’il les reçoit lui-même.

Ce qui figure encore au programme

La journée commence comme toujours par l’actualité. Dirk De Bot passe en revue la jurisprudence européenne et nationale la plus récente, les lignes directrices et les priorités stratégiques d’autorités de contrôle telles que l’APD et l’EDPS, chaque fois traduites en ce qu’elles signifient pour un DPO au sein d’une administration.

Pour cette édition, le programme aborde notamment les compétences des autorités et l’utilisation communale des caméras ANPR. Ce dernier sujet revient dans pratiquement tous les pouvoirs locaux et se situe à la croisée de la protection des données, de la législation sur la police et des compétences communales.

Le contenu de chaque session est communiqué deux semaines à l’avance, précisément parce que le programme suit l’actualité. Ce qui était pertinent en juin ne l’est plus forcément en septembre.

Par où commencer ?

Quatre choses à faire avant le 21 septembre, pour arriver à la table avec des questions plus pointues :

1. Retrouvez votre autorisation. Savez-vous précisément pour quoi votre administration est autorisée, et quand cette autorisation a été accordée ?
2. Listez les interconnexions dans lesquelles le numéro de Registre national sert de clé. Comparez cette liste avec ce qui figurait dans la demande d’autorisation.
3. Vérifiez la communication de votre DPO. Vos coordonnées sont-elles publiées, et ont-elles été transmises à la fois à l’APD et au ministre ayant l’Intérieur dans ses attributions ?
4. Rassemblez les questions de vos services. Le service Population en a certainement quelques-unes en attente.

Restez au fait de ce qui change dans le secteur public

Stay Tuned as DPO – Overheid est un abonnement annuel destiné aux DPO des autorités et institutions publiques. Deux journées complètes par an consacrées à l’actualité et à une session pratique, plus l’accès aux sessions Stay Tuned as DPO et à la plateforme d’apprentissage en ligne avec tous les enregistrements précédents. Animé par Dirk De Bot et Bart van Buitenen, avec chaque fois des intervenants invités qui suivent les évolutions aux premières loges.

À l’agenda :

• 21 septembre 2026 — Park Inn Leuven. Exposé du Registre national, questions-réponses modérées, cas pratiques issus des administrations fédérales, flamandes et locales
• 17 décembre 2026 — en streaming depuis Gand
• 25 février 2027 — bâtiment Virginie Loveling (VAC), Gand
• 21 octobre 2027 — Provinciehuis Leuven

1 195 € HTVA par an, lunch sandwiches et supports de cours numériques compris à chaque session.
Sessions sur place en néerlandais.

Consultez l’agenda complet et devenez Stay Tuned member

Sources et pour aller plus loin

• Loi du 8 août 1983 organisant un Registre national des personnes physiques — Justel
• Autorité de protection des données — la lecture de l’eID
• Règlement (UE) 2016/679 (RGPD) — EUR-Lex, article 37
• DPO Certificatie – Overheid — la base de deux jours sur laquelle repose cet abonnement

Questions fréquentes