29 Jan Le contrôle des bénéficiaires de la GRAPA sous l’angle du RGPD
On se souvient que le mesure prise par le Service Pensions concernant la condition de résidence des bénéficiaires de la garantie de revenus aux personnes âgées avait fait débat notamment quant au rôle qu’était amené à jouer le facteur. Le rôle de ce dernier risque bien, à nouveau, d’être mis sur la sellette mais il s’agit, cette fois, du respect par Bpost du RGPD (règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données) ou plus précisément “de la compatibilité avec le RGPD de la communication à Bpost de l’identité des bénéficiaires de la GRAPA et de leur adresse de résidence et sur l’identification du responsable du traitement” (Avis n°04/2020 du 17 janvier 2020, Autorité de protection des données).
Pour rappel, depuis l’été 2019, le SPF Pensions envoie au moins une fois par an un document de contrôle au bénéficiaire de la GRAPA. Le document de contrôle est remis en mains propres au bénéficiaire de la GRAPA par le facteur, sur présentation de sa carte d’identité. Si cette remise n’a pu être effectuée, la procédure est répétée 2 fois en 21 jours. Suite aux trois essais, une lettre explicative et un certificat de résidence à compléter sont déposés dans la boîte aux lettres. Le bénéficiaire de la GRAPA devra alors se présenter à l’administration communale pour faire compléter ce certificat de résidence qu’il transmettra au Service Pensions. Faute de renvoyer le document dans les temps, le Service Pensions suspend le paiement de la GRAPA.
L’Autorité de protection des données, à la demande de la Présidente de la Commission des affaires sociales de la chambre des représentants, Madame Marie-Colline Leroy, a émis un avis qui pose la question de la licéité du transfert des données (nom, prénom et adresse de résidence principale des bénéficiaires de la GRAPA à contrôler) à Bpost. Si tout responsable de traitement (le Service Pensions en l’occurrence) doit assurer la licéité de son traitement de données à caractère personnel et être en mesure de la démontrer, le RGPD impose aussi au sous-traitant (soit Bpost) de devoir informer le responsable du traitement du caractère contraire au RGPD d’une instruction reçue par lui. Il semblerait donc que la réalisation des démarches nécessaires au contrôle de résidence par d’autres personnes que les fonctionnaires délégués du SFP ou les inspecteurs sociaux pose question.
L’autorité, en l’espèce, ne remet qu’un avis mais sans nul doute en entendrons nous à nouveau parler. Que se passerait-il si un bénéficiaire de la Grapa déposait une plainte auprès de cette même autorité pour utilisation illicite de ses données personnelles?