Conditions d'utilisation spécifiques pour les sources authentiques DPA

Version 26/03/2024

1. Les présentes conditions d'utilisation (ci-après dénommées "conditions d'utilisation des sources authentiques") ont trait à l’application Web pour l’exécution et la conservation de recherches dans les sources authentiques qui sont listées dans les présentes conditions d’utilisation et qui sont accessibles via la Digital Platform for Attorneys (DPA) (ci-après “l’Application Authentic Sources”).

   Les Conditions d’utilisation Authentic Sources sont d’application en plus des conditions générales et de la politique vie privée de la plateforme DPA. Les conditions générales de la plateforme DPA sont intégralement d’application, sauf si les Conditions d’utilisation Authentic Sources s’en écartent spécifiquement. Les termes avec une majuscule sont soit définis dans les conditions générales de la plateforme DPA soit dans les présentes Conditions d’utilisation Authentic Sources. Il est fortement recommandé de lire attentivement les conditions générales et les Conditions d’utilisation Authentic Sources avant d’utiliser l’Application Authentic Sources.

2. L’Utilisateur déclare avoir pris connaissance des Mesures Techniques et Organisationnelles Minimales pour les utilisateurs de l’Application Authentic Sources de DPA et s’engage à respecter ces mesures à tout moment.

3. La communication de données provenant d’une source authentique à des personnes qui ne sont pas autorisées à les recevoir, et/ou l’utilisation des données à des fins autres que celles pour lesquelles l'Utilisateur est légalement autorisé, peuvent engager sa responsabilité civile et/ou pénale et peuvent donner lieu à des sanctions disciplinaires. Le Prestataire ne pourra en aucun cas être tenu pour responsable d'une mauvaise utilisation de ces données et se réserve le droit, en cas d'utilisation abusive ou de suspicion d'utilisation abusive des données, de refuser l'accès à un Utilisateur, avocat et/ou employé impliqué dans cet abus.

4. Les présentes Conditions d’utilisation Authentic Sources (ainsi que les conditions générales et la politique vie privée de la plateforme DPA, et les Mesures Techniques et Organisationnelles Minimales pour les utilisateurs de l’Application Authentic Sources de DPA) peuvent être complétées, revues ou adaptées. Les Utilisateurs acceptent que l’utilisation de l’Application Authentic Sources et des sources accessibles par ce biais est toujours soumise à la version des Conditions d’utilisation Authentic Sources qui a été publiée et est applicable au moment de cette utilisation.

5. Le prestataire de services garantit qu'un rapport téléchargeable sera conservé dans l'application Web Authentic Sources et disponible pour l'utilisateur pendant une période de 90 jours à compter de la création du rapport, comme spécifié dans l'application.

Fichier central des avis de saisie, de délégation, de transfert, de règlement collectif de dettes et de protêt (FCA)

1. L’Application Authentic Sources fournit aux Utilisateurs un accès, via l’Application FCA, au fichier central des avis de saisie, de délégation, de cession, de règlement collectif de dettes et de protêt (FCA), tel qu’institué conformément aux articles 1389bis/1 et suivants C. jud. Les Utilisateurs de l’Application FCA peuvent effectuer et enregistrer des recherches dans le FCA conformément aux présentes Conditions d'utilisation Authentic Sources.

2. L’accès à l’Application FCA n’est autorisé que si l’Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d’utilisation Authentic Sources. L'Application FCA fournit aux Utilisateurs autorisés un accès aux données du FCA, qui est géré par la Chambre Nationale des Huissiers de Justice. Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.

3. L’Utilisateur déclare être membre de l’Orde van Vlaamse Balies ou de l’Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l’Orde van Vlaamse Balies ou de l’Ordre des barreaux francophones et germanophone. L’Utilisateur n’utilisera l’Application FCA que pour obtenir des données dont l’avocat a besoin dans le cadre d'une procédure de recouvrement au fond ou par voie de saisie contre une personne déterminée pour les tâches effectuées par l’avocat en tant que collaborateur de la justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non excessives par rapport à l'objectif poursuivi en tant que collaborateur de la justice et ne les conservera pas plus longtemps que nécessaire à l’objectif poursuivi. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les bâtonniers compétents puissent exercer un contrôle sur le caractère licite de la demande et l'adéquation des données demandées, dans le cadre duquel la proportionnalité et la limitation des finalités des données peuvent être vérifiées. L'Utilisateur s'engage à coopérer pleinement à ces contrôles.

4. L’Utilisateur confirme avoir accepté le coût d’un service payant par l’utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l’Application FCA. Ce résumé reste accessible à l’Utilisateur pendant une période d’au moins un an. L’Utilisateur est responsable de l’enregistrement, la conservation et le traitement correct des rapports générés par l’Application FCA.

5. Le coût ne sera facturé que si le service commandé a été livré avec succès.

   Une livraison réussie signifie qu’un résultat de recherche provient du FCA sur base des données telles que soumises par l’Utilisateur. L’Utilisateur doit s’assurer que les données sont correctes et complètes afin de faire une recherche.

   Un résultat de recherche qui ne donne pas de résultats sur base des données soumises est une livraison réussie du service, et est donc facturé.

Registre national

1. L’accès à l’Application Registre national n’est autorisé que si l’Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d’utilisation Authentic Sources. L'Application Registre national fournit aux Utilisateurs autorisés un accès aux données du Registre national, qui est géré par les services publics fédéraux compétents. Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.

2. L’Utilisateur déclare être membre de l’Orde van Vlaamse Balies ou de l’Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l’Orde van Vlaamse Balies ou de l’Ordre des barreaux francophones et germanophone. L’Utilisateur n’utilisera l’Application Registre national que pour rassembler des données dont l’avocat a besoin pour les tâches effectuées par l’avocat en tant que collaborateur de la justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non excessives par rapport à l'objectif poursuivi en tant que collaborateur de la justice. L’Utilisateur s’engage à toujours limiter les recherches à celles qui sont nécessaires pour l'intentement, la conduite et l'aboutissement d'une cause qui a été confiée aux avocats concernés et pour accomplir des actes préalables à une procédure contentieuse. L’Utilisateur met cette motivation à la disposition de l'Ordre auquel appartient l'avocat pour lequel la recherche est effectuée (l’Orde van Vlaamse Balies ou l’Ordre des barreaux francophones et germanophone respectivement) et des délégués à la protection des données respectifs de ces Ordres. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les bâtonniers compétents puissent exercer un contrôle sur le caractère licite de la demande et l'adéquation des données demandées, dans le cadre duquel la proportionnalité et la limitation des finalités des données peuvent être vérifiées. L'Utilisateur s'engage à coopérer pleinement à ces contrôles. A cet égard, l’Utilisateur remplira notamment de manière adéquate et complète les invitations à motiver les recherches dans l’Application Registre national.

3. L’Utilisateur confirme avoir accepté le coût d’un service payant par l’utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l’Application Registre national. Ce résumé reste accessible à l’Utilisateur pendant une période d’au moins un an. L’Utilisateur est responsable de l’enregistrement, la conservation et le traitement correct des rapports générés par l’Application Registre national. L’Utilisateur ne conservera les rapports et les données incluses dans ceux-ci pas plus longtemps que nécessaire et toujours conformément aux délais minimum et maximum imposés par la loi.

4. Le coût ne sera facturé que si le service commandé a été livré avec succès.

   Une livraison réussie signifie qu’un résultat de recherche provient du Registre national sur base des données telles que soumises par l’Utilisateur. L’Utilisateur doit s’assurer que les données sont correctes et complètes afin de faire une recherche. Un résultat de recherche qui ne donne pas de résultats sur base des données soumises est une livraison réussie du service, et est donc facturé.

   Un résultat de recherche qui ne donne aucun résultat sur la base des données saisies constitue une prestation réussie du service et est donc facturé.

   Si une recherche donne plus de vingt (20) résultats, ces résultats ne sont pas affichés à cause des limites imposées par le gouvernement qui gère le Registre national. Dans un tel cas, le défaut d'affichage des résultats résulte d'une fourniture de données incomplète et/ou insuffisante par l'Utilisateur et des frais sont facturés.

   Lors de recherches sur base d’un nom et d’une date de naissance ou sur base d’une adresse, l’Utilisateur soumettra toujours suffisamment de données afin d’obtenir uniquement les résultats qui servent l’objectif poursuivi en tant que collaborateur de la justice.

GraydonCreditsafe

1. L’accès à l’Application GraydonCreditsafe n’est autorisé que si l’Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d’utilisation Authentic Sources. L’acceptation des Conditions d’utilisation Authentic Sources implique l’acceptation des conditions générales de Graydon Belgium nv (https://graydon.be/fr/conditions-generales), qui s'appliquent dans la mesure où les Conditions d’utilisation Authentic Sources ne s'en écartent pas. L'Application GraydonCreditsafe fournit aux Utilisateurs autorisés un accès aux données de GraydonCreditsafe, qui est géré par Graydon Belgium nv (numéro d’entreprise 0422.319.093). Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.
2. L’Utilisateur déclare être membre de l’Orde van Vlaamse Balies ou de l’Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l’Orde van Vlaamse Balies ou de l’Ordre des barreaux francophones et germanophone. L’Utilisateur n’utilisera l’Application GraydonCreditsafe que pour obtenir des données dont l’avocat a besoin dans le cadre d'un dossier pour un client. Par dérogation aux conditions générales de Graydon Belgium nv, les avocats peuvent utiliser et communiquer tout GraydonCreditsafe Credit Report qui a été téléchargé via DPA aux personnes et institutions concernées dans le cadre de procédures juridiques (judiciaires, administratives ou autres), en ce compris la préparation de celles-ci.
3. L’Utilisateur confirme avoir accepté le coût d’un service payant par l’utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l’Application GraydonCreditsafe. Ce résumé reste accessible à l’Utilisateur pendant une période d’au moins un an. L’Utilisateur est responsable de l’enregistrement, la conservation et le traitement correct des rapports générés par l’Application GraydonCreditsafe.
4. Le coût ne sera facturé que si le service commandé a été livré avec succès.
5. Une livraison réussie signifie qu’un GraydonCreditsafe Credit Report provient du GraydonCreditsafe sur base des données telles que soumises par l’Utilisateur. L’Utilisateur doit s’assurer que les données sont correctes et complètes afin de faire une recherche.

Registre central des successions, testaments et contrats de mariage

1. L'application d'Authentic Sources permet aux utilisateurs, qui acceptent les conditions générales de la plateforme DPA et les présentes conditions d'utilisation d'Authentic Sources, d'accéder, via l'application Fednot du registre central, aux données provenant de :
   • Le Registre central des successions (RCS) tel que défini à l'article 4.125 et suivants du Code civil ;
   • Le registre central des testaments (RCT) tel que défini à l'article 4.260 et suivants du code civil ;
   • Le Registre central des contrats de cohabitation et de mariage (CRH) tel que défini à l'article 2.3.82 et suivants du Code civil.
2. Le RCS, RCT et CRH sont gérés par la Fédération royale du notariat belge (FEDNOT). Le prestataire de services n'offre aucune garantie quant à l'exactitude des données.
3. L'accès à l'application Fednot du registre central n'est accordé que si l'utilisateur a accepté les conditions générales de la plateforme DPA et les conditions générales de Sources Authentiques.
4. L'utilisateur déclare être membre de l'Ordre des barreaux flamands ou de l'Ordre des barreaux francophones et germanophone en tant qu'avocat.
5. L'utilisateur déclare utiliser l'application Fednot du Registre central uniquement pour récupérer et consulter les données du Registre central :
   • RCS, en fonction de l'exercice de sa fonction conformément à l'article 4.131, §1 du code civil ;
   • RCT, dans la mesure où il en a été expressément chargé par une personne visée à l'article 4.266, §§1, 2 et 3 du Code civil et dans les limites fixées par l'article 4.266, §§1, 2 et 3 du Code civil ;
   • CRH, dans la mesure où il en est expressément chargé par un organisme, une personne ou une entité visés à l'article 2.3.88, §1, 2°, 3° et 4° du Code civil et dans les limites fixées par l'article 2.3.88 du Code civil.
6. L'utilisateur ne recherche, ne demande et ne consulte ces données que dans la mesure où elles sont suffisantes, pertinentes et non excessives par rapport à la finalité poursuivie. L'utilisateur s'engage à ne pas conserver le résultat de la recherche plus longtemps que nécessaire pour la finalité poursuivie.
7. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les membres du personnel autorisés puissent effectuer des contrôles sur la légalité de l'extraction et l'adéquation des données extraites, ce qui permet de vérifier la proportionnalité et la limitation de la finalité des données. L'utilisateur s'engage à coopérer pleinement à ces contrôles.
8. Aux fins de cette vérification, l'utilisateur identifie, avant la recherche, le caractère définitif de la recherche.
9. L'utilisateur est donc tenu de toujours communiquer correctement et complètement sa capacité et la finalité valable pour demander, traiter et conserver les données consultées dans ces registres lorsqu'il soumet sa demande via le Registre central Fednot Application.
10. En soumettant la demande, l'utilisateur donne au prestataire de services un mandat spécial pour effectuer en son nom la recherche demandée dans le RCS, RCT et/ou CRH, et pour conserver le résultat de la recherche pour l'utilisateur pendant quatre-vingt-dix jours. L'utilisateur déclare disposer d'une capacité valable (voir ci-dessus, mandat formel de son client) pour récupérer et traiter les données et accepte l'entière responsabilité de la récupération, du traitement et de la conservation des données.
11. L'utilisateur garantit, entre autres, que l'extraction, le traitement et le stockage des données sont conformes à la Loi sur la Vie Privée et à la législation spécifique relative à l'accès et au traitement des données accessibles via l'application Fednot du Registre central et indemnise le prestataire de services pour tout dommage éventuel causé en cas de manquement de la part de l'utilisateur.
12. L'utilisateur s'engage, entre autres, à informer de manière adéquate les personnes concernées sur le traitement des données à caractère personnel et, dans la mesure du possible, à répondre aux demandes des personnes concernées d'exercer leurs droits. En outre, cela implique également que l'utilisateur est lui-même responsable de la préparation, le cas échéant, des différents documents et analyses nécessaires pour démontrer que ses obligations du RGPD ont été remplies (y compris, mais sans s'y limiter, le registre des traitements, l'évaluation de l'impact sur les données, la déclaration sur la protection de la vie privée, etc.)
13. L'utilisateur s'engage également, s'il fait lui-même appel à des tiers, tels que ses employés, à le faire entièrement au nom de l'utilisateur concerné. Toutes les obligations en matière de sécurité et du RGPD s'appliquent mutatis mutandis, comme si l'utilisateur les avait exécutées lui-même, et l'utilisateur est donc entièrement responsable de toute utilisation abusive.
14. L'utilisateur est tenu de prendre des mesures appropriées à l'égard de ses employés autorisés (y compris des mesures organisationnelles et techniques adéquates, telles que des obligations de confidentialité).
15. Afin de récupérer les données, le prestataire de services peut demander à l'utilisateur de joindre des documents authentiques sous forme de fichiers numériques pour justifier de sa capacité et/ou d'une raison valable. L'utilisateur ne peut joindre que des fichiers numériques qu'il possède légalement et qui répondent aux exigences techniques du prestataire de services.
16. Les fichiers numériques ajoutés par l'Utilisateur sont communiqués à Fednot avec un numéro de fichier unique et la requête de recherche. L'Utilisateur veille à ce que ces fichiers numériques et ces recherches ne contiennent pas d'informations couvertes par le secret professionnel de l'avocat.
17. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les membres du personnel autorisés puissent effectuer des contrôles sur la légalité de l'extraction et l'adéquation des données extraites, ce qui permet de vérifier la proportionnalité et la limitation de la finalité des données. L'utilisateur s'engage à coopérer pleinement à ces contrôles. L'Ordre des avocats auquel appartient l'avocat pour lequel la recherche est effectuée (respectivement l'Ordre des barreaux flamands ou l'Ordre des barreaux francophones et germanophones), se réserve le droit de suspendre l'accès à l'Application Fednot du Registre central avec effet immédiat en cas de doute raisonnable quant à la légitimité de la recherche de l'Utilisateur.
18. L'utilisateur reconnaît que la consultation, l'accès ou le traitement abusifs des données accessibles via l'application du Registre central Fednot peuvent être sanctionnés par des sanctions administratives, disciplinaires et/ou pénales.
19. En cas de violation de données à caractère personnel, l'utilisateur s'engage à respecter les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD et à notifier la violation à l'autorité de contrôle compétente dans les meilleurs délais.
20. Dans le cadre des services offerts via l'Application du Registre central Fednot, le Prestataire, pour effectuer l'identification, l'authentification et la preuve de la capacité de l'Utilisateur en tant qu'avocat, agit en tant que responsable du traitement, au sens de l'article 4, 7) du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) (ci-après le " RGPD "). Ceci est fait dans le cadre de sa mission d'intérêt public assignée par la loi (art. 434/1 Code Judiciaire).
21. Pour les tâches suivantes, l'utilisateur agit en tant que responsable du traitement des données - tel que défini à l'article 4, 7 du RGPD - pour le traitement des données qu'il a demandées via l'application Fednot du Registre central et le fournisseur de services agit en tant que sous-traitant - tel que défini à l'article 4, 8 du RGPD - pour effectuer les tâches suivantes au nom de l'utilisateur :
    • la récupération des données du RCS, RCT et/ou CRH auprès de FEDNOT, à la demande de l'utilisateur, via l'application Fednot du Registre central ;
    • conserver les résultats de la recherche pour l'utilisateur pendant 90 jours.
    • informer l'utilisateur que le résultat de la recherche est disponible sur l'application Fednot du Registre central et peut être téléchargé.
22. Cette répartition des tâches est précisée dans l'accord de sous-traitance joint en annexe et que l'utilisateur accepte expressément.
23. En utilisant un service payant, l'utilisateur confirme qu'il accepte le coût du service. Un résumé écrit sous forme électronique des services payants commandés est conservé dans le registre central de l'application Fednot. Il reste accessible à l'utilisateur pendant 90 jours. Les journaux de recherche sont conservés pendant 10 ans à des fins de gestion des litiges. L'utilisateur est responsable du stockage, de la conservation et du traitement corrects des rapports générés par l'application Registre central Fednot. L'utilisateur ne conservera pas les rapports et les données qu'ils contiennent plus longtemps que nécessaire et toujours dans le respect des périodes minimales et maximales imposées par la loi.
24. Les frais ne seront facturés que si le service commandé a été fourni avec succès.
25. La livraison réussie signifie qu'un résultat de recherche provient du RCS, RCT et du CRH sur la base des données saisies par l'utilisateur. L'utilisateur doit veiller à ce que les données soient correctes et complètes pour effectuer une recherche.
26. Un résultat de recherche qui ne donne aucun résultat sur la base des données saisies constitue une prestation réussie du service et est donc facturé.
27. Pour les recherches, l'utilisateur soumettra toujours des données suffisantes pour obtenir uniquement les résultats de recherche qui répondent à l'objectif visé.

Annexe I - ACCORD DE SOUS-TRAITANCE

ENTRE :

L'avocat membre de l'Ordre des barreaux flamands ou de l'Ordre des barreaux francophones et germanophones et utilisateur des Conditions spécifiques d'utilisation de DPA-Authentic Sources "Conditions d'utilisation Authentic Sources". Ci-après dénommé "l'utilisateur" ;

ET :

(a) L'Ordre des Barreaux Francophones et Germanophone (" OBFG " / " AVOCATS.BE "), sis Rue Haute n°139/20 à 1000 Bruxelles, sous le numéro d'entreprise: 0850 260 032
et
(b) L'Ordre des Barreaux Flamands (OVB), sis Rue du Moniteur belge n°8 à 1000 Bruxelles, sous le numéro d'entreprise : 267.393.267

(a) et (b), ci-après dénommés conjointement le "prestataire de services".

Le cas échéant, elles sont désignées collectivement par le terme "parties".

CONSIDÉRANT :

(1) Les parties traitent les données à caractère personnel des personnes concernées dans le cadre de diverses activités de traitement, décrites en détail à l'annexe I.I ("Activités de traitement").

(2) les Parties souhaitent fixer dans le présent Accord les modalités et la répartition des tâches concernant les Activités de traitement conformément au Règlement général sur la protection des données 2016/679 du 27 avril 2016 (le " Règlement général sur la protection des données " ou " RGPD ").

(3) le présent accord ne dispense pas les parties des obligations auxquelles elles sont soumises en vertu du règlement général sur la protection des données ou d'autres législations.

(4) les parties reconnaissent que, outre le présent accord, elles concluront des accords supplémentaires nécessaires avec des tiers qui ne sont pas parties au présent accord.

IL EST CONVENU CE QUI SUIT

1. Définitions
   1. Les termes en majuscules ont la signification qui leur est attribuée dans le présent accord.
   2. Les termes "responsable du traitement", "données à caractère personnel", "traitement de données", "sous-traitant", "destinataire", "violation de données à caractère personnel" et "autorité de contrôle" ont la signification qui leur est attribuée dans le règlement général sur la protection des données.
   3. La "législation sur la protection des données" fait référence au règlement général sur la protection des données, tel que modifié de temps à autre, et à d'autres législations obligatoires, internationales et nationales sur le traitement et la protection des données à caractère personnel applicables aux activités de traitement.
   4. Les dispositions du présent accord sont interprétées à la lumière du règlement général sur la protection des données. Si ce règlement ne fournit pas une interprétation claire et sans ambiguïté, il convient de donner aux termes le sens qui se rapproche le plus possible de l'intention des parties.
2. Objet
   1. Le présent accord de sous-traitance définit les droits et obligations des parties en ce qui concerne les activités de traitement décrites à l'annexe I.I, conformément à l'article 28 de la loi sur la protection des données.
   2. Aux fins du présent accord de sous-traitance, le prestataire de services doit être considéré comme un sous-traitant et l'utilisateur comme un responsable du traitement pour les activités de traitement décrites dans l'annexe I.I.
3. Droits et obligations du responsable du traitement
   1. Le responsable du traitement est chargé de veiller à ce que le traitement des données à caractère personnel ait lieu conformément à la législation sur la protection des données, en particulier le règlement général sur la protection des données, le présent accord et les conditions d'utilisation d'Authentic Sources.
   2. Le responsable du traitement a le droit et l'obligation de prendre des décisions sur les finalités et les moyens du traitement des données à caractère personnel. Le responsable du traitement déclare avoir un motif légitime et que les finalités n'iront pas au-delà de ce motif, comme indiqué lors de la consultation de la demande de Sources Authentiques.
4. Droits et obligations du sous-traitant
   1. Le sous-traitant ne traite les données à caractère personnel que sur la base d'instructions écrites du responsable du traitement conformément aux annexes I.I, à moins qu'une obligation légale ne lui impose une autre activité de traitement. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation légale avant de procéder au traitement, à moins que cette obligation légale ne l'interdise pour des raisons d'intérêt public important. Le responsable du traitement peut également donner d'autres instructions tout au long du traitement des données à caractère personnel, mais ces instructions doivent toujours être enregistrées et conservées par écrit, y compris sous forme électronique.
   2. Si le sous-traitant outrepasse son mandat ou détermine lui-même les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour cette activité de traitement.
   3. Le sous-traitant s'engage à fournir au responsable du traitement toute information permettant à ce dernier de démontrer que le traitement est conforme au RGPD.
   4. Lorsque la coopération entre les parties sur une ou plusieurs activités de traitement prend fin, le sous-traitant met immédiatement fin aux opérations de traitement concernées, à moins que les parties n'en aient expressément convenu autrement. Le sous-traitant efface ou restitue toutes les données à caractère personnel en sa possession, ainsi que toute copie ou sauvegarde existante, à la demande du responsable du traitement, à moins que le maintien de la conservation des données à caractère personnel ne soit requis par la loi ou ne soit nécessaire à la constatation, à l'exercice ou au fondement d'un droit en justice ou à la défense de celui-ci.
5. Assistance au responsable du traitement
   1. Si une personne concernée demande au sous-traitant d'exercer les droits énoncés au chapitre III du RGPD, le sous-traitant en informe le responsable du traitement dans les meilleurs délais et au plus tard dans les cinq jours ouvrables suivant la réception de la demande. À la demande du responsable du traitement, le sous-traitant l'aide, par des mesures techniques et organisationnelles appropriées, à se conformer aux obligations du responsable du traitement de répondre à ces demandes conformément au RGPD. L'utilisateur doit savoir qu'il doit lui-même, en tant que responsable du traitement, fournir à la personne concernée une réponse appropriée en temps utile (dans les délais fixés par le RGPD) lorsqu'il exerce ses droits en tant que personne concernée. Cela se produit très régulièrement dans la pratique grâce à l'application mydata que BOSA met à la disposition des citoyens.
   2. Compte tenu de la nature du traitement et des informations disponibles, le sous-traitant aide le responsable du traitement, en ce qui concerne les activités de traitement du sous-traitant, à se conformer à :
      • l'obligation pour le responsable du traitement de procéder à une évaluation de l'impact de l'activité de traitement envisagée sur la protection des données à caractère personnel ("analyse d'impact relative à la protection des données") ;
      • l'obligation pour le responsable du traitement de consulter l'autorité de contrôle compétente, l'autorité belge de protection des données, pour les traitements pour lesquels une analyse d'impact sur la protection des données montre que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour mitiger le risque.
   3. L'assistance du prestataire de services est toujours payée aux tarifs de consultation en vigueur (suivant le profil de senior business analyst).
6. Sécurité du traitement
   1. En tenant compte de l'état de la technique, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement et des risques pour les droits et libertés des personnes, qui varient en probabilité et en gravité, les parties prennent, conformément à l'article 32 de la loi sur la protection des données, les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque.
   2. Le responsable du traitement évalue les risques pour les droits et libertés des personnes physiques inhérents au traitement et impose au sous-traitant des mesures pour mitiger ces risques. En fonction de leur pertinence, les mesures peuvent comprendre les éléments suivants :
      • la pseudonymisation et le cryptage des données à caractère personnel ;
      • la capacité à assurer en permanence la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services de traitement ;
      • la capacité de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci en temps utile en cas d'incident physique ou technique ;
      • une procédure permettant de tester, d'évaluer et d'apprécier régulièrement l'efficacité des mesures techniques et organisationnelles destinées à sécuriser le traitement.
   3. Les parties mettent en œuvre les mesures techniques et organisationnelles prévues à l'annexe I.2.
   4. Le sous-traitant évalue - indépendamment du responsable du traitement - les risques pour les droits et libertés des personnes physiques inhérents au traitement et prend des mesures pour mitiger ces risques. À cette fin, le responsable du traitement fournit au sous-traitant toutes les informations nécessaires à l'identification et à l'évaluation de ces risques.
   5. En cas de violation de données à caractère personnel ("violation de données"), le sous-traitant informe le responsable du traitement immédiatement, mais au plus tard 24 heures après que le sous-traitant a pris connaissance de cette violation de données, par le biais d'une notification à l'utilisateur concerné. Le responsable du traitement notifie la violation de données à l'autorité de contrôle compétente et/ou aux personnes concernées, conformément aux articles 33 et 34 de la loi sur la protection des données. S'il s'agit d'une violation de données concernant exclusivement l'infrastructure du sous-traitant, le responsable du traitement donne un mandat spécial au sous-traitant pour qu'il procède lui-même à la notification à l'autorité de contrôle compétente, à condition qu'il en ait informé le responsable du traitement par écrit au préalable.
   6. Dans ce cas, le sous-traitant fournit au responsable du traitement une assistance raisonnable pour permettre à ce dernier de remplir les obligations qui lui incombent en vertu des articles 33 et 34 de la loi sur la protection des données.
   7. En particulier, le sous-traitant doit aider le responsable du traitement à obtenir les informations suivantes :
      • la nature de la violation de données, y compris, si possible, les catégories et le nombre de personnes concernées et les catégories et le nombre de données à caractère personnel concernées ;
      • les conséquences probables de la violation de données ;
      • les mesures prises pour remédier à la violation de données, y compris, le cas échéant, les mesures visant à en atténuer les effets négatifs.
   8. Sauf si la cause de la violation des données est imputable au prestataire de services, l'assistance fournie par le prestataire de services à l'utilisateur est toujours payante aux tarifs de conseil en vigueur (suivant le profil de senior business analyst).
7. Utilisation de sous-traitants
   1. Le sous-traitant a l’accord général du responsable du traitement pour engager des sous-traitants ultérieurs, à condition qu'au moins 30 jours civils avant toute modification prévue des sous-traitants ultérieurs, le sous-traitant notifie par écrit au responsable du traitement toute modification apportée à la liste des sous-traitants ultérieurs autorisés afin que le responsable du traitement ait la possibilité de s'opposer à ces changements avant que le(s) sous-traitant(s) ultérieur(s) concerné(s) ne soit(nt) engagé(s) et à condition que le responsable du traitement n'ait pas formulé d'objection motivée au changement proposé dans un délai de 30 jours civils à compter de la notification. La liste des sous-traitants ultérieurs déjà approuvés par le responsable du traitement est présentée par activité de traitement à l'annexe I.I.
   2. Lorsque le sous-traitant engage un sous-traitant ultérieur pour effectuer des activités de traitement spécifiques au nom du responsable du traitement, les mêmes obligations de protection des données que celles énoncées dans l'accord sont imposées à ce sous-traitant ultérieur par contrat ou autre acte juridique en vertu du droit de l'Union ou de l'État membre, fournissant des garanties suffisantes sur la mise en œuvre de mesures techniques et organisationnelles appropriées afin que le traitement soit conforme au présent accord de sous-traitance et aux lois sur la protection des données.
   3. Le sous-traitant est donc responsable de s'assurer que le sous-traitant ultérieur respecte au moins les obligations auxquelles le sous-traitant est soumis en vertu des conditions d'utilisation d'Authentic Sources et de la législation sur la protection des données.
   4. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant reste pleinement responsable vis-à-vis du contrôleur de l'exécution des obligations du sous-traitant ultérieur.
   5. Lorsqu'il est mis fin à la coopération entre les parties concernant une ou plusieurs activités de traitement, le sous-traitant veille à ce que chaque sous-traitant ultérieur mette immédiatement fin au traitement des activités de traitement concernées et supprime intégralement toutes les données à caractère personnel de ses fichiers.
8. Transfert de données vers des pays tiers ou des organisations internationales
   1. Le transfert de données personnelles vers des pays tiers ou des organisations internationales en dehors de l'Espace économique européen par le sous-traitant s'effectue toujours dans le respect du RGPD.
   2. Lorsque le transfert vers des pays tiers ou des organisations internationales, auquel le sous-traitant n'a pas été invité par le responsable du traitement, est obligatoire en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis, le sous-traitant informe le responsable du traitement de cette obligation légale avant le début du traitement, à moins que le droit en question n'interdise cette information pour des raisons impérieuses d'intérêt public.
9. Audit et inspection
   1. Lorsqu'il existe des indices sérieux de non-respect de l'Accord ou de la législation sur la protection des données, par exemple, mais sans s'y limiter, dans le cas d'une violation des données, le responsable du traitement est habilité à nommer un auditeur pour effectuer, après un préavis raisonnable donné au sous-traitant, un audit ou une inspection des opérations de traitement du sous-traitant dans le cadre des Activités de traitement. À la demande du sous-traitant, l'auditeur signe un accord de confidentialité. Le sous-traitant met à disposition toutes les informations nécessaires à la réalisation de l'audit/inspection par le responsable du traitement ou un auditeur. La portée, les modalités et la durée de l'audit/inspection sont limitées à ce qui est raisonnablement nécessaire pour atteindre son objectif et n'interrompent pas indûment les activités du sous-traitant.
   2. Le sous-traitant fournit les ressources (principalement le temps) dont le responsable du traitement a besoin pour effectuer l'audit/inspection. Le responsable du traitement prend en charge tous les (autres) coûts raisonnables de l'audit/inspection, à moins que le sous-traitant n'ait enfreint l'accord et/ou les lois sur la protection des données. Dans ce cas, le sous-traitant supporte tous les coûts de l'audit, y compris tous les coûts encourus par le responsable du traitement.
   3. Sur la base des résultats de cet audit/inspection, le responsable du traitement peut demander que des mesures supplémentaires soient prises pour garantir le respect de la législation sur la protection des données et de l'accord.
   4. La coopération du prestataire de services à un audit d'un utilisateur ou pour le compte d'un utilisateur est toujours payée aux tarifs de consultation en vigueur (suivant le profil de senior business analyst).

ANNEXE I.I - DESCRIPTION DES ACTIVITÉS DE TRAITEMENT : LE PRESTATAIRE DE SERVICES EN TANT QUE SOUS-TRAITANT

ANNEXE I.2 - MESURES TECHNIQUES ET ORGANISATIONNELLES

Mesures techniques et organisationnelles pratiques

Conformément à l'article 6 de l'accord de sous-traitance, les parties mettent en œuvre, le cas échéant, les mesures techniques et organisationnelles suivantes pour garantir un niveau de sécurité adapté aux risques :

• Mesures relatives à la pseudonymisation et au cryptage des données à caractère personnel ;
• Mesures garantissant en permanence la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services de traitement (par exemple, installation et maintenance de dispositifs et de systèmes visant à prévenir, détecter et traiter les menaces, politiques de mise à jour des logiciels tels que les navigateurs, les scanners de virus, la détection des logiciels malveillants et les systèmes d'exploitation / systèmes de gestion de la vie privée et de la sécurité de l'information / gestion des vulnérabilités techniques (gestion des correctifs)) ;
• Mesures garantissant la capacité de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci en temps utile en cas d'incident physique ou technique (par exemple, plan de gestion des violations de données, sauvegardes pour le rétablissement (en temps utile) de la disponibilité des données à caractère personnel et de l'accès à celles-ci, telles que des systèmes dupliqués) ;
• des procédures permettant de tester, d'apprécier et d'évaluer régulièrement l'efficacité des mesures techniques et organisationnelles destinées à sécuriser le traitement ;
• Mesures d'identification et d'autorisation des utilisateurs (par exemple, utilisation de codes d'accès, de noms d'utilisateur et de mots de passe par les personnes autorisées à accéder aux données à caractère personnel et contrôle régulier des fichiers journaux) ;
• Mesures de protection des données pendant le transfert (par exemple, accords avec les sous-traitants) ;
• Mesures de protection des données pendant le stockage (par exemple, information des employés sur le stockage des données personnelles) ;
• Mesures visant à assurer la sécurité physique des lieux où sont traitées les données à caractère personnel (par exemple, en plaçant les supports de données à caractère personnel et les systèmes informatiques dans des locaux identifiés et protégés dont l'accès est limité aux personnes autorisées et aux heures pendant lesquelles elles exercent leurs fonctions) ;
• des mesures visant à garantir l'enregistrement des incidents (par exemple, l'installation de mécanismes de journalisation et de suivi qui enregistrent l'identité de chaque personne ayant accédé à des données à caractère personnel ou les ayant traitées) ;
• Mesures visant à garantir la configuration du système, y compris le réglage par défaut ;
• Mesures de gouvernance et de gestion internes dans le domaine des technologies de l'information et de la sécurité informatique (fournir des informations suffisantes et régulières à toute personne intervenant dans le traitement des données à caractère personnel, ainsi que fournir une formation appropriée à ces personnes pour l'exercice de leurs fonctions et responsabilités en matière de sécurité de l'information) ;
• Mesures de certification/assurance des processus et des produits ;
• Mesures visant à assurer la minimisation des données (par exemple, limitation de l'accès aux personnes nécessaires et mise à jour régulière des droits d'accès) ;
• Mesures visant à garantir la qualité des données ;
• Mesures visant à limiter la conservation des données (par exemple, suppression des données obsolètes) ;
• Mesures visant à garantir la responsabilité (par exemple, attribution des responsabilités en matière de sécurité de l'information) ;
• Mesures visant à permettre la portabilité des données et à garantir leur effacement.

Politiques et instructions en matière de sécurité

Les parties peuvent convenir d'instructions et de politiques supplémentaires concernant les mesures techniques et organisationnelles.

Conditions d'utilisation Authentic Sources

Version 09/12/2022

1. Les présentes conditions d'utilisation (ci-après dénommées les "Conditions d'utilisation Authentic Sources") ont trait à l'application Web pour l'exécution et la conservation de recherches dans les sources authentiques qui sont listées dans les présentes conditions d'utilisation et qui sont accessibles via la Digital Platform for Attorneys (DPA) (ci-après "l'Application Authentic Sources").
    
   Les Conditions d'utilisation Authentic Sources sont d'application en plus des conditions générales et de la Politique de confidentialité de la plateforme DPA. Les conditions générales de la plateforme DPA sont intégralement d'application, sauf si les Conditions d'utilisation Authentic Sources s'en écartent spécifiquement. Les termes avec une majuscule sont soit définis dans les conditions générales de la plateforme DPA soit dans les présentes Conditions d'utilisation Authentic Sources. Il est fortement recommandé de lire attentivement les conditions générales et les Conditions d'utilisation Authentic Sources avant d'utiliser l'Application Authentic Sources.
    

2. L'Utilisateur déclare avoir pris connaissance des Mesures Techniques et Organisationnelles Minimales pour les utilisateurs de l'Application Authentic Sources de DPA et s'engage à respecter ces mesures à tout moment.
    

3. La communication de données provenant d'une source authentique à des personnes qui ne sont pas autorisées à les recevoir, et/ou l'utilisation des données à des fins autres que celles pour lesquelles l'Utilisateur est légalement autorisé, peuvent engager sa responsabilité civile et/ou pénale et peut donner lieu à des sanctions disciplinaires. Le Prestataire ne pourra en aucun cas être tenu pour responsable d'une mauvaise utilisation de ces données et se réserve le droit, en cas d'utilisation abusive ou de suspicion d'utilisation abusive des données, de refuser l'accès à un Utilisateur, avocat et/ou employé impliqué dans cet abus.
    

4. Les présentes Conditions d'utilisation Authentic Sources (ainsi que les conditions générales et la Politique de confidentialité de la plateforme DPA, et les Mesures Techniques et Organisationnelles Minimales pour les utilisateurs de l'Application Authentic Sources de DPA) peuvent être complétées, revues ou adaptées. Les Utilisateurs acceptent que l'utilisation de l'Application Authentic Sources et des sources accessibles par ce biais est toujours soumis à la version des Conditions d'utilisation Authentic Sources qui a été publié et est applicable au moment de cette utilisation.
    

   Fichier central des avis de saisie, de délégation, de cession, de règlement collectif de dettes et de protêt (FCA)

5. L'Application Authentic Sources fournit aux Utilisateurs un accès, via l'Application FCA, au fichier central des avis de saisie, de délégation, de cession, de règlement collectif de dettes et de protêt (FCA), tel qu'institué conformément aux articles 1389bis/1 et suivants C. jud. Les Utilisateurs de l'Application FCA peuvent effectuer et enregistrer des recherches dans le FCA conformément aux présentes Conditions d'utilisation Authentic Sources.
    

6. L'accès à l'Application FCA n'est autorisé que si l'Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d'utilisation Authentic Sources. L'Application FCA fournit aux Utilisateurs autorisés un accès aux données du FCA, qui est géré par la Chambre Nationale des Huissiers de Justice. Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.
    

7. L'Utilisateur déclare être membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone. L'Utilisateur n'utilisera l'Application FCA que pour obtenir des données dont l'avocat a besoin dans le cadre d'une procédure de recouvrement au fond ou par voie de saisie contre une personne déterminée pour les tâches effectuées par l'avocat en tant que collaborateur de la justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non excessives par rapport à l'objectif poursuivi en tant que collaborateur de la justice et ne les conservera pas plus longtemps que nécessaire à l'objectif poursuivi. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les bâtonniers compétents puissent exercer un contrôle sur le caractère licite de la demande et l'adéquation des données demandées, dans le cadre duquel la proportionnalité et la limitation des finalités des données peuvent être vérifiées. L'Utilisateur s'engage à coopérer pleinement à ces contrôles.
    

8. L'Utilisateur confirme avoir accepté le coût d'un service payant par l'utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l'Application FCA. Ce résumé reste accessible à l'Utilisateur pendant une période d'au moins un an. L'Utilisateur est responsable de l'enregistrement, la conservation et le traitement correct des rapports générés par l'Application FCA.
    

9. Le coût ne sera facturé que si le service commandé a été livrée avec succès.  
    
   Une livraison réussie signifie qu'un résultat de recherche provient du FCA sur base des données telles que soumises par l'Utilisateur. L'Utilisateur doit s'assurer que les données sont correctes et complètes afin de faire une recherche.  
    
   Un résultat de recherche qui ne donne pas de résultats sur base des données soumises est une livraison réussie du service, et est donc facturé.
    

   Registre national

10. L'accès à l'Application Registre nationaln'est autorisé que si l'Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d'utilisation Authentic Sources. L'Application Registre nationalfournit aux Utilisateurs autorisés un accès aux données du Registre national, qui est géré par les services publics fédéraux compétents. Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.
     

11. L'Utilisateur déclare être membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone. L'Utilisateur n'utilisera l'Application Registre national que pour rassembler des données dont l'avocat a besoin pour les tâches effectuées par l'avocat en tant que collaborateur de la justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non excessives par rapport à l'objectif poursuivi en tant que collaborateur de la justice. L'Utilisateur s'engage à toujours limiter les recherches à celles qui sont nécessaires pour l'intentement, la conduite et l'aboutissement d'une cause qui a été confiée aux avocats concernés et pour accomplir des actes préalables à une procédure contentieuse. L'Utilisateur met cette motivation à la disposition de l'Ordre auquel appartient l'avocat pour lequel la recherche est effectuée (l'Orde van Vlaamse Balies ou l'Ordre des barreaux francophones et germanophone respectivement) et des délégués à la protection des données respectifs de ces Ordres. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les bâtonniers compétents puissent exercer un contrôle sur le caractère licite de la demande et l'adéquation des données demandées, dans le cadre duquel la proportionnalité et la limitation des finalités des données peuvent être vérifiées. L'Utilisateur s'engage à coopérer pleinement à ces contrôles. A cet égard, l'Utilisateur remplira notamment de manière adéquate et complète les invitations à motiver les recherches dans l'Application Registre national.
     

12. L'Utilisateur confirme avoir accepté le coût d'un service payant par l'utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l'Application Registre national. Ce résumé reste accessible à l'Utilisateur pendant une période d'au moins un an. L'Utilisateur est responsable de l'enregistrement, la conservation et le traitement correct des rapports générés par l'Application Registre national. L'Utilisateur ne conservera les rapports et les données incluses dans ceux-ci pas plus longtemps que nécessaire et toujours conformément aux délais minimum et maximum imposés par la loi.
     

13. Le coût ne sera facturé que si le service commandé a été livrée avec succès.
     
    Une livraison réussie signifie qu'un résultat de recherche provient du Registre national sur base des données telles que soumises par l'Utilisateur. L'Utilisateur doit s'assurer que les données sont correctes et complètes afin de faire une recherche. Un résultat de recherche qui ne donne pas de résultats sur base des données soumises est une livraison réussie du service, et est donc facturé.  
     
    Si une recherche donne plus de vingt (20) résultats, ces résultats ne sont pas affichés à cause des limites imposées par le gouvernement qui gère le Registre national. Dans un tel cas, le défaut d'affichage des résultats résulte d'une fourniture de données incomplète et/ou insuffisante par l'Utilisateur et des frais sont facturés.  
     
    Lors de recherches sur base d'un nom et d'une date de naissance ou sur base d'une adresse, l'Utilisateur soumettra toujours suffisamment de données afin d'obtenir uniquement les résultats qui servent l'objectif poursuivi en tant que collaborateur de la justice.
     

14. Lorsque l'Utilisateur souhaite utiliser l'Application Registre national dans le cadre d'une mission pour laquelle il a été désigné par un bureau d'aide juridique (dossier pro deo), l'Utilisateur doit l'indiquer en saisissant une référence correcte et complète au dossier pro deo en question. Après validation de la référence, un tarif réduit peut être appliqué pour le service en question. L'Utilisateur utilisera les recherches faites dans le cadre d'un dossier pro deo uniquement pour ce dossier.  

GraydonCreditsafe

15. L'accès à l'Application GraydonCreditsafe n'est autorisé que si l'Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d'utilisation Authentic Sources. L'acceptation des Conditions d'utilisation Authentic Sources implique l'acceptation des conditions générales de Graydon Belgium nv (https://graydon.be/fr/conditions-generales), qui s''appliquent dans la mesure où les Conditions d'utilisation Authentic Sources ne s''en écartent pas. L''Application GraydonCreditsafe fournit aux Utilisateurs autorisés un accès aux données de GraydonCreditsafe, qui est géré par Graydon Belgium nv (numéro d'entreprise 0422.319.093). Le Prestataire ne fournit aucune garantie quant à l''exactitude des données.
     

16. L'Utilisateur déclare être membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone. L'Utilisateur n'utilisera l'Application GraydonCreditsafe que pour obtenir des données dont l'avocat a besoin dans le cadre d''un dossier pour un client. Par dérogation aux conditions générales de Graydon Belgium nv, les avocats peuvent utiliser et communiquer tout GraydonCreditsafe Credit Report qui a été téléchargé via DPA aux personnes et institutions concernées dans le cadre de procédures juridiques (judiciaires, administratives ou autres), en ce compris la préparation de celles-ci.
     

17. L'Utilisateur confirme avoir accepté le coût d'un service payant par l'utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l'Application GraudonCreditsafe. Ce résumé reste accessible à l'Utilisateur pendant une période d'au moins un an. L'Utilisateur est responsable de l'enregistrement, la conservation et le traitement correct des rapports générés par l'Application GraydonCreditsafe.
     

18. Le coût ne sera facturé que si le service commandé a été livrée avec succès.
     

19. Une livraison réussie signifie qu'un GraydonCreditsafe Credit Report provient du GraydonCreditsafe sur base des données telles que soumises par l'Utilisateur. L'Utilisateur doit s'assurer que les données sont correctes et complètes afin de faire une recherche.  

MESURES TECHNIQUES ET ORGANISATIONNELLES MINIMALES POUR LES UTILISATEURS DE L'APPLICATION AUTHENTIC SOURCES DE DP-A

1. GENERALITES
    
    

   DP-A (Digital Platform for Attorneys) est une collaboration entre le ORDE VAN VLAAMSE BALIES ("OVB", RPM: 0267.393.267) et l'ORDRE DES BARREAUX FRANCOPHONES ET GERMANOPHONE DE BELGIQUE ("OBFG", RPM: 850 260 032). Ces Ordres fournissent un certain nombre d'applications logicielles via DP-A à leurs membres et aux avocats à la Cour de cassation. L'application DP-A Authentic Sources est une application de DP-A qui donne accès à certaines sources authentiques externes (comme le Registre national et le FCA).
    

   Les services disponibles via l'application DP-A Authentic Sources sont fournis par Diplad au nom de l'OVB et de l'OBFG ("Avocats.be"), ci-après dénommés conjointement le "Prestataire".
    

   Le Prestataire ad hoc, à savoir Diplad (qui agit pour l'OVB) ou Avocats.be, est déterminé pour chaque Utilisateur par le barreau dont l'avocat concerné est membre.
    

   Ce document décrit les mesures, les rôles et les responsabilités liés aux mesures techniques et organisationnelles minimales pour les utilisateurs de DP-A Authentic Sources.
    

   Ces mesures s'appliquent à tout système informatique utilisé pour produire, traiter, collecter, consulter, échanger ou stocker de l'information. Chaque Utilisateur habilitée à utiliser les ressources informatiques de DP-A Authentic Sources , ou à les développer et les intégrer, doit se conformer aux mesures et règles édictés dans ce document.
    

   La sécurité de l'information, tel que décrit dans ce document, doit être considérée au sens le plus large du terme et pas seulement en termes de technologie de l'information. L'expérience des entreprises montre qu'environ 35 % des incidents de sécurité sont le résultat d'une erreur humaine plutôt que d'une attaque délibérée. Plus de la moitié des 65 % d'incidents de sécurité restants résultant d'une attaque délibérée auraient pu être évités si les collaborateurs avaient traité l'information de façon plus sécuritaire.
    

   Cela indique clairement que la sécurité de l'information doit être considérée comme une combinaison de personnes, de processus et de technologie. Il est donc important de se réaliser que la sécurité de l'information est une préoccupation pour l'ensemble de l'organisation et pas seulement une question informatique/IT. La mise en œuvre des mesures de sécurité doit imprégner toutes les niveaux de l'organisation.
    

   La sécurité de l'information est l'ensemble des mesures de contrôle qui garantissent que la confidentialité, l'intégrité et la disponibilité de toutes les formes d'information sont préservées :

   • Confidentialité : il s'agit de la mesure dans laquelle l'accès aux données ou aux fonctionnalités est limité à ceux qui y sont autorisés. C'est ce qu'on appelle aussi " l'exclusivité", car l'accès est limité à un certain groupe de personnes qui peuvent avoir accès à ces données particulières. Toutes les données et programmes doivent être protégés contre toute publication non autorisée (interne ou externe).
   • Intégrité : il s'agit de la mesure dans laquelle les données ou les fonctionnalités sont remplies correctement et complètement. Il s'agit de la protection contre la modification non autorisée des données dans les logiciels et le matériel. L'intégrité des données fait référence à l'authenticité d'origine, la précision et la complétude.
   • Disponibilité : c'est la mesure dans laquelle les données ou les fonctionnalités sont disponibles aux utilisateurs au bon moment. La disponibilité garantit que les systèmes informatiques sont disponibles lorsqu'ils sont nécessaires à l'exécution des processus de travail et que les mesures de sécurité fonctionnent effectivement correctement. Le terme disponibilité fait référence au besoin de continuité de service.
      

   L'objectif est de garantir la continuité de l'information et de la fourniture d'informations et de limiter les conséquences eventuelles des incidents de sécurité de l'information à un niveau acceptable et prédéterminé.
    

   Par utilisateur, on entend tous les ordinateurs et systèmes qui peuvent se connecter à l'application DP-A Authentic Sources, ainsi que tous les utilisateurs qui ont accès directement -via les applications web- ou indirectement – via leur logiciel local- à une ou plusieurs applications DP-A Authentic Sources.

   Pour garantir une bonne protection de la plate-forme on-line de DP-A, y compris toutes les bases de données qui peuvent être consultées et/ou mises à jour (comme le FCA et le Registre national), il est crucial que tous les utilisateurs de ces systèmes soient convaincus de l'importance de l'application scrupuleuse d'une politique de sécurité des informations suffisamment hermétique.
    

   Ce document se compose d'un certain nombre de mesures, règles et recommandations relevant d'une telle politique. Cette dernière doit être souscrite et appliquée par tous les utilisateurs qui, à quelque titre que ce soit, sont impliqués dans l'utilisation et/ou le support technique des systèmes locaux chez les uitilisateurs dont elles font partie. C'est également la raison pour laquelle il sera demandé à chaque utilisateur, par l'intermédiaire de l'application DP-A Authentic Sources , de confirmer la prise de connaissance et l'acceptation du contenu du présent document, à défaut de quoi il ne pourra plus avoir accès aux services de l'application DP-A Authentic Sources.
    

   Ce document est strictement confidentiel et ne peut être communiqué à des tiers sans l'autorisation préalable du Prestataire. Il contient des informations destinées à un usage interne uniquement. En recevant ce document, le destinataire accepte que toutes les informations contenues dans ce document sont considérées comme strictement confidentielles et en aucun cas communiquées à des tiers sauf l'autorisation explicite par écrit du Prestataire. Ce document sera traité avec le même soin que les renseignements confidentiels du destinataire.
    

   Toute dérogation de la présente politique de sécurité doit faire l'objet d'une acceptation formelle du Prestataire.
    

2. POLITIQUE DE SECURITE LIEE AUX COLLABORATEURS
    
    

   L'objectif de la présente politique est l'exploitation optimale et le maintien du niveau requis de connaissances et d'expérience des utilisateurs et leurs collaborateurs afin de garantir la sécurité, ainsi que la réduction des risques découlant de toute intervention humaine, éventuellement intentionnelle.
    

   Chaque utilisateur ne peut utiliser que sa propre carte à puce et son code pin quand il demande accès à l'application DP-A Authentic Sources. Il est absolument interdit de conserver localement les données de la carte à puce, ainsi que le certificat de la carte à puce et le code PIN en vue d'avoir accès à l'application DP-A Authentic Sources sans suivre la procédure de login normale ; l'accès doit donc toujours être demandé au moyen de la carte à puce physique et de la saisie du code pin. C'est le devoir de l'utilisateur de veiller à respecter ces règles de façon stricte.
    

   Les utilisateurs et leurs collaborateurs doivent être conscients des menaces et de l'importance de la protection des informations et doivent à cet effet disposer des moyens, des connaissances et des aptitudes appropriés.
    

   La politique en matière de personnel y contribue, notamment en inscrivant les aspects en matière de sécurité dans les descriptions de fonction, en établissant des déclarations de confidentialité, en reprenant, dans le règlement de travail ou dans le contrat de travail, l'aspect inhérent à la responsabilité du travailleur en matière de protection des informations, ou en décrivant des codes de bonne conduite.
    

   Chaque utilisateur a le devoir de signaler les risques et les incidents en matière de protection et de sécurité.
    

   L'attention des utilisateurs est attirée sur leur responsabilité inhérente au maintien d'une protection efficace de l'accès, notamment en ce qui concerne l'utilisation de mots de passe et la protection des équipements de connexion.
    

   Leur attention est également attirée sur les risques en matière de sécurité induits par les systèmes de bureau électroniques (par exemple : ordinateurs fixes, ordinateurs portables, téléphones, téléphones mobiles, e-mail, courrier, voicemail, services postaux et télécopie) : ces systèmes induisent un risque en matière de confidentialité des données opérationnelles.
    

   L'attention des utilisateurs est attirée sur leur responsabilité inhérente à l'utilisation du courriel :

   • ils doivent veiller à ne pas mettre en péril l'organisation en envoyant des courriers électroniques inappropriés
   • ils doivent faire preuve de vigilance lors de l'ouverture d'e-mails et de pièces jointes
      

   Sur l'appareillage qui est directement connecté à l'infrastructure de l'utilisateur (p.e. : les ordinateurs), le collaborateur ne peut installer des logiciels et paramétrer des configurations que s'ils ont été avalisés par le service compétent, désigné par l'organisation.
    

   Lors du départ du service ou en cas de modification du contenu de la fonction, les droits d'accès et les autorisations seront retirés le plus rapidement possible et le matériel physique sera récupéré.
    

   Le traitement de toute infraction à la politique et aux procédures en matière de sécurité édictées par l'organisation sera soumis à un processus formel.
    

3. RESPECT DES LIGNES DIRECTICES DE L'APD et DU EDPB
    
    

   Les utilisateurs s'engagent à veiller au respect, au sein de leur organisation, de toutes les lignes directrices et mesures de référence pertinentes, recommandées par l'Autorité de la protection des données (APD) et le Comité Européen de la Protection des Données ("European Data Protection Board", "EDPB"), tant en termes de systèmes que d'organisation et de personnes. Ces lignes directrices et mesures de référence sont disponibles sur le site Internet à l'adresse suivante :

   https://www.autoriteprotectiondonnees.be/lignes directrices

   Les lignes directrices de l'APD et du EDPB devraient, d'une part, fournir une interprétation claire et harmonisée de toutes les dispositions du RGPD et, d'autre part, fournir des recommandations fondées sur les pratiques des états membres de l'UE. Ces lignes directrices sont donc le résultat d'une coopération intensive avec diverses parties concernés.
    

   L'autorité de la protection des données (APD) a également publié une brochure d'information « Cybersurveillance » traitant du contrôle des e-mails échangés par les travailleurs sur le lieu de travail ; ce document figure aussi sur la site internet précité.
    

4. ANTIVIRUS ET MALWARE (logiciel malveillant)
    
    

   L'utilisateur s'engage à installer un programme antivirus fiable sur tous les ordinateurs (serveurs et PC des utilisateurs, ordinateurs portables, tablettes, etc.), susceptibles d'être connectés à l'application DP-A Authentic Sources. Le terme VIRUS englobe tous les logiciels nocifs qui sont dissimulés dans un autre logiciel exécutable et qui peuvent causer des dommages à l'appareillage sur lequel ils ont été installés (les logiciels, les données ou le matériel lui-même), qui se propagent par reproduction ou diffusion, et ce, indépendamment du support utilisé pour cette propagation.
    

   L'utilisateur doit s'informer suffisamment afin de pouvoir sélectionner un logiciel qualitatif. Par ailleurs, il est absolument indispensable que ces logiciels soient régulièrement actualisés (la mise à jour automatique doit être activée).
    

   L'utilisateur s'engage, le cas échéant, à prévenir immédiatement le Prestataire dès qu'il est informé de la possible introduction d'un virus dans son infrastructure.
    

5. NAVIGATEURS INTERNET
    
    

   Il est fortement recommandé de n'utiliser que les navigateurs web approuvés par le Prestataire, qui répondent aux normes actuelles en matière de sécurité en ligne. L'utilisation de versions désuètes est catégoriquement déconseillée. Il convient d'utiliser à tout moment un navigateur qui est activement pris en charge et qui fait l'objet de mises à jour de sécurité.
    

   Il est extrêmement important d'installer systématiquement la version la plus récente du/des navigateur(s) utilisé(s). Les fournisseurs/développeurs de navigateurs améliorent en permanence leur logiciel en vue de combler les lacunes dans leur protection.
    

   Il se pourrait qu'une version donnée d'un navigateur soit particulièrement vulnérable durant un laps de temps donné jusqu'à ce qu'une solution de résolution de ce problème de sécurité soit proposée, cette solution pouvant parfois se faire longtemps attendre. Dans pareil cas, le Prestataire enjoindra tous les utilisateurs à cesser temporairement l'utilisation du navigateur concerné et à opter pour un autre.
    

   L'utilisation de certaines extensions (« add-ons ») dans des navigateurs (p.e. : Adobe Flash) est _ strictement déconseillée _, car elle constitue une véritable menace en matière de sécurité. Si certaines extensions s'avèrent malgré tout indispensables, elles ne pourront provenir que d'éditeurs reconnus. Si des extensions non fiables s'avèrent nécessaires pour certaines tâches, elles devront être installées sur un PC distinct qui n'est pas connecté au réseau local.
    

6. SÉCURITÉ DES RÉSEAUX
    
    

   L'utilisateur s'engage à garantir une protection suffisante du/des réseau(x) utilisé(s) pour se connecter à l'application DP-A Authentic Sources. Le pare-feu (Firewall) installé devra en outre se conformer aux exigences imposées en cas d'utilisation de données à caractère personnel confidentielles. Il est par ailleurs recommandé d'équiper le pare-feu d'un programme antivirus/anti-logiciels malveillants de qualité.
    

   Le wifi n'est autorisé que si le routeur bénéficie d'une protection suffisante au moyen d'une methode d'encryptage suffisamment sécurisée, complétée par un mot de passe solide. Par ailleurs, le firmware des composants en charge de l'accès Internet doit toujours être actualisé au moyen de la dernière version disponible.
    

   L'utilisation des applications disponibles sur l'application DP-A Authentic Sourcesau moyen de réseaux wifi publics (via ordinateur portable, tablette ou smartphone) est _ strictement interdite _ sans mesure de sécurité complémentaire (comme un VPN).
    

   En cas d'utilisation d'appareils mobiles (ordinateur portable, tablette, etc.) pour l'accès à l'application DP-A Authentic Sources, ils devront également être munis de l'indispensable logiciel en matière de sécurité, à l'instar des postes de travail fixes.
    

   L'accès à l'application DP-A Authentic Sources ne peut pas s'effectuer au départ d'un ordinateur privé avec lequel des personnes étrangères/des enfants peuvent travailler ou jouer. La plupart du temps, les enfants méconnaissent les risques liés à l'utilisation d'Internet. Ils pourraient visiter des sites Internet potentiellement dangereux, susceptibles d'installer un virus ou logiciel malveillant sur l'ordinateur (portable) de l'huissier de justice / de l'avocat / du collaborateur (par exemple, un ordinateur portable mis à disposition par le cabinet). En cas de connexion ultérieure de cet utilisateur au réseau du cabinet, ce dernier pourrait être infecté.
    

7. SYSTEMES D'EXPLOITATION ET LOGICIELS CONNEXES
    
    

   L'huissier de justice s'engage à n'utiliser que des systèmes d'exploitation suffisamment protégés.
    

   Les systèmes d'exploitation doivent toujours être dotés des dernières mises à jour du fabricant, c'est-à-dire que les actualisations automatiques doivent être activées et effectivement implémentées. Le même principe s'applique pour tous les logiciels connexes, dont Adobe PDF Reader, par exemple.
    

8. AUTHENTIFICATION
    
    

   La consultation des sources authentiques auxquelles l'application DP-A Authentic Sources permet l'accès n'est possible que via une authentification robuste (carte à puce ou similaire mis à disposition par DP-A).
    

   Si l'ordinateur (portable ou non) de l'utilisateur est sécurisé par un mot de passe, ce mot de passe doit être suffisamment adéquat. Les recommandations suivantes s'appliquent à cet égard :
    

   Chaque mot de passe doit contenir au moins 10 caractères, dont au moins les suivants :

   • Une minuscule
   • Une majuscule
   • Un chiffre
   • Un caractère spécial tel que *,$, !, (, ),%,?, etc.
      

   Par ailleurs :

   • Un mot de passe ne peut pas être identique à des mots de passe précédents, préalablement utilisés
   • La longueur maximale du mot de passe ne peut excéder 50 caractères. Cela permet à l'utilisateur d'utiliser en guise de mot de passe une phrase dans laquelle les caractères énumérés ci-dessus doivent apparaître.
      

   Les règles suivantes doivent être respectées lors de la préparation d'un nouveau mot de passe :

   • Un mot de passe doit être facile à retenir afin que son utilisateur ne doive pas l'inscrire sur un document.

   • Il ne doit pas non plus être aisément deviné par une personne qui connaît bien le collaborateur ou au moyen d'informations susceptibles d'être obtenues dans les médias sociaux (social engineering).

   • Si un utilisateur suspecte que l'intégrité d'un mode passe est compromise ou que son mot de passe est connu, il devra immédiatement en changer.

   • L'utilisateur ne peut jamais autoriser les navigateurs qu'il utilise à enregistrer ses mots de passe.

   • Un mot de passe est strictement personnel ; il ne peut jamais être partagé par plusieurs utilisateurs. Il ne peut du reste pas être communiqué à d'autres personnes.

   • Un mot de passe ne peut jamais être transcrit sur un post-it que l'on colle sur un écran ou à tout autre endroit.

   • Un mot de passe ne peut jamais :

     • Se composer d'un mot extrait d'un dictionnaire, même de dictionnaires en langues étrangères
     • être le même mot de passe que celui qui est utilisé pour se connecter à un ordinateur
     • Se composer d'informations relatives à l'utilisateur, comme le prénom, le nom, le surnom, la date de naissance, etc.
        

   Une façon simple de générer un bon mot de passe consiste à prendre le premier caractère de tous les mots d'une phrase et de complexifier ensuite le résultat ainsi obtenu en y ajoutant des préfixes ou des suffixes, en transformant certaines lettres en minuscule et en majuscule et en ajoutant des chiffres et des caractères spéciaux.
    

   Il est également recommandé, aux endroits où est utilisé une authentification faible, de renouveler les mots de passe au minimum tous les 6 mois.
    

9. RGPD: UTILISATION AUTORISéE
    
    

   Un utilisateur ne peut accéder à DP-A Authentic Sources que si, en tant que responsable du traitement, il remplit toutes les conditions pour cela. Pour plus d'informations à ce sujet, consultez les Conditions générales et spécifiques, ainsi que la Politique de confidentialité de la Plateforme DP-A.
    

   Concrètement, en ce qui concerne DP-A Authentic Sources, l'accès de l'utilisateur est limité aux finalités suivantes :

   • au Registre national, par ex. l'accès n'est autorisé que dans le cadre précis du mandat reçu à cet effet par le Prestataire.  
     Il s'agit, pour les avocats et leurs collaborateurs : (a) d'accomplir les tâches nécessaires pour l'intentement, la conduite et l'aboutissement d'une cause qui leur est confiée (b) d'accomplir des actes préalables à une procédure contentieuse, (c) insolvabilité.  
     Il s'agit, pour les collaborateurs des barreaux et du Prestataire : procédures disciplinaires, authentification, données d'échange de clés techniques, source authentique (tableau et liste des stagiaires) (autorisations : 42/2013, 70/2014, 56/2015, 37/2017 )

   • au FCA, par ex. l'accès n'est autorisé que dans le cadre spécifique de leur droit de consultation en application de l'art. 1391/1 C. jud. (information relative aux comptes bancaires dans le cadre d'une saisie conservatoire) et leur droit d'apport en application de l'art. 1390quater, §2 (règlement collectif de dettes)
      

   A cet égard, chaque utilisateur est considéré comme responsable du traitement et son accès doit toujours être suffisamment motivé et expressément limité au traitement licite qui a lieu aux fins susmentionnées. Le Prestataire a le droit de vérifier périodiquement cela et, si nécessaire, de demander des informations complémentaires à l'utilisateur.
    

10. RGPD: TÂCHES DU PRESTATAIRE
     
     

    Dans le cadre de DP-A Authentic Sources, le Prestataire lui-même est également responsable du traitement pour les finalités suivantes :

    • Gérer l'identification et l'authentification des utilisateurs de l'application DP-A lors de l'accès à DP-A Authentic Sources;
    • Gérer l'authentification des utilisateurs de l'application DP-A, en vérifiant les caractéristiques requises (avocat autorisé, collaborateur mandaté d'un avocat autorisé) lors de l'accès à DP-A Authentic Sources ;
    • Enregistrement des données personnelles de l'utilisateur lors de la connexion à DP-A Authentic Sources.
       

    Ces traitements ont pour finalité la réalisation des objectifs visés aux articles précités, à savoir la gestion de l'accès des avocats à DP-A Authentic Sources via l'application DP-A, qui permet leur identification, leur authentification et le contrôle et la gestion de leurs caractéristiques ou qualités, leurs mandats et leurs autorisations d'acces pertinents.
     

    Cette finalité comprend également la possibilité de fournir au propriétaire de la source authentique, à sa demande, des données statistiques anonymisées concernant l'utilisation, la gestion et le fonctionnement de ces services.
     

11. CONSCIENTISATION DES UTILITEURS
     
     

    L'utilisateur s'engage à conscientiser tous les collaborateurs de son organisation aux risques inhérents à l'utilisation d'Internet et des courriels. Il convient plus particulièrement d'être informé des risques liés à des pratiques telles que le pêche aux données personnelles (phishing), les logiciels malveillants (malware), le spam et, plus spécifiquement encore, les logiciels rançonneurs (malware).
     

    PECHE AUX DONNEES PERSONNELLES (Phishing) est une forme de fraude sur l'internet où la victime reçoit un e-mail lui demandant de vérifier et de confirmer un compte auprès d'une banque ou d'un fournisseur de services. Parfois, ils sont également contactés par téléphone. En général, les auteurs de pêche aux données personnelles sont difficiles à retracer et il est donc important d'être vigilant et de ne jamais répondre à une demande par courrier demandant le transfert de fonds ou la communication de données personnelles ou financières.
     

    LOGICIELS MALVEILLANTS (Malware) est une contraction des mots " malveillants " (malicious) et " logiciels " (software) et forme un terme collectif pour désigner les logiciels indésirables tels que les virus, les vers et les logiciels espions. L'utilisation de scanners antivirus et d'un pare-feu est une mesure standard contre cela. L'activité humaine figure toujours en bonne place sur la liste des causes des épidémies de virus. Une infection virale se produit souvent lorsqu'un utilisateur ouvre une pièce jointe dans un courriel qui contient non seulement le document promis, mais aussi un virus. Il est donc déconseillé d'ouvrir des e-mails suspects ou provenant d'un expéditeur inconnu ou d'ouvrir les pièces jointes.
     

    SPAM est un nom collectif pour les messages indésirables. Habituellement, le terme " courrier non sollicité " est utilisé, mais les messages publicitaires non désirés sur les sites Web relèvent également de ce terme. Il est conseillé de ne jamais répondre ou transférer les spams et de ne jamais hésiter à distribuer des adresses e-mail est une chose que nous pouvons faire nous-mêmes (en utilisant la fonction Bcc).
     

    LOGICIELS RANCONNEURS (Ransomware): Utilisés dans le cadre d'une méthode de chantage en ligne au moyen de logiciels malveillants, ces logiciels rançonneurs bloquent complètement l'utilisation de l'ordinateur jusqu'au versement d'une somme déterminée au maître chanteur. Il est aussi extrêmement utile de se préparer suffisamment à une telle attaque.
     

12. AUTRES RECOMMANDATIONS
     
     

    Tous les postes de travail doivent être configurés de telle sorte à interrompre l'accès après une période d'inactivité de plus de 5 minutes.
     

    Avant de quitter le poste de travail pour une période prolongée, l'accès à ce dernier doit être verrouillé, soit en se déconnectant, soit en passant au mode de protection.
     

    Il convient en toute hypothèse de s'abstenir de copier des informations confidentielles obtenues via les Applications CIA sur des supports d'information tels que des clés USB et de les emporter en dehors du cabinet, sauf si elles sont encryptées.
     

    Il en va de même pour les ordinateurs portables, c'est-à-dire que toutes les informations confidentielles se trouvant sur le disque dur doivent être encryptées avant d'emporter de l'ordinateur en dehors du cabinet.
     

    TOUS les logiciels qui ne sont pas absolument indispensables à l'utilisation des applications fréquemment employées devraient être effacés des postes de travail (ordinateurs fixes, ordinateurs portables, iPad et autres ordinateurs qui, d'une manière ou d'une autre, sont utilisés pour l'accès aux applications).
     

13. RECOMMANDATIONS PAP
     
     

    De plus en plus d'utilisateurs veulent utiliser leur propre smartphone, tablette ou ordinateur portable au bureau. PAP ou P renez vos A ppareils P ersonnels devient une véritable tendance. Mais attention, il peut aussi s'avérer être Prenez Vos Appareils Personnels- Désastre. C'est pourquoi il est important de savoir à l'avance ce qu'il faut prendre en compte lorsque vous autorisez PAP dans votre organisation, surtout si beaucoup de données personnelles sont traitées.

    PAP n'est pas seulement une question de ICT, mais elle est beaucoup plus large : il s'agit aussi d'attitude et de comportement et du désir des collaborateurs d'organiser leur lieu de travail comme bon leur semble. Il s'agit donc d'une politique du travail au sens large du terme.

    PAP se fait toujours sous la responsabilité exclusive des utilisateurs. Le Prestataire recommande expressément de n'autoriser ceci que s'il y a au moins une réponse aux questions suivantes :

    • Les utilisateurs ont-ils le droit d'emporter tous leurs appareils avec eux et quelles sont les conditions préalables ?
    • Les utilisateurs peuvent-ils stocker des données sur des solutions de cloud public ou l'entreprise facilite-t-elle une solution de cloud privé ? Ou un modèle hybride est-il possible ? Ceci est-il encore conforme au RGPD ?
    • Qu'en est-il de la sécurité de l'information ? Qu'en est-il des virus sur les tablettes ? Comment gérez-vous la gestion des données confidentielles, la sauvegarde et la restauration, la perte et le vol ?
    • Quelle est exactement la responsabilité financière en cas de dommages, de perte ou de vol ?
    • Comment gérez-vous les différents appareils, vos propres applications et celles de l'entreprise ?
    • Comment traitez-vous les appareils avec différents systèmes d'exploitation au sein d'une même organisation ?
    • Quels sont les aspects juridiques y afférents ? (par ex. licences) ?
    • Il doit y avoir une vision sur le PAP au sein du service, parce qu'il détermine les cadres de la façon de travailler et d'approcher les clients ;
    • Il doit également y avoir une vision claire concernant l'impact du PAP sur l'organisation et sur son fonctionnement, de manière à ce qu'il soit clair quels objectifs sont fixés pour l'organisation, comment elle fonctionne, si la flexibilité est possible ou souhaitable, et comment elle est gérée ;
    • Une politique de gestion des ressources humaines claire doit également être mise en place afin que les utilisateurs sachent comment gérer la flexibilité en travaillant indépendamment du temps et du lieu, des accords d'utilisation des appareils mobiles doivent être établis, des règles générales de conduite doivent être établies pour l'utilisation des logiciels et la confidentialité des données à caractère personnel et documents, les obligations applicables aux utilisateurs vis-à-vis le PAP et la manière de contrôler la séparation entre le privé et le professionnel ;
    • Il doit également être clair comment la gestion et la sécurité des appareils mobiles seront gérées et ce qui est techniquement possible et ce qui ne l'est pas.
       

    Les politiques de PAP peuvent varier considérablement d'une organisation à l'autre, en fonction de ses propres priorités et points d'attention, et elles sont élaborées de préférence en étroite consultation avec RH, ICT, Finance et la Direction. Une initiative PAP réussie combine la simplicité pour les utilisateurs avec des fonctionnalités de sécurité, de contrôle et de gestion efficaces pour le service informatique. Afin de protéger votre organisation de manière optimale contre les dangers, les pertes de données et les utilisations non conformes, le service informatique de l'utilisateur doit tout d'abord se demander comment il peut fournir aux utilisateurs un accès sécurisé aux données et applications, y compris DP-A Authentic Sources.

    De plus, il y a la gestion basée sur les rôles et la configuration et la sécurité des appareils personnels et approuvés.
     

14. GESTION DES INCIDENTS & GESTION DES FUITES DE DONNÉES
     
     

    La gestion des incidents est le processus de gestion et de protection des systèmes d'information et l'information qui y est stockée. L'utilisateur doit être bien conscient de ses responsabilités en matière de protection des informations au bénéfice des personnes concernées et du Prestataire. La gestion des incidents est un ensemble d'activités qui définit et met en œuvre un processus que l'organisation peut utiliser pour promouvoir son propre bien-être et la sécurité de tous les acteurs impliqués.
     

    Avec la gestion des risques et la gestion de la continuité, la gestion des incidents est l'un des domaines les plus importants de la sécurité de l'information. La gestion des incidents est importante parce qu'il n'existe pas de sécurité de l'information absolue ni de protection de la vie privée absolue et parce que les incidents ne peuvent être évités. La question n'est pas de savoir si quelque chose va arriver, mais quand. L'utilisateur doit estimer à l'avance les incidents prévus les plus importants et la procédure d'intervention et d'escalade appropriée doit être élaborée et mise en pratique à l'avance.
     

    La gestion des incidents oriente la façon dont l'organisation de l'utilisateur souhaite traiter tous les incidents et les "quasi-incidents" dans le domaine de la sécurité de l'information et de la protection de la vie privée. L'utilisateur reconnaît l'importance d'une gestion adéquate des incidents et de la réaction à ceux-ci afin de minimiser les conséquences pour le fonctionnement de l'organisation. Les incidents doivent être traités de manière structurée et des procédures doivent être établies pour s'assurer que l'intervention se déroule de manière efficace et ordonnée. L'objectif est que l'utilisateur et ses employés tirent les leçons des incidents, c'est pourquoi les incidents doivent être évalués et documentés.
     

    Certains incidents peuvent également constituer une "fuite de données". A cet égard, le responsable du traitement doit évaluer s'il est probable que la violation liée aux données à caractère personnel portera atteinte aux droits et libertés de la personne concernée en effectuant l'analyse d'impact pour la personne concernée.
     

    Si un risque pour la ou les personnes concernées est probable, le responsable du traitement doit signaler la violation de données personnelles dans les meilleurs délais et au plus tard dans les 72 heures à l'autorité de protection des données ("l'APD"), sous la supervision du délégué à la protection des données ("DPD") et par l'équipe de gestion de crise.
     

    Si une fuite de données se produit et que vous ou nous en prenions connaissance, nous devons communiquer entre nous sans délai et donc nous coordonner.
     

    Une fuite de données doit être signalée à l'autorité de protection des données par le responsable du traitement, au moyen d'un formulaire électronique qui, une fois rempli, doit être soumis via un portail internet (https://www.autoriteprotectiondonnees.be/professionnel/actions/fuites-de-donnees-personnelles). Les formulaires envoyés par e-mail ne seront pas pris en considération.
     

    Si la notification de la fuite de données à l'autorité de contrôle n'est pas faite dans les 72 heures, le responsable du traitement doit, après consultation du DPD, la transmettre par écrit par voie électronique, en indiquant les raisons du retard. S'il n'est pas possible de fournir toutes les informations nécessaires en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.
     

    Les informations suivantes sont alors fournies à l'autorité de contrôle :

    • Une description de la nature de violation.

    • Les catégories d'enregistrements de données à caractère personnel concernés.

    • Le nombre approximatif de personnes concernés.

    • Le nombre approximatif d'enregistrements de données à caractère personnel concernés.

    • Le nom et les coordonnées du responsable du traitement.

    • Conséquences de la violation.

    • Toutes les mesures prises pour remédier à la violation.

    • Toute information liée à la violation de données.
     

15. GESTION DE CONTINUITE
     
     

    L'objectif principal de la gestion de la continuité est de protéger les processus opérationnels critiques contre les conséquences d'incidents ou de catastrophes graves et de veiller à ce que tous les éléments nécessaires soient en place afin que l'organisation puisse réagir de manière appropriée aux incidents ou catastrophes graves et assurer une reprise rapide.
     

    En tout état de cause, la gestion de la continuité est plus large que l'ICT : la perte de salariés (maladie, licenciement, décès) ou la disparition d'un fournisseur critique peut constituer une menace réelle. Lors de la mise en place de la gestion de la continuité, tous les aspects pertinents qui pourraient mettre en danger la continuité doivent être pris en compte.
     

    Pour tous les processus d'affaires critiques et les systèmes d'information essentiels, il doit y avoir un plan de continuité (PCA) décrivant les activités, les mesures et les données importantes de tous les processus critiques qui visent à réduire le temps d'interruption à un niveau acceptable.
     

    La sécurité de l'information et la protection de la vie privée font partie intégrante de la gestion de la continuité de l'utilisateur.
     

16. GESTION DES RISQUES
     
     

    Les systèmes d'information et l'information qu'ils contiennent sont constamment exposés à diverses menaces. Cela implique que l'utilisateur qui a besoin de divers systèmes d'information et d'informations est à risque. Il est évident que l'utilisateur atténue ces risques en prenant autant de mesures de sécurité que possible.
     

    Afin de pouvoir gérer les risques de manière équilibrée, il est nécessaire d'être conscient des risques encourus et de leur ampleur. Sur la base de ces connaissances, des mesures de sécurité peuvent alors être prises pour réduire ces risques à des proportions acceptables (= processus de gestion des risques). Le processus de gestion des risques concerne l'identification des risques, l'évaluation du profil de risque et l'application d'une stratégie de gestion des risques.
    Dans le cadre d'une application intégrale de la gestion des risques, le processus de gestion des risques est appliqué dans toute l'organisation. Afin de mener à bien le processus de gestion des risques de manière cohérente, il est essentiel que tous les membres de l'organisation impliqués dans le traitement des données utilisent un cadre uniforme pour le processus de gestion des risques.
     

    Le point de départ de la mise en œuvre concrète du processus de gestion des risques est l'identification et l'évaluation des risques potentiels. La consolidation et le regroupement des risques constituent la deuxième étape du processus de gestion des risques. La troisième étape de ce processus consiste à déterminer comment la direction souhaite traiter les risques identifiés. Cela est étroitement lié à l'appétit pour le risque de la direction.
    Les risques stratégiques sont souvent liés à des facteurs externes qui peuvent menacer la réalisation des objectifs stratégiques. Les facteurs externes qui peuvent avoir une influence découlent logiquement du modèle informatique du CIA et des bases de données connexes. Dans ce cas, ce sont principalement les facteurs économiques, politiques et techniques qui peuvent influencer l'infrastructure informatique du CIA.
    Les risques de processus sont souvent liés aux transactions opérationnelles et peuvent être liés aux objectifs opérationnels, de reporting et de supervision. En ce qui concerne l'infrastructure informatique du CIA, les risques opérationnels concernent, entre autres, les aspects/questions suivants :

    • sécurité des données à caractère personnel/sécurité de l'information ;

    • les informations à fournir et l'accès aux données à caractère personnel;

    • procédure de reprise après sinistre ;

    • politique sur les mots de passe ;

    • la surveillance de l'infrastructure matérielle et logicielle ;

    • des mesures de contrôle organisationnel et technique appropriées ;

    • gestion des accès et des utilisateurs ;

    • Procédure de continuité des opérations ;

    • Procédure d'intervention en cas d'incident ;

Version 09/12/2022

Conditions d'utilisation Authentic Sources

Version 07/07/2021

1. Les présentes conditions d'utilisation (ci-après dénommées les "Conditions d'utilisation Authentic Sources") ont trait à l'application Web pour l'exécution et la conservation de recherches dans les sources authentiques qui sont listées dans les présentes conditions d'utilisation et qui sont accessibles via la Digital Platform for Attorneys (DPA) (ci-après "l'Application Authentic Sources").
    
   Les Conditions d'utilisation Authentic Sources sont d'application en plus des conditions générales et de la Politique de confidentialité de la plateforme DPA. Les conditions générales de la plateforme DPA sont intégralement d'application, sauf si les Conditions d'utilisation Authentic Sources s'en écartent spécifiquement. Les termes avec une majuscule sont soit définis dans les conditions générales de la plateforme DPA soit dans les présentes Conditions d'utilisation Authentic Sources. Il est fortement recommandé de lire attentivement les conditions générales et les Conditions d'utilisation Authentic Sources avant d'utiliser l'Application Authentic Sources.
    
2. L'Utilisateur déclare avoir pris connaissance des Mesures Techniques et Organisationnelles Minimales pour les utilisateurs de l'Application Authentic Sources de DPA et s'engage à respecter ces mesures à tout moment.
    
3. La communication de données provenant d'une source authentique à des personnes qui ne sont pas autorisées à les recevoir, et/ou l'utilisation des données à des fins autres que celles pour lesquelles l'Utilisateur est légalement autorisé, peuvent engager sa responsabilité civile et/ou pénale et peut donner lieu à des sanctions disciplinaires. Le Prestataire ne pourra en aucun cas être tenu pour responsable d'une mauvaise utilisation de ces données et se réserve le droit, en cas d'utilisation abusive ou de suspicion d'utilisation abusive des données, de refuser l'accès à un Utilisateur, avocat et/ou employé impliqué dans cet abus.
    
4. Les présentes Conditions d'utilisation Authentic Sources (ainsi que les conditions générales et la Politique de confidentialité de la plateforme DPA, et les Mesures Techniques et Organisationnelles Minimales pour les utilisateurs de l'Application Authentic Sources de DPA) peuvent être complétées, revues ou adaptées. Les Utilisateurs acceptent que l'utilisation de l'Application Authentic Sources et des sources accessibles par ce biais est toujours soumis à la version des Conditions d'utilisation Authentic Sources qui a été publié et est applicable au moment de cette utilisation.
    

   Fichier central des avis de saisie, de délégation, de cession, de règlement collectif de dettes et de protêt (FCA)

5. L'Application Authentic Sources fournit aux Utilisateurs un accès, via l'Application FCA, au fichier central des avis de saisie, de délégation, de cession, de règlement collectif de dettes et de protêt (FCA), tel qu'institué conformément aux articles 1389bis/1 et suivants C. jud. Les Utilisateurs de l'Application FCA peuvent effectuer et enregistrer des recherches dans le FCA conformément aux présentes Conditions d'utilisation Authentic Sources.
    
6. L'accès à l'Application FCA n'est autorisé que si l'Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d'utilisation Authentic Sources. L'Application FCA fournit aux Utilisateurs autorisés un accès aux données du FCA, qui est géré par la Chambre Nationale des Huissiers de Justice. Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.
    
7. L'Utilisateur déclare être membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone. L'Utilisateur n'utilisera l'Application FCA que pour obtenir des données dont l'avocat a besoin dans le cadre d'une procédure de recouvrement au fond ou par voie de saisie contre une personne déterminée pour les tâches effectuées par l'avocat en tant que collaborateur de la justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non excessives par rapport à l'objectif poursuivi en tant que collaborateur de la justice et ne les conservera pas plus longtemps que nécessaire à l'objectif poursuivi. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les bâtonniers compétents puissent exercer un contrôle sur le caractère licite de la demande et l'adéquation des données demandées, dans le cadre duquel la proportionnalité et la limitation des finalités des données peuvent être vérifiées. L'Utilisateur s'engage à coopérer pleinement à ces contrôles.
    
8. L'Utilisateur confirme avoir accepté le coût d'un service payant par l'utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l'Application FCA. Ce résumé reste accessible à l'Utilisateur pendant une période d'au moins un an. L'Utilisateur est responsable de l'enregistrement, la conservation et le traitement correct des rapports générés par l'Application FCA.
    
9. Le coût ne sera facturé que si le service commandé a été livrée avec succès.  
    
   Une livraison réussie signifie qu'un résultat de recherche provient du FCA sur base des données telles que soumises par l'Utilisateur. L'Utilisateur doit s'assurer que les données sont correctes et complètes afin de faire une recherche.  
    
   Un résultat de recherche qui ne donne pas de résultats sur base des données soumises est une livraison réussie du service, et est donc facturé.
    
10. Lorsque l'Utilisateur souhaite utiliser l'Application FCA dans le cadre d'une mission pour laquelle il a été désigné par un bureau d'aide juridique (dossier pro deo), l'Utilisateur doit l'indiquer en saisissant une référence correcte et complète au dossier pro deo en question. Après validation de la référence, un tarif réduit peut être appliqué pour le service en question. L'Utilisateur utilisera les recherches faites dans le cadre d'un dossier pro deo uniquement pour ce dossier.
     
11. Lorsque l'Utilisateur souhaite utiliser l'Application FCA dans le cadre d'une mission en tant que curateur, l'Utilisateur doit l'indiquer en saisissant une référence correcte et complète au dossier de faillite en question.
     

    Registre national

12. L'accès à l'Application Registre nationaln'est autorisé que si l'Utilisateur a accepté les conditions générales de la plateforme DPA et les Conditions d'utilisation Authentic Sources. L'Application Registre nationalfournit aux Utilisateurs autorisés un accès aux données du Registre national, qui est géré par les services publics fédéraux compétents. Le Prestataire ne fournit aucune garantie quant à l'exactitude des données.
     
13. L'Utilisateur déclare être membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone, ou être explicitement mandaté par un membre de l'Orde van Vlaamse Balies ou de l'Ordre des barreaux francophones et germanophone. L'Utilisateur n'utilisera l'Application Registre national que pour rassembler des données dont l'avocat a besoin pour les tâches effectuées par l'avocat en tant que collaborateur de la justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non excessives par rapport à l'objectif poursuivi en tant que collaborateur de la justice. L'Utilisateur s'engage à toujours limiter les recherches à celles qui sont nécessaires pour l'intentement, la conduite et l'aboutissement d'une cause qui a été confiée aux avocats concernés et pour accomplir des actes préalables à une procédure contentieuse. L'Utilisateur met cette motivation à la disposition de l'Ordre auquel appartient l'avocat pour lequel la recherche est effectuée (l'Orde van Vlaamse Balies ou l'Ordre des barreaux francophones et germanophone respectivement) et des délégués à la protection des données respectifs de ces Ordres. L'Utilisateur accepte que les Ordres, leurs délégués à la protection des données respectifs et les bâtonniers compétents puissent exercer un contrôle sur le caractère licite de la demande et l'adéquation des données demandées, dans le cadre duquel la proportionnalité et la limitation des finalités des données peuvent être vérifiées. L'Utilisateur s'engage à coopérer pleinement à ces contrôles. A cet égard, l'Utilisateur remplira notamment de manière adéquate et complète les invitations à motiver les recherches dans l'Application Registre national.
     
14. L'Utilisateur confirme avoir accepté le coût d'un service payant par l'utilisation de ce service. Un résumé des commandes de services payants est conservé sous forme électronique dans l'Application Registre national. Ce résumé reste accessible à l'Utilisateur pendant une période d'au moins un an. L'Utilisateur est responsable de l'enregistrement, la conservation et le traitement correct des rapports générés par l'Application Registre national. L'Utilisateur ne conservera les rapports et les données incluses dans ceux-ci pas plus longtemps que nécessaire et toujours conformément aux délais minimum et maximum imposés par la loi.
     
15. Le coût ne sera facturé que si le service commandé a été livrée avec succès.
     
    Une livraison réussie signifie qu'un résultat de recherche provient du Registre national sur base des données telles que soumises par l'Utilisateur. L'Utilisateur doit s'assurer que les données sont correctes et complètes afin de faire une recherche. Un résultat de recherche qui ne donne pas de résultats sur base des données soumises est une livraison réussie du service, et est donc facturé.  
     
    Si une recherche donne plus de vingt (20) résultats, ces résultats ne sont pas affichés à cause des limites imposées par le gouvernement qui gère le Registre national. Dans un tel cas, le défaut d'affichage des résultats résulte d'une fourniture de données incomplète et/ou insuffisante par l'Utilisateur et des frais sont facturés.  
     
    Lors de recherches sur base d'un nom et d'une date de naissance ou sur base d'une adresse, l'Utilisateur soumettra toujours suffisamment de données afin d'obtenir uniquement les résultats qui servent l'objectif poursuivi en tant que collaborateur de la justice.
     
16. Lorsque l'Utilisateur souhaite utiliser l'Application Registre national dans le cadre d'une mission pour laquelle il a été désigné par un bureau d'aide juridique (dossier pro deo), l'Utilisateur doit l'indiquer en saisissant une référence correcte et complète au dossier pro deo en question. Après validation de la référence, un tarif réduit peut être appliqué pour le service en question. L'Utilisateur utilisera les recherches faites dans le cadre d'un dossier pro deo uniquement pour ce dossier.
     
     

MESURES TECHNIQUES ET ORGANISATIONNELLES MINIMALES POUR LES UTILISATEURS DE L'APPLICATION AUTHENTIC SOURCES DE DP-A

1. GENERALITES
    
     DP-A (Digital Platform for Attorneys) est une collaboration entre le ORDE VAN VLAAMSE BALIES ("OVB", RPM: 0267.393.267) et l'ORDRE DES BARREAUX FRANCOPHONES ET GERMANOPHONE DE BELGIQUE ("OBFG", RPM: 850 260 032). Ces Ordres fournissent un certain nombre d'applications logicielles via DP-A à leurs membres et aux avocats à la Cour de cassation. L'application DP-A Authentic Sources est une application de DP-A qui donne accès à certaines sources authentiques externes (comme le Registre national et le FCA).
     Les services disponibles via l'application DP-A Authentic Sources sont fournis par Diplad au nom de l'OVB et de l'OBFG ("Avocats.be"), ci-après dénommés conjointement le "Prestataire".
     Le Prestataire ad hoc, à savoir Diplad (qui agit pour l'OVB) ou Avocats.be, est déterminé pour chaque Utilisateur par le barreau dont l'avocat concerné est membre.
     Ce document décrit les mesures, les rôles et les responsabilités liés aux mesures techniques et organisationnelles minimales pour les utilisateurs de DP-A Authentic Sources.
     Ces mesures s'appliquent à tout système informatique utilisé pour produire, traiter, collecter, consulter, échanger ou stocker de l'information. Chaque Utilisateur habilitée à utiliser les ressources informatiques de DP-A Authentic Sources , ou à les développer et les intégrer, doit se conformer aux mesures et règles édictés dans ce document.
     La sécurité de l'information, tel que décrit dans ce document, doit être considérée au sens le plus large du terme et pas seulement en termes de technologie de l'information. L'expérience des entreprises montre qu'environ 35 % des incidents de sécurité sont le résultat d'une erreur humaine plutôt que d'une attaque délibérée. Plus de la moitié des 65 % d'incidents de sécurité restants résultant d'une attaque délibérée auraient pu être évités si les collaborateurs avaient traité l'information de façon plus sécuritaire.
     Cela indique clairement que la sécurité de l'information doit être considérée comme une combinaison de personnes, de processus et de technologie. Il est donc important de se réaliser que la sécurité de l'information est une préoccupation pour l'ensemble de l'organisation et pas seulement une question informatique/IT. La mise en œuvre des mesures de sécurité doit imprégner toutes les niveaux de l'organisation.
     La sécurité de l'information est l'ensemble des mesures de contrôle qui garantissent que la confidentialité, l'intégrité et la disponibilité de toutes les formes d'information sont préservées :
   • Confidentialité : il s'agit de la mesure dans laquelle l'accès aux données ou aux fonctionnalités est limité à ceux qui y sont autorisés. C'est ce qu'on appelle aussi " l'exclusivité", car l'accès est limité à un certain groupe de personnes qui peuvent avoir accès à ces données particulières. Toutes les données et programmes doivent être protégés contre toute publication non autorisée (interne ou externe).
   • Intégrité : il s'agit de la mesure dans laquelle les données ou les fonctionnalités sont remplies correctement et complètement. Il s'agit de la protection contre la modification non autorisée des données dans les logiciels et le matériel. L'intégrité des données fait référence à l'authenticité d'origine, la précision et la complétude.
   • Disponibilité : c'est la mesure dans laquelle les données ou les fonctionnalités sont disponibles aux utilisateurs au bon moment. La disponibilité garantit que les systèmes informatiques sont disponibles lorsqu'ils sont nécessaires à l'exécution des processus de travail et que les mesures de sécurité fonctionnent effectivement correctement. Le terme disponibilité fait référence au besoin de continuité de service.
       L'objectif est de garantir la continuité de l'information et de la fourniture d'informations et de limiter les conséquences eventuelles des incidents de sécurité de l'information à un niveau acceptable et prédéterminé.

     Par utilisateur, on entend tous les ordinateurs et systèmes qui peuvent se connecter à l'application DP-A Authentic Sources, ainsi que tous les utilisateurs qui ont accès directement -via les applications web- ou indirectement – via leur logiciel local- à une ou plusieurs applications DP-A Authentic Sources.
   Pour garantir une bonne protection de la plate-forme on-line de DP-A, y compris toutes les bases de données qui peuvent être consultées et/ou mises à jour (comme le FCA et le Registre national), il est crucial que tous les utilisateurs de ces systèmes soient convaincus de l'importance de l'application scrupuleuse d'une politique de sécurité des informations suffisamment hermétique.
     Ce document se compose d'un certain nombre de mesures, règles et recommandations relevant d'une telle politique. Cette dernière doit être souscrite et appliquée par tous les utilisateurs qui, à quelque titre que ce soit, sont impliqués dans l'utilisation et/ou le support technique des systèmes locaux chez les uitilisateurs dont elles font partie. C'est également la raison pour laquelle il sera demandé à chaque utilisateur, par l'intermédiaire de l'application DP-A Authentic Sources , de confirmer la prise de connaissance et l'acceptation du contenu du présent document, à défaut de quoi il ne pourra plus avoir accès aux services de l'application DP-A Authentic Sources.
     Ce document est strictement confidentiel et ne peut être communiqué à des tiers sans l'autorisation préalable du Prestataire. Il contient des informations destinées à un usage interne uniquement. En recevant ce document, le destinataire accepte que toutes les informations contenues dans ce document sont considérées comme strictement confidentielles et en aucun cas communiquées à des tiers sauf l'autorisation explicite par écrit du Prestataire. Ce document sera traité avec le même soin que les renseignements confidentiels du destinataire.
     Toute dérogation de la présente politique de sécurité doit faire l'objet d'une acceptation formelle du Prestataire.
    

2. POLITIQUE DE SECURITE LIEE AUX COLLABORATEURS
    
     L'objectif de la présente politique est l'exploitation optimale et le maintien du niveau requis de connaissances et d'expérience des utilisateurs et leurs collaborateurs afin de garantir la sécurité, ainsi que la réduction des risques découlant de toute intervention humaine, éventuellement intentionnelle.
     Chaque utilisateur ne peut utiliser que sa propre carte à puce et son code pin quand il demande accès à l'application DP-A Authentic Sources. Il est absolument interdit de conserver localement les données de la carte à puce, ainsi que le certificat de la carte à puce et le code PIN en vue d'avoir accès à l'application DP-A Authentic Sources sans suivre la procédure de login normale ; l'accès doit donc toujours être demandé au moyen de la carte à puce physique et de la saisie du code pin. C'est le devoir de l'utilisateur de veiller à respecter ces règles de façon stricte.
     Les utilisateurs et leurs collaborateurs doivent être conscients des menaces et de l'importance de la protection des informations et doivent à cet effet disposer des moyens, des connaissances et des aptitudes appropriés.
     La politique en matière de personnel y contribue, notamment en inscrivant les aspects en matière de sécurité dans les descriptions de fonction, en établissant des déclarations de confidentialité, en reprenant, dans le règlement de travail ou dans le contrat de travail, l'aspect inhérent à la responsabilité du travailleur en matière de protection des informations, ou en décrivant des codes de bonne conduite.
     Chaque utilisateur a le devoir de signaler les risques et les incidents en matière de protection et de sécurité.
     L'attention des utilisateurs est attirée sur leur responsabilité inhérente au maintien d'une protection efficace de l'accès, notamment en ce qui concerne l'utilisation de mots de passe et la protection des équipements de connexion.
     Leur attention est également attirée sur les risques en matière de sécurité induits par les systèmes de bureau électroniques (par exemple : ordinateurs fixes, ordinateurs portables, téléphones, téléphones mobiles, e-mail, courrier, voicemail, services postaux et télécopie) : ces systèmes induisent un risque en matière de confidentialité des données opérationnelles.
     L'attention des utilisateurs est attirée sur leur responsabilité inhérente à l'utilisation du courriel :
   • ils doivent veiller à ne pas mettre en péril l'organisation en envoyant des courriers électroniques inappropriés
   • ils doivent faire preuve de vigilance lors de l'ouverture d'e-mails et de pièces jointes
       Sur l'appareillage qui est directement connecté à l'infrastructure de l'utilisateur (p.e. : les ordinateurs), le collaborateur ne peut installer des logiciels et paramétrer des configurations que s'ils ont été avalisés par le service compétent, désigné par l'organisation.
       Lors du départ du service ou en cas de modification du contenu de la fonction, les droits d'accès et les autorisations seront retirés le plus rapidement possible et le matériel physique sera récupéré.
       Le traitement de toute infraction à la politique et aux procédures en matière de sécurité édictées par l'organisation sera soumis à un processus formel.
      
3. RESPECT DES LIGNES DIRECTICES DE L'APD et DU EDPB
    
     Les utilisateurs s'engagent à veiller au respect, au sein de leur organisation, de toutes les lignes directrices et mesures de référence pertinentes, recommandées par l'Autorité de la protection des données (APD) et le Comité Européen de la Protection des Données ("European Data Protection Board", "EDPB"), tant en termes de systèmes que d'organisation et de personnes. Ces lignes directrices et mesures de référence sont disponibles sur le site Internet à l'adresse suivante : https://www.autoriteprotectiondonnees.be/lignes directrices Les lignes directrices de l'APD et du EDPB devraient, d'une part, fournir une interprétation claire et harmonisée de toutes les dispositions du RGPD et, d'autre part, fournir des recommandations fondées sur les pratiques des états membres de l'UE. Ces lignes directrices sont donc le résultat d'une coopération intensive avec diverses parties concernés.
     L'autorité de la protection des données (APD) a également publié une brochure d'information « Cybersurveillance » traitant du contrôle des e-mails échangés par les travailleurs sur le lieu de travail ; ce document figure aussi sur la site internet précité.
    
4. ANTIVIRUS ET MALWARE (logiciel malveillant)
    
     L'utilisateur s'engage à installer un programme antivirus fiable sur tous les ordinateurs (serveurs et PC des utilisateurs, ordinateurs portables, tablettes, etc.), susceptibles d'être connectés à l'application DP-A Authentic Sources. Le terme VIRUS englobe tous les logiciels nocifs qui sont dissimulés dans un autre logiciel exécutable et qui peuvent causer des dommages à l'appareillage sur lequel ils ont été installés (les logiciels, les données ou le matériel lui-même), qui se propagent par reproduction ou diffusion, et ce, indépendamment du support utilisé pour cette propagation.
     L'utilisateur doit s'informer suffisamment afin de pouvoir sélectionner un logiciel qualitatif. Par ailleurs, il est absolument indispensable que ces logiciels soient régulièrement actualisés (la mise à jour automatique doit être activée).
     L'utilisateur s'engage, le cas échéant, à prévenir immédiatement le Prestataire dès qu'il est informé de la possible introduction d'un virus dans son infrastructure.
    
5. NAVIGATEURS INTERNET
    
     Il est fortement recommandé de n'utiliser que les navigateurs web approuvés par le Prestataire, qui répondent aux normes actuelles en matière de sécurité en ligne. L'utilisation de versions désuètes est catégoriquement déconseillée. Il convient d'utiliser à tout moment un navigateur qui est activement pris en charge et qui fait l'objet de mises à jour de sécurité.
     Il est extrêmement important d'installer systématiquement la version la plus récente du/des navigateur(s) utilisé(s). Les fournisseurs/développeurs de navigateurs améliorent en permanence leur logiciel en vue de combler les lacunes dans leur protection.
     Il se pourrait qu'une version donnée d'un navigateur soit particulièrement vulnérable durant un laps de temps donné jusqu'à ce qu'une solution de résolution de ce problème de sécurité soit proposée, cette solution pouvant parfois se faire longtemps attendre. Dans pareil cas, le Prestataire enjoindra tous les utilisateurs à cesser temporairement l'utilisation du navigateur concerné et à opter pour un autre.
     L'utilisation de certaines extensions (« add-ons ») dans des navigateurs (p.e. : Adobe Flash) est _ strictement déconseillée _, car elle constitue une véritable menace en matière de sécurité. Si certaines extensions s'avèrent malgré tout indispensables, elles ne pourront provenir que d'éditeurs reconnus. Si des extensions non fiables s'avèrent nécessaires pour certaines tâches, elles devront être installées sur un PC distinct qui n'est pas connecté au réseau local.
    
6. SÉCURITÉ DES RÉSEAUX
    
     L'utilisateur s'engage à garantir une protection suffisante du/des réseau(x) utilisé(s) pour se connecter à l'application DP-A Authentic Sources. Le pare-feu (Firewall) installé devra en outre se conformer aux exigences imposées en cas d'utilisation de données à caractère personnel confidentielles. Il est par ailleurs recommandé d'équiper le pare-feu d'un programme antivirus/anti-logiciels malveillants de qualité.
     Le wifi n'est autorisé que si le routeur bénéficie d'une protection suffisante au moyen d'une methode d'encryptage suffisamment sécurisée, complétée par un mot de passe solide. Par ailleurs, le firmware des composants en charge de l'accès Internet doit toujours être actualisé au moyen de la dernière version disponible.
     L'utilisation des applications disponibles sur l'application DP-A Authentic Sourcesau moyen de réseaux wifi publics (via ordinateur portable, tablette ou smartphone) est _ strictement interdite _ sans mesure de sécurité complémentaire (comme un VPN).
     En cas d'utilisation d'appareils mobiles (ordinateur portable, tablette, etc.) pour l'accès à l'application DP-A Authentic Sources, ils devront également être munis de l'indispensable logiciel en matière de sécurité, à l'instar des postes de travail fixes.
     L'accès à l'application DP-A Authentic Sources ne peut pas s'effectuer au départ d'un ordinateur privé avec lequel des personnes étrangères/des enfants peuvent travailler ou jouer. La plupart du temps, les enfants méconnaissent les risques liés à l'utilisation d'Internet. Ils pourraient visiter des sites Internet potentiellement dangereux, susceptibles d'installer un virus ou logiciel malveillant sur l'ordinateur (portable) de l'huissier de justice / de l'avocat / du collaborateur (par exemple, un ordinateur portable mis à disposition par le cabinet). En cas de connexion ultérieure de cet utilisateur au réseau du cabinet, ce dernier pourrait être infecté.
    
7. SYSTEMES D'EXPLOITATION ET LOGICIELS CONNEXES
    
     L'huissier de justice s'engage à n'utiliser que des systèmes d'exploitation suffisamment protégés.
     Les systèmes d'exploitation doivent toujours être dotés des dernières mises à jour du fabricant, c'est-à-dire que les actualisations automatiques doivent être activées et effectivement implémentées. Le même principe s'applique pour tous les logiciels connexes, dont Adobe PDF Reader, par exemple.
    
8. AUTHENTIFICATION
    
     La consultation des sources authentiques auxquelles l'application DP-A Authentic Sources permet l'accès n'est possible que via une authentification robuste (carte à puce ou similaire mis à disposition par DP-A).
     Si l'ordinateur (portable ou non) de l'utilisateur est sécurisé par un mot de passe, ce mot de passe doit être suffisamment adéquat. Les recommandations suivantes s'appliquent à cet égard :
     Chaque mot de passe doit contenir au moins 10 caractères, dont au moins les suivants :
   • Une minuscule
   • Une majuscule
   • Un chiffre
   • Un caractère spécial tel que *,$, !, (, ),%,?, etc.
       Par ailleurs :
   • Un mot de passe ne peut pas être identique à des mots de passe précédents, préalablement utilisés
   • La longueur maximale du mot de passe ne peut excéder 50 caractères. Cela permet à l'utilisateur d'utiliser en guise de mot de passe une phrase dans laquelle les caractères énumérés ci-dessus doivent apparaître.
       Les règles suivantes doivent être respectées lors de la préparation d'un nouveau mot de passe :
   • Un mot de passe doit être facile à retenir afin que son utilisateur ne doive pas l'inscrire sur un document.
   • Il ne doit pas non plus être aisément deviné par une personne qui connaît bien le collaborateur ou au moyen d'informations susceptibles d'être obtenues dans les médias sociaux (social engineering).
   • Si un utilisateur suspecte que l'intégrité d'un mode passe est compromise ou que son mot de passe est connu, il devra immédiatement en changer.
   • L'utilisateur ne peut jamais autoriser les navigateurs qu'il utilise à enregistrer ses mots de passe.
   • Un mot de passe est strictement personnel ; il ne peut jamais être partagé par plusieurs utilisateurs. Il ne peut du reste pas être communiqué à d'autres personnes.
   • Un mot de passe ne peut jamais être transcrit sur un post-it que l'on colle sur un écran ou à tout autre endroit.
   • Un mot de passe ne peut jamais :
     • Se composer d'un mot extrait d'un dictionnaire, même de dictionnaires en langues étrangères
     • être le même mot de passe que celui qui est utilisé pour se connecter à un ordinateur
     • Se composer d'informations relatives à l'utilisateur, comme le prénom, le nom, le surnom, la date de naissance, etc.
         Une façon simple de générer un bon mot de passe consiste à prendre le premier caractère de tous les mots d'une phrase et de complexifier ensuite le résultat ainsi obtenu en y ajoutant des préfixes ou des suffixes, en transformant certaines lettres en minuscule et en majuscule et en ajoutant des chiffres et des caractères spéciaux.
         Il est également recommandé, aux endroits où est utilisé une authentification faible, de renouveler les mots de passe au minimum tous les 6 mois.
        
9. RGPD: UTILISATION AUTORISéE
    
     Un utilisateur ne peut accéder à DP-A Authentic Sources que si, en tant que responsable du traitement, il remplit toutes les conditions pour cela. Pour plus d'informations à ce sujet, consultez les Conditions générales et spécifiques, ainsi que la Politique de confidentialité de la Plateforme DP-A.
     Concrètement, en ce qui concerne DP-A Authentic Sources, l'accès de l'utilisateur est limité aux finalités suivantes :
   • au Registre national, par ex. l'accès n'est autorisé que dans le cadre précis du mandat reçu à cet effet par le Prestataire.  
     Il s'agit, pour les avocats et leurs collaborateurs : (a) d'accomplir les tâches nécessaires pour l'intentement, la conduite et l'aboutissement d'une cause qui leur est confiée (b) d'accomplir des actes préalables à une procédure contentieuse, (c) insolvabilité.  
     Il s'agit, pour les collaborateurs des barreaux et du Prestataire : procédures disciplinaires, authentification, données d'échange de clés techniques, source authentique (tableau et liste des stagiaires) (autorisations : 42/2013, 70/2014, 56/2015, 37/2017 )
   • au FCA, par ex. l'accès n'est autorisé que dans le cadre spécifique de leur droit de consultation en application de l'art. 1391/1 C. jud. (information relative aux comptes bancaires dans le cadre d'une saisie conservatoire) et leur droit d'apport en application de l'art. 1390quater, §2 (règlement collectif de dettes)
       A cet égard, chaque utilisateur est considéré comme responsable du traitement et son accès doit toujours être suffisamment motivé et expressément limité au traitement licite qui a lieu aux fins susmentionnées. Le Prestataire a le droit de vérifier périodiquement cela et, si nécessaire, de demander des informations complémentaires à l'utilisateur.
      
10. RGPD: TÂCHES DU PRESTATAIRE
     
      Dans le cadre de DP-A Authentic Sources, le Prestataire lui-même est également responsable du traitement pour les finalités suivantes :
    • Gérer l'identification et l'authentification des utilisateurs de l'application DP-A lors de l'accès à DP-A Authentic Sources;
    • Gérer l'authentification des utilisateurs de l'application DP-A, en vérifiant les caractéristiques requises (avocat autorisé, collaborateur mandaté d'un avocat autorisé) lors de l'accès à DP-A Authentic Sources ;
    • Enregistrement des données personnelles de l'utilisateur lors de la connexion à DP-A Authentic Sources.
        Ces traitements ont pour finalité la réalisation des objectifs visés aux articles précités, à savoir la gestion de l'accès des avocats à DP-A Authentic Sources via l'application DP-A, qui permet leur identification, leur authentification et le contrôle et la gestion de leurs caractéristiques ou qualités, leurs mandats et leurs autorisations d'acces pertinents.
        Cette finalité comprend également la possibilité de fournir au propriétaire de la source authentique, à sa demande, des données statistiques anonymisées concernant l'utilisation, la gestion et le fonctionnement de ces services.
       
11. CONSCIENTISATION DES UTILITEURS
     
      L'utilisateur s'engage à conscientiser tous les collaborateurs de son organisation aux risques inhérents à l'utilisation d'Internet et des courriels. Il convient plus particulièrement d'être informé des risques liés à des pratiques telles que le pêche aux données personnelles (phishing), les logiciels malveillants (malware), le spam et, plus spécifiquement encore, les logiciels rançonneurs (malware).
      PECHE AUX DONNEES PERSONNELLES (Phishing) est une forme de fraude sur l'internet où la victime reçoit un e-mail lui demandant de vérifier et de confirmer un compte auprès d'une banque ou d'un fournisseur de services. Parfois, ils sont également contactés par téléphone. En général, les auteurs de pêche aux données personnelles sont difficiles à retracer et il est donc important d'être vigilant et de ne jamais répondre à une demande par courrier demandant le transfert de fonds ou la communication de données personnelles ou financières.
      LOGICIELS MALVEILLANTS (Malware) est une contraction des mots " malveillants " (malicious) et " logiciels " (software) et forme un terme collectif pour désigner les logiciels indésirables tels que les virus, les vers et les logiciels espions. L'utilisation de scanners antivirus et d'un pare-feu est une mesure standard contre cela. L'activité humaine figure toujours en bonne place sur la liste des causes des épidémies de virus. Une infection virale se produit souvent lorsqu'un utilisateur ouvre une pièce jointe dans un courriel qui contient non seulement le document promis, mais aussi un virus. Il est donc déconseillé d'ouvrir des e-mails suspects ou provenant d'un expéditeur inconnu ou d'ouvrir les pièces jointes.
      SPAM est un nom collectif pour les messages indésirables. Habituellement, le terme " courrier non sollicité " est utilisé, mais les messages publicitaires non désirés sur les sites Web relèvent également de ce terme. Il est conseillé de ne jamais répondre ou transférer les spams et de ne jamais hésiter à distribuer des adresses e-mail est une chose que nous pouvons faire nous-mêmes (en utilisant la fonction Bcc).
      LOGICIELS RANCONNEURS (Ransomware): Utilisés dans le cadre d'une méthode de chantage en ligne au moyen de logiciels malveillants, ces logiciels rançonneurs bloquent complètement l'utilisation de l'ordinateur jusqu'au versement d'une somme déterminée au maître chanteur. Il est aussi extrêmement utile de se préparer suffisamment à une telle attaque.
     
12. AUTRES RECOMMANDATIONS
     
      Tous les postes de travail doivent être configurés de telle sorte à interrompre l'accès après une période d'inactivité de plus de 5 minutes.
      Avant de quitter le poste de travail pour une période prolongée, l'accès à ce dernier doit être verrouillé, soit en se déconnectant, soit en passant au mode de protection.
      Il convient en toute hypothèse de s'abstenir de copier des informations confidentielles obtenues via les Applications CIA sur des supports d'information tels que des clés USB et de les emporter en dehors du cabinet, sauf si elles sont encryptées.
      Il en va de même pour les ordinateurs portables, c'est-à-dire que toutes les informations confidentielles se trouvant sur le disque dur doivent être encryptées avant d'emporter de l'ordinateur en dehors du cabinet.
      TOUS les logiciels qui ne sont pas absolument indispensables à l'utilisation des applications fréquemment employées devraient être effacés des postes de travail (ordinateurs fixes, ordinateurs portables, iPad et autres ordinateurs qui, d'une manière ou d'une autre, sont utilisés pour l'accès aux applications).
     
13. RECOMMANDATIONS PAP
     
      De plus en plus d'utilisateurs veulent utiliser leur propre smartphone, tablette ou ordinateur portable au bureau. PAP ou P renez vos A ppareils P ersonnels devient une véritable tendance. Mais attention, il peut aussi s'avérer être Prenez Vos Appareils Personnels- Désastre. C'est pourquoi il est important de savoir à l'avance ce qu'il faut prendre en compte lorsque vous autorisez PAP dans votre organisation, surtout si beaucoup de données personnelles sont traitées. PAP n'est pas seulement une question de ICT, mais elle est beaucoup plus large : il s'agit aussi d'attitude et de comportement et du désir des collaborateurs d'organiser leur lieu de travail comme bon leur semble. Il s'agit donc d'une politique du travail au sens large du terme. PAP se fait toujours sous la responsabilité exclusive des utilisateurs. Le Prestataire recommande expressément de n'autoriser ceci que s'il y a au moins une réponse aux questions suivantes :
    • Les utilisateurs ont-ils le droit d'emporter tous leurs appareils avec eux et quelles sont les conditions préalables ?
    • Les utilisateurs peuvent-ils stocker des données sur des solutions de cloud public ou l'entreprise facilite-t-elle une solution de cloud privé ? Ou un modèle hybride est-il possible ? Ceci est-il encore conforme au RGPD ?
    • Qu'en est-il de la sécurité de l'information ? Qu'en est-il des virus sur les tablettes ? Comment gérez-vous la gestion des données confidentielles, la sauvegarde et la restauration, la perte et le vol ?
    • Quelle est exactement la responsabilité financière en cas de dommages, de perte ou de vol ?
    • Comment gérez-vous les différents appareils, vos propres applications et celles de l'entreprise ?
    • Comment traitez-vous les appareils avec différents systèmes d'exploitation au sein d'une même organisation ?
    • Quels sont les aspects juridiques y afférents ? (par ex. licences) ?
    • Il doit y avoir une vision sur le PAP au sein du service, parce qu'il détermine les cadres de la façon de travailler et d'approcher les clients ;
    • Il doit également y avoir une vision claire concernant l'impact du PAP sur l'organisation et sur son fonctionnement, de manière à ce qu'il soit clair quels objectifs sont fixés pour l'organisation, comment elle fonctionne, si la flexibilité est possible ou souhaitable, et comment elle est gérée ;
    • Une politique de gestion des ressources humaines claire doit également être mise en place afin que les utilisateurs sachent comment gérer la flexibilité en travaillant indépendamment du temps et du lieu, des accords d'utilisation des appareils mobiles doivent être établis, des règles générales de conduite doivent être établies pour l'utilisation des logiciels et la confidentialité des données à caractère personnel et documents, les obligations applicables aux utilisateurs vis-à-vis le PAP et la manière de contrôler la séparation entre le privé et le professionnel ;
    • Il doit également être clair comment la gestion et la sécurité des appareils mobiles seront gérées et ce qui est techniquement possible et ce qui ne l'est pas.
        Les politiques de PAP peuvent varier considérablement d'une organisation à l'autre, en fonction de ses propres priorités et points d'attention, et elles sont élaborées de préférence en étroite consultation avec RH, ICT, Finance et la Direction. Une initiative PAP réussie combine la simplicité pour les utilisateurs avec des fonctionnalités de sécurité, de contrôle et de gestion efficaces pour le service informatique. Afin de protéger votre organisation de manière optimale contre les dangers, les pertes de données et les utilisations non conformes, le service informatique de l'utilisateur doit tout d'abord se demander comment il peut fournir aux utilisateurs un accès sécurisé aux données et applications, y compris DP-A Authentic Sources.
      De plus, il y a la gestion basée sur les rôles et la configuration et la sécurité des appareils personnels et approuvés.
       
14. GESTION DES INCIDENTS & GESTION DES FUITES DE DONNÉES
     
      La gestion des incidents est le processus de gestion et de protection des systèmes d'information et l'information qui y est stockée. L'utilisateur doit être bien conscient de ses responsabilités en matière de protection des informations au bénéfice des personnes concernées et du Prestataire. La gestion des incidents est un ensemble d'activités qui définit et met en œuvre un processus que l'organisation peut utiliser pour promouvoir son propre bien-être et la sécurité de tous les acteurs impliqués.
      Avec la gestion des risques et la gestion de la continuité, la gestion des incidents est l'un des domaines les plus importants de la sécurité de l'information. La gestion des incidents est importante parce qu'il n'existe pas de sécurité de l'information absolue ni de protection de la vie privée absolue et parce que les incidents ne peuvent être évités. La question n'est pas de savoir si quelque chose va arriver, mais quand. L'utilisateur doit estimer à l'avance les incidents prévus les plus importants et la procédure d'intervention et d'escalade appropriée doit être élaborée et mise en pratique à l'avance.
      La gestion des incidents oriente la façon dont l'organisation de l'utilisateur souhaite traiter tous les incidents et les "quasi-incidents" dans le domaine de la sécurité de l'information et de la protection de la vie privée. L'utilisateur reconnaît l'importance d'une gestion adéquate des incidents et de la réaction à ceux-ci afin de minimiser les conséquences pour le fonctionnement de l'organisation. Les incidents doivent être traités de manière structurée et des procédures doivent être établies pour s'assurer que l'intervention se déroule de manière efficace et ordonnée. L'objectif est que l'utilisateur et ses employés tirent les leçons des incidents, c'est pourquoi les incidents doivent être évalués et documentés.
      Certains incidents peuvent également constituer une "fuite de données". A cet égard, le responsable du traitement doit évaluer s'il est probable que la violation liée aux données à caractère personnel portera atteinte aux droits et libertés de la personne concernée en effectuant l'analyse d'impact pour la personne concernée.
      Si un risque pour la ou les personnes concernées est probable, le responsable du traitement doit signaler la violation de données personnelles dans les meilleurs délais et au plus tard dans les 72 heures à l'autorité de protection des données ("l'APD"), sous la supervision du délégué à la protection des données ("DPD") et par l'équipe de gestion de crise.
      Si une fuite de données se produit et que vous ou nous en prenions connaissance, nous devons communiquer entre nous sans délai et donc nous coordonner.
      Une fuite de données doit être signalée à l'autorité de protection des données par le responsable du traitement, au moyen d'un formulaire électronique qui, une fois rempli, doit être soumis via un portail internet (https://www.autoriteprotectiondonnees.be/professionnel/actions/fuites-de-donnees-personnelles). Les formulaires envoyés par e-mail ne seront pas pris en considération.
      Si la notification de la fuite de données à l'autorité de contrôle n'est pas faite dans les 72 heures, le responsable du traitement doit, après consultation du DPD, la transmettre par écrit par voie électronique, en indiquant les raisons du retard. S'il n'est pas possible de fournir toutes les informations nécessaires en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.
      Les informations suivantes sont alors fournies à l'autorité de contrôle : • Une description de la nature de violation. • Les catégories d'enregistrements de données à caractère personnel concernés. • Le nombre approximatif de personnes concernés. • Le nombre approximatif d'enregistrements de données à caractère personnel concernés. • Le nom et les coordonnées du responsable du traitement. • Conséquences de la violation. • Toutes les mesures prises pour remédier à la violation. • Toute information liée à la violation de données.
     
15. GESTION DE CONTINUITE
     
      L'objectif principal de la gestion de la continuité est de protéger les processus opérationnels critiques contre les conséquences d'incidents ou de catastrophes graves et de veiller à ce que tous les éléments nécessaires soient en place afin que l'organisation puisse réagir de manière appropriée aux incidents ou catastrophes graves et assurer une reprise rapide.
      En tout état de cause, la gestion de la continuité est plus large que l'ICT : la perte de salariés (maladie, licenciement, décès) ou la disparition d'un fournisseur critique peut constituer une menace réelle. Lors de la mise en place de la gestion de la continuité, tous les aspects pertinents qui pourraient mettre en danger la continuité doivent être pris en compte.
      Pour tous les processus d'affaires critiques et les systèmes d'information essentiels, il doit y avoir un plan de continuité (PCA) décrivant les activités, les mesures et les données importantes de tous les processus critiques qui visent à réduire le temps d'interruption à un niveau acceptable.
      La sécurité de l'information et la protection de la vie privée font partie intégrante de la gestion de la continuité de l'utilisateur.
     
16. GESTION DES RISQUES
     
      Les systèmes d'information et l'information qu'ils contiennent sont constamment exposés à diverses menaces. Cela implique que l'utilisateur qui a besoin de divers systèmes d'information et d'informations est à risque. Il est évident que l'utilisateur atténue ces risques en prenant autant de mesures de sécurité que possible.
      Afin de pouvoir gérer les risques de manière équilibrée, il est nécessaire d'être conscient des risques encourus et de leur ampleur. Sur la base de ces connaissances, des mesures de sécurité peuvent alors être prises pour réduire ces risques à des proportions acceptables (= processus de gestion des risques). Le processus de gestion des risques concerne l'identification des risques, l'évaluation du profil de risque et l'application d'une stratégie de gestion des risques.
    Dans le cadre d'une application intégrale de la gestion des risques, le processus de gestion des risques est appliqué dans toute l'organisation. Afin de mener à bien le processus de gestion des risques de manière cohérente, il est essentiel que tous les membres de l'organisation impliqués dans le traitement des données utilisent un cadre uniforme pour le processus de gestion des risques.
      Le point de départ de la mise en œuvre concrète du processus de gestion des risques est l'identification et l'évaluation des risques potentiels. La consolidation et le regroupement des risques constituent la deuxième étape du processus de gestion des risques. La troisième étape de ce processus consiste à déterminer comment la direction souhaite traiter les risques identifiés. Cela est étroitement lié à l'appétit pour le risque de la direction.
    Les risques stratégiques sont souvent liés à des facteurs externes qui peuvent menacer la réalisation des objectifs stratégiques. Les facteurs externes qui peuvent avoir une influence découlent logiquement du modèle informatique du CIA et des bases de données connexes. Dans ce cas, ce sont principalement les facteurs économiques, politiques et techniques qui peuvent influencer l'infrastructure informatique du CIA.
    Les risques de processus sont souvent liés aux transactions opérationnelles et peuvent être liés aux objectifs opérationnels, de reporting et de supervision. En ce qui concerne l'infrastructure informatique du CIA, les risques opérationnels concernent, entre autres, les aspects/questions suivants :
    • sécurité des données à caractère personnel/sécurité de l'information ;
    • les informations à fournir et l'accès aux données à caractère personnel;
    • procédure de reprise après sinistre ;
    • politique sur les mots de passe ;
    • la surveillance de l'infrastructure matérielle et logicielle ;
    • des mesures de contrôle organisationnel et technique appropriées ;
    • gestion des accès et des utilisateurs ;
    • Procédure de continuité des opérations ;
    • Procédure d'intervention en cas d'incident ; Version 07/07/2021

Conditions d’utilisation de l’application Registre national

Version 08/02/2021 1. Les présentes conditions d’utilisation (ci-après dénommées les “Conditions d’utilisation Registre national”) ont trait à l’application Web pour l’exécution et la conservation de recherches dans le Registre national via la Digital Platform for Attorneys (DPA) (ci-après “l’Application Registre national”).
 
Les présentes conditions d’utilisation sont d’application en plus des conditions générales et de la Politique de confidentialité de la plateforme DPA. Celles-ci restent intégralement d’application, sauf si les présentes conditions d’utilisation s’en écartent spécifiquement.
 
Les locutions commençant par une majuscule sont soit définis dans les conditions générales de la plateforme DPA soit dans les présentes conditions d’utilisation. Il est fortement recommandé de lire attentivement les conditions générales et les Conditions d’utilisation Registre national avant d’utiliser l’Application Registre national.
  2. L’accès à l’Application Registre national n’est autorisé que si l’Utilisateur a accepté les conditions générales de la plateforme DPA et les présentes conditions d’utilisation.
  3. L’Utilisateur déclare être membre de l’Ordre des Barreaux Francophones et Germanophone ou de l’Orde van Vlaamse Balies, ou être explicitement mandaté par un membre de l’un de ces Ordres. L’Utilisateur n’utilisera l’Application Registre national que pour obtenir des données dont l’avocat a besoin pour les tâches qu’il effectue en tant qu’auxiliaire de justice. L'Utilisateur ne recherchera, demandera et consultera ces données que dans la mesure où elles sont adéquates, pertinentes et non abusives par rapport à l'objectif poursuivi en tant qu’auxiliaire de justice.
 
Lors de recherches sur base d’un nom et d’une date de naissance ou sur base d’une adresse, l’Utilisateur soumettra toujours suffisamment de données afin d’obtenir uniquement les résultats qui servent l’objectif poursuivi en tant qu’auxiliaire de justice.
  4. L’Utilisateur confirme accepter le caractère payant du service et ses coûts. Un historique des transactions est conservé sous forme électronique dans l’Application Registre national. Cet historique reste accessible à l’Utilisateur pendant une période d’au moins un an.
  5. Toutes les recherches, par nom ou par adresse, ainsi que les demandes de rapports sont facturées sauf en cas d’erreur technique.
 
Une recherche qui n’aboutit à aucun résultat sera également facturée, hors cas d’une erreur technique. Une telle hypothèse peut se produire notamment si les paramètres de recherche formulés par l’Utilisateur sont trop ou pas assez discriminants / pertinents.
 
Les résultats d’une recherche par nom qui donnerait plus de vingt (20) résultats ne seront pas retournés à cause de la limite imposée par l’autorité compétente qui gère le registre national (RGPD).
  6. Lorsqu’il utilise l’Application Registre national dans le cadre d’une intervention pour laquelle il a été désigné par un bureau d’aide juridique, l’Utilisateur doit mentionner la référence de sa désignation qui sera contrôlée afin de permettre, le cas échéant, l’application d’un tarif réduit en fonction des règles applicables dans son Ordre communautaire. Les résultats obtenus dans le cadre d’un dossier relevant de l’aide juridique ne pourront être utilisés que dans ce contexte.
  7. Les présentes Conditions d’utilisation Registre national (ainsi que les conditions générales de la plateforme DPA et la Politique de confidentialité) peuvent être complétées, revues ou adaptées. L’Utilisateur accepte que l’emploi de l’Application Registre national est toujours soumis à la version des Conditions d’utilisation Registre national qui a été publié et est applicable au moment de cette utilisation.