Loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel PHILIPPE, Roi des Belges, A tous, présents et à venir, Salut. La Chambre des représentan

et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ci-après "le Règlement", s'applique également au traitement de données à caractère personnel visés aux articles 2.2.a) et 2.2.b) du Règlement. Art. 3.La libre circulation

n'est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l'égard du traitement

. En particulier, le partage

entre les responsables du traitement, les autorités compétentes, les services, organes et les destinataires, visés aux titres 1er à 3 de la présente loi et qui agissent dans le cadre des finalités visées à l'article 23.1.a) à h), du Règlement, ne peut être ni limité ni interdit pour de tels motifs. Une limitation ou une interdiction peut toutefois avoir lieu s'il y a un risque élevé que le partage des données aboutirait à contourner la présente loi. Art. 4.§ 1er. La présente loi s'applique au traitement

effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire belge, que le traitement ait lieu ou non sur le territoire belge. § 2. La présente loi s'applique au traitement

relatives à des personnes concernées qui se trouvent sur le territoire belge par un responsable du traitement ou un sous-traitant qui n'est pas établi sur le territoire de l'Union européenne, lorsque les activités de traitement sont liées : 1° à l'offre de biens ou de services à ces personnes concernées sur le territoire belge, qu'un paiement soit exigé ou non desdites personnes; ou 2° au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu sur le territoire belge. §

1. Par dérogation au paragraphe 1er, lorsque le responsable du traitement est établi dans un Etat membre de l'Union européenne et fait appel à un sous-traitant établi sur le territoire belge, le droit de l'Etat membre en question s'applique au sous-traitant pour autant que le traitement a lieu sur le territoire de cet Etat membre. §
2. La présente loi s'applique au traitement de données à caractère personnel par un responsable du traitement qui n'est pas établi sur le territoire belge mais dans un lieu où le droit belge s'applique en vertu du droit international public. Art. 5.Les définitions du Règlement s'appliquent. Pour l'application de la présente loi, on entend par "autorité publique" : 1° l'état fédéral, les entités fédérées et les autorités locales;2° les personnes morales de droit public qui dépendent de l'Etat fédéral, des entités fédérées ou des autorités locales;3° les personnes, quelles que soient leur forme et leur nature qui : - ont été créées pour satisfaire spécifiquement des besoins d'intérêt général ayant un caractère autre qu'industriel ou commercial;et - sont dotées de la personnalité juridique; et - dont soit l'activité est financée majoritairement par les autorités publiques ou organismes mentionnés au 1° ou 2°, soit la gestion est soumise à un contrôle de ces autorités ou organismes, soit plus de la moitié des membres de l'organe d'administration, de direction ou de surveillance sont désignés par ces autorités ou organismes; 4° les associations formées par une ou plusieurs autorités publiques visées au 1°, 2° ou 3°. TITRE 1er. - De la protection des personnes physiques à l'égard du traitement

CHAPITRE Ier. - Disposition générale Art. 6.Sans préjudice de dispositions particulières, le présent titre exécute le Règlement. CHAPITRE II. - Principes de traitement Art. 7.En exécution de l'article 8.1 du Règlement, le traitement

relatif aux enfants en ce qui concerne l'offre directe de services de la société de l'information aux enfants, est licite lorsque le consentement a été donné par des enfants âgés de 13 ans ou plus. Lorsque ce traitement porte sur

de l'enfant âgé de moins de 13 ans, il n'est licite que si le consentement est donné par le représentant légal de cet enfant. Art. 8.§ 1er. En exécution de l'article 9.2.g) du Règlement, les traitements ci-après sont considérés comme traitements nécessaires pour des motifs d'intérêt public important : 1° le traitement effectué par des associations dotées de la personnalité juridique ou par des fondations qui ont pour objet statutaire principal la défense et la promotion des droits de l'homme et des libertés fondamentales, en vue de la réalisation de cet objet, à condition que ce traitement soit autorisé par le Roi, par arrêté délibéré en Conseil des ministres, après avis de l'autorité de contrôle compétente.Le Roi peut prévoir des modalités de ce traitement; 2° le traitement géré par la fondation d'utilité publique "Fondation pour Enfants Disparus et Sexuellement Exploités" pour la réception, la transmission à l'autorité judiciaire et le suivi de données concernant des personnes qui sont suspectées, dans un dossier déterminé de disparition ou d'exploitation sexuelle, d'avoir commis un crime ou un délit;3° le traitement de données à caractère personnel concernant la vie sexuelle, effectué par une association dotée de la personnalité juridique ou par une fondation, qui a pour objet statutaire principal l'évaluation, la guidance et le traitement des personnes dont le comportement sexuel peut être qualifié d'infraction, et qui est agréée et subventionné par l'autorité compétente en vue de la réalisation de cet objet.Ces traitements, qui doivent être destinés à l'évaluation, la guidance et le traitement des personnes visées dans le présent paragraphe et qui ne peuvent porter que sur

qui, pour autant qu'elles soient relatives à la vie sexuelle, concernent les personnes visées dans le présent paragraphe, sont soumis à une autorisation spéciale individuelle accordée par le Roi, dans un arrêté royal délibéré en Conseil des ministres, après avis de l'autorité de contrôle compétente. L'arrêté visé à l'alinéa 1er, 3°, précise la durée de validité de l'autorisation, les modalités du traitement des données, les modalités de contrôle de l'association ou de la fondation par l'autorité compétente et la façon dont cette autorité informe l'autorité de contrôle compétente sur le traitement de données à caractère personnel effectué dans le cadre de l'autorisation accordée. Sauf dispositions légales particulières, le traitement de données génétiques et biométriques aux fins d'identifier une personne physique de manière unique par ces associations et fondations est interdit. §

1. Le responsable du traitement et, le cas échéant, le sous-traitant établissent une liste des catégories de personnes, ayant accès aux données à caractère personnel avec une description de leur fonction par rapport au traitement des données visées. Cette liste est tenue à la disposition de l'autorité de contrôle compétente. Le responsable du traitement et, le cas échéant, le sous-traitant veillent à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées. §
2. La fondation visée au paragraphe 1er, alinéa 1er, 2°, ne peut tenir un fichier de personnes suspectes d'avoir commis un crime ou un délit ou de personnes condamnées. Elle désigne également un délégué à la protection des données. Art. 9.En exécution de l'article 9.4 du Règlement, le responsable du traitement prend les mesures supplémentaires suivantes lors du traitement de données génétiques, biométriques ou des données concernant la santé : 1° les catégories de personnes ayant accès aux données à caractère personnel, sont désignées par le responsable du traitement ou, le cas échéant, par le sous-traitant, avec une description précise de leur fonction par rapport au traitement des données visées;2° la liste des catégories des personnes ainsi désignées est tenue à la disposition de l'autorité de contrôle compétente par le responsable du traitement ou, le cas échéant, par le sous-traitant;3° il veille à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées. Art. 10.§ 1er. En exécution de l'article 10 du Règlement, le traitement

relatives aux condamnations pénales et aux infractions pénales ou aux mesures de sûreté connexes est effectué : 1° par des personnes physiques ou par des personnes morales de droit public ou de droit privé pour autant que la gestion de leurs propres contentieux l'exige;ou 2° par des avocats ou d'autres conseils juridiques, pour autant que la défense de leurs clients l'exige;ou 3° par d'autres personnes lorsque le traitement est nécessaire pour des motifs d'intérêt public important pour l'accomplissement de tâches d'intérêt général confiées par ou en vertu d'une loi, d'un décret, d'une ordonnance ou du droit de l'Union européenne;ou 4° pour les nécessités de la recherche scientifique, historique ou statistique ou à des fins d'archives;ou 5° si la personne concernée a autorisé explicitement et par écrit le traitement de ces données à caractère personnel pour une finalité ou plusieurs finalités spécifiques et si leur traitement est limité à ces finalités;ou 6° si le traitement porte sur

manifestement rendues publiques par la personne concernée, de sa propre initiative, pour une finalité ou plusieurs finalités spécifiques et si leur traitement est limité à ces finalités. §

1. Le responsable du traitement et, le cas échéant, le sous-traitant établissent une liste des catégories de personnes, ayant accès aux données à caractère personnel avec une description de leur fonction par rapport au traitement des données visées. Cette liste est tenue à la disposition de l'autorité de contrôle compétente. Le responsable du traitement et, le cas échéant, le sous-traitant veillent à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées. CHAPITRE III. - Limitations aux droits de la personne concernée Art. 11.§ 1er. En application de l'article 23 du Règlement, les articles 12 à 22 et 34 du Règlement, ainsi que le principe de transparence du traitement visé à l'article 5 du Règlement, ne s'appliquent pas aux traitements de données à caractère personnel émanant directement ou indirectement des autorités visées au titre 3, à l'égard : 1° des autorités et personnes visées aux articles 14, 16 et 19 de la loi du 30 novembre 1998Documents pertinents retrouvés type loi prom. 30/11/1998 pub. 18/12/1998 numac 1998007272 source ministere de la defense nationale Loi organique des services de renseignement et de sécurité fermer organique des services de renseignement et de sécurité auxquelles ces données ont été transmises directement ou indirectement par les autorités visées au titre 3;2° des autorités et personnes visées à l'article 2, alinéa 1er, 2°, de la loi du 10 juillet 2006Documents pertinents retrouvés type loi prom. 10/07/2006 pub. 20/07/2006 numac 2006009570 source service public federal justice Loi relative à l'analyse de la menace type loi prom. 10/07/2006 pub. 20/07/2006 numac 2006009569 source service public federal justice Loi modifiant la loi organique du 18 juillet 1991 du contrôle des services de police et de renseignements et les articles 323bis et 327bis du Code judiciaire type loi prom. 10/07/2006 pub. 07/09/2006 numac 2006009653 source service public federal justice Loi relative à la procédure par voie électronique fermer relative à l'analyse de la menace ainsi que celles mentionnées à l'article 44/11/3ter §§ 2 et 3, et à l'article 44/11/3quater de la loi du 5 août 1992Documents pertinents retrouvés type loi prom. 05/08/1992 pub. 21/10/1999 numac 1999015203 source ministere des affaires etrangeres, du commerce exterieur et de la cooperation internationale Loi portant approbation du Protocole modifiant l'article 81 du Traité instituant l'Union économique Benelux du 3 février 1958, fait à Bruxelles le 16 février 1990 fermer sur la fonction de police, et qui relèvent du champ d'application du titre 1er, et auxquelles ces données ont été transmises. §
2. Le responsable du traitement visé au présent titre qui est en possession de telles données ne les communique pas à la personne concernée à moins que : 1° la loi l'y oblige dans le cadre d'une procédure contentieuse;ou 2° l'autorité visée au titre 3 concernée l'y autorise. Le responsable du traitement ou l'autorité compétente ne fait aucune mention qu'il est en possession de données émanant des autorités visées au titre
3. §
4. Les limitations visées au paragraphe 1er portent également sur la journalisation des traitements d'une autorité visée au titre 3 dans les banques de données des responsables du traitement visés par le présent titre auxquelles l'autorité a directement accès. §
5. Le responsable de traitement visé au présent titre qui traite les données émanant directement ou indirectement des autorités visées au titre 3 répond au minimum aux conditions suivantes : 1° il adopte des mesures techniques ou organisationnelles appropriées pour assurer que l'accès aux données et les possibilités de traitement soient limités à ce dont les personnes ont besoin pour l'exercice de leurs fonctions ou à ce qui est nécessaire pour les nécessités du service;2° il adopte des mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification ou tout autre traitement non autorisé de ces données. Les membres du personnel du responsable de traitement qui traitent les données visées à l'alinéa 1er sont en outre tenus au devoir de discrétion. §
6. Lorsque l'autorité de contrôle visée dans la loi du 3 décembre 2017Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer4 portant création de l'Autorité de protection des données est saisie d'une requête ou d'une plainte où le responsable du traitement fait état de l'application du présent article, l'autorité de contrôle s'adresse au Comité permanent R pour qu'il fasse les vérifications nécessaires auprès de l'autorité visée au titre
7. Après réception de la réponse du Comité permanent R, l'Autorité de protection des données n'informe la personne concernée que des résultats de la vérification portant sur les données à caractère personnel n'émanant pas des autorités visées au titre 3 que l'autorité de contrôle est légalement tenue de communiquer. Si la requête ou la plainte ne porte que sur

émanant d'une autorité visée au titre 3, l'Autorité de protection des données répond, après réception de la réponse du Comité permanent R, que les vérifications nécessaires ont été effectuées. Art. 12.En application de l'article 23 du Règlement, un responsable du traitement qui communique

à une autorité visée aux sous-titres 2 et 4 du titre 3 de la présente loi n'est pas soumis aux articles 14.1.e. et 15.1.c. du Règlement et à l'article 20, § 1er, 6°, de la présente loi et ne peut informer la personne concernée de cette transmission. Art. 13.Lorsqu'une autorité visée aux sous-titres 1er et 6 du titre 3 dispose d'un accès direct ou d'une interrogation directe à une banque de données du secteur public ou du secteur privé, ses traitements de données à caractère personnel dans cette banque de données sont protégés par des mesures de sécurité techniques, organisationnelles et individuelles de sorte que seuls les acteurs suivants puissent accéder au contenu de ces traitements pour assurer leurs missions légales de contrôle : 1° le délégué à la protection des données du responsable du traitement de la banque de données;2° le délégué à la protection des données de l'autorité visée aux sous-titres 1 et 6 du titre 3;3° le responsable du traitement de la banque de données ou son délégué;4° le responsable du traitement de l'autorité visée aux sous-titres 1 et 6 du titre 3;5° toute autre personne précisée dans un protocole entre les responsables du traitement, pour autant que l'accès s'inscrive dans l'exercice des missions légales de contrôle des délégués à la protection des données et des responsables du traitement. Les mesures de sécurité mentionnées à l'alinéa 1er visent à protéger les obligations légales portant sur la protection des sources, la protection de l'identité de leurs agents ou la discrétion des enquêtes des autorités visées aux sous-titres 1 et 6 du titre

1. Elles sont mises à la disposition de l'autorité de contrôle compétente. Ces traitements ne peuvent être accessibles pour d'autres finalités que celles liées au contrôle que si ces finalités sont consignées dans un protocole d'accord par les responsables du traitement concernés parmi les finalités déterminées par ou en vertu d'une loi. Le protocole d'accord désigne la ou les personnes dont l'accès aux journaux est nécessaire pour remplir chaque finalité autorisée à l'alinéa
2. Les journaux et les mesures de sécurité mentionnées à l'alinéa 1er sont mis à la disposition du Comité permanent R. L'autorité visée au titre 3 concernée peut déroger à l'alinéa 1er lorsque l'accès à ses traitements dans une banque de données et aux journaux n'est pas susceptible de porter atteinte aux intérêts visés à l'alinéa
3. Art. 14.§ 1er. En application de l'article 23 du Règlement, les articles 12 à 22 et 34 du Règlement, ainsi que le principe de transparence du traitement visé à l'article 5 du Règlement ne s'appliquent pas aux traitements de données émanant directement ou indirectement des autorités judiciaires, des services de police, de l'Inspection générale de la police fédérale et de la police locale, de la Cellule de Traitement des Informations Financières, de l'Administration générale des douanes et accises, et de l'Unité d'information des passagers visés au titre 2, à l'égard : 1° des autorités publiques, dans le sens de l'article 5 de la présente loi, auxquelles les données ont été transmises par ou en vertu de la loi, d'un décret ou d'une ordonnance;2° d'autres organes et des organismes auxquelles les données ont été transmises par ou en vertu d'une loi, d'un décret ou d'une ordonnance. §
4. Le responsable du traitement visé au présent titre qui est en possession de données visées au paragraphe 1er ne les communique pas à la personne concernée à moins que : 1° la loi l'y oblige dans le cadre d'une procédure contentieuse;ou que 2° les autorités judiciaires, les services de police, l'Inspection générale de la police fédérale et de la police locale, la Cellule de Traitement des Informations Financières, l'Administration générale des douanes et accises, et l'Unité d'information des passagers visés au paragraphe 1er, chacun pour les données les concernant, l'y autorisent. Le responsable du traitement ou l'autorité compétente ne fait aucune mention qu'il est en possession de données émanant de ceux-ci. §
5. Les limitations visées au paragraphe 1er portent également sur la journalisation des traitements des autorités judiciaires, des services de police, de l'Inspection générale de la police fédérale et de la police locale, de la Cellule de Traitement des Informations Financières, de l'Administration générale des douanes et accises et de l'Unité d'information des passagers dans les banques de données des responsables du traitement visés au présent titre auxquelles ceux-ci ont directement accès. Ces limitations ne s'appliquent qu'aux données traitées initialement pour les finalités visées à l'article 27 de la présente loi. §
6. Les garanties légales visées à l'article 23.2 du Règlement auxquelles les autorités publiques, organes ou organismes doivent répondre sont déterminées par ou en vertu de la loi. Les autorités publiques, organes ou organismes qui traitent les données émanant directement ou indirectement des autorités judiciaires, des services de police, de l'Inspection générale de la police fédérale et de la police locale, de la Cellule de Traitement des Informations Financières, de l'Administration générale des douanes et accises et de l'Unité d'information des passagers répondent au minimum aux conditions suivantes : 1° ils adoptent des mesures techniques ou organisationnelles appropriées pour assurer que l'accès aux données et les possibilités de traitement soient limités à ce dont les personnes ont besoin pour l'exercice de leurs fonctions ou à ce qui est nécessaire pour les nécessités du service;2° ils adoptent des mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification ou tout autre traitement non autorisé de ces données. Les membres des autorités publiques, organes ou organismes qui traitent les données visées au § 1er sont en outre tenus au devoir de discrétion. §
7. Toute demande portant sur l'exercice des droits visés aux articles 12 à 22 du Règlement, adressée à une autorité publique, organe et organisme mentionné au § 1er, 1° en 2°, est transmise dans les meilleurs délais à l'Autorité de protection des données visée à la loi du 3 décembre 2017Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer4 portant création de l'Autorité de protection des données. Lorsque l'Autorité de protection des données est saisie directement par la personne concernée ou par le responsable du traitement qui fait état de l'application du présent article, elle procède aux vérifications nécessaires auprès des autorités, organes ou organismes concernés. Lorsque l'Autorité de protection des données a été saisie par la personne concernée, elle informe la personne concernée selon les modalités légales prévues. §
8. Lorsque le traitement porte sur des données initialement traitées par les services de police ou l'Inspection générale de la police fédérale et de la police locale, l'Autorité de protection de données saisie directement par la personne concernée ou par le responsable du traitement qui fait état de l'application du présent article, s'adresse à l'autorité de contrôle visée à l'article 71 pour qu'elle réalise les vérifications nécessaires auprès des autorités, organes ou organismes compétents. Lorsque l'Autorité de protection des données a été saisie par la personne concernée, après réception de la réponse de l'autorité visée à l'article 71, l'Autorité de protection des données informe la personne concernée selon les modalités légales prévues. §
9. Lorsque le traitement porte sur des données initialement traitées par les autorités judiciaires, l'Autorité de protection de données saisie directement par la personne concernée ou par le responsable du traitement qui fait état de l'application du présent article, s'adresse à l'autorité de contrôle compétente pour les autorités judiciaires pour qu'elle réalise les vérifications nécessaires auprès des autorités, organes ou organismes compétents, visés au § 1er, 1° et 2° . Lorsque l'Autorité de protection des données a été saisie par la personne concernée, après réception de la réponse de l'autorité de contrôle compétente pour les autorités judiciaires, l'Autorité de protection des données informe la personne concernée selon les modalités légales prévues. Art. 15.En application de l'article 23 du Règlement, les articles 12 à 22 et 34 du Règlement, ainsi que le principe de transparence du traitement visé à l'article 5 du Règlement, ne s'appliquent pas aux traitements de données à caractère personnel par l'Unité d'information des passagers, tels que visés au chapitre 7 de la loi du 25 décembre 2016Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer2 relative au traitement des données des passagers. Le responsable du traitement ne communique pas les données visées à l'alinéa 1er à la personne concernée à moins que la loi l'y oblige dans le cadre d'une procédure contentieuse. Le responsable du traitement ne fait aucune mention à la personne concernée qu'il est en possession de données la concernant. Les limitations visées à l'alinéa 1er portent également sur la journalisation des traitements effectués par l'Unité d'information des passagers dans les banques de données des responsables du traitement visés par le présent titre. Lorsque l'autorité de contrôle compétente est saisie d'une requête ou d'une plainte où le responsable du traitement fait état de l'application du présent article, l'autorité de contrôle répond uniquement que les vérifications nécessaires ont été effectuées. Art. 16.Lorsque les données à caractère personnel figurent dans une décision judiciaire ou un dossier judiciaire, ou font l'objet d'un traitement lors d'une enquête judiciaire et d'une procédure pénale, les droits visés aux articles 12 à 22 et 34 du Règlement sont exercés conformément au Code judiciaire, au Code d'instruction criminelle, aux lois particulières relatives à la procédure pénale ainsi qu'aux arrêtés d'exécution. Art. 17.En application de l'article 23 du Règlement, un responsable du traitement visé au présent titre qui communique

à une banque de données conjointe ne peut informer la personne concernée de cette transmission. Par "banque de données conjointe", on entend l'exercice commun des missions effectuées dans le cadre du titre 1er et des titres 2 ou 3 par plusieurs autorités, structurée à l'aide de procédés automatisés et appliqués aux données à caractère personnel. CHAPITRE IV. - Responsable du traitement et sous-traitant Section 1re. - Disposition générale Art. 18.En exécution de l'article 43 du Règlement, les organismes de certification sont accrédités conformément à la norme EN-ISO/IEC 17065 et aux exigences supplémentaires établies par l'autorité de contrôle par l'organisme national d'accréditation désigné conformément au Règlement (CE) n° 765/2008 du Parlement européen et du Conseil du 9 juillet 2008 fixant les prescriptions relatives à l'accréditation et à la surveillance du marché pour la commercialisation des produits et abrogeant le règlement (CEE) n° 339/93 du Conseil. Section 2. - Secteur public Art. 19.La présente section est applicable aux services de police au sens de l'article 2, 2°, de la loi du 7 décembre 1998Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer organisant un service de police structuré organisé à deux niveaux, qui sont considérés comme une seule autorité publique. Art. 20.§ 1er. Sauf autre disposition dans des lois particulières, en exécution de l'article 6.2 du Règlement, l'autorité publique fédérale qui transfert

sur la base de l'article 6.1.c) et e), du Règlement à toute autre autorité publique ou organisation privée, formalise cette transmission pour chaque type de traitement par un protocole entre le responsable du traitement initial et le responsable du traitement destinataire des données. Ce protocole peut prévoir notamment : 1° l'identification de l'autorité publique fédérale qui transfère les données à caractère personnel et celle du destinataire;2° l'identification du responsable du traitement au sein de l'autorité publique qui transfère les données et au sein du destinataire;3° les coordonnées des délégués à la protection des données concernés au sein de l'autorité publique qui transfère les données ainsi que du destinataire;4° les finalités pour lesquelles les données à caractère personnel sont transférées;5° les catégories de données à caractère personnel transférées et leur format;6° les catégories de destinataires;7° la base légale du transfert;8° les modalités de communication utilisée;9° toute mesure spécifique encadrant le transfert conformément au principe de proportionnalité et aux exigences de protection des données dès la conception et par défaut;10° les restrictions légales applicables aux droits de la personne concernée;11° les modalités des droits de la personne concernées auprès du destinataire;12° la périodicité du transfert;13° la durée du protocole;14° les sanctions applicables en cas de non- respect du protocole, sans préjudice du titre 6. § 2. Le protocole est adopté après les avis respectifs du délégué à la protection des données de l'autorité publique fédérale détenteur

et du destinataire. Ces avis sont annexés au protocole. Lorsqu'au moins un de ces avis n'est pas suivi par les responsables du traitement, le protocole mentionne, en ses dispositions introductives, la ou les raisons pour laquelle ou lesquelles cet ou ces avis n'ont pas été suivis. § 3. Le protocole est publié sur le site internet des responsables du traitement concernés. Art. 21.En exécution de l'article 37.4 du Règlement, un organisme privé qui traite

pour le compte d'une autorité publique fédérale ou à qui une autorité publique fédérale a transféré

désignent un délégué à la protection des données lorsque le traitement de ces données peut engendrer un risque élevé tel que visé à l'article 35 du Règlement. Art. 22.Lorsque le traitement de données à caractère personnel peut engendrer un risque élevé tel que visé à l'article 35 du Règlement, l'autorité publique fédérale demande préalablement au traitement l'avis du délégué à la protection des données. Lorsque l'autorité publique fédérale poursuit la mise en oeuvre de ce traitement contrairement à l'avis et aux recommandations du délégué à la protection des données, il motive sa décision. La motivation indique les raisons du non-suivi de l'avis ou des recommandations. Art. 23.En exécution de l'article 35.10 du Règlement, une analyse d'impact spécifique de protection des données est effectuée avant l'activité de traitement, même si une analyse d'impact générale relative à la protection des données a déjà été réalisée dans le cadre de l'adoption de la base légale. CHAPITRE V. - Traitements à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire Art. 24.§ 1er. On entend par traitement de données à caractère personnel à des fins journalistiques la préparation, la collecte, la rédaction, la production, la diffusion ou l'archivage à des fins d'informer le public, à l'aide de tout média et où responsable du traitement s'impose des règles de déontologie journalistique. § 2. Les articles 7 à 10, 11.2, 13 à 16, 18 à 20 et 21.1 du Règlement ne s'appliquent pas aux traitements de données à caractère personnel effectués à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire. § 3. Les articles 30.4, 31, 33 et 36 du Règlement ne s'appliquent pas aux traitements à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire lorsque leur application compromettrait une publication en projet ou constituerait une mesure de contrôle préalable à la publication d'un article. § 4. Les articles 44 à 50 du Règlement ne s'appliquent pas aux transferts de données à caractère personnel effectués à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire vers des pays tiers ou à des organisations internationales dans la mesure où cela est nécessaire pour concilier le droit à la protection

et la liberté d'expression et d'information. §

1. L'article 58 du Règlement ne s'applique pas aux traitements de données à caractère personnel effectués à des fins journalistiques et à des fins d'expression universitaire, artistique ou littéraire lorsque son application fournirait des indications sur les sources d'information ou constituerait une mesure de contrôle préalable à la publication d'un article. TITRE
2. - De la protection des personnes physiques à l'égard du traitement

par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces CHAPITRE Ier. - Dispositions générales Art. 25.Le présent titre transpose la directive 2016/680/UE du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement

par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil. Art. 26.Pour l'application du présent titre, on entend par : 1° "données à caractère personnel" : toute information se rapportant à une personne physique identifiée ou identifiable, ci-après dénommée "personne concernée";est réputée "identifiable" une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale; 2° "traitement" : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à

ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction des données;3° "limitation du traitement" : le marquage de données à caractère personnel conservées en vue de limiter leur traitement futur;4° "profilage" : toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;5° "pseudonymisation" : le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable;6° "fichier" : tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique;7° "autorités compétentes" :

1. a)les services de police au sens de l'article 2, 2°, de la loi du 7 décembre 1998Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer organisant un service de police intégré, structuré à deux niveaux;
2. b)les autorités judiciaires, entendues comme les cours et tribunaux du droit commun et le ministère public;
3. c)le Service d'enquêtes du Comité permanent de contrôle des services de police dans le cadre de ses missions judiciaires telles que prévues à l'article 16, alinéa 3, de la loi organique du 18 juillet 1991 du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace;
4. d)l'Inspection générale de la police fédérale et de la police locale, visée à l'article 2 de la loi du 15 mai 2007Documents pertinents retrouvés type loi prom. 15/05/2007 pub. 15/06/2007 numac 2007000560 source service public federal interieur Loi sur l'Inspection générale et portant des dispositions diverses relatives au statut de certains membres des services de police type loi prom. 15/05/2007 pub. 06/10/2008 numac 2008000813 source service public federal interieur Loi sur l'Inspection générale et portant des dispositions diverses relatives au statut de certains membres des services de police. - Traduction allemande fermer sur l'Inspection générale et portant des dispositions diverses relatives au statut de certains membres des services de police;
5. e)l'Administration générale des douanes et accises, dans le cadre de sa mission relative à la recherche, la constatation et la poursuite des infractions déterminée par la loi générale du 18 juillet 1977 sur les douanes et accises et par la loi du 22 avril 2003Documents pertinents retrouvés type loi prom. 22/04/2003 pub. 08/05/2003 numac 2003003277 source service public federal finances et service public federal justice Loi octroyant la qualité d'officier de police judiciaire à certains agents de l'Administration des douanes et accises type loi prom. 22/04/2003 pub. 12/07/2012 numac 2012203621 source service public federal interieur Loi octroyant la qualité d'officier de police judiciaire à certains agents de l'Administration des douanes et accises. - Traduction allemande fermer octroyant la qualité d'officier de police judiciaire à certains agents de l'Administration des douanes et accises;
6. f)l'Unité d'information des passagers, visée au chapitre 7 de la loi du 25 décembre 2016Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer2 relative au traitement des données des passagers;
7. g)la Cellule de traitement des informations financières visée à l'article 76 de la loi du 18 septembre 2017Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer3 relative à la prévention du blanchiment de capitaux et du financement du terrorisme et à la limitation de l'utilisation des espèces;
8. h)le Service d'enquêtes du Comité permanent de contrôle des services de renseignement dans le cadre de ses missions judiciaires telles que prévues à l'article 40, alinéa 3, de la loi organique du 18 juillet 1991 du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace;8° "responsable du traitement" : l'autorité compétente qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel.Lorsque les finalités et les moyens de ce traitement sont déterminés par la loi, le décret ou l'ordonnance, le responsable du traitement est l'entité désignée comme responsable du traitement par ou en vertu de cette loi, ce décret ou cette ordonnance; 9° "sous-traitant" : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite

pour le compte du responsable du traitement ou d'un autre sous-traitant;10° "destinataire" : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication

, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière conformément à la loi, au décret ou à l'ordonnance, ne sont pas considérées comme des destinataires; le traitement de ces données par ces autorités publiques est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement. 11° "brèche de sécurité" : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données;12° "données génétiques" : les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou la santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question;13° "données biométriques" : les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques;14° "données concernant la santé" : les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris les données à caractère personnel concernant la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne;15° "autorité de contrôle" : l'autorité publique indépendante chargée par la loi de surveiller l'application du présent titre;16° "organisation internationale" : une organisation internationale et les organismes de droit public international qui en relèvent, ou tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un tel accord;17° "accord international" : tout accord international bilatéral ou multilatéral en vigueur entre les Etats membres de l'Union européenne et des pays tiers dans les domaines de la coopération judiciaire et/ou de la coopération policière. Art. 27.Le présent titre s'applique aux traitements de données à caractère personnel effectués par les autorités compétentes aux fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. CHAPITRE II. - Principes de traitement Art. 28.Les données à caractère personnel sont : 1° traitées de manière licite et loyale;2° collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités;3° adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées;4° exactes et, si nécessaire, mises à jour;toutes les mesures raisonnables sont prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder; 5° conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées;6° traitées de façon à garantir la sécurité

, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées. Art. 29.§ 1er. Le traitement ultérieur, par le même ou par un autre responsable du traitement, pour l'une des finalités énoncées à l'article 27, autre que celles pour lesquelles les données ont été collectées, est autorisé aux conditions suivantes : 1° le responsable du traitement est autorisé à traiter ces données à caractère personnel pour une telle finalité conformément à la loi, au décret ou à l'ordonnance, au droit de l'Union européenne ou à l'accord international;et 2° le traitement est nécessaire et proportionné conformément, à la loi, au décret ou à l'ordonnance au droit de l'Union européenne ou à l'accord international. §

1. Les données à caractère personnel ne peuvent pas être traitées ultérieurement par le même ou un autre responsable du traitement à d'autres fins que celles pour lesquelles les données à caractère personnel ont été collectées, et non comprises dans les finalités énoncées à l'article 27, à moins que cette finalité ne soit permise conformément à la loi, au décret, à l'ordonnance, au droit de l'Union européenne ou à l'accord international. §
2. Lorsque la loi, le décret, l'ordonnance, le droit de l'Union européenne ou l'accord international, soumet le traitement à des conditions spécifiques, l'autorité compétente qui transmet les données informe le destinataire de ces données à caractère personnel de ces conditions et de l'obligation de les respecter. §
3. Les autorités compétentes qui transmettent les données aux destinataires dans les autres Etats membres de l'Union européenne ne peuvent faire appliquer des conditions spécifiques supplémentaires à celles applicables aux transferts de données nationaux. §
4. Le responsable du traitement est responsable du respect du présent article et est en mesure de le démontrer. Art. 30.Sauf dans les cas où la durée maximale de conservation des données est déterminée dans le droit de l'Union européenne ou l'accord international qui est à la base de la conservation concernée, la loi, le décret, ou l'ordonnance détermine la durée maximale de conservation. A l'échéance de cette durée, les données sont effacées. Par dérogation à l'alinéa 1er, la loi, le décret ou l'ordonnance peut prévoir qu'à l'échéance d'un premier délai de conservation, une analyse soit effectuée sur la base de différents critères de nécessité et de proportionnalité afin de déterminer si la conservation des données doit être maintenue et, le cas échéant, le nouveau délai de conservation. Dans ce cas, la loi, le décret ou l'ordonnance prévoit un délai maximum de conservation. Art. 31.Le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que : 1° les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale;2° les personnes reconnues coupables d'une infraction pénale;3° les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale;4° les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux 1° et 2°. Art. 32.§ 1er. Les données à caractère personnel fondées sur des faits sont dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles. §
5. Les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne soient pas transmises ou mises à disposition. A cette fin, chaque autorité compétente vérifie, dans la mesure du possible, la qualité

avant leur transmission ou mise à disposition. Dans la mesure du possible, lors de toute transmission de données à caractère personnel, sont ajoutées des informations nécessaires permettant à l'autorité compétente destinataire de juger de l'exactitude, de l'exhaustivité, et de la fiabilité

, et de leur niveau de mise à jour. § 3. S'il s'avère que

inexactes ont été transmises ou que

ont été transmises de manière illicite, le destinataire en est informé sans retard. Dans ce cas, les données à caractère personnel sont rectifiées ou effacées ou leur traitement est limité conformément à l'article

1. Art. 33.§ 1er. Le traitement est licite si : 1° il est nécessaire à l'exécution d'une mission effectuée par une autorité compétente pour les finalités énoncées à l'article 27;et 2° s'il est fondé sur une obligation légale ou réglementaire. §
2. L'obligation légale ou réglementaire régit au moins les catégories de données à caractère personnel devant faire l'objet d'un traitement et les finalités du traitement. Art. 34.§ 1er. Le traitement de données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, n'est autorisé qu'en cas de nécessité absolue et sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement dans l'un des cas suivants : 1° lorsque le traitement est autorisé par la loi, le décret, l'ordonnance, le droit de l'Union européenne ou l'accord international;2° lorsque le traitement est nécessaire à la défense des intérêts vitaux de la personne concernée ou d'une autre personne physique;3° lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée. §
3. Les garanties nécessaires visées au paragraphe 1er prévoient au moins que l'autorité compétente ou le responsable de traitement établisse une liste des catégories de personnes, ayant accès aux données à caractère personnel avec une description de leur fonction par rapport au traitement des données visées. Cette liste est tenue à la disposition de l'autorité de contrôle compétente. L'autorité compétente veille à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une disposition contractuelle équivalente, au respect du caractère confidentiel des données visées. Art. 35.Toute décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques défavorables pour la personne concernée ou l'affecte de manière significative, est autorisée si la loi, le décret, l'ordonnance, le droit de l'Union européenne ou l'accord international fournit des garanties appropriées pour les droits et libertés de la personne concernée, et au minimum le droit d'obtenir une intervention humaine de la part du responsable du traitement. Tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel visées à l'article 34 est interdit. CHAPITRE III. - Droits de la personne concernée Art. 36.§ 1er. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée à l'article 37 ainsi que pour procéder à toute communication au titre des articles 35, 38 à 41 et de l'article 62 d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples. Les informations sont fournies par tout moyen approprié, y compris par voie électronique. De manière générale, le responsable du traitement fournit les informations sous la même forme que la demande. §
4. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée par les articles 35 et 38 à
5. §
6. Le responsable du traitement, ou l'autorité de contrôle dans le cas visé à l'article 41, informe par écrit, dans les meilleurs délais, la personne concernée des suites données à sa demande. §
7. Toute personne a le droit d'obtenir sans frais les informations visées à l'article 37 ainsi que toute mesure au titre des articles 35, 38 à 41 et
8. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : 1° exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées;ou 2° refuser de donner suite à la demande. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. §
9. Lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée à l'article 38 ou 39, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée. Art. 37.§ 1er. Afin de permettre à la personne concernée d'exercer son droit à l'information, le responsable du traitement met à la disposition de la personne concernée les informations suivantes : 1° l'identité et les coordonnées du responsable du traitement;2° le cas échéant, les coordonnées du délégué à la protection des données;3° les finalités du traitement;4° le droit d'introduire une plainte auprès de l'autorité de contrôle et les coordonnées de ladite autorité;5° l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et la limitation du traitement

le concernant;6° la base juridique du traitement;7° la durée de conservation

ou, lorsque cela n'est pas possible, les critères utilisés pour déterminer cette durée;8° le cas échéant, les catégories de destinataires

;9° si besoin est, des informations complémentaires, en particulier lorsque les données à caractère personnel sont collectées à l'insu de la personne concernée. §

1. L'information visée au paragraphe 1er, peut être retardée, limitée ou exclue par la loi dès lors qu'une telle mesure constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour : 1° éviter de gêner des enquêtes, des recherches, des procédures pénales ou autres procédures réglementées;2° éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales;3° protéger la sécurité publique;4° protéger la sécurité nationale;5° protéger les droits et libertés d'autrui. §
2. Sauf dans les cas où le droit de l'Union européenne ou l'accord international le détermine, la loi, le décret ou l'ordonnance peut déterminer quelles catégories de traitements peuvent relever, dans leur intégralité ou en partie, d'un des points énumérés au paragraphe
3. §
4. Les droits visés au présent chapitre, pour ce qui concerne les traitements de données des cours et tribunaux de droit commun et du ministère public, sont exercés exclusivement dans les limites et conformément aux règles et modalités précisées dans le Code judiciaire, le Code d'instruction criminelle, les lois particulières relatives à la procédure pénale et leurs arrêtés d'exécution. Art. 38.§ 1er. Afin de permettre à la personne concernée d'exercer son droit à demander l'accès à ses données personnelles, le responsable du traitement met à la disposition de la personne concernée, les informations suivantes : 1° la confirmation que

la concernant sont ou ne sont pas traitées ainsi que l'accès à ces données;2° les finalités du traitement ainsi que sa base juridique;3° les catégories de données à caractère personnel concernées;4° les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées;5° la durée de conservation ou, lorsque cela n'est pas possible, les critères utilisés pour déterminer cette durée;6° l'existence du droit de demander au responsable du traitement, la rectification ou l'effacement

qui la concernent, ou la limitation du traitement

qui la concernent;7° le droit d'introduire une plainte auprès de l'autorité de contrôle et les coordonnées de cette autorité;8° les données à caractère personnel en cours de traitement, ainsi que toute information disponible quant à leur source. §

1. La loi, le décret ou l'ordonnance peut limiter entièrement ou partiellement le droit d'accès de la personne concernée, dès lors et aussi longtemps qu'une telle limitation partielle ou totale constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour : 1° éviter de gêner des enquêtes, des recherches, des procédures pénales ou autres procédures réglementées;2° éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales;3° protéger la sécurité publique;4° protéger la sécurité nationale;5° protéger les droits et libertés d'autrui. §
2. Dans les cas visés au paragraphe 2 le responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, de tout refus éventuel ou de toute limitation d'accès éventuelle, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au paragraphe
3. Le responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'autorité de contrôle compétente ou de former un recours juridictionnel. §
4. Le responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'autorité de contrôle compétente. Art. 39.§ 1er. La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification, et éventuellement la complétion,

la concernant qui sont inexactes. §

1. Le responsable du traitement efface dans les meilleurs délais les données à caractère personnel lorsque le traitement constitue une violation des dispositions adoptées en vertu des articles 28, 29, 33 ou 34 ou lorsque les données à caractère personnel doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement. §
2. Au lieu de procéder à l'effacement, le responsable du traitement peut limiter le traitement lorsque : 1° l'exactitude

est contestée par la personne concernée et qu'il ne peut être déterminé si les données sont exactes ou non;ou 2° les données à caractère personnel doivent être conservées à des fins probatoires. Lorsque le traitement est limité sur la base de l'alinéa 1er, 1°, le responsable du traitement informe la personne concernée avant de lever la limitation du traitement. § 4. Le responsable du traitement informe la personne concernée par écrit de tout refus éventuel de rectifier ou d'effacer

ou de limiter le traitement, ainsi que des motifs du refus. Cette information peut être limitée par la loi, le décret, ou l'ordonnance, dès lors qu'une telle limitation constitue une mesure nécessaire et proportionnée dans une société démocratique en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour : 1° éviter de gêner des enquêtes, des recherches, des procédures pénales ou autres procédures réglementées;2° éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales;3° protéger la sécurité publique;4° protéger la sécurité nationale;5° protéger les droits et libertés d'autrui. Le responsable du traitement informe la personne concernée des possibilités d'introduire une plainte auprès de l'autorité de contrôle compétente ou de former un recours juridictionnel. § 5. Le responsable du traitement communique la rectification

inexactes à l'autorité d'où proviennent les données à caractère personnel inexactes. § 6. En cas de rectification, effacement ou de limitation de traitement tel que visés aux paragraphes 1er à 3, le responsable du traitement adresse une notification aux destinataires afin que ceux-ci rectifient ou effacent les données à caractère personnel ou limitent le traitement

sous leur responsabilité. Art. 40.Le responsable du traitement qui reçoit une demande d'exercer un droit visé aux articles 36 à 39 délivre dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande un accusé de réception daté à l'auteur de la demande. Art. 41.Dans les cas visés aux articles 37, § 2, 38, § 2, 39, § 4, et 62, § 1er, la loi, le décret ou l'ordonnance, peut prévoir que les droits de la personne concernée sont exercés par l'intermédiaire de l'autorité de contrôle compétente, dans le respect des principes de nécessité et de proportionnalité dans une société démocratique. Sans préjudice de l'article 44, dans le cas visé à l'alinéa 1er, le responsable du traitement informe la personne concernée qu'elle exerce ses droits par l'intermédiaire de l'autorité de contrôle compétente. Dans le cas visé à l'alinéa 1er, la personne concernée introduit sa demande auprès de l'autorité de contrôle compétente. Art. 42.La demande d'exercer les droits visés au présent chapitre à l'égard des services de police au sens de l'article 2, 2°, de la loi du 7 décembre 1998Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer organisant la police intégrée, structurée à deux niveaux ou de l'Inspection générale de la police fédérale et de la police locale, est adressée à l'autorité de contrôle visée à l'article

1. Dans les cas visés aux articles 37, § 2, 38, § 2, 39, § 4, et 62, § 1er, l'autorité de contrôle visée à l'article 71 communique uniquement à la personne concernée qu'il a été procédé aux vérifications nécessaires. Nonobstant l'alinéa 2, l'autorité de contrôle visée à l'article 71 peut communiquer à la personne concernée certaines informations contextuelles. Le Roi détermine, après avis de l'autorité de contrôle visée à l'article 71, les catégories d'informations contextuelles qui peuvent être communiquées à la personne concernée, par cette autorité de contrôle. Art. 43.Pour ce qui concerne les traitements des services de douanes visés à l'article 26, 7°, e), et la Cellule de traitement des informations financières visée à l'article 26, 7°, g), les droits des personnes concernées visés au présent chapitre sont exercés par l'intermédiaire de l'autorité de contrôle compétente. L'autorité de contrôle compétente communique uniquement à la personne concernée qu'il a été procédé aux vérifications nécessaires. Par dérogation à l'alinéa 2, l'autorité de contrôle compétente peut communiquer à la personne concernée certaines informations contextuelles. Le Roi détermine après avis de l'autorité de contrôle compétente les catégories d'informations contextuelles qui peuvent être communiquées à la personne concernée, par l'intermédiaire de l'autorité de contrôle compétente. Art. 44.Lorsque les données à caractère personnel figurent dans une décision judiciaire ou un dossier judiciaire, ou faisant l'objet d'un traitement lors d'une enquête judiciaire et d'une procédure pénale, les droits visés aux articles 37, 38, § 1er, 39 et 41, alinéa 2, sont exercés conformément au Code judiciaire, au Code d'instruction criminelle, aux lois particulières relatives à la procédure pénale ainsi qu'à leurs arrêtés d'exécution. Art. 45.§ 1er. Les articles 36 à 44 et 62 ne s'appliquent pas aux traitements de données à caractère personnel émanant directement ou indirectement des autorités visées au titre 3 de la présente loi à l'égard des responsables du traitement et des autorités compétentes visées dans le présent titre auxquelles ces données ont été transmises. §
2. Le responsable du traitement ou l'autorité compétente visé au présent titre qui est en possession de telles données ne les communique pas à la personne concernée à moins que : 1° la loi l'y oblige dans le cadre d'une procédure contentieuse;ou que 2° l'autorité concernée visée au titre 3 l'y autorise. §
3. Le responsable du traitement ou l'autorité compétente ne fait aucune mention qu'il ou elle est en possession de données émanant des autorités visées au titre
4. §
5. Le responsable du traitement visé au présent titre qui traite les données émanant directement ou indirectement des autorités visées au titre 3 répond au minimum aux conditions suivantes : 1° il adopte des mesures techniques ou organisationnelles appropriées pour assurer que l'accès aux données et les possibilités de traitement soient limités à ce dont les personnes ont besoin pour l'exercice de leurs fonctions ou à ce qui est nécessaire pour les nécessités de l'autorité visée au titre 3;2° il adopte des mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification ou tout autre traitement non autorisé de ces données. Les membres du personnel du responsable du traitement qui traitent les données visées à l'alinéa 1er sont tenus au devoir de discrétion. §
6. Les limitations visées au paragraphe 1er porte également sur la journalisation des traitements d'une autorité visée dans le titre 3 dans les banques de données des responsables du traitement et des autorités compétentes visés par le présent titre, auxquelles l'autorité visée au titre 3 a directement accès. §
7. Lorsque l'autorité de contrôle compétente est saisie d'une requête ou d'une plainte où le responsable du traitement fait état de l'application du présent article, cette autorité de contrôle s'adresse au Comité permanent R pour qu'il fasse les vérifications nécessaires auprès de l'autorité visée au titre
8. Après réception de la réponse du Comité permanent R, l'autorité de contrôle compétente n'informe la personne concernée que des résultats de la vérification portant sur les données à caractère personnel n'émanant pas des autorités visées au titre 3 qu'elle est légalement tenue de communiquer. Si la requête ou la plainte ne porte que sur

émanant d'une autorité visée au titre 3, l'autorité de contrôle compétente répond, après réception de la réponse du Comité permanent R, que les vérifications nécessaires ont été effectuées. Art. 46.Un responsable du traitement ou une autorité compétente visés dans le présent titre qui communique

à une autorité visée aux sous-titres 2 et 4 du titre 3 de la présente loi, n'est pas soumis aux articles 37, § 1er, 8°, et 38, § 1er, 4°, et ne peut pas informer la personne concernée de cette transmission. Art. 47.Lorsqu'une autorité visée aux sous-titres 1er et 6 du titre 3 de la présente loi dispose d'un accès direct ou d'une interrogation directe à une banque de données du secteur public, le traitement de données à caractère personnel est protégé par des mesures de sécurité techniques, organisationnelles et personnelles de sorte que seuls les acteurs suivants puissent accéder au contenu de ces traitements dans le cadre des finalités visées à l'article 56, § 2 : 1° le délégué à la protection des données du responsable du traitement de la banque de donnée ou la personne qu'il délègue à cet effet;2° le délégué à la protection des données de l'autorité visée aux sous-titres 1 et 6 du titre 3;3° le responsable du traitement de la banque de données ou la personne qu'il délègue à cet effet;4° le responsable du traitement de l'autorité visée aux sous-titres 1 et 6 du titre 3;5° toute autre personne précisée dans un protocole entre les responsables du traitement, dont l'accès est nécessaire pour remplir les missions légales de contrôle. Les mesures de sécurité visées à l'alinéa 1er visent à respecter les obligations légales portant sur la protection des sources, la protection de l'identité des agents ou au secret des enquêtes des autorités visées au titre 3, sous-titres 1er et 6. Les traitements visés à l'alinéa 1er ne peuvent être accessibles pour d'autres finalités que celles liées au contrôle que si ces finalités sont consignées dans un protocole d'accord par les responsables du traitement concernés parmi des finalités déterminées par ou en vertu d'une loi. Le protocole d'accord visé à l'alinéa 3 désigne la ou les personnes dont l'accès aux journaux est nécessaire pour remplir chaque finalité autorisée à l'alinéa 3. Les journaux et les mesures de sécurité techniques, organisationnelles et personnelles y afférentes sont mis à la disposition du Comité permanent R. L'autorité visée aux sous-titres 1 et 6 du titre 3 concernée peut déroger à l'alinéa 1er lorsque l'accès à ses traitements dans une banque de données et à leur journalisation n'est pas susceptible de porter atteinte aux intérêts visés à l'alinéa 2. Art. 48.Un responsable du traitement visé au présent titre qui communique

à une banque de données conjointe ne peut informer la personne concernée de cette transmission. Par "banque de données conjointe", on entend l'exercice commun des missions effectuées dans le cadre des titres 2 et 3 par plusieurs autorités, structuré à l'aide de procédés automatisés et appliqués aux données à caractère personnel. Art. 49.Les articles 36 à 44 et 62 ne s'appliquent pas aux traitements de données à caractère personnel par l'Unité d'information des passagers. Le responsable du traitement ne communique pas les données visées à l'alinéa 1er à la personne concernée à moins que la loi l'y oblige dans le cadre d'une procédure contentieuse. Le responsable du traitement ne fait aucune mention à la personne concernée qu'il est en possession de données la concernant. Les limitations visées à l'alinéa 1er portent également sur la journalisation des traitements effectués par l'Unité d'information des passagers dans les banques de données des responsables du traitement visés par le présent titre. Lorsque l'autorité de contrôle compétente est saisie d'une requête ou d'une plainte où le responsable du traitement fait état de l'application du présent article, celle-ci répond uniquement que les vérifications nécessaires ont été effectuées. CHAPITRE IV. - Responsable du traitement et sous-traitant Section 1re. -Mesures organisationnelles et techniques Art. 50.Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en oeuvre des mesures techniques et organisationnelles appropriées. Lorsque cela est proportionné au regard des activités de traitement, ces mesures comprennent la mise en oeuvre de politiques appropriées en matière de protection des données par le responsable du traitement. Le responsable du traitement est en mesure de démontrer que le traitement est effectué conformément à la loi. Ces mesures sont réexaminées et actualisées si nécessaire. Art. 51.§ 1er. Compte tenu de l'état des connaissances, des coûts de la mise en oeuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, les mesures techniques et organisationnelles visées à l'article 50, sont destinées à mettre en oeuvre les principes relatifs à la protection des données de façon effective et à assortir le traitement des garanties nécessaires afin de protéger les droits de la personne concernée, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même. §

1. Les mesures techniques et organisationnelles appropriées visées à l'article 50 garantissent que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans une intervention humaine. Section
2. - Responsables conjoints du traitement Art. 52.Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Un accord définit de manière transparente les obligations respectives des responsables conjoints de traitement, notamment en ce qui concerne l'exercice des droits de la personne concernée, et la communication des informations visées aux articles 37 et 38, sauf si, leurs obligations respectives sont définies par la loi, le décret, l'ordonnance, le droit de l'Union européenne ou l'accord international. Un seul point de contact pour les personnes concernées peut être désigné dans l'accord. Section
3. - Sous-traitant Art. 53.§ 1er. Lorsque le traitement est confié à un sous-traitant, le responsable du traitement choisit un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements. §
4. Le sous-traitant recrute un autre sous-traitant avec l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements. §
5. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique qui lie le sous-traitant à l'égard du responsable du traitement, et définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant : 1° n'agit que sur instruction du responsable du traitement;2° veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité;3° aide le responsable du traitement, par tout moyen approprié, à veiller au respect des dispositions relatives aux droits de la personne concernée;4° supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation des services de traitement des données, et détruit les copies existantes, à moins que la loi, le décret, l'ordonnance, le droit de l'Union européenne ou l'accord international n'exige la conservation

;5° met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect du présent article;6° respecte les conditions visées aux paragraphes 2 et 3 pour recruter un autre sous-traitant. §

1. Le contrat ou l'autre acte juridique visé au paragraphe 3 revêt la forme écrite, y compris la forme électronique. §
2. Si, en violation du présent titre, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme le responsable du traitement pour ce qui concerne ce traitement. Art. 54.Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à

, ne peut traiter ces données, que sur instruction du responsable du traitement, ou en vertu de la loi, du décret, de l'ordonnance, du droit de l'Union européenne ou de l'accord international. Section

1. - Obligations Art. 55.§ 1er. Chaque responsable du traitement et sous-traitant tient un registre des catégories d'activités de traitement effectuées sous sa responsabilité. Ce registre contient les éléments suivants : 1° le nom et les coordonnées du responsable du traitement ou sous-traitant, de son délégué ou représentant 2° le nom et les coordonnées du délégué à la protection des données;3° les finalités du traitement;4° les catégories de personnes concernées;5° les catégories de données à caractère personnel;6° les catégories de destinataires;7° les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, le cas échéant, les documents attestant de l'existence de garanties appropriées;8° les délais prévus pour l'effacement des différentes catégories de données;9° une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 50;10° le recours au profilage;11° la base juridique;12° la catégorie de sources externes;13° le protocole visé à l'article 20 ainsi que l'avis du délégué à la protection des données et la motivation visé § 2.Le délégué à la protection des données est associé à l'élaboration et au maintien du registre. §
2. Le registre est mis à la disposition de l'autorité de contrôle compétente. Art. 56.§ 1er. Les fichiers de journalisation sont établis dans des systèmes de traitement automatisé au moins pour les traitements suivants : la collecte, la modification, la consultation, la communication, y compris les transferts, l'interconnexion et l'effacement. Les fichiers de journalisation de consultation et de communication permettent d'établir : 1° le motif, la date et l'heure de ces traitements;2° les catégories de personnes qui ont consulté les données à caractère personnel, et si possible, l'identification de la personne qui a consulté ces données;3° les systèmes qui ont communiqué ces données;4° et les catégories de destinataires

, et si possible, l'identité des destinataires de ces données. Le Roi peut déterminer, par arrêté délibéré en Conseil des ministres après avis de l'autorité de contrôle compétente, d'autres types de traitements pour lesquels les fichiers de journalisation sont établis. § 2. Les fichiers de journalisation sont utilisés uniquement à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité

et à des fins visées à l'article

1. §
2. Le responsable du traitement et le sous-traitant mettent les journaux à la disposition de l'autorité de contrôle compétente, sur demande. Art. 57.Le responsable du traitement et le sous-traitant coopèrent avec l'autorité de contrôle compétente, à la demande de celle-ci, dans l'exécution de ses missions. Art. 58.Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement effectue préalablement au traitement une analyse d'impact des opérations de traitement envisagées sur la protection

. L'analyse visée à l'alinéa 1er contient au moins une description générale des traitements envisagés, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection

et à apporter la preuve du respect du présent titre, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes intéressées. Art. 59.§ 1er. Le responsable du traitement ou son sous-traitant consulte l'autorité de contrôle compétente du responsable du traitement préalablement au traitement

qui fera partie d'un nouveau fichier à créer : 1° lorsqu'une analyse d'impact relative à la protection des données, telle qu'elle est prévue à l'article 58, indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque;ou 2° lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées. L'autorité de contrôle compétente est consultée dans le cadre de l'élaboration d'une loi, d'un décret ou d'une ordonnance, ou d'une mesure réglementaire fondée sur une telle loi, un tel décret ou une telle ordonnance, qui se rapporte au traitement. §

1. L'autorité de contrôle compétente peut établir une liste des opérations de traitement devant faire l'objet d'une consultation préalable conformément au paragraphe 1er. §
2. Le responsable du traitement fournit à l'autorité de contrôle compétente l'analyse d'impact relative à la protection des données en vertu de l'article 58 et, sur demande, toute autre information afin de permettre à l'autorité de contrôle compétente d'apprécier la conformité du traitement et, en particulier, les risques pour la protection

de la personne concernée et les garanties qui s'y rapportent. § 4. Lorsque l'autorité de contrôle compétente est d'avis que le traitement prévu, visé au paragraphe 1er, constituerait une violation des dispositions adoptées en vertu du présent titre, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle compétente fournit par écrit, dans un délai maximum de six semaines à compter de la réception de la demande de consultation, un avis écrit non contraignant au responsable du traitement, et le cas échéant au sous-traitant, et elle peut faire usage des pouvoirs qui lui sont conférés par la loi. Ce délai peut être prolongé d'un mois, en fonction de la complexité du traitement prévu. L'autorité de contrôle compétente informe le responsable du traitement et, le cas échéant, le sous-traitant de toute prolongation dans un délai d'un mois à compter de la réception de la demande de consultation, ainsi que des motifs du retard. Art. 60.§ 1er. Le responsable du traitement et le sous-traitant mettent en oeuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur

, visées à l'article 34 de la présente loi, et compte tenu de l'état des connaissances, des coûts de la mise en oeuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, afin de garantir un niveau de sécurité adapté au risque. § 2. En ce qui concerne le traitement automatisé, le responsable du traitement ou le sous-traitant met en oeuvre, à la suite d'une évaluation des risques, des mesures destinées à : 1° empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement;2° empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée;3° empêcher l'introduction non autorisée de données à caractère personnel dans le fichier, ainsi que la consultation, la modification ou l'effacement non autorisé de données à caractère personnel enregistrées;4° empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données;5° garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu'aux données à caractère personnel sur lesquelles porte leur autorisation;6° garantir qu'il puisse être vérifié et constaté à quelles instances

ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données;7° garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites;8° empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée;9° garantir que les systèmes installés puissent être rétablis en cas d'interruption;10° garantir que les fonctions du système opèrent, que les erreurs de fonctionnement éventuelles soient signalées et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système. Art. 61.§ 1er. Le responsable du traitement notifie la brèche de sécurité, à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard dans un délai de 72 heures après en avoir pris connaissance. Cette obligation de notification n'est pas applicable lorsqu'il est raisonnable de croire que la brèche de sécurité en question n'engendre pas de risque pour les droits et les libertés d'une personne physique. Lorsque la notification à l'autorité de contrôle compétente n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. §

1. Le sous-traitant notifie au responsable du traitement toute brèche de sécurité dans les meilleurs délais et au plus tard dans les 72 heures après en avoir pris connaissance. §
2. La notification visée au paragraphe 1er contient notamment : 1° la description de la nature de la brèche de sécurité y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés;2° le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;3° la description des conséquences probables de la brèche de sécurité;4° la description des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la brèche de sécurité, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. §
3. Si et dans la mesure où il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu. §
4. Lorsque la brèche de sécurité porte sur

qui ont été transmises par le responsable du traitement d'un autre Etat membre de l'Union européenne ou à celui-ci, les informations visées au paragraphe 3 sont communiquées au responsable du traitement de cet Etat membre dans les meilleurs délais. §

1. Le responsable du traitement documente toute brèche de sécurité visée au paragraphe 1er, en indiquant les faits, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle compétente de vérifier le respect du présent article. Art. 62.§ 1er. Lorsqu'une brèche de sécurité est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la brèche de sécurité à caractère personnel à la personne concernée dans les meilleurs délais. §
2. La communication à la personne concernée visée au paragraphe 1er décrit, la nature de la brèche de sécurité et contient au moins les informations et mesures visées à l'article 61, § 3, 2° à 4°. §
3. La communication à la personne concernée visée au paragraphe 1er n'est pas nécessaire si l'une des conditions suivantes est remplie : 1° le responsable du traitement a mis en oeuvre les mesures de protection techniques et organisationnelles appropriées et ces dernières ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement;2° le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1er n'est plus susceptible de se matérialiser;3° elle exigerait des efforts disproportionnés. Dans le cas visé à l'alinéa 1er, 3°, il est procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace. §
4. Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la brèche de sécurité la concernant, l'autorité de contrôle compétente peut, après avoir examiné si cette brèche de sécurité est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie. §
5. La communication à la personne concernée visée au paragraphe 1er peut être retardée, limitée ou omise, sous réserve des conditions et pour les motifs visés à l'article 37, §
6. Section
7. - Délégué à la protection des données Art. 63.Le responsable du traitement désigne un ou plusieurs délégués à la protection des données. Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à exercer les missions visées à l'article
8. Un seul délégué à la protection des données peut être désigné pour plusieurs autorités compétentes ou responsables du traitement, compte tenu de leur structure organisationnelle et de leur taille. Le responsable du traitement publie les coordonnées du délégué à la protection des données et les communique à l'autorité de contrôle compétente. Les modalités de fonctionnement, de désignation ainsi que les compétences requises sont définies par le Roi. Art. 64.Le responsable du traitement veille à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection

. Le responsable du traitement fournit au délégué à la protection des données les ressources nécessaires pour exercer ses missions ainsi que l'accès aux données à caractère personnel et aux traitements, et lui permet d'entretenir ses connaissances spécialisées. Le responsable du traitement veille à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement. Sauf application des articles 41 et 44, les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits qui leur sont conférés. Le délégué à la protection des données est soumis au secret ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement veille à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts. Art. 65.Les missions du délégué à la protection des données sont notamment les suivantes : 1° informer et conseiller le responsable du traitement et les employés qui procèdent au traitement sur les obligations qui leur incombent en matière de protection

;2° contrôler le respect de la réglementation et des règles internes du responsable du traitement en matière de protection

, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant à des opérations de traitement, et les audits s'y rapportant;3° dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 58;4° coopérer avec l'autorité de contrôle compétente;5° faire office de point de contact pour l'autorité de contrôle compétente sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 59, et mener des consultations, le cas échéant, sur tout autre sujet. CHAPITRE V. - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales Art. 66.§ 1er. Sans préjudice des dispositions du présent titre, un transfert, par des autorités compétentes, de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale, y compris des transferts ultérieurs vers un autre pays non membre à l'Union européenne ou à une autre organisation internationale, n'a lieu, que lorsque les conditions ci-après sont respectées : 1° le transfert est nécessaire aux fins énoncées à l'article 27;2° les données à caractère personnel sont transférées à un responsable du traitement dans un pays non membre de l'Union européenne ou à une organisation internationale qui est une autorité compétente aux fins visées à l'article 27;3° en cas de transfert ou de mise à disposition de données à caractère personnel provenant d'un autre Etat membre de l'Union européenne, celui-ci a préalablement autorisé ce transfert conformément à son droit national;4° la Commission européenne a adopté une décision d'adéquation visée à l'article 67, ou, en l'absence d'une telle décision, des garanties appropriées ont été prévues ou existent en application de l'article 68 ou, des dérogations pour des situations particulières s'appliquent en vertu de l'article 69;5° en cas de transfert ultérieur vers un autre pays non membre de l'Union européenne ou à une autre organisation internationale, le responsable du traitement qui a reçu les données autorise le transfert ultérieur, après avoir dûment pris en considération l'ensemble des facteurs pertinents, y compris la gravité de l'infraction pénale, la finalité pour laquelle les données à caractère personnel ont été transférées initialement et le niveau de protection

dans le pays tiers ou au sein de l'organisation internationale vers lequel ou laquelle les données à caractère personnel sont transférées ultérieurement. § 2. Les transferts effectués sans l'autorisation préalable d'un autre Etat membre de l'Union européenne prévue au paragraphe 1er, 3°, sont autorisés uniquement lorsque le transfert de données à caractère personnel est nécessaire aux fins de la prévention d'une menace grave et immédiate pour la sécurité publique d'un Etat membre ou d'un pays tiers ou pour les intérêts essentiels d'un Etat membre de l'Union européenne et si l'autorisation préalable ne peut pas être obtenue en temps utile. L'autorité à laquelle il revient d'accorder l'autorisation préalable est informée sans retard. Art. 67.Un transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale peut avoir lieu lorsque la Commission européenne a constaté par voie de décision d'adéquation que le pays, un territoire ou un ou plusieurs secteurs déterminés dans ce pays, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique. Art. 68.§ 1er. En l'absence de décision d'adéquation, visée à l'article 67, ou lorsque celle-ci est abrogée, modifiée ou suspendue, un transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale peut avoir lieu lorsque : 1° des garanties appropriées en ce qui concerne la protection

sont fournies dans un instrument juridiquement contraignant;ou 2° le responsable du traitement a évalué toutes les circonstances du transfert de données à caractère personnel et estime qu'il existe des garanties appropriées au regard de la protection

. §

1. Le responsable du traitement informe l'autorité de contrôle compétente des catégories de transferts relevant du paragraphe 1er, 2°. §
2. Le transfert effectué en vertu du paragraphe 1er, 2°, est documenté et, comporte : 1° la date et l'heure du transfert;2° des informations sur l'autorité compétente destinataire;3° la justification du transfert et les données à caractère personnel transférées. La documentation est mise à la disposition de l'autorité de contrôle compétente sur demande. Art. 69.§ 1er. En l'absence de décision d'adéquation visée à l'article 67 ou de garanties appropriées visées à l'article 68, un transfert ou une catégorie de transferts de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale ne peut avoir lieu qu'à condition que le transfert soit nécessaire : 1° à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne;2° à la sauvegarde des intérêts légitimes de la personne concernée lorsque la loi le prévoit;3° pour prévenir une menace grave et immédiate pour la sécurité publique;4° dans des cas particuliers, aux fins énoncées à l'article 27;5° dans des cas particuliers, à la constatation, à l'exercice ou à la défense de droits en justice en rapport avec les fins énoncées à l'article
3. §
4. Les données à caractère personnel ne sont pas transférées si l'autorité compétente qui transfère les données estime que les libertés et droits fondamentaux de la personne concernée l'emportent sur l'intérêt public dans le cadre du transfert visé au paragraphe 1er, 4° et 5°. §
5. Le transfert visé au paragraphe 1er, 2°, est documenté et comprend : 1° la date et l'heure du transfert;2° les informations sur l'autorité compétente destinataire;3° la justification du transfert et les données à caractère personnel transférées. La documentation est mise à la disposition de l'autorité de contrôle compétente, sur demande. Art. 70.§ 1er. Par dérogation à l'article 66, § 1er, 2°, et sans préjudice de tout accord international et des dispositions du présent titre, les autorités compétentes peuvent, dans certains cas particuliers, transférer

directement aux destinataires qui ne sont pas des autorités compétentes pour les finalités visées à l'article 27, établis dans des pays non membre de l'Union européenne, uniquement lorsque toutes les conditions ci-après sont remplies : 1° le transfert est strictement nécessaire à l'exécution de la mission de l'autorité compétente qui transfère les données;2° l'autorité compétente qui transfère les données établit qu'il n'existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l'intérêt public nécessitant le transfert dans le cas en question;3° l'autorité compétente qui transfère les données estime que le transfert à une autorité compétente, dans le pays concerné est inefficace ou inapproprié, notamment parce que le transfert ne peut pas être effectué en temps opportun;4° l'autorité compétente dans le pays concerné est informée dans les meilleurs délais, à moins que cela ne soit inefficace ou inapproprié;5° l'autorité compétente qui transfère les données informe le destinataire de la finalité ou des finalités déterminées pour lesquelles les données à caractère personnel ne doivent faire l'objet d'un traitement que par cette dernière, à condition qu'un tel traitement soit nécessaire. §

1. L'autorité compétente qui transfère les données informe l'autorité de contrôle des transferts relevant du présent article. §
2. Lorsqu'un transfert est effectué sur la base du paragraphe 1er, ce transfert est documenté. CHAPITRE VI. - Autorités de contrôle indépendantes Art. 71.§ 1er. Il est créé auprès de la Chambre des représentants une autorité de contrôle indépendante de l'information policière, dénommé Organe de contrôle de l'information policière. Elle succède à l'Organe de contrôle de l'information policière institué par l'article 36ter, § 1er, alinéa 1er, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. Elle est, vis-à-vis des autorités compétentes visées à l'article 26, § 1er, 7°, a), d) et f), chargée de : 1° surveiller l'application du présent titre, comme prévu à l'article 26, 15° ;2° contrôler le traitement des informations et

visées aux articles 44/1 à 44/11/13 de la loi du 5 août 1992Documents pertinents retrouvés type loi prom. 05/08/1992 pub. 21/10/1999 numac 1999015203 source ministere des affaires etrangeres, du commerce exterieur et de la cooperation internationale Loi portant approbation du Protocole modifiant l'article 81 du Traité instituant l'Union économique Benelux du 3 février 1958, fait à Bruxelles le 16 février 1990 fermer sur la fonction de police y compris celles incluses dans les banques de données visées à l'article 44/2 de la même loi;3° toute autre mission organisée par ou en vertu d'autres lois. §

1. Le siège de l'Organe de contrôle de l'information policière est établi dans l'arrondissement administratif de Bruxelles-Capitale. Dans l'exercice de ses missions et des pouvoirs dont elle est investie conformément à la présente loi et d'autres lois, l'Organe de contrôle de l'information policière agit en toute indépendance. TITRE
2. - De la protection des personnes physiques à l'égard du traitement

par d'autres autorités que celles visées aux titres 1er et 2 SOUS-TITRE 1er. -De la protection des personnes physiques à l'égard du traitement

par les services de renseignements et de sécurité CHAPITRE Ier. -Définitions Art. 72.§ 1er. Les définitions visées à l'article 26, 1° à 6°, 9°, 11° à 14°, 16° et 17°, s'appliquent au présent sous-titre. §

1. Pour l'application du présent sous-titre, on entend par : 1° "les services de renseignement et de sécurité" : la Sûreté de l'Etat et le Service Général du Renseignement et de la Sécurité visés à la loi du 30 novembre 1998Documents pertinents retrouvés type loi prom. 30/11/1998 pub. 18/12/1998 numac 1998007272 source ministere de la defense nationale Loi organique des services de renseignement et de sécurité fermer organique des services de renseignement et de sécurité;2° "le responsable du traitement" : une personne physique ou morale, une autorité publique, un service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement;3° "la loi du 30 novembre 1998Documents pertinents retrouvés type loi prom. 30/11/1998 pub. 18/12/1998 numac 1998007272 source ministere de la defense nationale Loi organique des services de renseignement et de sécurité fermer" : la loi du 30 novembre 1998Documents pertinents retrouvés type loi prom. 30/11/1998 pub. 18/12/1998 numac 1998007272 source ministere de la defense nationale Loi organique des services de renseignement et de sécurité fermer organique des services de renseignement et de sécurité;4° "la loi du 18 juillet 1991Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer5" : la loi du 18 juillet 1991Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer5 organique du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace;5° "la loi du 11 décembre 1998Documents pertinents retrouvés type loi prom. 11/12/1998 pub. 28/12/2023 numac 2023047806 source service public federal interieur Loi relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé. - Coordination officieuse en langue allemande type loi prom. 11/12/1998 pub. 07/05/1999 numac 1999007004 source ministere de la defense nationale Loi relative à la classification et aux habilitations de sécurité type loi prom. 11/12/1998 pub. 03/02/1999 numac 1999009051 source ministere de la justice Loi transposant la directive 95/46/CE du 24 octobre 1995 du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données type loi prom. 11/12/1998 pub. 07/05/1999 numac 1999007003 source ministere de la defense nationale Loi portant création d'un organe de recours en matière d'habilitations de sécurité fermer" : la loi du 11 décembre 1998Documents pertinents retrouvés type loi prom. 11/12/1998 pub. 28/12/2023 numac 2023047806 source service public federal interieur Loi relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé. - Coordination officieuse en langue allemande type loi prom. 11/12/1998 pub. 07/05/1999 numac 1999007004 source ministere de la defense nationale Loi relative à la classification et aux habilitations de sécurité type loi prom. 11/12/1998 pub. 03/02/1999 numac 1999009051 source ministere de la justice Loi transposant la directive 95/46/CE du 24 octobre 1995 du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données type loi prom. 11/12/1998 pub. 07/05/1999 numac 1999007003 source ministere de la defense nationale Loi portant création d'un organe de recours en matière d'habilitations de sécurité fermer relative à la classification et aux habilitations, attestations et avis de sécurité;6° "autorité de contrôle" : une autorité publique indépendante chargée par la loi de surveiller l'application de la présente loi;7° "le Comité permanent R" : le Comité permanent de contrôle des services de renseignement visé à la loi du 18 juillet 1991Documents pertinents retrouvés type loi prom. 07/12/1998 pub. 05/01/1999 numac 1998021488 source services du premier ministre Loi organisant un service de police intégré, structuré à deux niveaux fermer5 chargé du contrôle de l'application du présent sous-titre en application de l'article
2. CHAPITRE II. - Champ d'application Art. 73.Le présent sous-titre s'applique à tout traitement de données à caractère personnel par les services de renseignement et de sécurité et leurs sous-traitants effectués dans le cadre des missions desdits services visés aux articles 7 et 11 de la loi du 30 novembre 1998Documents pertinents retrouvés type loi prom. 30/11/1998 pub. 18/12/1998 numac 1998007272 source ministere de la defense nationale Loi organique des services de renseignement et de sécurité fermer ainsi que par ou en vertu de lois particulières. Les titres 1er, 2, 4, 5 et 7 de la présente loi ne s'appliquent pas aux traitements visés à l'alinéa 1er. Dans le titre 6, seuls les articles 226, 227 et 230 s'appliquent. CHAPITRE III. - Conditions générales du traitement Art. 74.Le traitement de données à caractère personnel ne peut être effectué que dans l'un des cas suivants : 1° lorsque la personne concernée a indubitablement donné son consentement;2° lorsque le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de la personne concernée;3° lorsque le traitement est utile au respect d'une obligation à laquelle le service de renseignement et de sécurité concerné est soumis par ou en vertu d'une loi;4° lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, dont est investi le responsable du traitement ou une autorité publique à laquelle les données à caractère personnel sont communiquées. Art. 75.Les données à caractère personnel sont : 1° traitées loyalement et licitement;2° collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, compte tenu de tous les facteurs pertinents, notamment des dispositions légales et réglementaires applicables.Un traitement ultérieur à des fins historiques, scientifiques ou statistiques n'est pas réputé incompatible lorsqu'il est effectué conformément aux conditions fixées par les articles 99 à 104; 3° adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues ou pour lesquelles elles sont traitées ultérieurement;4° exactes et, si nécessaire, mises à jour.Toutes les mesures raisonnables sont prises pour que les données à caractère personnel inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont obtenues ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées. CHAPITRE IV. - Nature

Art. 76

.Dans l'intérêt de l'exercice de leurs missions, les services de renseignement et de sécurité traitent

de toute nature, en ce comprises celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que les données génétiques et biométriques, les données concernant la santé, celles qui portent sur la vie sexuelle ou l'orientation sexuelle et celles relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes. CHAPITRE V. - Conservation

Art. 77

.Les données à caractère personnel sont conservées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées et selon les modalités déterminées dans le cadre de l'article 21 de la loi du 30 novembre 1998Documents pertinents retrouvés type loi prom. 30/11/1998 pub. 18/12/1998 numac 1998007272 source ministere de la defense nationale Loi organique des services de renseignement et de sécurité fermer. CHAPITRE VI. - Droits de la personne concernée Art. 78.Lors du traitement de données à caractère personnel la concernant, toute personne physique a droit à la protection de ses libertés et droits fondamentaux, notamment à la protection de ses données à caractère personnel. Art. 79.La personne concernée a le droit de demander : 1° la rectification ou la suppression de ses données à caractère personnel inexactes;2° la vérification auprès du Comité permanent R du respect des dispositions du présent sous-titre. Art. 80.Les droits visés à l'article 79 s'exercent, sans frais, par l'intermédiaire du Comité permanent R, à l'initiative de la personne concernée justifiant de son identité. Le Comité permanent R effectue les vérifications et communique uniquement à l'intéressé qu'il a été procédé aux vérifications nécessaires. Les modalités d'exercice de ces droits sont déterminées par la loi. Art. 81.Le Comité permanent R et les services de renseignement et de sécurité tiennent un journal des demandes d'exercice des droits par les personnes concernées. Art. 82.Une décision produisant des effets juridiques à l'égard d'une personne ne peut pas être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité. L'interdiction prévue à l'alinéa 1er ne s'applique pas lorsque la décision est fondée sur une disposition prévue par ou en vertu d'une loi ou lorsqu'elle est nécessaire pour la sauvegarde d'un intérêt public important. CHAPITRE VII. - Obligations du responsable du traitement et du sous-traitant Section 1re. -Obligations générales Art. 83.Le responsable du traitement : 1° fait toute diligence pour tenir les données à caractère personnel à jour, pour rectifier ou supprimer les données inexactes, incomplètes, ou non pertinentes, ainsi que celles obtenues ou traitées en méconnaissance du présent sous-titre;2° veille à ce que, pour les personnes agissant sous son autorité, l'accès aux données à caractère personnel et les possibilités de traitement soient limités à ce qui est utile à l'exercice de leurs fonctions ou aux besoins du service;3° informe les personnes agissant sous son autorité des dispositions du présent sous-titre et de toute prescription pertinente, relative à la protection de la vie privée à l'égard des traitements

. Art. 84.Lorsque le traitement est confié à un sous-traitant, le responsable du traitement doit : 1° choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements;2° veiller au respect de ces mesures notamment par la stipulation de mentions contractuelles;3° fixer dans le contrat la responsabilité du sous-traitant;4° convenir avec le sous-traitant que celui-ci n'agit que sur la seule instruction du responsable du traitement et qu'il est tenu par les mêmes obligations que celles auxquelles le responsable du traitement est tenu en application du présent sous-titre;5° consigner par écrit ou sur un support électronique les éléments du contrat relatifs à la protection

et les exigences relatives aux mesures visées aux 3° et 4°. Art. 85.Le sous-traitant est soumis aux mêmes obligations que celles qui incombent au responsable du traitement. Le sous-traitant ne peut pas confier le traitement de données à caractère personnel à un autre sous-traitant, sauf autorisation expresse du responsable du traitement. Art. 86.Toute personne agissant sous l'autorité du responsable du traitement ou de celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à

, ne peut les traiter que sur instruction du responsable du traitement, sauf sur la base d'une obligation imposée par ou en vertu d'une loi. Section 2. - Responsables conjoints du traitement Art. 87.Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Un accord définit les obligations respectives des responsables conjoints de traitement, notamment en ce qui concerne l'exercice des droits de la personne concernée et la communication

, sauf si leurs obligations respectives sont définies par ou en vertu d'une loi. Un seul point de contact pour les personnes concernées est désigné dans l'accord. Les responsables conjoints du traitement incluent ce point de contact dans le registre visé à l'article 90. Section 3. - Sécurité

Art. 88

.Le responsable du traitement ainsi que le sous-traitant prennent les mesures techniques et organisationnelles appropriées requises pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification, l'accès et tout autre traitement non autorisé de données à caractère personnel. Ces mesures assurent un niveau de protection adéquat, compte tenu, d'une part, de l'état de la technique en la matière et des frais qu'entraîne l'application de ces mesures et, d'autre part, de la nature

à protéger et des risques potentiels. Art. 89.§ 1er. En cas de brèche de sécurité susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement concerné la notifie au Comité permanent R dans les meilleurs délais et si possible, 72 heures après en avoir pris connaissance. §

1. Le sous-traitant notifie au responsable du traitement toute brèche de sécurité dans les meilleurs délais. §
2. La notification visée aux paragraphes 1er et 2 décrit ou communique, à tout le moins : 1° la nature de la brèche de sécurité y compris, si possible, le nombre estimé de personnes et d'enregistrements de données à caractère personnel concernés;2° le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;3° les conséquences probables de la brèche de sécurité;4° les mesures que le responsable du traitement ou le sous-traitant a prises ou propose de prendre pour remédier à la brèche de sécurité, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. Section 4 - Registres Art. 90.§ 1er. Le responsable du traitement tient un registre, classifié au sens de la loi du 11 décembre 1998Documents pertinents retrouvés type loi prom. 11/12/1998 pub. 28/12/2023 numac 2023047806 source service public federal interieur Loi relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé. - Coordination officieuse en langue allemande type loi prom. 11/12/1998 pub. 07/05/1999 numac 1999007004 source ministere de la defense nationale Loi relative à la classification et aux ha