5 SEPTEMBRE 2018. - Loi instituant le comité de sécurité de l'information et modifiant diverses lois concernant la mise en oeuvre du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE

Article 60. Dans le chapitre 5/1 du même code, inséré par l'article 59, il est inséré une section 1re, intitulée: "Le droit d'information lors de la collecte de données à caractère personnel et de communication des données à caractère personnel."

Article 61. Dans la section 1re du chapitre 5/1 du même code, insérée par l'article 60, il est inséré un article 100/14, rédigé comme suit:

"Art. 100/14. § 1er. Par dérogation aux articles 13 et 14, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), en vue de garantir les objectifs d'intérêt public de la sécurité sociale, et pour autant que l'article 14, § 5, d), ne puisse être invoqué dans le cas d'espèce, le droit d'information peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont, soit les services d'inspection sociale visés au Code pénal social et à l'arrêté royal du 1er juillet 2011 portant exécution des articles 16, 13°, 17, 20, 63, 70 et 88 du Code pénal social et fixant la date d'entrée en vigueur de la loi du 2 juin 2010 comportant des dispositions de droit pénal social, soit la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, soit le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, soit le service d'inspection pour la contrôle des caisses d'assurances sociales pour indépendants, soit le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité, soit le Service d'Information et de Recherche sociale sont le responsable du traitement.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services visés à l'alinéa 1er, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Ces dérogations valent durant la période dans laquelle la personne concernée est l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services d'inspection précités dans le cadre de l'exécution de leurs missions légales ainsi que durant la période durant laquelle la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité ou le Service d'Information et de Recherche sociale traite les pièces provenant des services d'inspection sociale, en vue d'exercer les poursuites en la matière.

Ces dérogations valent dans la mesure où l' application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires, risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au § 2, alinéa 2, pendant laquelle les articles 13 et 14 du règlement général sur la protection des données ne sont pas applicables, ne peut excéder un an à partir de la réception d'une demande concernant la communication d'informations à fournir en application de ces articles 13 et 14.

La restriction visée au § 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation d'information.

§ 3. Dès réception d'une demande concernant la communication d'informations à fournir visée au § 2, alinéa 3, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation d'information, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au § 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un des services d'inspection précité a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service des amendes administratives compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à l'administration dont dépend le service d'inspection ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits de la personne concernée ne sont rétablis qu'après que l'administration ou l'institution compétente ait statué sur le résultat de l'enquête."

Article 62. Dans le chapitre 5/1 du même code, inséré par l'article 59, il est inséré une section 2, intitulée: "Le droit d'accès aux données à caractère personnel".

Article 63. Dans la section 2 du chapitre 5/1 du même code, insérée par l'article 62, il est inséré un article 100/15, rédigé comme suit:

"Art. 100/15. § 1er. Par dérogation à l'article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), en vue de garantir les objectifs d'intérêt public de la sécurité sociale, le droit d'accès aux données à caractère personnel la concernant peut être retardé, limité entièrement ou partiellement s'agissant des traitements de données à caractère personnel dont soit les services d'inspection sociale visés au Code pénal social et à l'arrêté royal du 1er juillet 2011 portant exécution des articles 16, 13°, 17, 20, 63, 70 et 88 du Code pénal social et fixant la date d'entrée en vigueur de la loi du 2 juin 2010 comportant des dispositions de droit pénal social, soit la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, soit le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, soit le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, soit le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité, soit le Service d'Information et de Recherche sociale sont le responsable du traitement.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services visés à l'alinéa 1er, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Ces dérogations valent durant la période dans laquelle la personne concernée est l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services d'inspection précités dans le cadre de l'exécution de ses missions légales ainsi que durant la période durant laquelle la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité et le Service d'Information et de Recherche sociale traite les pièces provenant des services d'inspection sociale en vue d'exercer les poursuites en la matière.

Ces dérogations valent dans la mesure où l'application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires, risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au § 2, alinéa 2, pendant laquelle l' article 15 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception de la demande introduite en application de l' article 15.

La restriction visée au § 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation d'accès.

§ 3. Dès réception d'une demande d'accès, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit d'accès aux données la concernant ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un des services d'inspection précité a fait usage de l'exception telle que déterminée au § 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service des amendes administratives compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à l'administration dont dépend le service d'inspection ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits de la personne concernée ne sont rétablis qu'après que l'administration ou l'institution compétente ait statué sur le résultat de l'enquête.".

Article 64. Dans le chapitre 5/1 du même code, inséré par l'article 59, il est inséré une section 3, intitulée: "Le droit de rectification".

Article 65. Dans la section 3 du chapitre 5/1 du même code, insérée par l'article 64, il est inséré un article 100/16, rédigé comme suit:

"Art. 100/16. § 1er. Par dérogation à l'article 16 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), en vue de garantir les objectifs d'intérêt public de la sécurité sociale, le droit de rectification peut être retardé, limité ou exclus s'agissant des traitements de données à caractère personnel dont soit les services d'inspection sociale visés au Code pénal social et à l'arrêté royal du 1er juillet 2011 portant exécution des articles 16, 13°, 17, 20, 63, 70 et 88 du Code pénal social et fixant la date d'entrée en vigueur de la loi du 2 juin 2010 comportant des dispositions de droit pénal social, soit la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, soit le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, soit le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, soit le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité, soit le Service d'Information et de Recherche sociale sont le responsable du traitement.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services visés à l'alinéa 1er, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Cette dérogation vaut durant la période dans laquelle la personne concernée est l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services d'inspection précités dans le cadre de l'exécution de ses missions légales ainsi que pendant la période durant laquelle la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, soit le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité, soit le Service d'Information et de Recherche sociale, traite les pièces provenant des services d'inspection sociale en vue d'exercer les poursuites en la matière.

Cette dérogation vaut dans la mesure où l' application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires, risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 2, pendant laquelle l'article 16 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception de la demande introduite en application de cet article 16.

La restriction visée au § 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation de rectification.

§ 3. Dès réception d'une demande le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit de rectification, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des finalités énoncées au § 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un des services d'inspection précité a fait usage de l'exception telle que déterminée au § 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service des amendes administratives compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à l'administration dont dépend le service d'inspection ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits de la personne concernée ne sont rétablis qu'après que l'administration ou l'institution compétente ait statué sur le résultat de l'enquête.".

Article 66. Dans le chapitre 5/1 du même code, inséré par l'article 59, il est inséré une section 4, intitulée: "Le droit à la limitation du traitement".

Article 67. Dans la section 4 du chapitre 5/1 du même code, insérée par l'article 66, il est inséré un article 100/17, rédigé comme suit:

"Art. 100/17, § 1er. Par dérogation à l'article 18 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), en vue de garantir les objectifs d'intérêt public de la sécurité sociale, le droit à la limitation du traitement peut être retardé, limité ou exclus s'agissant des traitements de données à caractère personnel dont soit les services d'inspection sociale visés au Code pénal social et à l'arrêté royal du 1er juillet 2011 portant exécution des articles 16, 13°, 17, 20, 63, 70 et 88 du Code pénal social et fixant la date d'entrée en vigueur de la loi du 2 juin 2010 comportant des dispositions de droit pénal social, soit la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, soit le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, soit le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, soit le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité, soit le Service d'Information et de Recherche sociale sont le responsable du traitement.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services visés à l'alinéa 1er, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservés plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Cette dérogation vaut durant la période dans laquelle la personne concernée est l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services d'inspection précités dans le cadre de l'exécution de ses missions légales ainsi que pendant la période durant laquelle la Direction des amendes administratives de la Division des études juridiques, de la documentation et du contentieux du Service public fédéral Emploi, Travail et Concertation sociale, le Service des amendes administratives ou la Direction concurrence loyale de l'Institut national des assurances sociales pour travailleurs indépendants, le service d'inspection pour le contrôle des caisses d'assurances sociales pour indépendants, soit le Service du contrôle administratif ou le Service d'évaluation et de contrôle médicaux de l'Institut national d'assurance maladie invalidité, soit le Service d'Information et de Recherche sociale, traite les pièces provenant des services d'inspection sociale en vue d'exercer les poursuites en la matière.

Cette dérogation vaut dans la mesure où l' application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au § 2, alinéa 2, pendant laquelle l'article 18 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception de la demande introduite en application de cet article 18.

La restriction visée au § 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus de la limitation du traitement.

§ 3. Dès réception d'une demande de limitation du traitement le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit à la limitation du traitement des données à caractère personnel la concernant ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des finalités énoncées au § 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un des services d'inspection précité a fait usage de l'exception telle que déterminée au § 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service des amendes administratives compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à l'administration dont dépend le service d'inspection ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits ne sont rétablis qu'après que l'administration ou l'institution compétente ait statué sur le résultat de l'enquête.".

Article 68. Dans l'article 213 du même code, les modifications suivantes sont apportées:

Article 69. Dans l'article 215 du même Code, le § 2, 1°, et le § 3, 1°, sont abrogés.

CHAPITRE 8. - Modifications de la loi du 3 août 2012 portant dispositions relatives aux traitements de données à caractère personnel réalisés par le Service public fédéral Finances dans le cadre de ses missions

Article 70. A l'article 4 de la loi du 3 août 2012 portant dispositions relatives aux traitements de données à caractère personnel réalisés par le Service Public fédéral Finances dans le cadre de ses missions, les modifications suivantes sont apportées:

1° l'alinéa 1er est remplacé par ce qui suit:

"Les administrations et, ou services du Service public fédéral Finances s'échangent des données à caractère personnel sur autorisation du Président du Comité de direction.";

2° à l'alinéa 2, les mots "Cette instance" sont remplacés par les mots "Le Président du Comité de direction";

3° à l'alinéa 3, le mot "Elle" est remplacé par le mot "Il" et les mots "après avis du Comité sectoriel pour l'Autorité fédérale" sont remplacés par les mots "après avis du Délégué à la protection des données.";

4° l'alinéa 4 est remplacé par ce qui suit:

"Le président du Comité de direction peut demander préalablement l'avis de la chambre compétente du Comité de Sécurité de l'Information.".

Article 71. A l'article 5 de la même loi sont apportés les modifications suivantes:

1° le paragraphe 1er est remplacé par ce qui suit:

" § 1er. Sans préjudice du traitement des données à caractère personnel à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le Service public fédéral Finances peut, en vue de réaliser, dans le cadre de ses missions légales, les finalités d'une part de contrôles ciblés sur la base d'indicateurs de risque et d'autre part, d'analyses sur des données relationnelles provenant de différentes administrations et/ou services du Service Public Fédéral Finances, agréger les données collectées en application de l'article 3 dans un datawarehouse permettant de procéder à des opérations de datamining et de datamatching, en ce compris du profilage au sens de l'article 4, 4) du règlement général sur la protection des données.

Pour l'application de la présente disposition, il y a lieu d'entendre par:

1° "datawarehouse": un système de données contenant une grande quantité de données numériques pouvant faire l'objet d'une analyse;

2° "datamining": la recherche de manière avancée d'informations dans de gros fichiers de données;

3° "datamatching": la comparaison entre plusieurs sets de données rassemblées;

4° "indicateurs de risques": les événements susceptibles d'avoir un impact sur l'exercice des missions légales, déterminés suite à une analyse objective des informations disponibles;

5° "données relationnelles": il est fait référence à la manière de modéliser les relations existantes entre plusieurs informations provenant de base de données différentes et de les ordonner entre elles grâce à des clés primaires et des identifiants uniques.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent des traitements dans le datawarehouse ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées avec une durée maximale de conservation ne pouvant excéder un an après la prescription de toutes les actions qui relèvent de la compétence du responsable du traitement et, le cas échéant, la cessation définitive des procédures et recours administratifs et judiciaires ainsi que du paiement intégral de tous les montants y liés.";

2° le paragraphe 2 est remplacé par ce qui suit:

" § 2. Par dérogation à l'article 35/1 de la loi du 15 août 2012, l'intégration dans le datawarehouse de toute catégorie de données à caractère personnel fournie par des tiers, fait l'objet d'une délibération de la chambre compétente du Comité de Sécurité de l'Information.

Celle-ci veille en particulier à ce que le traitement intervienne, lorsque cela est possible, sur des données à caractère personnel pseudonymisées et à ce que la dépseudonymisation n'intervienne que lorsqu'il existe un risque de commission d'une infraction à une loi ou à une réglementation dont l'application relève des missions du Service public fédéral Finances.

Un arrêté royal délibéré en Conseil des ministres, pris après avis de l'Autorité de protection des données, détermine les cas où une intégration visée à l'alinéa 1er ne requiert pas de délibération de la chambre compétente du Comité de Sécurité de l'Information.".

Article 72. L'article 6 de la même loi, modifié par la loi-programme du 1er juillet 2016, est remplacé par ce qui suit:

"Art. 6. Les agents du Service public fédéral Finances restent dans l'exercice de leurs fonctions au sens de l'article 337 du Code des impôts sur les revenus 1992, de l'article 93bis du Code de la taxe sur la valeur ajoutée, de l'article 236bis du Code des droits d'enregistrement, d'hypothèque et de greffe, de l'article 146bis du Code des droits de succession, de l'article 212 du Code des droits et taxes divers, de l'article 14 de la loi domaniale du 22 décembre 1949 et de l'article 320 de la Loi générale sur les Douanes et Accises lorsqu'ils communiquent des renseignements, en vertu d'une autorisation du responsable de traitement représenté par le président du Comité de direction du Service public fédéral Finances ou du Comité de sécurité de l'information. Les destinataires de ces données sont également tenus au secret professionnel et ne peuvent utiliser les données que dans le cadre de l'exécution de leurs missions légales ou des autorisations du responsable de traitement représenté par le président du Comité de direction du Service public fédéral Finances ou du Comité de sécurité de l'information compétents."."

Article 73. L'article 7 de la même loi est remplacé par ce qui suit:

"Art. 7. Dans les échanges de données visés à l'article 5 et à l'article 6, le Service public fédéral Stratégie et Appui rend son avis technique et juridique visé à l'article 35/4 de la loi du 15 août 2012 relative à la création et à l'organisation d'un intégrateur de service fédéral après consultation du Service public fédéral Finances.".

Article 74. L'article 8 de la même loi est remplacé par ce qui suit:

"Art. 8. Il est créé au sein du Service public fédéral Finances, un Service de Sécurité de l'Information et de Protection de la Vie Privée qui est placé sous l'autorité directe du président du Comité de direction du Service public Fédéral Finances.

Ce service assiste le Délégué à la protection des données dans l'exercice de ses missions prévues dans le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE ainsi que dans les dispositions prises en exécution de ce Règlement.".

Article 75. Dans le chapitre 2 de la même loi, la section 8, comportant l'article 9, est abrogée.

Article 76. A l'article 10, § 4, de la même loi, les modifications suivantes sont apportées:

1° à l'alinéa 1er, les mots "Comité sectoriel pour l'Autorité fédérale" sont remplacés par les mots "Délégué à la protection des données";

2° à l'alinéa 2, les mots "Le service visé à l'article 8" sont remplacés par les mots "Le Délégué à la protection des données".

Article 77. L'intitulé de la section 10, chapitre 2, de la même loi, est remplacé par l'intitulé suivant: "Section 10. Le droit d'information lors de la collecte de données à caractère personnel et de communication des données à caractère personnel, le droit d'accès aux données à caractère personnel, le droit de rectification et le droit à la limitation du traitement".

Article 78. Dans la section 10, chapitre 2, de la même loi, il est inséré une sous-section 1, intitulée:

"Le droit d'information lors de la collecte de données à caractère personnel et de communication des données à caractère personnel".

Article 79. Dans la sous-section 1, insérée par l'article 78, l'article 11 de la même loi est remplacé par ce qui suit:

"Art. 11. § 1er. Par dérogation aux articles 13 et 14, du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le droit d'information peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont le Service public fédéral Finances est le responsable du traitement afin de garantir les objectifs d'intérêt public dans le domaine budgétaire, monétaire et fiscal et pour autant que l'article 14, le paragraphe 5, d), ne puisse être invoqué dans le cas d'espèce.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services compétents du Service public fédéral Finances, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative.

Sans préjudice de la conservation nécessaire pour le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Ces dérogations valent durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services précités dans le cadre de l'exécution de leurs missions légales ainsi que durant la période durant laquelle sont traités les pièces provenant de ces services, en vue d'exercer les poursuites en la matière.

Ces dérogations valent dans la mesure où l'application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 2, pendant laquelle les articles 13 et 14 du règlement général sur la protection des données ne sont pas applicables, ne peut excéder un an à partir de la réception d'une demande concernant la communication d'informations à fournir en application de ces articles 13 et 14.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation d'information.

§ 3. Dès réception d'une demande concernant la communication d'informations à fournir visée au paragraphe 2, alinéa 3, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation d'information, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsque le Service public fédéral Finances a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à un autre service du Service public fédéral Finances ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits ne sont rétablis qu'après que ce service ou l'institution compétente ait statué sur le résultat de l'enquête.".

Article 80. Dans la section 10, chapitre 2, de la même loi, il est inséré une sous-section 2, intitulée:

"Le droit d'accès aux données à caractère personnel".

Article 81. Dans la sous-section 2, insérée par l'article 80, il est inséré un article 11/1 rédigé comme suit:

"Art. 11/1. § 1er. Par dérogation à l'article 15 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le droit d'accès aux données à caractère personnel la concernant peut être retardé, limité entièrement ou partiellement s'agissant des traitements de données à caractère personnel dont le Service public fédéral Finances est le responsable du traitement afin de garantir les objectifs d'intérêt public dans le domaine budgétaire, monétaire et fiscal.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services compétents du Service public fédéral Finances, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Ces dérogations valent durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services précités dans le cadre de l'exécution de ses missions légales ainsi que durant la période durant laquelle sont traités les documents provenant de ces services en vue d'exercer les poursuites en la matière.

Ces dérogations valent dans la mesure où l' application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale ou la sécurité des personnes physiques.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 2, pendant laquelle l' article 15 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception de la demande introduite en application de l' article 15.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation d'accès.

§ 3. Dès réception d'une demande d'accès, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit d'accès aux données la concernant ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsque le Service public fédéral Finances a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à un autre service du Service public fédéral Finances ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits ne sont rétablis qu'après que ce service ou l'institution compétente ait statué sur le résultat de l'enquête.".

Article 82. Dans la section 10, chapitre 2, de la même loi, il est inséré une sous-section 3, intitulée:

"Le droit de rectification".

Article 83. Dans la sous-section 3, insérée par l'article 82, il est inséré un article 11/2 rédigé comme suit:

"Art. 11/2. § 1er. Par dérogation à l'article 16 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le droit de rectification peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont le Service public fédéral Finances est le responsable du traitement afin de garantir les objectifs d'intérêt public dans le domaine budgétaire, monétaire et fiscal.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services compétents du Service public fédéral Finances, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Cette dérogation vaut durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services précités dans le cadre de l'exécution de ses missions légales ainsi que pendant la période durant laquelle sont traités les documents provenant de ces services en vue d'exercer les poursuites en la matière.

Cette dérogation vaut dans la mesure où l'application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 2, pendant laquelle l'article 16 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception de la demande introduite en application de cet article 16.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation de rectification.

§ 3. Dès réception d'une demande de rectification, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit de rectification, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsque le Service public fédéral Finances a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à un autre service du Service public fédéral Finances ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits ne sont rétablis qu'après que ce service ou l'institution compétente ait statué sur le résultat de l'enquête.".

Article 84. Dans la section 10, chapitre 2, de la même loi, il est inséré une sous-section 4, intitulée:

"Le droit à la limitation du traitement".

Article 85. Dans la sous-section 4, insérée par l'article 84, il est inséré un article 11/3 rédigé comme suit:

"Art. 11/3, § 1er. Par dérogation à l'article 18 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le droit à la limitation du traitement peut être retardé, limité ou exclus s'agissant des traitements de données à caractère personnel dont le Service public fédéral Finances est le responsable du traitement afin de garantir les objectifs d'intérêt public dans le domaine budgétaire, monétaire et fiscal.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services du Service public fédéral Finances, en ce compris les procédures visant à l'application éventuelle d'une amende administrative ou sanction administrative.

Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), les données à caractère personnel qui résultent de la dérogation visée à l'alinéa 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et extrajudiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Cette dérogation vaut durant la période dans laquelle la personne concernée est l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par les services précités dans le cadre de l'exécution de ses missions légales ainsi que pendant la période durant laquelle sont traités les documents provenant de ces services en vue d'exercer les poursuites en la matière.

Cette dérogation vaut dans la mesure où l' application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale ou la sécurité des personnes.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 2, pendant laquelle l'article 18 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception de la demande introduite en application de cet article 18.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus d'accès à ces données.

§ 3. Dès réception d'une demande de limitation de traitement le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit de limitation du traitement des données à caractère personnel la concernant ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsque le Service public fédéral Finances a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis à l'autorité judiciaire, les droits de la personne concernée ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de celle-ci.

Lorsqu'un dossier est transmis à un autre service du Service public fédéral Finances ou à l'institution compétente pour statuer sur les conclusions de l'enquête, les droits ne sont rétablis qu'après que ce service ou l'institution compétente ait statué sur le résultat de l'enquête.".

CHAPITRE 9. - Modification de la loi du 15 août 2012 relative à la création et à l'organisation d'un intégrateur de services fédéral

Article 86. Dans le chapitre 5 de la loi du 15 août 2012 relative à la création et à l'organisation d'un intégrateur de services fédéral, il est inséré une section 3, comportant les articles 35/1 à 35/5, rédigée comme suit:

"Section 3. Chambre autorité fédérale du comité de sécurité de l'information.

Article 35 /1. § 1er. La communication de données à caractère personnel par des services publics et des institutions publiques de l'autorité fédérale à des tiers autres que les institutions de sécurité sociale visées à l'article 2, alinéa 1er, 2°, de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale doit faire l'objet une délibération préalable de la chambre autorité fédérale du comité de sécurité de l'information visée dans la loi du 5 septembre 2018 instituant le comité de sécurité de l'information et modifiant diverses lois concernant la mise en oeuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, dans la mesure où les responsables du traitement de l'instance qui communique et des instances destinatrices ne parviennent pas, en exécution de l'article 20 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, à un accord concernant la communication ou au moins un de ces responsables du traitement demande une délibération et en a informé les autres responsables du traitement. Dans les cas mentionnés, la demande est introduite d'office conjointement par les responsables du traitement concernés.

La communication, visée dans l'alinéa 1er, ne doit pas faire l'objet d'une délibération préalable dans la mesure où d'autres normes réglementaires précisent les modalités de la communication dont les finalités, les catégories de données et les destinataires ou dans la mesure où il s'agit d'une communication ponctuelle de données, en conformité avec le règlement (UE) 2016/679 précité, à des personnes ou institutions habilitées à les recevoir en vertu d'une mission légale.

La communication de données à caractère personnel par des services publics et des institutions publiques de l'autorité fédérale à des institutions de sécurité sociale visées à l'article 2, alinéa 1er, 2°, a), de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale doit faire l'objet d'une délibération préalable des chambres réunies du comité de sécurité de l'information, dans la mesure où les responsables du traitement de l'instance qui communique, de l'instance destinatrice et de la Banque-carrefour de la sécurité sociale ne parviennent pas, en exécution de l'article 20 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, à un accord concernant la communication ou au moins un de ces responsables du traitement demande une délibération et en a informé les autres responsables du traitement. Dans les cas mentionnés, la demande est introduite d'office conjointement par les responsables du traitement concernés.

La communication de données à caractère personnel par des services publics et des institutions publiques de l'autorité fédérale à des institutions de sécurité sociale visées à l'article 2, alinéa 1er, 2°, b) à f), de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale doit faire l'objet d'une délibération préalable des chambres réunies du comité de sécurité de l'information.

La chambre autorité fédérale du comité de sécurité de l'information n'est pas compétente pour la communication de données à caractère personnel provenant des banques de données des autorités visées aux titres 2 et 3 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.

Pour l'application de l'alinéa 1er, sont considérés comme des tiers: les instances autres que l'intéressé, le responsable du traitement, le sous-traitant et les personnes autorisées à traiter les données à caractère personnel sous l'autorité directe du responsable du traitement ou du sous-traitant.

Pour autant qu'une demande contienne tous les éléments permettant de délibérer et qu'elle est introduite en tant que telle dans les trente jours calendriers précédant une réunion déterminée, elle est en principe traitée pendant la réunion qui suit la réunion précitée. Le demandeur reçoit endéans une semaine un accusé de réception indiquant si la demande introduite est complète ou non.

Dans la mesure où le comité de sécurité de l'information rend une délibération pour la communication de données à caractère personnel par l'autorité fédérale, cette dernière est, par dérogation à l'article 20 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, dispensée de l'obligation d'établir un protocole y relatif avec le destinataire des données à caractère personnel.

§ 2.La chambre autorité fédérale du comité de sécurité de l'information rend, le cas échéant, une délibération pour l'utilisation du numéro d'identification du Registre national des personnes physiques par les instances concernées si cela s'avère nécessaire dans le cadre de la communication envisagée.

§ 3. Dans la mesure où cette compétence n'a pas explicitement été attribuée à la chambre sécurité sociale et santé du comité de sécurité de l'information, la chambre autorité fédérale du comité de sécurité de l'information soutient les délégués à la protection des données qui sont désignés par les services publics et organismes publics de l'autorité fédérale sur le plan du contenu, entre autres en leur offrant une formation continue adéquate et en formulant des recommandations, notamment sur le plan technique.

§ 4. Les délibérations du comité de sécurité de l'information sont motivées et ont une portée générale contraignante entre les parties et envers les tiers. Elles ne peuvent pas être contraires aux normes juridiques supérieures.

L'Autorité de protection des données peut, à tout moment, confronter toute délibération du comité de sécurité de l'information aux normes juridiques supérieures, quel que soit le moment où elle a été rendue. Sans préjudice de ses autres compétences, elle peut demander au comité de sécurité de l'information, lorsqu'elle constate de manière motivée qu'une délibération n'est pas conforme à une norme juridique supérieure, de reconsidérer cette délibération sur les points qu'elle a indiqués, dans un délai de quarante-cinq jours et exclusivement pour le futur. Le cas échéant, le comité de sécurité de l'information soumet la délibération modifiée pour avis à l'Autorité de protection des données. Dans la mesure où cette dernière ne formule pas de remarques supplémentaires dans un délai de quarante-cinq jours, la délibération modifiée est censée être définitive.

§ 5. La chambre autorité fédérale du comité de sécurité de l'information assure la mise à jour et la publication sur le site web du Service public fédéral Stratégie et Appui de la liste des délibérations qu'elle a accordées.

Elle publie annuellement, sur le site web du Service public fédéral Stratégie et Appui, un rapport sommaire de l'accomplissement de ses missions au cours de l'année écoulée, qui accordera une attention particulière aux dossiers pour lesquels une décision n'a pu être prise dans les délais.

Article 35/2. La chambre autorité fédérale du comité de sécurité de l'information est établie et tient ses réunions auprès du Service public fédéral Stratégie et Appui, qui met à la disposition les bureaux et moyens bureautiques nécessaires à son fonctionnement et à sa présidence et du personnel spécialisé, dans la mesure requise par la réalisation des missions de la chambre autorité fédérale du comité de sécurité de l'information. Le président du comité de sécurité de l'information a la responsabilité fonctionnelle de ce personnel en ce qui concerne les tâches qu'il assume pour le comité de sécurité de l'information.

Article 35/3. Les frais de fonctionnement de la chambre autorité fédérale du comité de sécurité de l'information, en ce compris les indemnités allouées au président et aux autres membres et les remboursements de frais pour autant qu'ils aient trait à l'exécution des missions de cette chambre, sont pris en charge par le Service public fédéral Stratégie et Appui.

Article 35/4. Le Service public fédéral Stratégie et Appui rédige un avis technique et juridique relatif à toute demande concernant la communication de données à caractère personnel dont il a reçu une copie de la part du comité de sécurité de l'information.

Dans la mesure où la chambre autorité fédérale du comité de sécurité de l'information doit rendre une délibération pour l'accès au Registre national des personnes physiques ou si celle-ci, en ce qui concerne l'utilisation du numéro d'identification du Registre national, est saisie, les services du Service public fédéral Intérieur qui sont compétents pour le Registre national des personnes physiques rédigent un avis technique et juridique à ce sujet.

Article 35/5. La chambre autorité fédérale du comité de sécurité de l'information fixe son règlement d'ordre intérieur, qui contient notamment les modalités d'introduction des demandes et qui est ratifié par un arrêté royal délibéré en Conseil des ministres.".

CHAPITRE 10. - Modification de la loi du 28 février 2013 introduisant le Code de droit économique

Article 87. Dans l'article IV.16 du Code de droit économique inséré par la loi du 3 avril 2013 et modifié par la loi du 18 avril 2017, il est inséré un paragraphe 10 rédigé comme suit:

" § 10. L'Autorité belge de la Concurrence est une institution visée par les articles 6 (1)(e) et 23 (1)(h) du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

L'Autorité belge de la concurrence peut en qualité de responsable du traitement traiter des données au sens de ce Règlement aux fins et avec les garanties définies dans le Titre II de ce Livre eu égard notamment à l'article IV.34. Elle peut conserver ces données pendant la période nécessaire pour ses instructions et procédures ou imposée par les règles générales d'archivage de l'Etat. Les personnes physiques peuvent recevoir accès à leurs propres données à caractère personnel."

Article 88. Dans le titre 1er, chapitre 1er, du livre XV du même Code, inséré par la loi du 20 novembre 2013, il est inséré un article XV.10/1 rédigé comme suit:

"Art.XV.10/1. En application de l'article 14, § 5, d), du Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après, le "règlement général sur la protection des données"), lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement n'est tenu de fournir à la personne concernée aucune information, lorsque les données à caractère personnel doivent rester confidentielles en vertu d'une obligation légale de secret professionnel".

Article 89. Dans le titre 1er, chapitre 1er du livre XV du même Code, il est inséré un article XV.10/2 rédigé comme suit:

"Art.XV.10/2. § 1er. En application de l'article 23, paragraphe 1er, d) et h), et par dérogation aux articles 13 et 14, de ce même règlement, le droit d'information, peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont le Service public fédéral Economie, PME, Classes moyennes et Energie est le responsable du traitement, afin de garantir:

1° la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;

2° une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie, en ce compris les procédures visant à l'application éventuelle d'une proposition de transaction par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement général sur la protection des données, les données à caractère personnel qui résultent de traitements visés au paragraphe 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec un délai de conservation maximum ne pouvant excéder un an après la cessation définitive des procédures et recours administratives et judiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er .

§ 2. Ces dérogations valent durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci, effectués par les services précités dans le cadre de l'exécution de leurs missions légales ainsi que durant la période durant laquelle sont traités les pièces provenant de ces services, en vue d'exercer les poursuites y afférentes.

Ces dérogations valent dans la mesure où l' application de ces droits nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 1er, pendant laquelle les articles 13 et 14 du règlement général sur la protection des données ne sont pas applicables, ne peut excéder un an à partir de la réception d'une demande en application de ces articles 13 et 14 de ce même règlement.