5 SEPTEMBRE 2018. - Loi instituant le comité de sécurité de l'information et modifiant diverses lois concernant la mise en oeuvre du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation d'information.

§ 3. Dès réception d'une demande concernant la communication d'informations à fournir visée au paragraphe 2, alinéa 3, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation d'information, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.

Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un service d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées au paragraphe 3, alinéa 7, le régime de l'exception est immédiatement levé après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis au ministère public près les cours et tribunaux et/ou juge d'instruction, les droits ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de cette dernière.".

Article 90. Dans le titre 1er, chapitre 1er, du livre XV du même code, il est inséré un article XV.10/3 rédigé comme suit:

"Art.XV.10/3. § 1er. En application de l'article 23, paragraphe 1er, d) et h), et par dérogation à l'article 15, de ce même règlement, le droit d'accès, peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont le Service public fédéral Economie, PME, Classes moyennes et Energie est le responsable du traitement, afin de garantir:

1° la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;

2° une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie, en ce compris les procédures visant à l'application éventuelle d'une proposition de transaction par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement général sur la protection des données, les données à caractère personnel qui résultent de traitements visés au paragraphe 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec un délai de conservation maximum ne pouvant excéder un an après la cessation définitive des procédures et recours administratives et judiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er .

§ 2. Ces dérogations valent durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci, effectués par les services précités dans le cadre de l'exécution de leurs missions légales ainsi que durant la période durant laquelle sont traités les pièces provenant de ces services, en vue d'exercer les poursuites y afférentes.

Ces dérogations valent dans la mesure où l' application de ces droits nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 1er, pendant laquelle l'article 15 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception d'une demande introduite en application de l'article 15 de ce même règlement.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation d'accès.

§ 3. Dès réception d'une demande d'accès, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit d'accès aux données la concernant, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.

Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsque qu'un service d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées au paragraphe 3, alinéa 7, le régime de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis au ministère public près les cours et tribunaux et/ou juge d'instruction, les droits ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de cette dernière.".

Article 91. Dans le titre 1er, chapitre 1er, du livre XV du même code, il est inséré un article XV.10/4 rédigé comme suit:

"Art.XV.10/4. § 1er. En application de l'article 23, paragraphe 1er, d) et h), et par dérogation à l'article 16 de ce même règlement, le droit de rectification, peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont le Service public fédéral Economie, PME, Classes moyennes et Energie est le responsable du traitement, afin de garantir:

1° la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;

2° une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie, en ce compris les procédures visant à l'application éventuelle d'une proposition de transaction par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du règlement général sur la protection des données, les données à caractère personnel qui résultent de traitements visés au paragraphe 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec un délai de conservation maximum ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et judiciaires découlant de la limitation des droits de la personne concernée, visée à l'alinéa 1er.

§ 2. Ces dérogations valent durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci, effectués par les services précités dans le cadre de l'exécution de leurs missions légales ainsi que durant la période durant laquelle sont traités les pièces provenant de ces services, en vue d'exercer les poursuites y afférentes.

Ces dérogations valent dans la mesure où l'application de ces droits nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 1er, pendant laquelle l'article 16 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception d'une demande introduite en application de cet article 16.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou la limitation du droit de rectification.

§ 3. Dès réception d'une demande, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit de rectification, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.

Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un service d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées au paragraphe 3, alinéa 7, le régime de l'exception est immédiatement levé après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis au ministère public près les cours et tribunaux et/ou juge d'instruction, les droits ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de cette dernière.".

Article 92. Dans le titre 1er, chapitre 1er du livre XV du même code, il est inséré un article XV.10/5 rédigé comme suit:

"Art.XV.10/5. § 1er. En application de l'article 23, paragraphe 1er, d) et h), et par dérogation à l'article 18 de ce même règlement, le droit à la limitation de traitement, peut être retardé, limité ou exclu s'agissant des traitements de données à caractère personnel dont le Service public fédéral Economie, PME, Classes moyennes et Energie est le responsable du traitement, afin de garantir:

1° la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;

2° une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique.

Les traitements visés à l'alinéa 1er sont ceux dont la finalité est la préparation, l'organisation, la gestion et le suivi des enquêtes menées par les services d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie, en ce compris les procédures visant à l'application éventuelle d'une proposition de transaction par les services compétents.

Sans préjudice de la conservation nécessaire pour le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visé à l'article 89 du Règlement général sur la protection des données, les données à caractère personnel qui résultent de traitements visés au paragraphe 1er ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec un délai de conservation maximum ne pouvant excéder un an après la cessation définitive des procédures et recours juridictionnels, administratives et judiciaires découlant de la limitation des droits de la personne concernée visée à l'alinéa 1er.

§ 2. Ces dérogations valent durant la période pendant laquelle la personne concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci, effectués par les services précités dans le cadre de l'exécution de leurs missions légales ainsi que durant la période durant laquelle sont traités les pièces provenant de ces services, en vue d'exercer les poursuites y afférentes.

Ces dérogations valent dans la mesure où l' application de ce droit nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires ou risque de violer le secret de l'enquête pénale.

La durée des actes préparatoires, visés au paragraphe 2, alinéa 1er, pendant laquelle l'article 18 du règlement général sur la protection des données n'est pas applicable, ne peut excéder un an à partir de la réception d'une demande introduite en application de cet article 18.

La restriction visée au paragraphe 1er, alinéa 1er, ne vise pas les données qui sont étrangères à l'objet de l'enquête ou du contrôle justifiant le refus ou le droit à la limitation d'information.

§ 3. Dès réception d'une demande concernant la communication d'informations à fournir visée au paragraphe 2, alinéa 3, le délégué à la protection des données du responsable du traitement en accuse réception.

Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation à son droit à la limitation du traitement des données à caractère personnel la concernant, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées au paragraphe 1er, alinéa 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.

Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

Lorsqu'un service d'inspection et/ou de contrôle du Service public fédéral Economie, PME, Classes moyennes et Energie a fait usage de l'exception telle que déterminée au paragraphe 1er, alinéa 1er, et à l'exception des situations visées au paragraphe 3, alinéa 7, le régime de l'exception est immédiatement levé après la clôture du contrôle ou de l'enquête. Le délégué à la protection des données du responsable du traitement en informe la personne concernée sans délai.

Lorsqu'un dossier est transmis au ministère public près les cours et tribunaux et/ou juge d'instruction, les droits ne sont rétablis qu'après autorisation de l'autorité judiciaire, ou après que la phase judiciaire soit terminée, et, le cas échéant, après que le service compétent ait pris une décision. Toutefois, les renseignements recueillis à l'occasion de l'exécution de devoirs prescrits par l'autorité judiciaire ne peuvent être communiqués qu'avec l'autorisation expresse de cette dernière.".

CHAPITRE 11. - Modifications de la loi coordonnée du 10 mai 2015 relative à l'exercice des professions des soins de santé

Article 93. Dans l'article 42 de la loi coordonnée du 10 mai 2015 relative à l'exercice des professions des soins de santé, les modifications suivantes sont apportées:

Article 94. Dans l'article 138 de la même loi, les mots "la section santé du comité sectoriel de la sécurité sociale et de la santé visée à l'article 37 de la loi du 15 janvier 1990 sur la Banque-carrefour" sont chaque fois remplacés par les mots "la chambre sécurité sociale et santé du comité de sécurité de l'information".

CHAPITRE 12. - Dispositions finales

Article 95. Dans la mesure où il est question d'un comité sectoriel dans d'autres dispositions légales, il y a lieu de lire ces dispositions conformément aux dispositions de la présente loi et conformément à l'article 114 de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données.

Article 96. Le Roi peut, par arrêté délibéré en Conseil des ministres, abroger, modifier, compléter ou remplacer les dispositions légales existantes pour les mettre en conformité avec celles contenues dans la présente loi.

Article 97. Le mandat des membres externes du comité sectoriel de la sécurité sociale et de la santé est maintenu jusqu'à la date de nomination des membres de la chambre sécurité sociale et santé du comité de sécurité de l'information.

Article 98. Le mandat des membres externes du comité sectoriel du Registre national est maintenu jusqu'à la date de nomination des membres de la chambre autorité fédérale du comité de sécurité de l'information.

Article 99. La présente loi entre en vigueur le jour de sa publication au Moniteur belge.