30 JUILLET 2018. - Loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel(NOTE : Consultation des versions antérieures à partir du 05-09-2018 et mise à jour au 08-07-2024)

4° convenir avec le sous-traitant que celui-ci n'agit que sur la seule instruction du responsable du traitement et que le sous-traitant est tenu par les mêmes obligations que celles auxquelles le responsable du traitement est tenu en application du présent sous-titre.

Article 118. Le sous-traitant est soumis aux mêmes obligations que celles qui incombent au responsable du traitement.

Il ne peut pas confier le traitement de données à caractère personnel à un autre sous-traitant, sauf autorisation expresse du responsable du traitement.

Article 119. Toute personne agissant sous l'autorité du responsable du traitement ou de celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf sur la base d'une obligation imposée par ou en vertu d'une loi.

Section 2. - Responsables conjoints du traitement

Article 120. Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement.

Un accord définit les obligations respectives des responsables conjoints du traitement, notamment en ce qui concerne l'exercice des droits de la personne concernée et la communication des données à caractère personnel, sauf si leurs obligations respectives sont définies par ou en vertu d'une loi.

Un seul point de contact pour les personnes concernées est désigné dans l'accord. Les responsables conjoints du traitement incluent ce point de contact dans le registre visé à l'article 123.

Section 2. - Responsables conjoints du traitement

Article 121. Le responsable du traitement ainsi que le sous-traitant prennent les mesures techniques et organisationnelles requises pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification, l'accès et tout autre traitement non autorisé de données à caractère personnel.

Ces mesures assurent un niveau de protection adéquat, compte tenu, d'une part, de l'état de la technique en la matière et des frais qu'entraîne l'application de ces mesures et, d'autre part, de la nature des données à caractère personnel à protéger et des risques potentiels.

Article 122. § 1er. En cas de brèche de sécurité susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement la notifie au Comité permanent R dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance.

§ 2. Le sous-traitant notifie au responsable du traitement toute brèche de sécurité dans les meilleurs délais.

§ 3. La notification visée aux paragraphes 1er et 2, décrit ou communique à tout le moins :

1° la nature de la brèche de sécurité y compris et, si possible, le nombre estimé de personnes et d'enregistrements de données à caractère personnel concernés;

2° le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;

3° les conséquences probables de la brèche de sécurité;

4° les mesures que le responsable du traitement ou le sous-traitant a prises ou propose de prendre pour remédier à la brèche de sécurité, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Section 4. - Registres

Article 123. § 1er. Le responsable du traitement et, le cas échéant son sous-traitant, tiennent un registre d'activités de traitement des données à caractère personnel.

Ce registre comporte, le cas échéant et si possible, les informations suivantes en ce qui concerne les traitements :

1° les coordonnées du responsable du traitement et, le cas échéant, des responsables conjoints du traitement et du délégué à la protection des données;

2° les finalités du traitement;

3° les catégories des personnes concernées;

4° les catégories des données à caractère personnel;

5° les catégories de destinataires principaux auxquels des données à caractère personnel peuvent être communiquées;

6° les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris la mention de ce pays tiers ou de cette organisation internationale et, le cas échéant, les documents attestant de l'existence de garanties appropriées;

7° les délais prévus pour l'effacement des données à caractère personnel;

8° le recours au profilage;

9° la base juridique;

10° une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 121.

§ 2. Le registre visé au paragraphe 1er se présente sous une forme écrite y compris la forme électronique.

§ 3. Le responsable du traitement met le registre à la disposition de l'autorité de contrôle compétente à sa demande.

Le sous-traitant met le registre à la disposition du responsable du traitement ainsi qu'à la disposition de l'autorité de contrôle compétente à sa demande.

Section 4. - Registres

Article 124. § 1er. Le responsable du traitement et, le cas échéant, le sous-traitant désignent un délégué à la protection des données. Cette décision est communiquée à l'autorité de contrôle compétente.

Le délégué à la protection des données est titulaire d'une habilitation de sécurité de niveau "très secret", au sens de la loi du 11 décembre 1998.

§ 2. Le délégué à la protection des données ne peut pas être sanctionné en raison de l'exercice de ses fonctions. Il ne peut pas non plus être relevé de ses fonctions en raison de l'exercice de ses missions, sauf s'il a commis une faute grave ou s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions.

Le délégué à la protection des données peut s'adresser au Comité permanent R pour contester cette décision.

§ 3. Il est chargé de manière indépendante :

1° de veiller au respect du présent sous-titre lors de tout traitement de données à caractère personnel;

2° de conseiller toutes mesures utiles afin d'assurer la sécurité des données enregistrées;

3° d'informer et de conseiller le responsable du traitement, et le cas échéant le sous-traitant, et leur personnel procédant au traitement des obligations qui leur incombent en vertu du présent sous-titre;

4° de fournir des avis ou des recommandations au responsable du traitement, et le cas échéant, au sous-traitant;

5° d'exécuter d'autres missions qui lui sont confiées par le responsable du traitement, et le cas échéant le sous-traitant.

Le délégué à la protection des données est le point de contact avec l'autorité de contrôle compétente pour l'application du présent sous-titre.

§ 4. Le responsable du traitement et, le cas échéant, le sous-traitant, veillent à ce que leur délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

Le responsable du traitement et, le cas échéant, le sous-traitant, veillent à ce que leur délégué à la protection des données dispose des ressources nécessaires pour exercer ses missions.

Le délégué à la protection des données peut être assisté par un ou plusieurs adjoints.

§ 5. Le cas échéant, les modalités de fonctionnement, de désignation ainsi que les compétences requises peuvent être définies par le Roi.

Section 5. - Délégué à la protection des données

Section 1re. - Communication de données à caractère personnel au secteur public et au secteur privé

Article 125. § 1er. Par dérogation aux articles 20, 22, 23, 58 et 59 de la présente loi et aux articles 35 et 36 du Règlement, un protocole, un avis du délégué à la protection des données, une analyse d'impact relative à la protection des données et l'avis résultant de la consultation de l'autorité de contrôle compétente ne peuvent pas être exigés comme condition préalable à la communication de données à caractère personnel entre les autorités, les organes ou les personnes visés à l'article 107 et tout organisme public ou privé.

Cette communication se déroule conformément à la loi du 11 décembre 1998.

§ 2. Par dérogation à l'article 20, § 1er, alinéa 2, de la présente loi, lorsque les parties décident de conclure un protocole, celui-ci porte notamment sur :

1° l'identification du service public fédéral ou de l'organisme public fédéral qui transfère les données à caractère personnel;

2° l'identification des responsables du traitement;

3° les coordonnées des délégués à la protection des données concernés;

4° les finalités pour lesquelles les données à caractère personnel sont transférées;

5° la base légale;

6° les modalités de communication utilisées;

7° les restrictions aux droits de la personne concernée;

8° la périodicité du transfert;

9° la durée du protocole.

Section 1re. - Communication de données à caractère personnel au secteur public et au secteur privé

Article 126. Le transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale ne peut avoir lieu que si le pays ou l'organisation en question assure un niveau de protection adéquat et moyennant le respect des autres dispositions du présent sous-titre.

Le caractère adéquat du niveau de protection s'apprécie au regard de toutes les circonstances relatives à un transfert de données à caractère personnel ou à une catégorie de transferts de données à caractère personnel. Il est notamment tenu compte de la nature des données, de la finalité et de la durée du ou des traitements envisagés, des pays d'origine et de destination finale, des règles de droit, générales et sectorielles, en vigueur dans le pays ou l'organisation en cause, ainsi que des règles professionnelles et des mesures de sécurité qui y sont respectées.

Le niveau de protection adéquat peut être assuré par des clauses de sécurité entre le responsable du traitement et le destinataire des données à caractère personnel.

Article 127. Par dérogation à l'article 126, un transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale n'assurant pas un niveau de protection adéquat, ne peut être effectué que lorsque :

1° la personne concernée a indubitablement donné son consentement au transfert envisagé; ou

2° le transfert est obligatoire dans le cadre des relations internationales; ou

3° le transfert est nécessaire à la sauvegarde de l'intérêt vital des personnes; ou

4° le transfert est nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d'un intérêt public important, ou pour la constatation, l'exercice ou la défense d'un droit en justice.

CHAPITRE IX. - Autorité de contrôle

Article 128. § 1er. Par dérogation à la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, le Comité permanent R, en sa qualité d'autorité publique indépendante, est désigné comme autorité du contrôle chargée du contrôle du traitement des données à caractère personnel effectué dans le cadre de l'article 107, alinéa 1er, par les autorités et personnes visées au même alinéa.

Le Comité permanent R surveille l'application du présent sous-titre afin de protéger les libertés et droits fondamentaux des personnes physiques à l'égard dudit traitement.

§ 2. En sa qualité d'autorité juridictionnelle, l'organe de recours n'est pas soumis au contrôle d'une autorité de protection des données à caractère personnel.

Article 129. Dans le respect de la loi du 11 décembre 1998, le Comité permanent R coopère, le cas échéant, avec les autres autorités de contrôle belges, sans que cela ne porte atteinte aux intérêts visés à l'article 5 de la loi du 11 décembre 1998 portant création d'un organe de recours.

Dans le cadre de l'exercice du contrôle visé à l'article 128, le Comité permanent R communique le résultat de celui-ci en termes généraux aux autres autorités de contrôle compétentes.

Article 130. Les autorités et personnes visées à l'article 107, alinéa 1er, coopèrent avec le Comité permanent R.

Article 131. Dès qu'elle en prend connaissance, une autorité de contrôle informe le Comité permanent R des violations de la règlementation relative aux traitements de données à caractère personnel dans le cadre de l'article 107.

Toute autorité de contrôle saisie d'un dossier susceptible d'avoir une répercussion sur le traitement de données à caractère personnel dans le cadre de l'article 107 se concerte avec le Comité Permanent R.

CHAPITRE X. - Traitement de données à caractère personnel à des fins historiques, scientifiques ou statistiques

Article 132. Par dérogation au titre 4, la consultation à des fins historiques, scientifiques ou statistiques des données à caractère personnel des autorités, l'organe de recours ou les personnes visés à l'article 107 et de leur personnel par un responsable du traitement ultérieur est autorisée si cela ne porte pas atteinte aux intérêts visés par l'article 12, alinéa 1er, de la loi du 11 décembre 1998.

Article 133. Avant leur consultation visée à l'article 132, les données à caractère personnel sont marquées de la mention "Protection des données à caractère personnel - articles 132 à 137 de la loi du 30 juillet 2018".

Article 134. Les données à caractère personnel visées à l'article 132 sont rendues anonymes préalablement à leur consultation.

Si un traitement ultérieur de données anonymes ne permet pas d'atteindre les fins historiques, scientifiques ou statistiques, le responsable du traitement, dans le cadre de l'article 107, peut autoriser la consultation de données pseudonymisées.

Si l'anonymisation ou la pseudonymisation ne rend pas l'identification des données impossible, le responsable du traitement, dans le cadre de l'article 107, refuse la consultation si cela constitue une atteinte disproportionnée à la vie privée.

Si un traitement ultérieur de données pseudonymisées ne permet pas d'atteindre les fins historiques, scientifiques ou statistiques, le responsable du traitement, dans le cadre de l'article 107, peut autoriser la consultation de données non pseudonymisées si cela ne porte pas une atteinte disproportionnée à la vie privée.

Article 135. Par dérogation au titre 4, une communication ou publication des données à caractère personnel visées à l'article 132 non anonymisées ou non pseudonymisées, consultées par le responsable du traitement ultérieur n'est possible qu'avec l'accord du responsable du traitement dans le cadre de l'article 107 et sous les conditions que celui-ci aura fixées.

Article 136. Le responsable du traitement ultérieur des données à caractère personnel visées à l'article 132 tient un journal de ses activités de traitement ultérieur à des fins historiques, scientifiques ou statistiques.

Ce journal est classifié au sens de la loi du 11 décembre 1998 si le traitement porte sur des données classifiées.

Ce journal comporte les informations suivantes :

1° les coordonnées du responsable du traitement initial, du responsable du traitement ultérieur et du délégué à la protection des données de ce dernier;

2° les finalités du traitement ultérieur;

3° les éventuelles conditions du traitement ultérieur fixées par le responsable du traitement dans le cadre de l'article 107;

4° les éventuels destinataires autorisés par le responsable du traitement dans le cadre de l'article 107.

Article 137. Toute autorité publique ou toute personne physique ou morale qui traite des données à caractère personnel visées à l'article 132 à des fins historiques, scientifiques ou statistiques est responsable dudit traitement.

Elle n'entreprendra aucune action pour convertir des données anonymes ou pseudonymisées en données non anonymes ou non pseudonymisées.

SOUS-TITRE 4. - De la protection des personnes physiques à l'égard du traitement des données à caractère personnel par l'organe de coordination pour l'analyse de la menace

CHAPITRE Ier. -Définitions

Article 138. § 1er. Les définitions visées à l'article 26, 1° à 6°, 9°, 11° à 14° et 16° à 17°, s'appliquent au présent sous-titre.

§ 2. Pour l'application du présent sous-titre, on entend par :

1° "l'OCAM" : l'Organe de coordination pour l'analyse de la menace visé par la loi du 10 juillet 2006 relative à l'analyse de la menace;

2° "le responsable du traitement" : une personne physique ou morale, une autorité publique, un service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel;

3° "la loi du 18 juillet 1991" : la loi du 18 juillet 1991 organique du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace;

4° "la loi du 11 décembre 1998" : la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité;

5° "autorité de contrôle" : une autorité publique indépendante chargée par la loi de surveiller l'application de la présente loi;

6° "la loi du 10 juillet 2006" : la loi du 10 juillet 2006 relative à l'analyse de la menace;

7° "le système d'informations de l'OCAM" : le système d'informations visé à l'article 9 de la loi du 10 juillet 2006;

[¹ 8° "la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.")": la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") et modifiant la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, la loi du 30 juillet 2018 portant création de cellules de sécurité intégrale locales en matière de radicalisme, d'extrémisme et de terrorisme et la loi du 5 août 1992 sur la fonction de police;

9° "la banque de données commune T.E.R.: la banque de données visées à l'article 3 de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.");

10° "les responsables conjoints du traitement de la banque de données commune T.E.R.": les responsables du traitement visés à l'article 5, alinéa 1er, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.").]¹

---

(1)2024-03-29/15, art. 36, 007; En vigueur : 01-10-2024>

CHAPITRE Ier. -Définitions

Article 139. Le présent sous-titre s'applique à tout traitement de données à caractère personnel par l'OCAM et ses sous-traitants effectué dans le cadre des missions visées par la loi du 16 juillet 2006, ainsi que par ou en vertu de lois particulières [¹ et à tout traitement de données à caractère personnel dans la banque de données commune T.E.R.]¹.

Les titres 1er, 2, 4, 5, et 7 de la présente loi ne s'appliquent pas aux traitements visés à l'alinéa 1er. Dans le titre 6, seuls les articles 226, 227 et 230 s'appliquent.

---

(1)2024-03-29/15, art. 37, 007; En vigueur : 01-10-2024>

CHAPITRE II. - Champ d'application

Article 140. Le traitement de données à caractère personnel ne peut être effectué que dans l'un des cas suivants :

1° lorsque la personne concernée a indubitablement donné son consentement;

2° lorsque le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de la personne concernée;

3° lorsque le traitement est utile au respect d'une obligation à laquelle l'OCAM est soumis par ou en vertu d'une loi;

4° lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, dont est investi le responsable du traitement ou une autorité publique à laquelle les données à caractère personnel sont communiquées;

[¹ 5° lorsque le traitement est utile dans le cadre des finalités prévues à l'article 5, alinéa 2, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.").]¹

---

(1)2024-03-29/15, art. 38, 007; En vigueur : 01-10-2024>

Article 141. Les données à caractère personnel sont :

1° traitées loyalement et licitement;

2° collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, compte tenu de tous les facteurs pertinents, notamment des dispositions légales et réglementaires applicables. Un traitement ultérieur à des fins historiques, scientifiques ou statistiques n'est pas réputé incompatible lorsqu'il est effectué conformément aux conditions fixées par les articles 162 à 167;

3° adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues et pour lesquelles elles sont traitées ultérieurement;

4° exactes et, si nécessaire, mises à jour. Toutes les mesures raisonnables sont prises pour que les données à caractère personnel inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont obtenues ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées.

CHAPITRE IV. - Nature des données à caractère personnel

Article 142. Dans la mesure nécessaire à l'intérêt de l'exercice de ses missions, l'OCAM traite des données à caractère personnel de toute nature, en ce compris celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que les données génétiques et biométriques, les données concernant la santé, les données qui portent sur la vie sexuelle ou l'orientation sexuelle et celles relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes.

CHAPITRE IV. - Nature des données à caractère personnel

Article 143. Les données à caractère personnel sont conservées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées et selon les modalités fixées dans l'article 9 de la loi du 16 juillet 2006 en ce qui concerne le système d'informations de l'OCAM et [¹ l'article 7 de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") en ce qui concerne la banque de données commune T.E.R.]¹

---

(1)2024-03-29/15, art. 39, 007; En vigueur : 01-10-2024>

CHAPITRE V. - Conservation des données à caractère personnel

Article 144. Lors du traitement de données à caractère personnel la concernant, toute personne physique a droit à la protection de ses libertés et droits fondamentaux, notamment à la protection de ses données à caractère personnel.

Article 145. La personne concernée a le droit de demander :

1° la rectification ou la suppression de ses données à caractère personnel inexactes;

2° la vérification auprès de l'autorité de contrôle compétente du respect des dispositions du présent sous-titre.

Article 146. Les droits visés à l'article 145 s'exercent, sans frais, par l'intermédiaire de l'autorité de contrôle compétente, à l'initiative de la personne concernée justifiant de son identité.

L'autorité de contrôle compétente effectue les vérifications et communique uniquement à l'intéressé qu'il a été procédé aux vérifications nécessaires.

Les modalités d'exercice de ces droits sont déterminées par la loi.

Article 147. Les autorités de contrôle visées à l'article 161 [¹ , les responsables conjoints du traitement de la banque de données commune T.E.R.]¹ et l'OCAM tiennent un journal des demandes d'exercice des droits par les personnes concernées.

---

(1)2024-03-29/15, art. 40, 007; En vigueur : 01-10-2024>

Article 148. Une décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

L'interdiction prévue à l'alinéa 1er ne s'applique pas lorsque la décision est fondée sur une disposition prévue par ou en vertu d'une loi ou lorsque la décision est nécessaire pour la sauvegarde d'un intérêt public important.

CHAPITRE VII. - Obligations du responsable du traitement et du sous-traitant

Section 1re. - Obligations générales

Article 149. Le responsable du traitement :

1° fait toute diligence pour tenir les données à caractère personnel à jour, pour rectifier ou supprimer les données inexactes, incomplètes, ou non pertinentes, ainsi que celles obtenues ou traitées en méconnaissance des dispositions du présent sous-titre;

2° veille à ce que, pour les personnes agissant sous son autorité, l'accès aux données à caractère personnel et les possibilités de traitement soient limités à ce qui est utile à l'exercice de leurs fonctions ou aux besoins de l'OCAM [¹ ou dans le cadre des finalités de la banque de données commune T.E.R. visées à l'article 5, alinéa 2, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.")"]¹;

3° informe les personnes agissant sous son autorité des dispositions du présent sous-titre et de toute prescription pertinente, relative à la protection de la vie privée à l'égard des traitements des données à caractère personnel.

---

(1)2024-03-29/15, art. 41, 007; En vigueur : 01-10-2024>

Article 150. Lorsque le traitement est confié à un sous-traitant, le responsable du traitement doit :

1° choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements;

2° veiller au respect de ces mesures notamment par la stipulation de mentions contractuelles;

3° fixer dans le contrat la responsabilité du sous-traitant;

4° convenir avec le sous-traitant que celui-ci n'agit que sur la seule instruction du responsable du traitement et qu'il est tenu par les mêmes obligations que celles auxquelles le responsable du traitement est tenu en application du présent sous-titre;

5° consigner par écrit ou sur un support électronique les éléments du contrat relatifs à la protection des données à caractère personnel et les exigences relatives aux mesures visées aux 3° et 4°.

Article 151. Le sous-traitant est soumis aux mêmes obligations que celles qui incombent au responsable du traitement.

Il ne peut pas confier le traitement de données à caractère personnel à un autre sous-traitant, sauf autorisation expresse du responsable du traitement.

Article 152. Toute personne agissant sous l'autorité du responsable du traitement ou de celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf en cas d'une obligation imposée par ou en vertu d'une loi.

Section 2. - Responsables conjoints du traitement

Article 153. Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement.

Un accord définit les obligations respectives des responsables conjoints de traitement, notamment en ce qui concerne l'exercice des droits de la personne concernée et la communication des données à caractère personnel, sauf si leurs obligations respectives sont définies par ou en vertu d'une loi.

Un seul point de contact pour les personnes concernées peut être désigné dans l'accord. Les responsables conjoints du traitement incluent ce point de contact dans le registre visé à l'article 156.

Section 2. - Responsables conjoints du traitement

Article 154. Le responsable du traitement ainsi que le sous-traitant prennent les mesures techniques et organisationnelles appropriées requises pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification, l'accès et tout autre traitement non autorisé de données à caractère personnel.

Ces mesures assurent un niveau de protection adéquat, compte tenu, d'une part, de l'état de la technique en la matière et des frais qu'entraîne l'application de ces mesures et, d'autre part, de la nature des données à caractère personnel à protéger et des risques potentiels.

Article 155. § 1er. [¹ Sous réserve de l'article 13 de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R."), en cas de brèche de sécurité susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement concerné la notifie à l'autorité de contrôle compétente dans les meilleurs délais et si possible, septante-deux heures après en avoir pris connaissance.]¹

§ 2. Le sous-traitant notifie au responsable du traitement toute brèche de sécurité dans les meilleurs délais.

§ 3. La notification visée aux paragraphes 1er et 2 décrit ou communique, à tout le moins :

1° la nature de la brèche de sécurité y compris, si possible, le nombre estimé de personnes et d'enregistrements de données à caractère personnel concernés;

2° le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;

3° les conséquences probables de la brèche de sécurité;

4° les mesures que le responsable du traitement ou le sous-traitant a prises ou propose de prendre pour remédier à la brèche de sécurité, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

---

(1)2024-03-29/15, art. 42, 007; En vigueur : 01-10-2024>

Section 4. - Registres

Article 156. § 1er. Le responsable du traitement tient un registre, classifié au sens de la loi du 11 décembre 1998, [¹ de la banque de données commune T.E.R.,]¹ des banques de données de l'OCAM et de celles mises à sa disposition.

Ce registre comporte les informations suivantes :

1° [¹ pour la banque de données commune T.E.R. et les banques de données de l'OCAM:]¹

2° pour les banques de données mises à la disposition de l'OCAM :

§ 2. Chaque sous-traitant tient un registre, classifié au sens de la loi du 11 décembre 1998, de toutes les catégories d'activités de traitement effectuées pour le compte d'un responsable du traitement.

Ce registre comprend les éléments suivants :

1° les coordonnées du sous-traitant et du responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les coordonnées du délégué à la protection des données;

2° les catégories de traitements effectués pour le compte du responsable du traitement;

3° dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 154.

§ 3. Les registres visés aux paragraphes 1er et 2 se présentent sous une forme écrite y compris la forme électronique.

§ 4. Le responsable du traitement met le registre à la disposition de l'autorité de contrôle compétente à sa demande.

Le sous-traitant met le registre à la disposition du responsable du traitement ainsi qu'à la disposition de l'autorité de contrôle compétente à sa demande.

---

(1)2024-03-29/15, art. 43, 007; En vigueur : 01-10-2024>

Section 4. - Registres

Article 157. § 1er. Le responsable du traitement et, le cas échéant, le sous-traitant désignent un délégué à la protection des données. Cette décision est communiquée à l'autorité de contrôle compétente.

Le délégué à la protection des données est titulaire d'une habilitation de sécurité de niveau "très secret", au sens de la loi du 11 décembre 1998.

§ 2. Le délégué à la protection des données ne peut pas être sanctionné en raison de l'exercice de ses fonctions. Il ne peut pas non plus être relevé de ses fonctions en raison de l'exercice de ses missions, sauf s'il a commis une faute grave ou s'il ne remplit plus les conditions nécessaires à l'exercice de ses fonctions.

Le délégué à la protection des données peut s'adresser au Comité permanent R pour contester cette décision.

§ 3. Il est chargé de manière indépendante :

1° de veiller au respect du présent sous-titre lors de tout traitement de données à caractère personnel;

2° de conseiller toutes mesures utiles afin d'assurer la sécurité des données enregistrées;

3° d'informer et conseiller le responsable du traitement, et le cas échéant, le sous-traitant, le dirigeant et le personnel du service concerné procédant au traitement sur les obligations qui leur incombent sur la base du présent sous-titre;

4° de fournir des avis ou des recommandations au responsable du traitement, et le cas échéant au sous-traitant, et au dirigeant de l'OCAM;

5° d'exécuter d'autres missions qui lui sont confiées par le responsable du traitement, le cas échéant le sous-traitant ou le dirigeant de l'OCAM.

Le délégué à la protection des données est le point de contact avec l'autorité de contrôle compétente en ce qui concerne l'application du présent sous-titre.

§ 4. Le responsable du traitement et, le cas échéant, le sous-traitant, veillent à ce que leur délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

Le responsable du traitement et, le cas échéant, le sous-traitant veillent à ce que leur délégué à la protection des données dispose des ressources nécessaires pour exercer ses missions.

Le délégué à la protection des données peut être assisté par un ou plusieurs adjoints.

§ 5. Le cas échéant, les modalités de fonctionnement, de désignation ainsi que les compétences requises peuvent être définies par le Roi.

Section 5. - Délégué à la protection des données

Section 1re. - Communication de données à caractère personnel au secteur public et au secteur privé

Article 158. [¹ Par dérogation aux articles 20, 22, 23, 58 et 59 de la présente loi et aux articles 35 et 36 du règlement, un protocole, un avis du délégué à la protection des données, une analyse d'impact relative à la protection des données et l'avis résultant de la consultation de l'autorité de contrôle compétente ne peuvent pas être exigés comme condition préalable à la communication de données à caractère personnel entre l'OCAM et tout organisme public ou privé dans l'intérêt de l'exercice des missions de l'OCAM.

Par dérogation aux articles 20, 22, 23, 58 et 59 de la présente loi et aux articles 35 et 36 du règlement, un protocole, un avis du délégué à la protection des données, une analyse d'impact relative à la protection des données et l'avis résultant de la consultation de l'autorité de contrôle compétente ne peuvent pas être exigés comme condition préalable à la communication de données à caractère personnel issues de la banque de données commune "T.E.R." à tout organisme public ou privé dans l'intérêt de l'exercice des missions de prévention et de suivi du terrorisme et de l'extrémisme, lorsqu'il peut mener au terrorisme, visées à l'article 3, alinéa 1er, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.").

La communication visée à l'alinéa 1er se déroule conformément aux articles 8 à 12 de la loi du 10 juillet 2006 relative à l'analyse de la menace.

La communication visée à l'alinéa 2 se déroule conformément aux articles 20 à 28 de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.").

Par dérogation à l'article 20, § 1er, alinéa 2, lorsque les parties décident de conclure un protocole, celui-ci comprend:

1° l'identification de l'organisme public ou privé qui échangent les données à caractère personnel et, le cas échéant, l'identification de l'OCAM;

2° l'identification des responsables du traitement;

3° les coordonnées des délégués à la protection des données concernés;

4° les finalités pour lesquelles les données à caractère personnel sont transférées;

5° la base légale;

6° les restrictions aux droits de la personne concernée.

Le protocole visé à l'alinéa 5 porte le marquage "DIFFUSION RESTREINTE" au sens de l'arrêté royal du 24 mars 2000 portant exécution de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité, pour autant qu'une classification au sens de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé ne se justifie pas.]¹

---

(1)2024-03-29/15, art. 45, 007; En vigueur : 01-10-2024>

CHAPITRE VIII. - Communication et transfert de données à caractère personnel

Article 159. Le transfert de données à caractère personnel vers un pays non membres de l'Union européenne ou à une organisation internationale ne peut avoir lieu que si le pays ou l'organisation en question assure un niveau de protection adéquat et moyennant le respect des autres dispositions du présent sous-titre.

Le caractère adéquat du niveau de protection s'apprécie au regard de toutes les circonstances relatives à un transfert de données à caractère personnel ou à une catégorie de transferts de données à caractère personnel. Il est notamment tenu compte de la nature des données, de la finalité et de la durée du ou des traitements envisagés, des pays d'origine et de destination finale, des règles de droit, générales et sectorielles, en vigueur dans le pays ou l'organisation en cause, ainsi que des règles professionnelles et des mesures de sécurité qui y sont respectées.

Le niveau de protection adéquat peut être assuré par des clauses de sécurité entre le responsable du traitement et le destinataire des données à caractère personnel.

Article 160. Par dérogation à l'article 159, un transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale n'assurant pas un niveau de protection adéquat, ne peut être effectué que lorsque :

1° la personne concernée a indubitablement donné son consentement au transfert envisagé; ou

2° le transfert est obligatoire dans le cadre des relations internationales; ou

3° le transfert est nécessaire à la sauvegarde de l'intérêt vital des personnes; ou

4° le transfert est nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d'un intérêt public important, ou pour la constatation, l'exercice ou la défense d'un droit en justice.

Section 2. - Transfert des données à caractère personnel vers des pays non membres de l'Union européenne ou à des organisations internationales

Article 161. Le Comité permanent R, en sa qualité d'autorité publique indépendante, et le Comité permanent de Contrôle des Services de police, sont désignés comme autorités de protection des données chargée du contrôle du traitement des données à caractère personnel par l'OCAM et par ses sous-traitants selon les modalités fixées par la loi du 18 juillet 1991.

[¹ Les autorités de contrôle visées à l'article 2, 22°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") sont désignées conjointement comme autorités de protection des données chargées du contrôle du traitement des données à caractère personnel dans la banque de données commune T.E.R.]¹

---

(1)2024-03-29/15, art. 46, 007; En vigueur : 01-10-2024>

CHAPITRE IX. - Autorité de contrôle

Article 162. Par dérogation au titre 4, la consultation à des fins historiques, scientifiques ou statistiques des données à caractère personnel de l'OCAM et de son personnel par un responsable du traitement ultérieur est autorisée par l'OCAM si cela ne porte pas atteinte à ses missions visées dans la loi du 10 juillet 2006, à une information ou instruction judiciaire en cours ou aux relations que la Belgique entretient avec des Etats étrangers ou des organisations internationales et conformément à la loi du 10 juillet 2006.

Toute demande adressée aux Archives de l'Etat de traitement ultérieur de données à caractère personnel de l'OCAM et de son personnel à d'autres fins que celles visées à l'alinéa 1er est refusée à moins que la finalité soit légitime et que l'OCAM estime que le traitement n'est pas susceptible de porter atteinte aux intérêts visés à l'alinéa 1er.

[¹ Par dérogation à l'alinéa 1er, la consultation à des fins historiques, scientifiques ou statistiques des données à caractère personnel relatives aux entités enregistrées dans la banque de données commune T.E.R. par un responsable du traitement ultérieur est autorisée par le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R."). Lorsqu'elle peut compromettre la sécurité d'une personne, l'exercice de l'action publique, l'exercice d'une enquête de renseignement ou la relation avec un service répressif d'un Etat étranger ou avec un service de renseignement et de sécurité d'un Etat étranger, la consultation est d'office refusée.

Toute demande adressée aux Archives de l'Etat de traitement ultérieur de données à caractère personnel enregistrées dans la banque de données commune T.E.R. à d'autres fins que celles visées à l'alinéa 3 est refusée à moins que la finalité soit légitime, qu'il n'y ait pas une atteinte disproportionnée à la vie privée et après avis du responsable opérationnel.]¹

---

(1)2024-03-29/15, art. 47, 007; En vigueur : 01-10-2024>

Article 163. Avant leur consultation visée à l'article 162, les données à caractère personnel sont marquées de la mention "Protection des données à caractère personnel - chapitre X, sous-titre 4 du titre 3 de la loi du 30 juillet 2018".

Article 164. Les données à caractère personnel visées à l'article 162 sont rendues anonymes préalablement à leur consultation.

Si un traitement ultérieur de données anonymes ne permet pas d'atteindre les fins historiques, scientifiques ou statistiques, l'OCAM [¹ ou le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") pour ce qui concerne la banque de données commune T.E.R.]¹ peut autoriser la consultation de données pseudonymisées.

Si l'anonymisation ou la pseudonymisation ne rend pas l'identification des données impossible, l'OCAM [¹ ou le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") pour ce qui concerne la banque de données commune T.E.R.]¹ refuse la consultation si cela constitue une atteinte disproportionnée à la vie privée.

Si un traitement ultérieur de données pseudonymisées ne permet pas d'atteindre les fins historiques, scientifiques ou statistiques, l'OCAM [¹ ou le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") pour ce qui concerne la banque de données commune T.E.R.]¹ peut autoriser la consultation de données non pseudonymisées si cela ne porte pas une atteinte disproportionnée à la vie privée.

---

(1)2024-03-29/15, art. 48, 007; En vigueur : 01-10-2024>

Article 165. Par dérogation au titre 4, une communication ou publication des données à caractère personnel visées à l'article 162 non anonymisées ou non pseudonymisées, consultées par le responsable du traitement ultérieur n'est possible qu'avec l'accord de l'OCAM [¹ ou le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") pour ce qui concerne la banque de données commune T.E.R.]¹ et sous les conditions que celui-ci aura fixées.

---

(1)2024-03-29/15, art. 49, 007; En vigueur : 01-10-2024>

Article 166. Le responsable du traitement ultérieur des données à caractère personnel visées à l'article 162 tient un journal de ses activités de traitement ultérieur à des fins historiques, scientifiques ou statistiques.

Ce journal est classifié au sens de la loi du 11 décembre 1998 si le traitement porte sur des données classifiées.

Ce journal comporte les informations suivantes :

1° les coordonnées du responsable du traitement initial, du responsable du traitement ultérieur et du délégué à la protection des données de ce dernier;

2° les finalités du traitement ultérieur;

3° les données faisant l'objet du traitement ultérieur;

4° les éventuelles conditions du traitement ultérieur fixées par l'OCAM [¹ ou par le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") pour ce qui concerne la banque de données commune T.E.R.]¹;

5° les éventuels destinataires autorisés par l'OCAM [¹ ou par le responsable opérationnel de la banque de données commune T.E.R. après concertation avec les services de base visés à l'article 2, 2°, de la loi du 29 mars 2024 portant création de la banque de données commune "Terrorisme, Extrémisme, processus de Radicalisation" ("T.E.R.") pour ce qui concerne la banque de données commune T.E.R.]¹.

---

(1)2024-03-29/15, art. 50, 007; En vigueur : 01-10-2024>

Article 167. Toute autorité publique ou toute personne physique ou morale qui traite des données à caractère personnel visées à l'article 162 à des fins historiques, scientifiques ou statistiques est responsable dudit traitement.

Elle n'entreprendra aucune action pour convertir des données anonymes ou pseudonymisées en données non anonymes ou non pseudonymisées.

SOUS-TITRE 5. - De la protection des personnes physiques à l'égard de certains traitements de données à caractère personnel par l'unité d'information des passagers

CHAPITRE Ier. -Définitions

Article 168. § 1er. Les définitions visées à l'article 26, 1° à 3°, 8°, 10° et 11°, et à l'article 72, § 2, 6° et 7°, s'appliquent au présent sous-titre.

§ 2. Pour l'application du présent sous-titre, on entend par :

1° "la loi du 25 décembre 2016" : la loi du 25 décembre 2016 relative au traitement des données des passagers;

2° "l'UIP" : l'Unité d'information des passagers visée au chapitre 7 de la loi du 25 décembre 2016.

CHAPITRE Ier. -Définitions

Article 169. [¹ Le présent sous-titre s'applique à tout traitement de données à caractère personnel par l'UIP effectué dans le cadre des finalités visées à l'article 8 de la loi du 25 décembre 2016 lorsqu'elles relèvent de la compétence des services de renseignement et de sécurité.]¹

Les titres 1er, 2, 4, 5 et 7 de la présente loi ne s'appliquent pas aux traitements visés à l'alinéa 1er. Dans le titre 6, seuls les articles 226, 227 et 230 s'appliquent.

---

(1)2024-05-16/57, art. 13, 006; En vigueur : 15-07-2024>

CHAPITRE II. - Champ d'application

Article 170. Les données à caractère personnel sont :

1° traitées loyalement et licitement;

2° collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, compte tenu de tous les facteurs pertinents, notamment des dispositions légales et réglementaires applicables;

3° adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues ou pour lesquelles elles sont traitées ultérieurement;

4° exactes et, si nécessaire, mises à jour. Toutes les mesures raisonnables sont prises pour que les données à caractère personnel inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont obtenues ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées.

CHAPITRE III. - Conditions générales du traitement

Article 171. Les données à caractère personnel sont conservées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées et selon les modalités fixées par le chapitre 9 de la loi du 25 décembre 2016.

CHAPITRE IV. - Conservation des données à caractère personnel

Article 172. Lors du traitement de données à caractère personnel la concernant, toute personne physique a droit à la protection de ses libertés et droits fondamentaux, notamment à la protection de ses données à caractère personnel.

Article 173. La personne concernée a le droit de demander :

1° la rectification ou la suppression de ses données à caractère personnel inexactes;

2° la vérification auprès du Comité permanent R du respect des dispositions du présent sous-titre.

Article 174. Les droits visés à l'article 173 s'exercent, sans frais, par l'intermédiaire du Comité permanent R, à l'initiative de la personne concernée justifiant de son identité.

Le Comité permanent R effectue les vérifications et communique uniquement à l'intéressé qu'il a été procédé aux vérifications nécessaires.

Les modalités d'exercice de ces droits sont déterminées par la loi du 18 juillet 1991 organique du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace.

Article 175. Le Comité permanent R et l'UIP tiennent un journal des demandes d'exercice des droits par les personnes concernées.

Article 176. Une décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

CHAPITRE VI. - Obligations du responsable du traitement

Section 1re. - Obligations générales

Article 177. Le responsable du traitement :

1° fait toute diligence pour tenir les données à caractère personnel à jour, pour rectifier ou supprimer les données inexactes, incomplètes, ou non pertinentes, ainsi que celles obtenues ou traitées en méconnaissance des dispositions du présent sous-titre;

2° veille à ce que, pour les personnes agissant sous son autorité, l'accès aux données à caractère personnel et les possibilités de traitement soient limités à ce qui est utile à l'exercice de leurs fonctions ou aux besoins du service;

3° informe les personnes agissant sous son autorité des dispositions du présent sous-titre et de toute prescription pertinente, relative à la protection de la vie privée à l'égard des traitements des données à caractère personnel.

Article 178. Toute personne agissant sous l'autorité du responsable du traitement qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf sur la base d'une obligation imposée par ou en vertu d'une loi.

Section 1re. - Obligations générales

Article 179. Le responsable du traitement prend les mesures techniques et organisationnelles appropriées requises pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification, l'accès et tout autre traitement non autorisé de données à caractère personnel.

Ces mesures assurent un niveau de protection adéquat, compte tenu, d'une part, de l'état de la technique en la matière et des frais qu'entraîne l'application de ces mesures et, d'autre part, de la nature des données à caractère personnel à protéger et des risques potentiels.

Article 180. § 1er. En cas de brèche de sécurité susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement concerné la notifie au Comité permanent R dans les meilleurs délais et si possible, 72 heures après en avoir pris connaissance.

§ 2. La notification visée au paragraphe 1er décrit ou communique, à tout le moins :

1° la nature de la brèche de sécurité y compris, si possible, le nombre estimé de personnes et d'enregistrements de données à caractère personnel concernés;

2° le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;

3° les conséquences probables de la brèche de sécurité;

4° les mesures que le responsable du traitement a prises ou propose de prendre pour remédier à la brèche de sécurité, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Section 2. - Sécurité des données à caractère personnel

Article 181. § 1er. Le responsable du traitement tient un registre de la banque de données des passagers visée au chapitre 8 de la loi du 25 décembre 2016 d'une part et des banques de données mises à sa disposition d'autre part.

Ce registre comporte les informations suivantes :

1° pour la banque de données des passagers précitée :

2° pour les banques de données mises à la disposition de l'UIP :

§ 2. Le registre visé au paragraphe 1er se présente sous une forme écrite y compris la forme électronique.

§ 3. Le responsable du traitement met le registre à la disposition du Comité permanent R à sa demande.

Section 3. - Registre

Article 182. Le transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale ne peut avoir lieu que si le pays ou l'organisation en question assure un niveau de protection adéquat et moyennant le respect des autres dispositions du présent sous-titre et des dispositions du chapitre 12 de la loi du 25 décembre 2016.

Le caractère adéquat du niveau de protection s'apprécie au regard de toutes les circonstances relatives à un transfert de données à caractère personnel ou à une catégorie de transferts de données à caractère personnel. Il est notamment tenu compte de la nature des données, de la finalité et de la durée du ou des traitements envisagés, des pays d'origine et de destination finale, des règles de droit, générales et sectorielles, en vigueur dans le pays ou l'organisation en cause, ainsi que des règles professionnelles et des mesures de sécurité qui y sont respectées.

Le niveau de protection adéquat peut être assuré par des clauses de sécurité entre le responsable du traitement et le destinataire des données à caractère personnel.

Article 183. Par dérogation à l'article 182, un transfert de données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale n'assurant pas un niveau de protection adéquat, ne peut être effectué que lorsque :

1° la personne concernée a indubitablement donné son consentement au transfert envisagé; ou

2° le transfert est obligatoire dans le cadre des relations internationales; ou

3° le transfert est nécessaire à la sauvegarde de l'intérêt vital des personnes; ou

4° le transfert est nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d'un intérêt public important, ou pour la constatation, l'exercice ou la défense d'un droit en justice.

CHAPITRE VII. - Communication et transfert de données à caractère personnel

Article 184. Les traitements de données à caractère personnel tels que visés dans ce sous-titre sont soumis au contrôle de l'autorité de contrôle visée à l'article 95.

SOUS-TITRE 6. - Dispositions particulières

Article 185. § 1er. Dans la mesure nécessaire à l'exercice de leurs missions, les autorités publiques suivantes traitent des données à caractère personnel de toute nature, en ce compris celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que les données génétiques et biométriques, les données concernant la santé, celles qui portent sur la vie sexuelle ou l'orientation sexuelle et celles relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes :

1° la commission administrative chargée de la surveillance des méthodes spécifiques et exceptionnelles de recueil de données des services de renseignement et de sécurité dans le cadre de ses missions visées à la loi du 30 novembre 1998 organique des services de renseignement et de sécurité;

2° le Comité permanent R dans le cadre de ses missions visées à la loi du 18 juillet 1991 organique du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace, à la loi du 30 novembre 1998 organique des services de renseignement et de sécurité, et aux lois particulières;

3° le Comité permanent P dans le cadre de ses missions visées dans la loi du 18 juillet 1991 organique du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace et dans des lois particulières;

4° l'Organe de contrôle de l'information policière dans le cadre de ses missions visées dans l'article 71, § 1er.

§ 2. Afin de garantir la confidentialité et l'efficacité de l'exécution des missions visées au paragraphe 1er, l'accès par la personne concernée à ses données à caractère personnel est limité à celui qui est prévu dans les lois particulières.

§ 3. La personne concernée a le droit de demander la rectification ou la suppression de ses données à caractère personnel inexactes traitées par les autorités visées au paragraphe 1er.

§ 4. A l'exception de la commission administrative visée au paragraphe 1er, 1°, qui tombe sous la compétence du Comité permanent R, le traitement de données à caractère personnel par les autorités visées au premier paragraphe dans le cadre de leurs missions d'autorité de contrôle n'est pas soumis au contrôle de l'Autorité de protection des données visée dans la loi du 3 décembre 2017 portant création de l'Autorité de protection des données.

TITRE 4. - Traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques visées à l'article 89, §§ 2 et 3, du Règlement

CHAPITRE Ier. - Dispositions générales

Article 186. Le présent titre détermine le régime dérogatoire aux droits des personnes concernées visés à l'article 89, §§ 2 et 3, du Règlement.

Dans la mesure où l'exercice des droits visés à l'article 89, §§ 2 et 3, du Règlement risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des traitements à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques et où des dérogations sont nécessaires pour atteindre ces finalités, ces dérogations s'appliquent dans les conditions déterminées par le présent titre.

Article 187. Les articles 190 à 204 ne s'appliquent pas à condition de respecter un code de conduite approuvé conformément à l'article 40 du Règlement.

Article 188. Pour l'application du présent titre, on entend par :

1° "tiers de confiance" : la personne physique ou morale, l'association de fait ou l'administration publique autre que le responsable du traitement à des fins d'archive ou de recherche ou statistique, qui pseudonymise les données;

2° "communication des données" : communication des données à des tiers identifiés;

3° "diffusion des données" : publication des données, sans identification des tiers.

Article 189. Le présent titre ne s'applique pas aux traitements effectués par les autorités visés dans le titre 3.

CHAPITRE II. - Garanties générales

Article 190. Le responsable du traitement désigne un délégué à la protection des données lorsque le traitement des données à caractère personnel peut engendrer un risque élevé tel que visé à l'article 35 du Règlement.

Article 191. Préalablement à la collecte, et sans préjudice des articles 24 et 30 du Règlement, le responsable du traitement à des fins de recherche scientifique ou historique ou à des fins statistiques inclut dans le registre des activités de traitement les éléments suivants :

1° la justification de l'utilisation des données pseudonymisées ou non;

2° les motifs pour lesquels l'exercice des droits de la personne concernée risque de rendre impossible ou d'entraver sérieusement la réalisation de la finalité;

3° le cas échéant, l'analyse d'impact relatif à la protection des données lorsque le responsable du traitement à des fins de recherche scientifique ou historique ou à des fins statistiques traite des données sensibles, au sens de l'article 9.1 du Règlement.

Article 192. Préalablement à la collecte, et sans préjudice des articles 24 et 30 du Règlement, le responsable du traitement à des fins archivistiques dans l'intérêt public inclut dans le registre des activités de traitement les éléments suivants :

1° la justification de l'intérêt public des archives conservées;

2° les motifs pour lesquels l'exercice des droits de la personne concernée risque de rendre impossible ou d'entraver sérieusement la réalisation des finalités.

CHAPITRE III. - Collecte de données

Section 1re. - Collecte de données auprès de la personne concernée

Article 193. Sans préjudice de l'article 13 du Règlement, le responsable du traitement qui collecte des données à caractère personnel auprès de la personne concernée, informe celle-ci :

1° du fait que les données seront anonymisées ou non;

2° des motifs pour lesquels l'exercice des droits de la personne concernée risque de rendre impossible ou d'entraver sérieusement la réalisation des finalités.

CHAPITRE III. - Collecte de données

Article 194. Lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement conclut une convention avec le responsable du traitement initial.

L'alinéa 1er ne s'applique pas lorsque :

1° le traitement se rapporte à des données rendues publiques;

2° le droit de l'Union européenne, une loi, un décret ou une ordonnance :

En cas d'exemption de la conclusion d'une convention, le responsable du traitement informe le responsable du traitement initial de la collecte de données.

Article 195. La convention ou l'information visée à l'article 194 stipule les éléments suivants :

1° en cas de convention, les coordonnées du responsable du traitement initial et du responsable du traitement ultérieur;

2° les motifs pour lesquels l'exercice des droits de la personne concernée risque de rendre impossible ou d'entraver sérieusement la réalisation de la finalité du traitement ultérieur.

Article 196. La convention ou l'information sur la collecte de données sont annexés au registre des activités de traitement.

Article 197. Le responsable du traitement à des fins de recherche ou statistiques utilise des données anonymes.

Lorsqu'un traitement de données anonymes ne permet pas d'atteindre la finalité de la recherche ou statistique, le responsable du traitement utilise des données pseudonymisées.

Lorsqu'un traitement de données pseudonymisées ne permet pas d'atteindre la finalité de recherche ou statistique, le responsable du traitement utilise des données non-pseudonymisées.

Section 3. - Anonymisation ou pseudonymisation des données traitées à des fins de recherche scientifique ou historique ou à des fins statistiques

Article 198. Lors d'un traitement de données à des fins de recherche scientifique ou historique ou à des fins statistiques fondé sur une collecte de données auprès de la personne concernée, le responsable du traitement anonymise ou pseudonymise les données après leur collecte.

Article 199. Lors d'un traitement de données à des fins de recherche scientifique ou historique ou à des fins statistiques par un responsable du traitement ultérieur identique au responsable du traitement initial, le responsable du traitement anonymise ou pseudonymise les données préalablement à leur traitement ultérieur.

Article 200. Le responsable du traitement ne peut dépseudonymiser les données que pour les nécessités de la recherche ou des fins statistiques et, le cas échéant, après avis du délégué à la protection des données.

Article 201. Sans préjudice de dispositions particulières, lors d'un traitement de données à des fins de recherche scientifique ou historique ou à des fins statistiques par un responsable du traitement distinct du responsable du traitement initial, le responsable du traitement initial anonymise ou pseudonymise les données préalablement à leur communication au responsable du traitement ultérieur.

Le responsable du traitement ultérieur n'a pas accès aux clés de la pseudonymisation.

Article 202. § 1er. Sans préjudice de dispositions particulières, lors d'un traitement de données à des fins de recherche scientifique ou historique ou à des fins statistiques couplant plusieurs traitement initiaux, les responsables des traitements initiaux font, préalablement à la communication des données au responsable du traitement ultérieur, anonymiser ou pseudonymiser les données par l'un des responsables du traitement initial ou par un tiers de confiance.

§ 2. Sans préjudice de dispositions particulières, lors d'un traitement de données à des fins de recherche scientifique ou historique ou à des fins statistiques couplant plusieurs traitements initiaux dont l'un au moins de données sensibles, les responsables des traitements initiaux font, préalablement à la communication des données au responsable du traitement ultérieur, anonymiser ou pseudonymiser les données par le responsable du traitement initial de données sensibles ou par un tiers de confiance.

Seul le responsable du traitement initial qui a pseudonymisé les données ou le tiers de confiance a accès aux clés de pseudonymisation.

Article 203. Le tiers de confiance est :

1° soumis au secret professionnel au sens de l'article 458 du Code pénal sous réserve d'autres dispositions de la présente loi et du Règlement;

2° indépendant du responsable du traitement initial et du traitement ultérieur.

Article 204. Lorsqu'un délégué à la protection des données a été désigné conformément à l'article 190, celui-ci donne des conseils sur l'utilisation des différentes méthodes de pseudonymisation et d'anonymisation, en particulier leur efficacité en matière de protection des données.