30 JUILLET 2018. - Loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel(NOTE : Consultation des versions antérieures à partir du 05-09-2018 et mise à jour au 08-07-2024)

Section 4. - Diffusion des données traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques

Article 205. Sans préjudice du droit de l'Union européenne, des lois particulières, ordonnances et décrets prévoyant des conditions plus strictes de diffusion pour la diffusion des données traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques le responsable du traitement ne diffuse pas les données non-pseudonymisées sauf lorsque :

1° la personne concernée a donné son consentement; ou

2° les données ont été rendues publiques par la personne concernée elle-même; ou

3° les données ont une relation étroite avec le caractère public ou historique de la personne concernée; ou

4° les données ont une relation étroite avec le caractère public ou historique de faits dans lesquelles la personne concernée a été impliquée.

Article 206. Sans préjudice du droit de l'Union européenne, des lois particulières, ordonnances et décrets prévoyant des conditions plus strictes pour la diffusion des données traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, le responsable du traitement peut diffuser des données pseudonymisées, à l'exception des données à caractère personnel visées à l'article 9.1 du Règlement.

Section 4. - Diffusion des données traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques

Article 207. Sans préjudice du droit de l'Union européenne, des lois particulières, ordonnances et décrets prévoyant des conditions plus strictes pour la communication, le responsable de traitement qui communique des données non pseudonymisées à un tiers identifié pour les finalités visées à l'article 89 du Règlement, veille à ce que le tiers identifié ne puisse pas reproduire les données communiquées, sauf de manière manuscrite, lorsque :

1° il s'agit de données à caractère personnel visées aux articles 9.1 et 10 du Règlement; ou

2° la convention entre le responsable du traitement initial et le responsable du traitement ultérieur l'interdit; ou

3° cette reproduction risque de nuire à la sécurité de la personne concernée.

Article 208. L'obligation visée à l'article 207 n'est pas applicable si :

1° la personne concernée a donné son consentement; ou

2° les données ont été rendues publiques par la personne concernée elle-même; ou

3° les données ont une relation étroite avec le caractère public ou historique de la personne concernée; ou

4° les données ont une relation étroite avec le caractère public ou historique de faits dans lesquelles la personne concernée a été impliquée.

Section 5. - Communication des données traitées à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques

CHAPITRE Ier. - Action en cessation

Article 209. Sans préjudice de tout autre recours juridictionnel, administratif ou extrajudiciaire, le président du tribunal de première instance, siégeant comme en référé, constate l'existence d'un traitement constituant une violation aux dispositions légales ou réglementaires concernant la protection des personnes physiques à l'égard du traitement de leur données à caractère personnel et en ordonne la cessation.

Le président du tribunal de première instance, siégeant comme en référé, connaît de toute demande relative au droit accordé par ou en vertu de la loi, d'obtenir communication de données à caractère personnel, et de toute demande tendant à faire rectifier, supprimer ou interdire d'utiliser toute donnée à caractère personnel inexacte ou, compte tenu du but du traitement, incomplète ou non pertinente, ou dont l'enregistrement, la communication ou la conservation sont interdits, au traitement de laquelle la personne concernée s'est opposée ou qui a été conservée au-delà de la période autorisée.

Article 210. A partir du moment où le traitement visé par l'article 209 concerne des données à caractère personnel traitées lors d'une information, d'une instruction, d'une procédure pénale devant le juge de fond ou d'une procédure d'exécution d'une peine pénale, la décision concernant la rectification, l'effacement ou l'interdiction d'utiliser les données à caractère personnel, ou la limitation du traitement, appartient toutefois exclusivement, suivant la phase de la procédure, au ministère public ou au juge pénal compétent.

Article 211. § 1er. L'action en cessation est introduite par requête contradictoire conformément aux articles 1034ter à 1034sexies du Code judiciaire.

§ 2. Par dérogation à l'article 624 du même Code, l'action peut être portée, au choix du demandeur, devant le président du tribunal de première instance :

1° du domicile ou de la résidence du demandeur, si le demandeur, ou au moins un des demandeurs, est la personne concernée;

2° du domicile ou de la résidence, du siège social ou du lieu d'établissement du défendeur ou d'un des défendeurs;

3° du lieu ou d'un des lieux où une partie ou la totalité du traitement est accompli.

Lorsque le défendeur n'a ni domicile, ni résidence, ni siège social ou lieu d'établissement en Belgique, l'action peut être portée devant le président du tribunal de première instance de Bruxelles.

§ 3. L'action fondée sur l'article 209 est formée à la demande :

1° de la personne concernée;

2° de l'autorité de contrôle compétente.

Article 212. Sous réserve de l'application de dispositions contraires dans les traités internationaux en vigueur en Belgique ou dans le droit de l'Union européenne, et sans préjudice de leur compétence internationale en vertu des dispositions du Code de droit international privé, les cours et tribunaux belges ont la compétence internationale pour les affaires portées en vertu de l'article 209 de la présente loi contre :

1° un responsable du traitement ou un sous-traitant situé sur le territoire belge ou ayant un établissement, en ce qui concerne le traitement de données à caractère personnel dans le cadre des activités de cet établissement, quel que soit le lieu du traitement;

2° un responsable du traitement ou un sous-traitant qui n'est pas établi ou n'a pas un établissement sur le territoire belge, en ce qui concerne un traitement ayant des conséquences pour ou visant en tout ou en partie des personnes concernées résidant sur le territoire belge.

Article 213. L'ordonnance est notifiée à l'autorité de contrôle compétente dans les huit jours de la prononciation.

En outre, le greffier de la juridiction devant laquelle un recours est introduit contre l'ordonnance visée à l'alinéa 1er en informe sans délai l'autorité de contrôle compétente.

Article 214. Le président du tribunal de première instance peut accorder un délai pour mettre fin à la violation, lorsque la nature de la violation le nécessite. Il peut accorder la levée de la cessation lorsqu'il a été mis fin à la violation.

Article 215. Le président du tribunal de première instance peut autoriser l'affichage de sa décision ou du résumé qu'il en rédige, pendant le délai qu'il détermine, aussi bien à l'extérieur qu'à l'intérieur des établissements concernés et ordonner, selon la manière qu'il jugera appropriée, la publication de son ordonnance ou de son résumé par la voie de journaux ou de toute autre manière, le tout aux frais de la partie qui succombe.

Les mesures de publicité mentionnées à l'alinéa 1er ne peuvent toutefois être autorisées que si elles sont de nature à contribuer à la cessation de l'acte incriminé ou de ses effets.

Article 216. A la suite de l'action visée à l'article 209, le demandeur peut réclamer la réparation de son dommage conformément à la responsabilité contractuelle ou extracontractuelle.

Article 217. Lorsque des données à caractère personnel inexactes, incomplètes ou non pertinentes, ou des données à caractère personnel dont la conservation est interdite, ont été communiquées à des tiers, ou lorsque une communication de données à caractère personnel a eu lieu après l'expiration de la période durant laquelle la conservation de ces données était autorisée, le président du tribunal de première instance peut ordonner au responsable du traitement, au sous-traitant, au destinataire ou leur délégué d'informer ces tiers de la limitation du traitement, de la rectification ou de la suppression de ces données à caractère personnel.

Article 218. Lorsqu'il existe des motifs sérieux de craindre la dissimulation, la disparition ou l'inaccessibilité des éléments de preuve qui peuvent être invoqués à l'appui d'une action prévue au présent chapitre, le président du tribunal de première instance, saisi par voie de requête unilatérale ordonne toute mesure de nature à éviter cette dissimulation, disparition ou inaccessibilité.

Article 219. Sans préjudice de l'article 210, les dispositions du présent chapitre ne limitent pas la compétence du tribunal de première instance et du président du tribunal de première instance siégeant en référé.

CHAPITRE II. - Représentation des personnes concernées

Article 220. § 1er. La personne concernée a le droit de mandater un organe, une organisation ou une association à but non lucratif, pour qu'il introduise une réclamation en son nom et exerce en son nom les recours administratifs ou juridictionnels soit auprès de l'autorité de contrôle compétente soit auprès de l'ordre judiciaire tels que prévus par les lois particulières, le Code judiciaire et le Code d'Instruction criminelle.

§ 2. Dans les litiges prévus au paragraphe 1er, un organe, une organisation ou une association sans but lucratif doit :

1° être valablement constituée conformément au droit belge;

2° avoir la personnalité juridique;

3° avoir des objectifs statutaires d'intérêt public;

4° être actif dans le domaine de la protection des droits et libertés des personnes concernées dans le cadre de la protection des données à caractère personnel depuis au moins trois ans.

§ 3. L'organe, l'organisation ou l'association sans but lucratif fournit la preuve, par la présentation de ses rapports d'activités ou de toute autre pièce, que son activité est effective depuis au moins trois ans, qu'elle correspond à son objet social et que cette activité est en relation avec la protection de données à caractère personnel.

CHAPITRE II. - Représentation des personnes concernées

CHAPITRE II. - Représentation des personnes concernées

Article 221. § 1er. Les compétences correctrices de l'autorité de contrôle en vertu de l'article 58.2 du Règlement s'appliquent également aux articles 7 à 10, 20 à 24, 28 à 70 et au titre 4 de la présente loi.

Sans préjudice de dispositions particulières, l'alinéa 1er ne s'applique pas aux traitements effectués par les autorités visées à l'article 26, 7°, b), dans l'exercice de leur fonction juridictionnelle.

§ 2. L'article 83 du Règlement ne s'applique pas aux autorités publiques et leurs préposés ou mandataires sauf s'il s'agit de personnes morales de droit public qui offrent des biens ou des services sur un marché.

TITRE 6. - Sanctions

Article 222. Le responsable du traitement ou le sous-traitant, son préposé ou mandataire, l'autorité compétente, visés aux titres 1er et 2, est puni d'une amende de deux cent cinquante euros à quinze mille euros lorsque :

1° les données à caractère personnel sont traitées sans base juridique conformément à l'article 6 du Règlement et aux articles 29, § 1er, et 33, § 1er, de la présente loi, y compris les conditions relatives au consentement et au traitement ultérieur;

2° les données à caractère personnel sont traitées en violation des conditions imposées par l'article 5 du Règlement et par l'article 28 de la présente loi par négligence grave ou avec intention malveillante;

3° le traitement ayant fait l'objet d'une objection conformément à l'article 21.1 du Règlement est maintenu sans raisons juridiques impérieuses;

4° le transfert de données à caractère personnel à un destinataire dans un pays tiers ou à une organisation internationale est effectué en violation des garanties, conditions ou exceptions prévues dans les articles 44 à 49 du Règlement ou des articles 66 à 70 de la présente loi par négligence grave ou avec intention malveillante;

5° la mesure correctrice adoptée par l'autorité de contrôle visant la limitation temporaire ou définitive des flux conformément à l'article 58.2.f) du Règlement n'est pas respectée;

6° la mesure correctrice adoptée par l'autorité de contrôle au sens de l'article 58.2.d) du Règlement n'est pas respectée;

7° il a été fait obstacle aux missions légales de vérification et de contrôle de l'autorité de contrôle compétente, de ses membres ou de ses experts;

8° de la rébellion, dans le sens de l'article 269 du Code pénal, a été commise à l'encontre des membres de l'autorité de contrôle;

9° la certification visée à l'article 42 du Règlement est revendiquée ou des sceaux de certification en matière de protection des données sont utilisées publiquement alors que ces certifications, labels ou marques n'ont pas été délivrés par une entité accréditée ou ceux-ci sont utilisés après que la validité de la certification, du sceau ou de la marque a expiré;

10° la certification visée à l'article 42 du Règlement a été obtenue sur la base de faux documents ou de documents erronés;

11° des tâches sont exécutées en tant qu'organisme de certification alors que celui-ci n'a pas été accrédité par l'organisme national d'accréditation compétent;

12° l'organisme de certification ne se conforme pas aux principes et aux tâches auxquels il est soumis tels que prévus aux articles 42 et 43 du Règlement;

13° les tâches de l'organisme visée à l'article 41 du Règlement sont exécutées sans agrément par l'autorité de contrôle compétente;

14° l'organisme agréé visé à l'article 41 du Règlement n'a pas pris les mesures appropriées en cas de violation du code de conduite tel que visé à l'article 41.4 du Règlement.

Article 223. Est puni d'une amende de cinq cents euros à trente mille euros, le responsable du traitement visé au titre 1er, le sous-traitant ou la personne agissant sous leur autorité qui :

1° a, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, informé la personne concernée de l'existence d'une donnée à caractère personnel la concernant émanant d'une autorité visée au titre 3 en violation de l'article 11, alors qu'il connaissait l'origine de la donnée et qu'il ne se trouvait pas dans un des cas visés à l'article 11, § 2, alinéa 1er, 1° ou 2° ;

2° a, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, informé la personne concernée qu'une autorité visée au titre 3 est destinataire d'une de ses données à caractère personnel en violation de l'article 12.

Article 224. Est puni d'une amende de deux cents euros à dix mille euros, tout membre ou tout membre du personnel de l'autorité de contrôle compétente ou tout expert qui a violé l'obligation de confidentialité à laquelle il est astreint.

Article 225. En condamnant du chef d'infraction aux articles 222 ou 223, le tribunal peut ordonner l'insertion du jugement, intégralement ou par extraits, dans un ou plusieurs journaux, dans les conditions qu'il détermine, aux frais du condamné.

Article 226. Est puni d'une amende de cent euros à dix mille euros, le responsable du traitement ou la personne agissant sous l'autorité d'une autorité visée au titre 3 ou de son sous-traitant qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, n'a pas respecté une des obligations de confidentialité et de sécurité visées aux articles 83 à 86, 116 à 119, 149 à 152, 177 et 178.

Article 227. Est puni d'une amende de cent euros à vingt mille euros :

1° le responsable du traitement, le sous-traitant, la personne agissant sous l'autorité de l'autorité visée au titre 3 ou du sous-traitant ou le mandataire qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, qui traite des données à caractère personnel en dehors des cas prévus aux articles 74, 108, 140 et 170;

2° le responsable du traitement, le sous-traitant ou le mandataire qui traite des données à caractère personnel en infraction aux conditions du traitement imposées par les articles 75, 109, 141 et 170 et la personne agissant sous l'autorité d'une autorité visée au titre 3 ou du sous-traitant qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, traite des données à caractère personnel en infraction aux conditions imposées par les articles 75, 109, 141 et 170;

3° quiconque qui, pour contraindre une personne à lui donner son autorisation au traitement de données à caractère personnel la concernant, a usé à son égard de voies de fait, de violence ou menaces, de dons ou de promesses;

4° quiconque a transféré, fait ou laissé transférer, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, des données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale sans qu'il ait été satisfait aux exigences prévues aux articles 93, 94, 126, 127, 159, 160, 182 et 183;

5° toute personne qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, a accès à des données à caractère personnel visées aux articles 99, 132 et 162 à des fins historiques, scientifiques ou statistiques, et qui traite ces données en violation des articles 102, 104, 135, 137, 165 ou 167.

Article 228. Sans préjudice de dispositions particulières, le responsable du traitement, le sous-traitant, ou son représentant en Belgique est civilement responsable du paiement des amendes auxquelles son préposé ou mandataire a été condamné.

Article 229. § 1er. En ce qui concerne les infractions visées aux articles 222 et 223, l'autorité de contrôle compétente et le Collège des procureurs généraux peuvent conclure un protocole régissant les accords de travail entre l'autorité de contrôle et le ministère public dans des dossiers portant sur des faits pour lesquels la législation prévoit aussi bien la possibilité d'une amende administrative que la possibilité d'une sanction pénale.

Le Roi fixe les modalités et le modèle de ce protocole par arrêté délibéré en Conseil des ministres.

Ce protocole respecte l'ensemble des dispositions légales concernant notamment les procédures prévues pour les contrevenants et ne peut déroger aux droits des contrevenants.

Le protocole est publié au Moniteur belge et sur le site internet de l'autorité de contrôle compétente.

§ 2. A défaut de protocole et pour les infractions visées aux articles 222 et 223 le procureur du Roi dispose d'un délai de deux mois, à compter du jour de la réception de l'original du procès-verbal, pour communiquer à l'autorité de contrôle compétente qu'une information ou une instruction a été ouverte ou que des poursuites ont été entamées. Cette communication éteint la possibilité pour l'autorité de contrôle d'exercer ses compétences correctrices.

L'autorité de contrôle compétente ne peut infliger une sanction avant l'échéance de ce délai. A défaut de communication de la part du Procureur du Roi dans les deux mois, les faits ne peuvent être sanctionnés que de manière administrative.

Article 230. Toutes les dispositions du livre 1er du Code pénal, y compris le chapitre VII et l'article 85, s'appliquent aux infractions prévues par la présente loi ou par les arrêtés pris pour son exécution.

TITRE 7. - Organe de contrôle de l'information policière

CHAPITRE Ier. - Composition et statut des membres et du service d'enquête

Article 231. § 1er. L'Organe de contrôle de l'information policière, ci-après dénommé "Organe de contrôle", se compose de trois membres effectifs dont un président, lesquels exercent leurs fonctions à temps plein. Outre le président qui est un magistrat, l'Autorité de contrôle se compose d'un magistrat du ministère public, et d'un expert.

Un des membres qui est fonctionnellement bilingue exclu, l'organe de contrôle comprend autant de membres d'expression française que de membres d'expression néerlandaise. Les membres ont une connaissance fonctionnelle de la deuxième langue nationale et de l'anglais. Au moins un membre possède aussi une connaissance fonctionnelle de l'allemand. Tous sont nommés par la Chambre des représentants qui peut les démettre de leurs fonctions si les conditions prévues à l'article 232 ne sont plus rencontrées ou pour motifs graves. Ils ne peuvent être relevés de leurs fonctions en raison des opinions qu'ils émettent ou des actes qu'ils accomplissent pour remplir leurs missions.

§ 2. Les membres de L'Organe de contrôle sont nommés, sur la base de leur compétence, de leur expérience, de leur indépendance et de leur autorité morale par la Chambre des représentants pour un terme de six ans renouvelable une fois.

Ce délai prend cours à partir de la prestation de serment. A l'issue de ce terme, les membres continuent à exercer leurs fonctions jusqu'à la prestation de serment de leur successeur.

Les membres ne peuvent occuper aucun mandat public conféré par élection. Ils ne peuvent exercer d'emploi ou d'activité public ou privé qui pourrait mettre en péril l'indépendance ou la dignité de la fonction ou qui est incompatible avec leur fonction.

§ 3. Avant d'entrer en fonction, les membres de l'Organe de contrôle prêtent, entre les mains du président de la Chambre des représentants, le serment prescrit par l'article 2 du décret du 20 juillet 1831.

§ 4. L'Organe de contrôle est, en outre, composé d'un service enquête ci-après dénommé "service d'enquête", lequel est composé de trois membres effectifs lesquels exercent leurs fonctions à temps plein, dont deux membres des services de police au sens de l'article 2, 2°, de la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux, et d'un expert.

Le service d'enquête relève de l'autorité exclusive de l'Organe de contrôle. L'Organe de contrôle exerce son autorité sur le service d'enquête, lui confie des missions et reçoit des rapports sur toutes les missions qui sont effectuées.

§ 5. Les membres du service d'enquête de l'Organe de contrôle sont nommés par l'Organe de contrôle, lequel peut également les démettre de leurs fonctions si les conditions déterminées à l'article 232 ne sont plus rencontrées ou pour motifs graves. Les membres du service d'enquête de l'Organe de contrôle sont nommés, sur la base de leurs compétences, pour un mandat renouvelable de six ans.

§ 6. Avant d'entrer en fonction, les membres du service d'enquête prêtent, entre les mains du président de l'Organe de contrôle, le serment prescrit par l'article 2 du décret du 20 juillet 1831.

Article 232. § 1er. Au moment de leur nomination, les membres de l'Organe de contrôle remplissent les conditions suivantes :

1° être belge;

2° jouir des droits civils et politiques;

3° être de conduite irréprochable;

4° justifier d'une expertise en matière de protection des données à caractère personnel et en matière de gestion de l'information policière;

5° être titulaire d'une habilitation de sécurité du niveau "très secret" octroyée conformément à la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité;

6° ne pas exercer une fonction dans une cellule stratégique ministérielle fédérale ou régionale.

§ 2. Au moment de leur nomination, le président et le magistrat du ministère public justifient d'une expérience pertinente ou d'une expertise d'au moins dix ans en tant qu'expert en matière de protection des données à caractère personnel et de gestion de l'information policière.

§ 3. Au moment de sa nomination, l'expert de l'Organe de contrôle remplit les conditions spécifiques suivantes :

1° justifier d'une expérience de dix ans en tant qu'expert en matière de protection des données à caractère personnel et de gestion de l'information policière;

2° être titulaire d'un diplôme de licencié ou de master en droit donnant accès aux emplois de niveau A dans les administrations de l'Etat.

§ 4. En cas de vacance d'un mandat de membre de l'Organe de contrôle, et ce, quelle qu'en soit la cause, il est procédé à son remplacement pour la durée du mandat restant à courir.

§ 5. Au moment de leur nomination, les membres du service d'enquête remplissent les conditions suivantes :

1° être belge;

2° jouir des droits civils et politiques;

3° être de conduite irréprochable;

4° justifier d'une expertise en matière de protection des données à caractère personnel et en matière de gestion de l'information policière;

5° être titulaire d'une habilitation de sécurité du niveau "très secret" octroyée conformément à la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité;

6° ne pas exercer une fonction dans une cellule stratégique ministérielle fédérale ou régionale.

§ 6. Au moment de leur nomination, les membres du personnel des services de police, qui sont membres du service d'enquête, remplissent les conditions spécifiques suivantes :

1° compter au moins dix ans d'ancienneté de service et être au moins revêtu du grade de commissaire de police ou de niveau A lorsqu'il s'agit d'un membre du personnel du cadre administratif et logistique;

2° ne pas avoir fait l'objet d'une évaluation finale qualifiée "insuffisante" au cours des cinq années qui ont précédé l'introduction de la candidature, ni avoir encouru une sanction disciplinaire lourde non effacée;

3° justifier d'une expérience d'au moins deux ans en matière de traitement de l'information policière ou de protection des données à caractère personnel.

§ 7. Au moment de leur nomination, les experts membres du service d'enquête remplissent les conditions spécifiques suivantes :

1° justifier d'une expérience de cinq ans en tant qu'expert en matière de protection des données à caractère personnel et de gestion de l'information policière;

2° être titulaire d'un diplôme de licencié ou master donnant accès aux emplois de niveau A dans les administrations de l'Etat.

Article 233. § 1er. L'Organe de contrôle élabore son règlement d'ordre intérieur et peut définir sa propre organisation. Le règlement d'ordre intérieur est soumis à l'approbation de la Chambre des représentants.

Le président assure, dans le respect de la collégialité, la direction des réunions de L'Organe de contrôle et la gestion journalière des activités. Il veille au bon fonctionnement de l'Organe de contrôle, à la bonne exécution de ses missions ainsi qu'à l'application du règlement d'ordre intérieur. Le règlement d'ordre intérieur précité détermine quel membre assume les missions du président en cas d'absence ou d'empêchement de ce dernier.

§ 2. Les membres de l'Organe de contrôle ne reçoivent ni cherchent dans les limites de leurs attributions, de façon directe ou indirecte, d'instructions de personne. Il leur est interdit d'être présents lors d'une délibération ou décision sur les dossiers pour lesquels ils ont un intérêt personnel ou direct ou pour lesquels leurs parents ou alliés jusqu'au quatrième degré ont un intérêt personnel ou direct.

§ 3. Les membres de l'Organe de contrôle et les membres de son personnel n'encourent aucune responsabilité civile en raison de leurs décisions, actes ou comportements dans l'exercice des missions légales de l'autorité de contrôle sauf en cas de dol ou de faute lourde.

§ 4. Les membres de l'Organe de contrôle sont tenus, durant et après l'exercice de leur mandat et contrat respectifs, de garder le secret à égard des faits, actes ou renseignements dont ils ont eu connaissance en raison de leurs fonctions. Toute violation du secret professionnel est punie conformément à l'article 458 du Code pénal.

Article 234. § 1er. Les membres de l'Organe de contrôle jouissent d'un statut identique à celui des conseillers de la Cour des comptes. Les règles régissant le statut pécuniaire des conseillers de la Cour des comptes, contenues dans la loi du 21 mars 1964 relative aux traitements des membres de la Cour des comptes, telle qu'elle a été modifiée par les lois des 14 mars 1975 et 5 août 1992, s'appliquent aux membres de l'Organe de contrôle. Leur ancienneté pécuniaire déjà acquise est prise en considération et ils ont également droit aux augmentations intercalaires dans ce barème.

Les membres du service d'enquête bénéficient d'un traitement tel que défini dans le barème A3 du statut des agents de l'Autorité de protection des données crée par la loi du 3 décembre 2017 portant la création de l'Autorité de protection des données. Leur ancienneté pécuniaire déjà acquise est prise en considération et ils ont également droit aux augmentations intercalaires dans ce barème. Tous les avantages pécuniaires du statut des agents de l'Autorité de protection des données s'appliquent à eux.

Les membres de l'Organe de contrôle et les membres du service d'enquête bénéficient du régime de pension applicable aux fonctionnaires de l'administration générale. Ces pensions sont à charge du Trésor public. Le mandat des membres de l'Organe de contrôle et du service enquête sont assimilés, en matière de pensions, à une nomination à titre définitif.

§ 2. Les membres du service d'enquête qui sont membres des services de police peuvent, après la fin de leur mandat auprès de l'autorité de contrôle, réintégrer leur corps de police d'origine, dans le statut qu'ils avaient au moment de leur nomination à l'Organe de contrôle. Ils conservent pendant leur mandat, dans le service ou dans l'administration dont ils sont originaires, leurs droits à la promotion et aux augmentations de traitement. Le membre du personnel des services de police, membre du service d'enquête, candidat pour une fonction au sein des services de police et reconnu apte pour celle-ci, bénéficie de la priorité sur tous les autres candidats pour ce qui concerne l'attribution de cette fonction, même si ces derniers disposent d'une priorité accordée en vertu de la loi. Cette priorité vaut pendant la dernière année des six années prestées au sein de l'Organe de contrôle.

Une période de priorité de deux années est accordée sous les mêmes conditions à partir du début de la dixième année au service de l'Organe de contrôle.

§ 3. Un congé pour mission d'intérêt général est octroyé au membre de l'Organe de contrôle qui est magistrat de l'ordre judiciaire, fonctionnaire de la fonction publique ou membre des services de police pour la durée de leur mandat. Ils conservent, pendant leur mandat à l'Organe de contrôle ou le service d'enquête, dans le service ou dans l'administration dont ils sont originaires, leurs droits à la promotion et aux augmentations de traitement.

Article 235. § 1er. L'Organe de contrôle dispose d'un secrétariat composé d'un assistant de direction, d'un juriste et d'un informaticien. Ces membres du personnel jouissent du traitement suivant, prévu dans le statut des fonctionnaires de la fonction publique fédérale, soit :

• Assistant de direction : barème A1

• Juriste : barème A3

• Informaticien : barème A3

Ils sont recrutés par l'Organe de contrôle qui peut se faire assister par un expert en ressources humaines.

§ 2. Le secrétariat et les membres de son personnel sont placés sous l'autorité des membres de l'Organe de contrôle et sont au quotidien sous la direction du président de l'Organe de contrôle.

CHAPITRE II. - Les missions

Article 236. § 1er. L'Organe de contrôle est chargé des missions prévues à l'article 71, § 1er, alinéa 3, 1° à 3°.

§ 2. L'Organe de contrôle émet soit d'initiative soit sur demande du gouvernement ou de la Chambre des représentants, d'une autorité administrative ou judiciaire ou d'un service de police, des avis sur toute question relative à la gestion de l'information policière, comme prévu entre autres dans la section 12 du chapitre 4 de la loi du 5 août 1992, sur la fonction de police.

L'Organe de contrôle émet ses avis dans les soixante jours après la communication de toutes les données nécessaires à cet effet à l'autorité de contrôle. Les avis de l'Organe de contrôle sont motivés. L'Organe de contrôle communique son avis à l'autorité concernée.

Dans les cas où l'avis de l'Organe de contrôle est requis en vertu d'une disposition de la présente loi, le délai visé à l'alinéa 2 est réduit à quinze jours minimum dans des cas d'urgence spécialement motivés.

§ 3. Dans le cadre de la mission prévue à l'article 71, § 1er, alinéa 3, 3°, l'Organe de contrôle est en particulier chargé du respect de la communication des informations et données à caractère personnel des banques de données policières, de l'accès direct à la Banque de données nationale générale et aux banques de données techniques et de leur consultation directe, et également du respect de l'obligation visée à l'article 44/7, alinéa 3, de la loi du 5 août 1992 sur la fonction police, pour tous les membres de services de police, d'alimenter cette banque de données.

Article 237. L'Organe de contrôle agit d'initiative, à la demande de l'Autorité de protection des données visée à l'article 2, 1°, de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, des autorités judiciaires ou administratives, du ministre de la Justice ou du ministre de l'Intérieur, du ministre compétent pour la protection de la vie privée ou de la Chambre des représentants.

Lorsque l'Organe de contrôle agit d'initiative, il en informe immédiatement la Chambre des représentants.

Lorsque le contrôle a eu lieu au sein d'un corps de la police locale, l'Organe de contrôle en informe le bourgmestre ou le collège de police et lui adresse son rapport.

Lorsque le contrôle concerne des informations et des données à caractère personnel concernant l'exécution des missions de police judiciaire, le rapport y relatif qui est établi par l'Organe de contrôle est également transmis au magistrat du ministère public compétent.

Article 238. L'Organe de contrôle fait rapport à la Chambre des représentants dans les cas suivants :

1° annuellement, par un rapport général d'activités qui comprend, le cas échéant, des conclusions et des propositions d'ordre général et qui couvre la période allant du 1er janvier au 31 décembre de l'année précédente. Ce rapport est transmis au plus tard le 1er juin au président de la Chambre des représentants ainsi qu'aux ministres compétents visés à l'article 237, alinéa 1er;

2° chaque fois qu'il l'estime utile ou à la demande de la Chambre des représentants, par un rapport d'activités intermédiaire relatif à un dossier d'enquête déterminé, lequel peut comprendre, le cas échéant, des conclusions et des propositions d'ordre général. Ce rapport est transmis au président de la Chambre des représentants ainsi qu'aux ministres compétents visés à l'article 237, alinéa premier;

3° lorsque la Chambre des représentants lui a confié une mission;

4° lorsqu'au terme d'un délai qu'il estime raisonnable, il constate qu'aucune suite n'a été réservée à ses conclusions, ou que les mesures prises sont inappropriées ou insuffisantes. Ce délai ne peut être inférieur à soixante jours.

Article 239. § 1er. L'Organe de contrôle veille, au moyen d'enquêtes de fonctionnement, à ce que le contenu de la Banque de données nationale générale, les banques de données de base, les banques de données particulières et les banques de données techniques, ainsi que la procédure de traitement des données et informations qui y sont conservées, soient conformes à ce qui est prescrit par les articles 44/1 à 44/11/13 de la loi du 5 août 1992 sur la fonction de police et à leurs mesures d'exécution.

§ 2. L'Organe de contrôle vérifie en particulier la régularité des traitements suivants au sein de la Banque de données nationale générale, les banques de données de base, les banques de données particulières et les banques de données techniques :

1° l'évaluation des données et informations;

2° l'enregistrement des données et informations collectées;

3° la validation des données et informations par les organes compétents à cet effet;

4° la saisie des données et informations enregistrées en fonction du caractère concret ou de la fiabilité de celles-ci;

5° l'effacement et l'archivage des données et informations à l'échéance de leur délai de conservation.

§ 3. L'Organe de contrôle vérifie en particulier le caractère effectif des fonctionnalités et opérations de traitement suivantes, prescrites par les autorités de police compétentes :

1° les relations entre les catégories de données et informations enregistrées au moment de leur saisie;

2° la réception des données et informations par les autorités et services légalement habilités à les consulter;

3° la communication des données et informations vers les autorités et services légalement habilités;

4° la connexion avec d'autres systèmes de traitement de l'information;

5° les règles particulières de saisie des données et informations en fonction de leur caractères adéquat, pertinent et non excessif et de la fiabilité concrète de celles-ci.

Article 240. L'Organe de contrôle :

1° favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement des données à caractère personnel effectués par les services prévus à l'article 26, 7°, a), d), et f);

2° encourage la sensibilisation des responsables du traitement et des sous-traitants aux obligations légales à l'égard des traitements de données à caractère personnel;

3° fournit, sur demande, à toute personne concernée, des informations sur l'exercice de ses droits découlant la présente loi, et, le cas échéant, coopère à cette fin avec les autorités de contrôle d'autres Etats membres. La demande d'une autre autorité de contrôle reçoit réponse le plus vite possible et en tout cas dans les trente jours après la réception de la demande;

4° traite des réclamations, enquête sur l'objet de la réclamation dans la mesure nécessaire, et informe l'auteur de la réclamation de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable, notamment si un complément d'enquête ou une coordination avec une autre autorité de contrôle est nécessaire. L'organe de Contrôle peut décider de ne pas donner suite à une plainte ou à une réclamation qui est manifestement non fondée.

5° établit et tient à jour la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise, en application de l'article 35.4 du Règlement;

6° encourage l'élaboration de codes de conduite en application de l'article 40.1, du Règlement, rend un avis et approuve les codes de conduite qui fournissent des garanties suffisantes, en application de l'article 40.5 du Règlement;

7° encourage la mise en place de mécanismes de certification pour la protection des données ainsi que de labels et de marques en matière de protection des données, et approuve les critères de certification en application de l'article 42 du Règlement;

8° procède, le cas échéant, à l'examen périodique des certifications délivrées;

9° rédige et publie les critères d'agrément d'un organisme chargé du suivi des codes de conduite en application de l'article 41 du Règlement et d'un organisme de certification en application de l'article 43 du Règlement;

10° procède à l'agrément d'un organisme chargé du suivi des codes de conduite et d'un organisme de certification.

Article 241. L'Organe de contrôle peut déléguer à un ou plusieurs de ses membres, membres du service d'enquête ou son personnel le pouvoir de représenter l'Organe de contrôle au sein de comités ou groupes auxquels il est tenu ou choisit de participer en tant qu'autorité de contrôle dans le secteur de la police.

Article 242. L'Organe de contrôle peut procéder à une large enquête ou à une large consultation publique ou à une enquête ou consultation plus ciblée des représentants du secteur de la police.

Article 243. § 1er. L'Organe de contrôle exécute les obligations internationales liées aux missions et compétences attribuées par la présente loi. Ces obligations peuvent consister dans la collaboration de l'Organe de contrôle avec toute instance ou autre autorité de protection des données d'un autre Etat en faisant usage des compétences qui lui sont conférées en vertu de la législation en vigueur.

Cette collaboration peut porter sur :

1° la création de pôles d'expertise;

2° l'échange d'informations;

3° l'assistance mutuelle dans le cadre de mesures de contrôle;

4° le partage de ressources humaines et financières.

La collaboration peut se concrétiser par des accords de coopération.

§ 2. L'Organe de contrôle est habilité à désigner à cet égard certains de ses membres, membres du service d'enquête ou membres du personnel en tant que représentants auprès d'autorités internationales.

CHAPITRE III. - Compétences de l'Organe de contrôle, ses membres et des membres du service d'enquête

Article 244. § 1er. L'Organe de contrôle, ses membres et les membres du service d'enquête ont un accès illimité à toutes informations et données traitées par les services visés par l'article 26, 7°, a), d), et f), et en particulier, les services de police conformément aux articles 44/1 à 44/11/13 de la loi du 5 août 1992 sur la fonction de police, en ce compris celles contenues dans la Banque de données nationale générale, dans les banques de données de base, dans les banques de données particulières, dans les banques de données techniques et dans les bases de données internationales alimentées par les services de police belges.

Les services de police transmettent d'initiative à l'Organe de contrôle les règlements et les directives internes relatifs au traitement des données à caractère personnel et de l'information policière nécessaires à l'accomplissement de ses missions. L'Organe de contrôle et le service d'enquête ont le droit de se faire communiquer tous les textes qu'ils estiment nécessaires à l'accomplissement de leur mission.

L'Organe de contrôle, ses membres et les membres du service d'enquête peuvent effectuer des enquêtes sur place. A cette fin, ils ont un droit d'accès illimité aux locaux dans lesquels et pendant le temps où les informations et données visées à l'alinéa 1er sont traitées.

§ 2. Ils peuvent saisir dans ces lieux tous les objets, documents et données d'un système informatique utiles pour leur enquête, à l'exception de ceux qui concernent une information ou une instruction judiciaire en cours.

Si le chef de corps ou son remplaçant estime que la saisie risque de faire courir un danger physique à une personne, la question est soumise au président de l'Organe de contrôle ou le magistrat qui le remplace, lequel statue. Les objets et documents saisis sont mentionnés dans un registre spécial tenu à cet effet.

§ 3. Les membres de l'Organe de contrôle et du service d'enquête font, en tout lieu, les constatations qui s'imposent.

L'Organe de contrôle ou ses membres peuvent, dans l'exercice de leurs missions, requérir l'assistance de la force publique.

§ 4. L'Organe de contrôle, ses membres et les membres du service d'enquête peuvent imposer des délais de réponse contraignants aux membres de la police fédérale ou de la police locale auxquels ils adressent des questions dans l'exécution de leurs missions.

§ 5. L'Organe de contrôle a accès, pour l'exercice du contrôle organisé par la présente loi, aux données de l'article 3, alinéa 1er, 1° à 6°, 9° et 9° /1, et alinéa 2, de la loi du 8 août 1983 organisant un registre national des personnes physiques.

En vue de l'exercice de ce contrôle, l'Organe de contrôle peut utiliser le numéro de registre national.

Article 245. § 1er. Sans préjudice des dispositions légales relatives aux immunités et aux privilèges de juridiction, les membres de l'Organe de contrôle et les membres du service d'enquête peuvent inviter, afin de l'entendre, toute personne dont ils estiment l'audition nécessaire. Les membres ou anciens membres des services de police sont tenus de donner suite à toute convocation écrite.

Les membres ou anciens membres des services de police peuvent faire une déclaration sur des faits couverts par le secret professionnel.

§ 2. Le président de l'Organe de contrôle peut faire citer des membres ou anciens membres des services de police par intervention d'un huissier de justice. Les membres ou anciens membres des services de police déposent après avoir prêté le serment prévu à l'article 934, alinéa 2, du Code judiciaire.

Les membres ou anciens membres des services de police révèlent à l'Organe de contrôle les secrets dont ils sont dépositaires, à l'exception de ceux qui concernent une information ou une instruction judiciaire en cours.

Si le membre ou l'ancien membre du service de police estime devoir garder le secret dont il est dépositaire parce que sa révélation risquerait de faire courir un danger physique à une personne, la question est soumise au président de l'Organe de contrôle ou le magistrat qui le remplace, qui statue.

Si le membre ou l'ancien membre du service de police estime devoir garder le secret dont il est dépositaire, la question est soumise au Commissaire général ou au chef de corps en fonction du service de police auquel l'intéressé appartient, qui statue.

§ 3. L'Organe de contrôle peut requérir la collaboration d'interprètes et d'experts. Ils prêtent le serment visé à l'article 290 du Code d'instruction criminelle. Les indemnités qui leurs sont dues sont réglées conformément au tarif des frais en matières pénales.

§ 4. L'article 9 de la loi du 3 mai 1880 sur les enquêtes parlementaires s'applique aux membres ou anciens membres des services de police qui sont entendus ou cités par l'Organe de contrôle à titre de témoins et aux experts et interprètes qui sont requis.

Les procès-verbaux constatant les infractions commises sont établis par un membre de l'Organe de contrôle ou un membre du service d'enquête et sont transmis au procureur du Roi dans le ressort duquel elles sont commises.

Les membres ou anciens membres des services de police qui refusent de témoigner devant l'Organe de contrôle et qui refusent leur collaboration sont punis d'un emprisonnement d'un mois à deux ans et d'une amende de cent euros à mille euros ou d'une de ces peines seulement.

Article 246. Sans préjudice de l'article 44/1 de la loi du 5 août 1992 sur la fonction de police, tous les services de l'Etat, y compris les parquets et les greffes des cours et de toutes les juridictions, des provinces, des communes, des associations dont elles font partie, des institutions publiques qui en dépendent, sont tenus, vis-à-vis de l'Organe de contrôle, de ses membres ou des membres du service d'enquête et à leur demande, de leur fournir tous les renseignements que ces derniers estiment utiles au contrôle du respect de la législation dont ils sont chargés, ainsi que de leur produire, pour en prendre connaissance, tous les supports d'information et de leur en fournir des copies sous n'importe quelle forme.

Si ces renseignements font partie d'une enquête pénale ou judiciaire en cours, ils ne seront transmis que moyennant l'autorisation préalable du ministère public compétent.

Article 247. L'Organe de contrôle décide du suivi qu'il donne à une réclamation au sens de l'article 240, alinéa 1er, 4°, et a le pouvoir de :

1° conclure que le traitement est effectué en conformité avec les dispositions de la réglementation relative au traitement des données à caractère personnel;

2° avertir les services visés à l'article 26, 7°, a), d) et f), ou leur sous-traitant du fait qu'un traitement envisagé de données à caractère personnel est susceptible de violer la règlementation relative aux traitements des données à caractère personnel;

3° rappeler à l'ordre les services visés à l'article 26, 7°, a), d) et f), ou leur sous-traitant lorsqu'un traitement a entraîné une violation d'une disposition de la règlementation relative aux traitements des données à caractère personnel;

4° ordonner aux services visés à l'article 26, 7°, a), d) et f), ou à leur sous-traitant de mettre un traitement en conformité avec les dispositions de la réglementation relative au traitement des données à caractère personnel, le cas échéant, de manière spécifique et dans un délai déterminé;

5° imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement;

6° ordonner la rectification ou l'effacement de données à caractère personnel;

7° transmettre le dossier au ministère public compétent qui l'informe des suites données au dossier;

8° retirer une certification visée à l'article 240, ou ordonner à l'organisme de certification de retirer la certification délivrée ou ordonner à l'organisme de certification de ne pas délivrer de certification;

9° ordonner aux services visés à l'article 26, 7°, a), d) et f), ou à leur sous-traitant de communiquer à la personne concernée une brèche de sécurité en violation de données à caractère personnel.

Article 248. § 1er. L'Organe de contrôle informe les parties de sa décision et de la possibilité de recours dans un délai de trente jours, à compter de la notification de la décision, à la Cour d'appel du domicile ou du siège du demandeur.

Sauf les exceptions prévues par la loi ou sauf si l'Organe de contrôle en décide autrement par décision spécialement motivée, la décision est exécutoire par provision, nonobstant recours.

§ 2. Un recours peut être introduit contre les décisions de l'Organe de contrôle en vertu de l'article 247, 1°, 3°, 4°, 5°, 6°, 8° ou 9° devant la Cour d'appel du domicile ou du siège du demandeur qui traite l'affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire

Article 249. L'Organe de contrôle informe le service visé à l'article 26, 7°, a), d) et f), des enquêtes effectuées sur le traitement de données à caractère personnel par ses sous-traitants et de leurs résultats.

Lorsqu'il en prend connaissance, l'Organe de contrôle informe également les services visés à l'article 26, 7°, a), d) et f), des violations de la réglementation relative aux traitements de ses données à caractère personnel par d'autres responsables du traitement.

Article 250. L'Organe de contrôle émet, à l'adresse de l'autorité compétente, dans les deux semaines de la réception de la demande, un avis circonstancié sur la désignation, la promotion, la nomination ou la mutation des membres du personnel des services de police chargés de la gestion de la Banque de données nationale générale.

L'Organe de contrôle émet, à l'adresse du ministre compétent, dans les deux semaines à dater de la réception de la demande, un avis circonstancié sur l'opportunité d'entamer une procédure disciplinaire à l'égard du chef du service gérant la Banque de données nationale générale ou de l'adjoint de celui-ci.

CHAPITRE IV. - Financement

Article 251. Une dotation est inscrite au budget général des dépenses de l'Etat pour financer le fonctionnement de l'Organe de contrôle.

L'Organe de contrôle établit annuellement un projet de budget pour son fonctionnement. Assistée par la Cour des comptes, la Chambre des représentants examine les propositions budgétaires détaillées de l'Organe de contrôle, elle les approuve et contrôle l'exécution de son budget, elle examine et approuve en outre les comptes détaillés.

L'Organe de contrôle joint à sa proposition de budget annuel un plan stratégique.

Pour son budget et ses comptes, l'Organe de contrôle utilise un schéma budgétaire et des comptes comparable à celui qui est utilisé par la Chambre des représentants.

CHAPITRE IV. - Financement

Article 252. En cas de traitement de données à caractère personnel pour plusieurs finalités par un même responsable du traitement ou sous-traitant, ou visées par différentes réglementations, ces différentes réglementations s'appliquent de manière simultanée. En cas de conflit entre certaines de leurs dispositions, les règles de la présente loi s'appliquent.

TITRE 8. - Dispositions finales

Article 253. Les lois, les arrêtés royaux et toute autre réglementation existants qui font référence à la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel sont présumés faire référence à la présente loi ou, le cas échéant, au Règlement.

Le Roi peut remplacer les références dans les lois ou arrêtés existant aux dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel et à la Commission de la protection de la vie privée, par des références aux dispositions équivalentes de la présente loi ou du Règlement et à l'autorité de contrôle compétente.

Article 254. Dans le chapitre 6, section 2, de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, il est inséré un article 56/1 rédigé comme suit :

"Art. 56/1. En exécution de l'article 51 du Règlement 2016/679 et conformément à l'article 41.4 de la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, l'Autorité de protection des données représente les différentes autorités de contrôle au Comité européen de la protection des données visé à l'article 68 du Règlement 2016/679.".

Article 255. Dans le texte néerlandais de l'article 108, § 1er, alinéa premier, de la même loi les mots "de betekening van" sont supprimés.

Article 256. Dans les articles 3, 31 et 35 de la loi du 18 juillet 1991 organique du contrôle des services de police et de renseignement et de l'Organe de coordination pour l'analyse de la menace, les mots "Service général du renseignement et de la sécurité" sont chaque fois remplacés par les mots "Service Général du Renseignement et de la Sécurité".

Article 257. Dans l'intitulé du chapitre III et des sections 1 et 2 de ce même chapitre, dans l'intitulé du CHAPITRE IV ainsi qu'aux articles 2, 3, alinéa 1er, 2°, 28, 33, 38, 39, 40, 48, 53 et 65 de la même loi, les mots "services de renseignements" sont chaque fois remplacés par les mots "services de renseignement".

Dans les articles 28, 40, 41, 48, 50, 61 et 67, les mots "service de renseignements" sont chaque fois remplacés par les mots "service de renseignement".

Dans les articles 41 et 44, les mots "des services de police ou de renseignements" sont chaque fois remplacés par les mots "des services de police ou de renseignement".

Dans l'article 44, les mots "d'un service de police ou de renseignements" sont remplacés par les mots "d'un service de police ou de renseignement".

Dans l'article 53, les mots "des missions de renseignements" sont remplacés par les mots "des missions de renseignement".

Article 258. L'article 3, alinéa 1er, de la même loi, modifié en dernier lieu par la loi du 6 décembre 2015, est complété par les 7° et 8° rédigés comme suit :

"7° "la loi protection des données" : la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel;

8° "une autorité de protection des données" : une autorité de contrôle des traitements de données à caractère personnel.".

Article 259. A l'article 28 de la même loi, modifié en dernier lieu par la loi du 21 avril 2016, les modifications suivantes sont apportées :

1° dans l'alinéa 3, 5°, les mots "du renseignement," sont insérés entre les mots "le domaine" et les mots "du droit pénal";

2° dans l'alinéa 3, 5°, les mots "du droit de la protection des données à caractère personnel," sont insérés entre les mots "du droit public," et les mots "ou de techniques de gestion" ;

3° l'alinéa 4 est complété par les mots ", ni d'une autre autorité de protection des données, ni de la commission administrative chargée de la surveillance des méthodes spécifiques et exceptionnelles de recueil de données des services de renseignement et de sécurité".

Article 260. Dans l'article 29, alinéa 1er, de la même loi, modifié en dernier lieu par la loi du 21 avril 2016, le 8° est complété par les mots ", attestations et avis de sécurité".

Article 261. Dans l'article 31, alinéa 1er, 4°, de la même loi, inséré par la loi du 30 novembre 1998, les mots ", ainsi que l'organisation et l'administration de la Sûreté de l'Etat lorsque celles-ci ont une influence directe sur l'exécution des missions de maintien de l'ordre public et de protection des personnes" sont abrogés.

Article 262. A l'article 32 de la même loi, modifié en dernier lieu par la loi du 6 janvier 2014, les modifications suivantes sont apportées :

1° dans l'alinéa 1er de la même loi, le mot "ou" est remplacé par ",";

2° l'alinéa 1er est complété par les mots "ou à la demande d'une autre autorité de protection des données";

3° dans l'alinéa 2, les mots "dans le cadre des activités et méthodes visées à l'article 33, alinéa 1er" sont insérés entre les mots "d'initiative" et les mots ", il en informe".

Article 263. A l'article 33 de la même loi, modifié en dernier lieu par la loi du 6 janvier 2014, les modifications suivantes sont apportées :

1° un alinéa rédigé comme suit est inséré entre les alinéas 1er et 2 :

"Le Comité permanent R enquête également sur les traitements de données à caractère personnel par les services de renseignement et leurs sous-traitants.";

2° dans l'alinéa 4, devenant l'alinéa 5, le mot "ou" est remplacé par ",";

3° dans l'alinéa 4, devenant l'alinéa 5, les mots "ou les traitements des données à caractère personnel" sont insérés entre les mots "les méthodes" et les mots "qui seraient".

4° dans l'alinéa 7, devenant l'alinéa 8, les mots "Le Comité permanent R peut seulement" sont remplacés par "Sauf si la loi impose son avis, le Comité permanent R peut seulement".

Article 264. A l'article 34 de la même loi, remplacé par la loi du 10 juillet 2006, les modifications suivantes sont apportées :

1° un alinéa rédigé comme suit est inséré entre les alinéas 1er et 2 :

"Le Comité permanent R traite également des requêtes en matière de traitements des données à caractère personnel par les services de renseignement et leurs sous-traitants.";

2° dans l'alinéa 3, devenant l'alinéa 4, les mots "ou à" sont remplacés par ",";

3° dans l'alinéa 3, devenant l'alinéa 4, les mots "ou une requête" sont insérés entre le mot "dénonciation" et les mots "manifestement";

4° dans l'alinéa 4, devenant l'alinéa 5, les mots "ou à" sont remplacés par ",";

5° dans l'alinéa 4, devenant l'alinéa 5, les mots "ou une requête" sont insérés entre le mot "dénonciation" et les mots "et de clôturer";

6° dans l'alinéa 4, devenant l'alinéa 5, le mot "ou" est remplacé par "," et les mots "ou introduit la requête" complètent l'alinéa;

7° l'alinéa 5, devenant l'alinéa 6, est complété par les mots :

", sauf en matière d'enquêtes portant sur le traitement des données à caractère personnel par les services de renseignement et leurs sous-traitants où le Comité permanent R répond uniquement que les vérifications nécessaires ont été effectuées".

Article 265. L'article 35 de la même loi est complété par un paragraphe 3 rédigé comme suit :

" § 3. Le Comité permanent R fait rapport annuellement à la Chambre des représentants sur les avis rendus en sa qualité d'autorité de protection des données, sur les enquêtes effectuées et mesures prises en cette même qualité ainsi que sur sa collaboration avec les autres autorités de protection des données. Copie de ce rapport est également adressée aux ministres compétents, ainsi qu'à la Sûreté de l'Etat et au Service Général du Renseignement et de la Sécurité, qui ont la faculté d'attirer l'attention du Comité permanent R sur leurs observations.".

Article 266. Dans l'article 38, alinéa 2, de la même loi, inséré par la loi du 10 juillet 2006, le mot "permanent" est inséré entre les mots "le Comité" et le mot "R".

Article 267. A l'article 40, alinéa 2, de la même loi, modifié par la loi du 10 juillet 2006les modifications suivantes sont apportées :

1° les mots "les plaintes et dénonciations" sont remplacés par les mots "les plaintes, dénonciations et requêtes";

2° les mots "ce d'appui" sont supprimés;

3° les mots "ou des actions" sont remplacés par les mots ", des actions ou des traitements de données à caractère personnel".

Article 268. Dans l'article 44 de la même loi, l'alinéa 2 est complété par les mots :

"ou dans le traitement des données à caractère personnel ou dans la sécurité de l'information.".

Article 269. L'article 45, alinéa 2, de la même loi, inséré par la loi du 1er avril 1999 est complété par les mots ", attestations et avis de sécurité".

Article 270. A l'article 46 de la même loi, les modifications suivantes sont apportées :

1° les mots "en dehors des cas prévus à l'article 13/1 de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité et de ceux visés aux articles 226, 227 et 230 de la loi protection des données" sont insérés entre les mots "d'un délit" et les mots ", il en dresse" ;

2° l'article est complété par un alinéa rédigé comme suit :

"Lorsqu'un membre du Service d'enquêtes R a connaissance d'un délit visé aux articles 226, 227 et 230 de la loi protection des données, il en informe le Comité permanent R dans les meilleurs délais. Celui-ci assure le suivi selon les modalités fixées à l'article 54.".

Article 271. Dans le chapitre III de la même loi, il est inséré une section 4, intitulée "Compétences du Comité permanent R en tant qu'autorité de protection des données".

Article 272. Dans la section 4, insérée par l'article 271, il est inséré un article 51/1 rédigé comme suit :

"Art. 51/1. En sa qualité d'autorité de protection des données, le Comité permanent R agit soit d'initiative, soit à la demande d'une autre autorité de protection de données, soit à la requête de toute personne concernée.".

Article 273. Dans la même section 4, il est inséré un article 51/2, rédigé comme suit :

"Art. 51/2. Pour être recevable, la requête est écrite, datée, signée et motivée, et justifier de l'identité de la personne concernée.".

Article 274. Dans la même section 4, il est inséré un article 51/3, rédigé comme suit :

"Art. 51/3. Le Comité permanent R décide du suivi qu'il donne au dossier et a la compétence de :

1° conclure que le traitement est effectué en conformité avec les dispositions de la réglementation relative au traitement des données à caractère personnel;

2° avertir le service concerné ou son sous-traitant du fait qu'un traitement envisagé de données à caractère personnel est susceptible de violer la réglementation relative aux traitements des données à caractère personnel;

3° rappeler à l'ordre le service concerné ou son sous-traitant lorsqu'un traitement a entraîné une violation d'une disposition de la réglementation relative aux traitements des données à caractère personnel;

4° ordonner au service concerné ou à son sous-traitant de mettre un traitement en conformité avec les dispositions de la réglementation relative au traitement des données à caractère personnel, le cas échéant, de manière spécifique et dans un délai déterminé;

5° imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement;

6° ordonner la rectification ou l'effacement de données à caractère personnel;

7° transmettre le dossier au parquet du procureur du Roi de Bruxelles, qui l'informe des suites données au dossier.".

Article 275. Dans la même section 4, il est inséré un article 51/4, rédigé comme suit :

"Art. 51/4. Le Comité permanent R informe le service concerné des enquêtes effectuées sur le traitement de données à caractère personnel par ses sous-traitants et de leurs résultats.

Lorsqu'il en prend connaissance, le Comité permanent R informe également le service concerné des violations de la réglementation relative aux traitements de ses données à caractère personnel par d'autres responsables du traitement.".

Article 276. Dans l'article 4, § 2, de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, les modifications suivantes sont apportées :

1° l'alinéa 2 est remplacé par ce qui suit :

"L'Autorité de protection des données est l'autorité de contrôle compétente lorsqu'aucune autre loi n'en dispose autrement.";

2° un alinéa rédigé comme suit est inséré entre l'alinéa 2 et l'alinéa 3 :

"Sans préjudice de la présente loi et de la loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel du 30 juillet 2018, aucune autre loi ne peut créer une autorité disposant des pouvoirs et des compétences attribués par le Règlement à une autorité de protection des données.".

Article 277. L'article 18 de la même loi est complété par un alinéa 2 rédigé comme suit :

"La décision d'agir en droit au nom de l'Autorité de protection des données est prise par le comité de direction.".

Article 278. Dans le chapitre 5, section 1re, de la même loi, il est inséré un article 54/1 rédigé comme suit :

"Art. 54/1. § 1er. En vue de l'application cohérente des réglementations nationales, européennes et internationales relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, l'Autorité de protection des données et les autorités de contrôle compétentes visées aux titres 2 et 3 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements des données à caractère personnel, collaborent ensemble, entre autres en ce qui concerne le traitement des plaintes, les avis et les recommandations qui affectent les compétences de deux ou plusieurs autorités de contrôle.

Sans préjudice de dispositions particulières, le traitement conjoint des plaintes, des avis et des recommandations se fait sur la base du principe du guichet unique qui sera assumé par l'Autorité de protection des données.

§ 2. Afin de réaliser la coopération visée au premier paragraphe, les autorités de contrôle concluent un protocole de coopération.".

Article 279. Dans l'article 111 de la même loi, l'alinéa 2 est remplacé par ce qui suit :

"Une adhésion à une autorisation générale octroyée par délibération d'un comité sectoriel reste possible si celui qui demande l'adhésion remet une déclaration d'engagement écrite et signée soit au Comité sectoriel du Registre national, soit au Comité sectoriel de la Sécurité Sociale et de la Santé ou, lorsque la loi aura mis fin à ces comités, à l'organe créé par le législateur pour octroyer des délibérations relatives à l'échange de données à caractère personnel ou à l'utilisation du numéro de Registre national, dans laquelle il confirme adhérer aux conditions de la délibération en question, sans préjudice des pouvoirs de contrôle que peut exercer l'Autorité de protection des données. Les adhésions aux autorisations générales sont publiées sur le site Internet de l'organe chargé de leur réception.".

CHAPITRE II. - Dispositions abrogatoires

Article 280. La loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel est abrogée.

L'arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel est abrogé.

L'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée est abrogé.

L'article 15, § 3, de la loi du 25 décembre 2016 relative au traitement des données des passagers est abrogé.

CHAPITRE II. - Dispositions abrogatoires

Article 281. La présente loi entre en vigueur le jour de sa publication au Moniteur belge.

Par dérogation à l'alinéa 1er, l'article 20 entre en vigueur le premier jour du mois qui suit l'expiration d'un délai de six mois prenant cours le jour suivant la publication de la présente loi au Moniteur belge.

Article 282. Les obligations légales telles que prévues dans le Règlement et la présente loi ne portent pas préjudice à la validité des traitements de données à caractère personnel réalisés par le responsable du traitement ou le sous-traitant avant l'entrée en vigueur desdites obligations.

Article 283. Les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales conclus avant le 6 mai 2016 et qui respectent la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel et le droit de l'Union européenne tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation.

Article 284. Par dérogation à l'article 281, les systèmes de traitement automatisé installés avant le 6 mai 2016 par les autorités compétentes visées au titre 2 de la présente loi sont mis en conformité avec l'article 56, § 1er, au plus tard le 6 mai 2023.