9 AVRIL 2024. - Loi organisant les traitements de données à caractère personnel nécessaires pour les missions d'inspection et de contrôle de l'Agence fédérale des médicaments et des produits de santé

CHAPITRE 1er. - Disposition générale

Article 1er. La présente loi règle une matière visée à l'article 74 de la Constitution.

CHAPITRE 2. - Modifications à la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes

Article 2. L'article 1er de la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes, modifié en dernier lieu par la loi du 30 octobre 2018, est complété par un paragraphe 3, rédigé comme suit:

" § 3. L'AFMPS traite des données à caractère personnel nécessaires pour:

1° octroyer des autorisations, agréments ou des certificats, conformément à la présente loi et à ses arrêtés d'exécution;

2° assurer la surveillance de la présente loi et de ses arrêtés d'exécution.

Le traitement visé à l'alinéa 1er est réalisé conformément aux dispositions du Chapitre IV/3, de la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé.".

CHAPITRE 3. - Modifications à la loi du 25 mars 1964 sur les médicaments à usage humain

Article 3. Dans la loi du 25 mars 1964 sur les médicaments à usage humain, il est inséré un article 19nonies rédigé comme suit:

"Art. 19nonies. L'AFMPS traite des données à caractère personnel nécessaires pour:

1° octroyer des autorisations, agréments ou des certificats, conformément à la présente loi et à ses arrêtés d'exécution;

2° assurer la surveillance de la présente loi et de ses arrêtés d'exécution.

Le traitement visé à l'alinéa 1er est réalisé conformément aux dispositions du Chapitre IV/3, de la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé."

CHAPITRE 4. - Modification de la loi du 5 juillet 1994 relative au sang et aux dérivés du sang d'origine humaine

Article 4. Dans la loi du 5 juillet 1994 relative au sang et aux dérivés du sang d'origine humaine, il est inséré un Chapitre V intitulé "Chapitre V: Traitement de Données".

Article 5. Dans le Chapitre V de la même loi, inséré par l'article 4, il est inséré un article 24 rédigé comme suit:

"Art. 24. L'Agence fédérale des médicaments et des produits de santé traite des données à caractère personnel nécessaires pour:

1° octroyer des autorisations, agréments ou des certificats, conformément à la présente loi et à ses arrêtés d'exécution;

2° assurer la surveillance de la présente loi et de ses arrêtés d'exécution.

Le traitement visé à l'alinéa 1er est réalisé conformément aux dispositions du Chapitre IV/3, de la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé."

CHAPITRE 5. - Modifications à la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé

Section 1re. - Définitions

Article 6. Dans l'article 2 de la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé, modifié en dernier lieu par la loi du 11 juillet 2023, le paragraphe 1er est complété par les 31° à 38°, rédigés comme suit:

"31° "autorités judiciaires": les cours et tribunaux du droit commun, le ministère public ou les juges d'instruction;

32° "Règlement 2016/679": le règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE;

33° "loi du 30 juillet 2018": la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel;

34° "Délégué à la protection des données": le Délégué à la protection des données de l'AFMPS;

35° "inspecteurs et contrôleurs": les inspecteurs et contrôleurs de l'AFMPS;

36° "le numéro d'identification de Registre national": le numéro de Registre national visé à l'article 2, § 3, de la loi du 8 août 1983 organisant un registre national des personnes physiques;

37° "fonctionnaire-juriste": fonctionnaire chargé de la direction du service juridique de l'AFMPS ou son remplaçant qu'il désigne."

38° "signature": les signatures manuscrites et les signatures électroniques avancées au sens de l'article 3.11 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, ou les signatures électroniques qualifiées, au sens de l'article 3.12 du même règlement.".

Section 2. - Traitement de données

Article 7. Dans la même loi, il est inséré après l'article 12/3, un chapitre IV/3 intitulé comme suit: "Chapitre IV/3: Traitement de Données".

Article 8. Dans le Chapitre IV/3, de la même loi, inséré par l'article 7, il est inséré une Section 1 intitulée: "Section 1. Traitement de Données.".

Article 9. Dans le Chapitre IV/3, Section 1, de la même loi, insérée par l'article 8, il est inséré un article 12/4 rédigé comme suit:

"Art. 12/4. Les dispositions du présent chapitre ne s'appliquent que dans la mesure où il n'existe pas, dans les législations pour lesquelles l'Agence est compétente, de dispositions spécifiques ayant le même objectif, la même nature ou le même effet que celles établies par le présent chapitre."

Article 10. Dans le Chapitre IV/3, Section 1, de la même loi, insérée par l'article 8, il est inséré un article 12/5 rédigé comme suit:

"Art. 12/5. L'Agence traite les données à caractère personnel nécessaires pour permettre à ses inspecteurs et contrôleurs d'accomplir leurs missions:

1° en matière de production et de distribution, assurer les missions visées à l'article 4, § 1er, alinéa 3, 4° ;

2° afin d'accomplir les missions visées à l'article 4, § 1er, alinéa 3, 5°, c);

3° assurer le suivi, l'application et le contrôle des réglementations visées à l'article 4, § 1er, alinéa 3, 6°, a., et du chapitre V;

4° rechercher et constater les infractions relatives à tous les domaines et toutes les réglementations visées au 3°, ainsi qu'à leurs arrêtés d'exécution."

Article 11. Dans le Chapitre IV/3, Section 1, de la même loi, insérée par l'article 8, il est inséré un article 12/6 rédigé comme suit:

"Art. 12/6. L'Agence est la responsable du traitement de données visé à l'article 12/5."

Article 12. Dans le Chapitre IV/3, Section 1, de la même loi, insérée par l'article 8, il est inséré un article 12/7 rédigé comme suit:

"Art. 12/7. Les données traitées dans le traitement de données visé à l'article 12/5 proviennent des documents suivants:

1° les pièces ou informations demandées en inspection ou en préparation de l'inspection et les rapports d'inspection;

2° les avertissements;

3° les saisies et les mises sous scellés;

4° les informations transmises au procureur du Roi;

5° les procès-verbaux de constatation d'infraction;

6° les propositions de transactions;

7° les plaintes et les dénonciations relatives à des faits potentiellement punissables par la loi qui sont adressées à l'Agence et qui tombent dans les missions des inspecteurs et contrôleurs;

8° les apostilles et autres documents reçus des autorités judiciaires;

9° les courriers et les questions spontanément adressés à l'Agence par des citoyens ou des opérateurs économiques, qui tombent dans les missions des inspecteurs et contrôleurs;

10° les demandes d'autorisation, d'agrément, d'enregistrement ou de certificat adressées à l'Agence dans le cadre des missions des inspecteurs et contrôleurs;

11° les déclarations de non-objection adressées à l'Agence dans le cadre des missions des inspecteurs et contrôleurs;

12° les déclarations Schengen adressées à l'Agence dans le cadre des missions des inspecteurs et contrôleurs;

13° les notifications de transactions suspectes et informations visées à l'article 8 du règlement (CE) N° 273/2004 du Parlement européen et du Conseil du 11 février 2004 relatif aux précurseurs de drogues et l'article 9 du règlement (CE) n° 111/2005 du Conseil du 22 décembre 2004 fixant des règles pour la surveillance du commerce des précurseurs des drogues entre l'Union et les pays tiers;

14° les enregistrements des données concernant les transactions légales avec des substances stupéfiantes et psychotropes effectuées dans le cadre de la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes;

15° les demandes de désignation ou de modification de la désignation visant une extension de compétences introduites par les organismes d'évaluation de la conformité auprès de l'Agence conformément à l'article 38 du règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, modifiant la directive 2001/83/CE, le règlement (CE) n° 178/2002 et le règlement (CE) n° 1223/2009 et abrogeant les directives du Conseil 90/385/CEE et 93/42/CEE, et l'article 34 du règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux de diagnostic in vitro et abrogeant la directive 98/79/CE et la décision 2010/227/UE de la Commission;

16° les autorisations, habilitations, agréments ou certificats, visés aux réglementations visées à l'article 4, § 1er, alinéa 3, 6°, a. et les demandes introduites à cette fin.".

Article 13. Dans le Chapitre IV/3, Section 1, de la même loi, insérée par l'article 8, il est inséré un article 12/8 rédigé comme suit:

"Art. 12/8. Les catégories de données traitées dans le traitement de données visé à l'article 12/5 sont les suivantes:

1° les données de référence permettant d'identifier les documents visés à l'article 12/7: leur date, leurs références, leur objet;

2° le cas échéant, le nom, le prénom de l'inspecteur ou du contrôleur auteur du document visé à l'article 12/7;

3° les données permettant d'identifier les personnes qui font l'objet d'un rapport d'inspection, d'un avertissement, d'une saisie, d'une mise sous scellés, d'une transmission d'informations au procureur du Roi, d'un procès-verbal de constatation d'infraction, d'une proposition de transaction ou qui sont témoins ou dénonciateurs d'infractions potentiellement punissables, à savoir leur nom et prénom, domicile, siège social de leur activité, sièges d'exploitation, date de naissance, numéro de téléphone, adresse de messagerie électronique et numéro d'identification au Registre national;

4° la description des faits constatés, des biens saisis ou mis sous scellés;

5° l'identification du Parquet auquel le procès-verbal ou la proposition de transaction est envoyé;

6° les données permettant de gérer les propositions de transaction: leurs montants, leurs dates de paiement et d'envoi au Parquet;

7° l'éventuel délai donné au contrevenant pour se mettre en ordre;

8° la description des éventuelles mesures correctives imposées au contrevenant pour se mettre en ordre;

9° les éléments contenus dans les notifications et les informations visées à l'article 8 du règlement (CE) no 273/2004 du Parlement européen et du Conseil du 11 février 2004 relatif aux précurseurs de drogues et à l'article 9 du règlement 111/2005 du Conseil du 22 décembre 2004 fixant des règles pour la surveillance du commerce des précurseurs des drogues entre la Communauté et les pays tiers;

10° en ce qui concerne les demandes d'autorisation pour une activité visée à l'article 1er, alinéas 1 à 3 de la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes:

• le nom, le prénom, le domicile, l'adresse du siège social;

• l'adresse du lieu où les activités sont exercées, l'adresse de messagerie électronique, le numéro de l'autorisation;

• le numéro de téléphone, la signature, le numéro d'identification du Registre national;

• un extrait du casier judiciaire, la photo lorsque la personne concernée refuse de s'identifier et que son identification est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique conformément à l'article 9, § 2, i) du RGPD, les qualifications professionnelles, l'expérience dans le domaine concerné par la demande d'autorisation;

• la description des fonctions et tâches du demandeur;

• la nature des activités autorisées, la désignation des produits, la date d'échéance de l'autorisation et, le cas échéant, des remarques visant à clarifier la portée de l'autorisation.

Les mêmes données peuvent être traitées en ce qui concerne la personne responsable de l'activité désignée par le demandeur de l'autorisation.

11° en ce qui concerne l'enregistrement des transactions légales de substances stupéfiantes et psychotropes effectuées dans le cadre de la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes:

• s'il s'agit d'une réception ou une livraison de substances psychotropes;

• le numéro d'autorisation ou numéro de dépôt des opérateurs qui réalisent la livraison et de ceux qui la reçoivent;

• le numéro de code visé à l'article 42, § 2, 3° de l'arrêté royal du 6 septembre 2017 réglementant les substances stupéfiantes et psychotropes;

• le nom et la quantité des substances stupéfiantes ou psychotropes qui font l'objet de la transaction;

• la date de la commande;

• la date de la livraison/réception des substances stupéfiantes ou psychotropes;

12° en ce qui concerne les notifications de livraison ou de réception pour une activité visée à l'article 1er, alinéas 1 à 3 de la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes:

• le numéro d'autorisation;

• le numéro d'autorisation de l'autre partie;

• la nature et la quantité des produits fournis ou reçus;

• la date de commande et de livraison.

13° en ce qui concerne les statistiques pour une activité visée à l'article 1er, alinéas 1 à 3, de la loi du 24 février 1921 concernant le trafic des substances vénéneuses, soporifiques, stupéfiantes, psychotropes, désinfectantes ou antiseptiques et des substances pouvant servir à la fabrication illicite de substances stupéfiantes et psychotropes:

• le numéro d'autorisation;

• les statistiques sur la fabrication, l'importation, l'exportation, la perte et la destruction;

14° en ce qui concerne les demandes d'autorisation ou les demandes d'enregistrement pour une activité visée aux articles 12bis, 12ter, ou 12octies, de la loi du 25 mars 1964 sur les médicaments à usage humain:

• le nom, le prénom, le domicile, l'adresse du siège social, l'adresse du lieu où s'exercent les activités, l'adresse e-mail, le numéro d'autorisation, le numéro de téléphone, la signature;

• les mêmes données peuvent être traitées en ce qui concerne la personne responsable de l'activité désignée par le demandeur de l'autorisation, et le curriculum vitae et les domaines d'expertise de cette personne;

• les noms, prénoms, qualifications professionnelles et domaines d'expertise des membres du personnel;

• la nature des activités autorisées, la désignation des produits ou la classe des produits, la date d'échéance de l'autorisation et, le cas échéant, des remarques visant à clarifier la portée de l'autorisation;

15° en ce qui concerne les demandes d'autorisation ou les demandes d'enregistrement pour une activité visée au chapitre 8 de la loi du 5 mai 2022 sur les médicaments vétérinaires:

• le nom, le prénom, le domicile, l'adresse du siège social, l'adresse du lieu où s'exercent les activités, l'adresse e-mail, le numéro d'autorisation, le numéro de téléphone, la signature;

• les mêmes données peuvent être traitées en ce qui concerne la personne responsable de l'activité désignée par le demandeur de l'autorisation;

• la nature des activités autorisées, la désignation des produits ou la classe des produits, la date d'échéance de l'autorisation, le cas échéant, des remarques visant à clarifier la portée de l'autorisation.

16° en ce qui concerne les demandes de certificat, telles que définies par l'Organisation mondiale de la santé:

• le nom, le prénom, l'adresse e-mail et le numéro d'entreprise du demandeur;

• la nature du médicament.

17° en ce qui concerne les demandes d'agrément ou les notifications pour une activité visée à l'article 7 de la loi du 19 décembre 2008 relative à l'obtention et à l'utilisation de matériel corporel humain destiné à des applications médicales humaines ou à des fins de recherche scientifique:

• le nom, le prénom, le domicile, l'adresse du siège social, le numéro d'entreprise, l'adresse du lieu où s'exercent les activités, l'adresse e-mail, le numéro d'agrément, le numéro de notification, le numéro de téléphone, la signature;

• les activités agréées ou notifiées.

18° en ce qui concerne les demandes de désignation ou de modification de la désignation visant une extension de compétences introduites par les organismes d'évaluation de la conformité auprès de l'Agence conformément à l'article 38 du règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, modifiant la directive 2001/83/CE, le règlement (CE) n° 178/2002 et le règlement (CE) n° 1223/2009 et abrogeant les directives du Conseil 90/385/CEE et 93/42/CEE, et l'article 34 du règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux de diagnostic in vitro et abrogeant la directive 98/79/CE et la décision 2010/227/UE de la Commission: les données visées à l'article 19, § 3 de la loi du 22 décembre 2020 relative aux dispositifs médicaux;

19° les numéros des plaques d'immatriculation des véhicules suspectés d'appartenir à une personne suspectée d'être auteur ou coauteur d'une infraction punissable par la loi ou de servir ou d'avoir servi à commettre une infraction punissable en vertu des réglementations visées à l'article 12/5, 2° ;

20° la copie digitale intégrale des documents visés à l'article 12/7."

Article 14. Dans le Chapitre IV/3, Section 1, de la même loi, insérée par l'article 8, il est inséré un article 12/9 rédigé comme suit: