10 AVRIL 2020. - Arrêté du Gouvernement flamand portant approbation du règlement d'ordre intérieur de la Commission de contrôle flamande du traitement des données à caractère personnel

Fondement juridique Le présent arrêté est fondé sur : - le décret du 18 juillet 2008 relatif à l'échange électronique de données administratives, l'article 10/3, § 1er.

Formalités La formalité suivante est remplie : - L'Inspection des Finances a donné son avis le 19 mars 2020.

Initiateur Le présent arrêté est proposé par le Ministre-président du Gouvernement flamand, Ministre flamand des Affaires étrangères, de la Culture, des TIC et de la Gestion facilitaire.

Après délibération, LE GOUVERNEMENT FLAMAND ARRETE :

Article 1er.Le règlement d'ordre intérieur de la Commission de contrôle flamande du traitement des données à caractère personnel qui est repris à l'annexe jointe au présent arrêté, est approuvé.

Art. 2.Le Ministre flamand ayant le soutien au Gouvernement flamand dans ses attributions, est chargé d'exécuter le présent arrêté.

Bruxelles, le 10 avril 2020.

Le Ministre-président du Gouvernement flamand, Ministre flamand des Affaires étrangères, de la Culture, des TIC et de la Gestion facilitaire, J. JAMBON

Annexe. Le règlement d'ordre intérieur, visé à l'article 1er TITRE Ier. - DISPOSITIONS GENERALES Section Ire. - Siège de la Commission de contrôle flamande

Article 1er.La Commission de contrôle flamande du traitement des données à caractère personnel, à nommer ci-après « la Commission de contrôle », a son siège à Bruxelles. Section II. - Le président de la Commission de contrôle flamande

Art. 2.Le président veille au bon fonctionnement de la Commission de contrôle.

Dans les cas où le président de la Commission de contrôle dispose d'un pouvoir de représentation, il agit conformément à la décision prise par la Commission de contrôle.

Si nécessaire, la Commission de contrôle peut, conformément à l'article 10/7, § 3, alinéa 2, du décret du 18 juillet 2008 relatif à l'échange électronique de données administratives (ci-après : Décret « e-gov »), demander à d'autres membres d'assister le président lorsque celui-ci représente la Commission de contrôle auprès du Gouvernement flamand, du Parlement flamand et des tribunaux et juridictions.

Art. 3.Le président convoque la Commission de contrôle et fixe le lieu, le jour et l'heure des réunions.

Le président peut décider que les réunions et le vote à distance sont possibles.

Le président ouvre et clôt les réunions. Il préside les débats.

Le président convoque également la Commission de contrôle chaque fois qu'un membre en fait la demande.

Art. 4.En cas d'empêchement du président, ses compétences sont exercées par un autre membre de la Commission de contrôle, notamment le membre effectif ayant la plus grande ancienneté au sein de la Commission de contrôle, ou, à égalité d'ancienneté, par le plus âgé d'entre eux ou, s'il n'y a que des suppléants, le suppléant ayant la plus grande ancienneté au sein de la Commission de contrôle ou, à égalité d'ancienneté, par le plus âgé d'entre eux. Le président suppléant a les mêmes compétences et obligations.

Art. 5.Outre les tâches particulières que le présent règlement confie au président, il est chargé de l'exécution générale des décisions de la Commission de contrôle.

Pour des raisons d'organisation et de bon fonctionnement, le président peut confier certaines tâches d'exécution et de préparation qui lui sont confiées au secrétariat qui assure le soutien de la Commission de contrôle.

Art. 6.La Commission de contrôle établit annuellement un budget et une comptabilité conformément à l'article 10/3, § 6, du décret e-gov.

Le président établit chaque année un projet de budget et le soumet à l'approbation de la Commission de contrôle. La Commission de contrôle établit annuellement un rapport sur les comptes annuels au Parlement flamand et à la Cour des comptes. Section III. - Réunions de la Commission de contrôle flamande

Art. 7.§ 1er. Les membres effectifs et les suppléants qui remplacent un membre effectif participent aux réunions qui ne sont pas plénières. § 2. Un membre effectif qui est empêché, est remplacé par un suppléant.

Le membre effectif empêché en informe immédiatement le secrétariat (contact@toezichtcommissie.be). Le secrétariat en informe immédiatement un membre suppléant.

Le membre effectif empêché prend contact, s'il le souhaite, avec son suppléant afin de préparer la réunion de la Commission de contrôle et de se regrouper après la réunion. § 3. Les membres suppléants peuvent assister avec voix consultative aux réunions qui ne sont pas plénières. Ils ne reçoivent pas de jetons de présence pour cela. Toutefois, lorsqu'ils agissent en tant que suppléants d'un membre effectif ou lorsqu'ils sont invités par le président à être présents, ils reçoivent un jeton de présence. Un membre effectif ou suppléant qui reçoit un dossier ou qui agit en tant que représentant de la Commission de contrôle, reçoit un jeton de présence pour cela.

Au moins quatre fois par an, le président invite tous les membres effectifs et tous les membres suppléants réunis. § 4. Au moins une fois par an, le président inscrit à l'ordre du jour d'une réunion plénière des conclusions sur les évolutions sociales, économiques et technologiques ayant un impact sur la protection des données à caractère personnel. Chaque fois qu'une évolution particulière est observée dans l'intervalle par la Commission de contrôle, le président l'inscrit également à l'ordre du jour. § 5. Le président peut inviter des experts externes aux séances pour des points spécifiques de l'ordre du jour.

Art. 8.Sauf si le président estime qu'il s'agit d'un cas d'urgence majeure, les convocations sont transmises aux membres par voie électronique au moins quatre jours calendrier avant la séance. Ils contiennent l'ordre du jour de la réunion et tous les documents nécessaires y sont joints.

Art. 9.Le président fixe l'ordre du jour.

L'ordre du jour peut être divisé en points A et B. Les matières sous B sont adoptées en séance sans discussion complémentaire, à moins qu'un membre effectif ou un membre suppléant qui remplace un membre effectif n'en ait demandé la discussion auprès du président et du secrétariat (contact@toezichtcommissie.be) au plus tard à 10 heures le jour ouvrable qui précède la séance. Le président ou le secrétariat informe les autres membres par courrier électronique le même jour. Les autres matières, classées sous A, sont toujours soumises à discussion.

Le membre qui souhaite inscrire une question à l'ordre du jour introduit une demande à cet effet auprès du président et du secrétariat (contact@toezichtcommissie.be), au plus tard à 10 heures le jeudi de la semaine précédant la séance.

Le président peut, de sa propre initiative ou à la demande d'un membre présent, ajouter des points à l'ordre du jour de la séance, à moins qu'un des membres présents ne formule une objection.

Art. 10.§ 1er. La délibération de la Commission de contrôle n'est valable que si deux membres au moins sont présents (« présents » signifie dans le présent règlement : soit par une présence physique, soit par une participation à distance). § 2. Tout membre, membre suppléant ou observateur de l'Autorité de protection des données qui est partie intéressée à un point de l'ordre du jour le notifie au plus tard au début de la réunion. Le membre ou l'observateur concerné ne peut pas participer à la discussion et quitte la salle de réunion. Si le président estime que les connaissances du membre ou de l'observateur sont nécessaires/utiles à l'évaluation du point à l'ordre du jour, le président peut décider d'entendre le membre ou l'observateur. Le membre et l'observateur peuvent refuser d'être entendus. Le membre s'abstient de prendre position et en cas de vote possible et quitte la salle à cet effet.

L'observateur qui est impliqué quitte également la salle lors du vote.

Art. 11.La Commission de contrôle se réunit à huis clos, à moins qu'elle ne décide explicitement que la séance se déroule publiquement. Section IV. - Recommandations, avis et décisions de la Commission de

contrôle flamande

Art. 12.Le secrétariat rédige un projet de recommandation, d'avis ou de décision. Lors de l'examen du dossier et de la préparation de la prise de décision, il est tenu compte du cadre factuel et réglementaire, en particulier de l'examen au regard des principes du traitement des données à caractère personnel et des risques qui en découlent pour les droits et libertés des personnes concernées. Le cas échéant, ces éléments sont inclus dans le projet.

Art. 13.La Commission de contrôle se réunit et délibère en collège.

Toute discussion d'un certain dossier est introduite par le secrétariat, après quoi chaque membre peut poser des questions et exprimer sa position spécifique sur la proposition de recommandation, d'avis ou de décision. Le président examine la position commune qui pourrait être adoptée.

La Commission de contrôle statue par consensus. En l'absence de consensus, il est procédé au vote. Le vote a lieu à main levée. Le cas échéant, le vote porte d'abord sur chaque aspect d'un dossier et ensuite sur l'ensemble du dossier. Lors du calcul des voix, les abstentions ne sont pas prises en compte. En cas de partage des voix, la voix du président ou, en son absence, du président suppléant, est prépondérante.

Seuls les membres effectifs et les membres suppléants qui remplacent un membre effectif peuvent participer au vote pour ce qui concerne les dossiers individuels.

Dans les dossiers généraux tels que les décisions politiques et les directives générales, tous les membres présents votent.

Art. 14.§ 1er. Lorsque cela est nécessaire au bon fonctionnement de la Commission de contrôle ou au respect des délais, la Commission de contrôle peut, après consultation entre les membres, décider de poursuivre la délibération sur les projets d'avis, de recommandations et de décisions par procédure écrite.

Lorsque cela a été décidé en séance, ou lorsque de nouveaux éléments apparaissent dans un dossier après la séance mais avant la signature d'une décision, le secrétariat envoie des projets de décision adaptés par voie électronique aux membres effectifs et suppléants, avec une demande de vérification et/ou des remarques complémentaires. A cette demande, le secrétariat mentionne également le délai et les modalités de la réaction éventuelle des membres. Le délai ne peut être inférieur à 48 heures et comprend, sauf motivation particulière, un week-end.

Les membres répondent dans le délai imparti. Un membre peut, en raison de circonstances particulières, demander expressément à répondre à une date ultérieure.

Les membres qui ne réagissent pas dans le délai indiqué ou dans le délai prolongé, qu'ils ont expressément demandé, sont supposés être d'accord avec le projet tel qu'il leur a été transmis.

Sur la base des réactions qui sont transmises, le secrétariat, en concertation avec le président, adapte le projet ou décide de l'inscrire à un ordre du jour supplémentaire lors d'une prochaine séance utile. Si le projet peut être finalisé intégralement sans séance supplémentaire, il est reporté à la date de la dernière séance à laquelle il a été examiné. § 2. Si cela est nécessaire au bon fonctionnement de la Commission de contrôle et en cas d'urgence, le président peut prendre une décision, émettre un avis ou émettre une recommandation par procédure écrite.

Le président ou le secrétariat envoie le projet de document en question par voie électronique aux membres effectifs et suppléants et fixe le délai et les modalités de réaction éventuelle des membres effectifs. Ce délai ne peut être inférieur à 48 heures et comprend, sauf motivation particulière, un week-end. Les membres effectifs répondent dans le délai imparti. Un membre effectif peut, en raison de circonstances particulières, demander expressément à réagir à une date ultérieure.

Les membres effectifs qui ne réagissent pas dans le délai indiqué ou dans le délai prolongé, qu'ils ont expressément demandé, sont supposés être d'accord avec le projet tel qu'il leur a été transmis.

Sur la base des réactions qui sont transmises par les membres effectifs, le secrétariat adapte, en concertation avec le président, le projet ou le président décide de l'inscrire à l'ordre du jour lors d'une prochaine séance utile.

Le projet approuvé de la Commission de contrôle reçoit, selon le cas, la date de la séance à laquelle il a été examiné en dernier lieu ou, si le projet n'a pas été examiné en séance, la date à laquelle le président signe la version définitive du document.

Art. 15.Les réunions de la Commission de contrôle font l'objet d'un rapport de synthèse. Ce rapport est signé par le président et un membre du personnel du secrétariat de la Commission de contrôle. Le secrétariat est chargé de la conservation des documents.

Le projet de rapport est mis à la disposition des membres effectifs et suppléants par voie électronique. Les membres présents à la réunion peuvent formuler des observations sur le projet de rapport. Tous les membres peuvent réagir au contenu du rapport. Le rapport est approuvé par la Commission de contrôle lors de sa prochaine réunion. Le rapport approuvé est transmis par voie électronique aux membres effectifs et suppléants.

Art. 16.Lorsque la Commission de contrôle formule une recommandation, un avis ou prend une décision, le président en signe le compte-rendu.

La Commission de contrôle peut demander à être informée, dans un délai raisonnable qu'elle détermine elle-même, de la suite donnée à sa recommandation, à son avis ou à sa décision.

Art. 17.La commission de contrôle publie ses recommandations, avis et décisions sur son site web (https://overheid.vlaanderen.be/digitale-overheid/vlaamse-toezichtcommissie).

La Commission de contrôle peut décider de rendre publiques les décisions, avis et recommandations par d'autres moyens. Cette publicité supplémentaire fait l'objet d'une décision distincte de la Commission de contrôle. Section V. - Confidentialité

Art. 18.Les membres effectifs et suppléants de la Commission de contrôle, les membres du personnel du secrétariat de la Commission de contrôle et les experts externes auxquels une coopération a été demandée sont tenus de préserver la confidentialité des faits, des actes ou des informations dont ils ont connaissance en raison de leurs fonctions.

TITRE II. - DISPOSITIONS PARTICULIERES Section Ire. - Avis

Art. 19.Les dossiers relatifs aux demandes d'avis sont préparés par un membre du personnel du secrétariat de la Commission de contrôle.

Pour leur traitement, le secrétariat vérifie dans les meilleurs délais si toutes les données nécessaires à l'avis ont été communiquées à la Commission de contrôle. Le cas échéant, le secrétariat s'adresse au demandeur d'avis concerné en lui demandant de communiquer les données qu'il précise. Si la demande est jugée complète par le secrétariat, la Commission de contrôle statue sur la demande d'avis dans les trente jours. Elle peut également décider qu'un dossier n'est pas encore complet et que le secrétariat doit recueillir des informations complémentaires ou qu'une audition est nécessaire. Section II. - Examen, inspections et vérifications

Art. 20.En cas de délégation de la Commission de contrôle par le biais du présent règlement, le président ou un membre désigné par le président ou un membre du personnel du secrétariat peut demander à une partie requérante, à toute instance, à tout responsable d'un examen ou, dans la mesure où cela peut relever des compétences de la Commission de contrôle fixées par le décret, à un tiers toute information et vérification qu'il juge nécessaires. Il peut les inviter, ensemble ou séparément, à une audition.

Le président ou un membre désigné par le président peut décider de se rendre sur place.

Art. 21.Le Comité de contrôle peut décider de procéder à une inspection sur la base de tout dossier qui lui est soumis ou de sa propre initiative.

Dans le cadre des dossiers d'inspection, le président désigne un membre effectif ou un membre désigné comme suppléant pour traiter le dossier ou plusieurs dossiers. Le membre est ainsi autorisé à demander à la partie requérante, à chaque autorité, à chaque responsable du traitement ou à un tiers toutes les informations qu'il estime nécessaires, dans la mesure où cela peut être fait dans le cadre des compétences de la Commission de contrôle fixées par le décret.

Le membre peut les inviter, ensemble ou séparément, à une audition.

Le président et le membre désigné peuvent se faire assister sur place par d'autres membres, par le secrétariat et par des experts externes.

Le président ou le membre désigné fait rapport de ses constatations et fait rapport oralement à la Commission de contrôle.

Par dérogation à l'article 7, un membre désigné pour traiter un dossier d'inspection ne peut pas participer à la discussion des mesures à imposer éventuellement. Dans ce cas, un suppléant peut participer à la discussion et décider du point correspondant de l'ordre du jour de la réunion.

Art. 22.Lorsque la Commission de contrôle effectue des vérifications telles que visées à l'article 10/5 du décret e-gov, la procédure visée aux articles 20 et 21 est appliquée. Section III. - Traitement des plaintes

Art. 23.La Commission de contrôle traite uniquement les plaintes déposées par une personne concernée au moyen du formulaire de plainte publié sur son site web (https://overheid.vlaanderen.be/digitale-overheid/vlaamse-toezichtcommissie/klachtenprocedure) à titre de plainte conformément au Règlement général sur la protection des données (ci-après dénommé RGPD). https://overheid.vlaanderen.be/digitale-overheid/vlaamse-toezichtcommissie/klachtenprocedure Le secrétariat examine la conformité de la plainte aux exigences du décret e-gov et du présent règlement d'ordre intérieur et envoie un accusé de réception au plaignant. En cas de délégation de la Commission de contrôle par le présent règlement, le secrétariat informe le plaignant si la plainte n'est pas conforme à ces exigences et renvoie, si possible, à l'autorité de contrôle appropriée.

En cas de délégation de la Commission de contrôle par le présent règlement, le Président décide si une demande ou plainte sera classée sans suite.

Le secrétariat informe le plaignant de l'état d'avancement du dossier dans les trois mois suivant la réception d'une plainte conforme.

Art. 24.La Commission de contrôle mandate le Président par le biais du présent règlement pour décider si une inspection telle que visée à la section II du présent titre est requise pour le traitement de la plainte.

Après examen par le secrétariat ou après l'inspection visée à la section II du présent titre, le président inscrit la plainte à l'ordre du jour.

La Commission de contrôle mandate le Président par le biais du présent règlement pour décider si le plaignant ou l'instance est invité à une audience.

Art. 25.Le secrétariat informe le plaignant du résultat de la plainte. Section IV. - Mesures correctives visées à l'article 58 du RGPD

Art. 26.La Commission de contrôle mandate le Président, par le biais du présent règlement, pour statuer sur des dossiers simples à l'occasion de signalements d'une violation de données à caractère personnel qui ne nécessitent pas de discussion collégiale, ou pour les inscrire à l'ordre du jour en tant que dossier B. Dans le premier cas, le président fait rapport aux membres deux fois par an.

Art. 27.Si la Commission de contrôle estime qu'il existe des éléments suffisants pour imposer des mesures correctives, le président en informe l'instance concernée.

Le président ou le secrétariat invite l'instance à exercer ses droits de la défense par écrit dans un délai de dix jours ouvrables.

Si l'instance ne réagit pas dans ce délai ou renonce à son droit de la défense, la décision devient définitive.

Si, après avoir pris connaissance de la défense écrite présentée en temps utile, la Commission de contrôle estime toujours que les dispositions du RGPD ont été violées, elle impose les mesures correctives appropriées.

Lorsqu'un membre a été désigné pour effectuer une inspection, ce membre ne participe pas à la discussion à l'audience concernant l'imposition de la mesure relative à l'inspection. Section V. - Informations et renseignements

Art. 28.Le secrétariat répond à toute demande d'information ou de point de vue adressée à la Commission de contrôle. La réponse est donnée sur la base des informations et des données dont dispose le secrétariat pour le traitement de la demande, sans préjudice de la compétence de la Commission de contrôle pour statuer en tant qu'organe collégial. Le président peut décider d'inscrire formellement la demande à la session de la Commission de contrôle. Si la réponse est donnée après une délibération de la Commission de contrôle à la séance, il en est fait mention expressément. Section VI. - La relation avec l'APD et les autres autorités de

contrôle

Art. 29.Si le président estime qu'une demande d'information, de point de vue, d'avis ou d'autorisation ne peut pas relever de la compétence de la Commission de contrôle mais de celle de la compétence de l'Autorité fédérale de protection des données (APD) ou d'un autre contrôleur, le président est mandaté par la Commission de contrôle par le biais du présent règlement pour décider de transmettre la demande à l'APD ou à un autre contrôleur pour suite, et d'en informer le demandeur, en indiquant sa motivation. Le président communique semestriellement un bref aperçu de ces transferts aux membres effectifs et suppléants de la Commission de contrôle.

Art. 30.Lorsqu'un dossier en cours d'examen auprès de la Commission de contrôle est soumis à l'APD ou à un autre contrôleur, le président transmet immédiatement tous les documents utiles à l'APD ou à une autre autorité de contrôle. Il établit un rapport relatif à la délibération au sein de la Commission de contrôle. Le président informe l'auteur du dossier et éventuellement également les autres membres du transfert.

Art. 31.Dans toute matière relevant de sa compétence, la Commission de contrôle peut prendre des initiatives pour mettre en place des collaborations, de longue durée ou de projet, avec l'APD ou d'autres autorités de contrôle. Dans ce cadre, des accords sont conclus concernant le traitement confidentiel des dossiers. Section VII. - Rapport d'activités tel que visé à l'article 10/3, § 7,

du décret du 18 juillet relatif à l'échange électronique de données administratives

Art. 32.Conformément à l'article 59 du RGPD, un rapport d'activités comprenant des recommandations pour l'application du RGPD est établi par la Commission de contrôle flamande et envoyé au Gouvernement flamand, à la Commission européenne, au Comité européen de protection des données et à l'Autorité fédérale de protection des données. Section VIII. - Liste de traitements nécessitant une évaluation de

l'impact sur la protection des données

Art. 33.Dans l'année suivant sa composition, la Commission de contrôle adopte un premier projet de liste des traitements qui nécessitent une évaluation de l'impact sur la protection des données.

Au plus tard un mois avant cette date, le président soumet une proposition à cet effet à la Commission de contrôle qui peut émettre un avis sur des compléments ou des modifications.

La Commission de contrôle établit la liste définitive et la publie sur son site web.

Art. 34.Le président évalue, de sa propre initiative ou à la demande d'un ou de plusieurs membres, au moins tous les six mois si la liste doit être adaptée et, si c'est le cas, il soumet une proposition de modification et de complément.

TITRE III. - DISPOSITIONS FINALES

Art. 35.Le présent règlement d'ordre intérieur entre en vigueur le jour de sa décision par la Commission de contrôle. Il est publié sur le site web de la Commission de contrôle et au Moniteur belge après son approbation par le Gouvernement flamand.

Art. 36.Le règlement d'ordre intérieur est évalué annuellement et le président peut, de sa propre initiative ou à la demande d'au moins deux membres, soumettre une proposition d'adaptation du règlement d'ordre intérieur à la Commission de contrôle lors d'une des séances plénières.

Vu pour être joint à l'arrêté du Gouvernement flamand du 10 avril 2020 portant approbation du Règlement d'ordre intérieur de la Commission de contrôle flamande du traitement des données à caractère personnel.

Bruxelles, le 10 avril 2020.

Le Ministre-Président du Gouvernement flamand, J. JAMBON