17 DECEMBRE 2023. - Arrêté royal portant modification de l'arrêté royal du 13 juin 2014 déterminant d'une part, les mesures réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques

RAPPORT AU ROI Sire, Le projet d'arrêté royal que le Gouvernement a l'honneur de soumettre à votre signature a pour objet de modifier l'arrêté royal du 13 juin 2014 déterminant d'une part, les mesures réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques (ci-après « arrêté royal du 13 juin 2014 »).

L'article 17quater de la loi du 4 juillet 1962Documents pertinents retrouvés type loi prom. 04/07/1962 pub. 01/02/2007 numac 2006001011 source service public federal interieur Loi relative à la statistique publique Traduction allemande fermer relative à la statistique publique (ci-après « loi statistique ») prévoit que l'Institut national de Statistique prend toutes les mesures nécessaires pour assurer la protection physique et logique des données individuelles en prévenant tout risque de divulgation illicite ou d'utilisation à des fins autres que statistiques. Ces mesures comprennent des modalités réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données individuelles à caractère personnel ou relatives à des entités individuelles et de secret statistique. Par ailleurs, cet article habilite l'Institut national de Statistique à agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques.

La présente réforme vise à mettre en conformité l'arrêté royal du 13 juin 2014 avec les pratiques actuelles résultant de la récente modification de la loi statistique par la loi du 25 septembre 2022Documents pertinents retrouvés type loi prom. 25/09/2022 pub. 16/01/2023 numac 2022033978 source service public federal economie, p.m.e., classes moyennes et energie Loi portant dispositions diverses en matière d'économie fermer portant dispositions diverses en matière d'économie, publiée au Moniteur belge le 16 janvier 2023. Certaines modifications résultent également de l'avis n° 115/2023 du 18 juillet 2023 de l'Autorité de protection des données.

Par ailleurs, le présent projet d'arrêté royal a également fait l'objet d'un avis positif remis de la part du Conseil supérieur de Statistique, lors de sa séance plénière du 8 juin 2023.

Les articles 1er et 2 du projet d'arrêté visent à modifier l'intitulé de l'arrêté royal du 13 juin 2014 et l'intitulé du chapitre 1er de l'arrêté royal du 13 juin 2014 conformément à l'avis de l'Autorité de protection des données précité (considérant 5).

L'article 3 du projet d'arrêté adapte l'article 1er de l'arrêté royal du 13 juin 2014, d'une part afin de tenir compte de la suppression de la Commission de la protection de la vie privée et d'autre part en vue de prévoir la mise à jour de la politique de sécurité rédigée par l'Institut national de Statistique conformément à l'avis de l'Autorité de protection des données précité (considérant 6) rappelant l'obligation d'accountability consacrée à l'article 24 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « règlement général sur la protection des données »).

L'article 4 du projet d'arrêté modifie l'article 2 de l'arrêté royal du 13 juin 2014 afin de mettre à jour la terminologie relative aux technologies employées en matière de mesures techniques et organisationnelles. Pour des raisons de clarté légistique, il convient de réécrire entièrement cet article 2.

En outre, conformément à l'avis de l'Autorité de protection des données précité, des adaptations sont apportées par rapport au texte actuellement en vigueur. Conformément au considérant 12 de l'avis, une nouvelle classe de données est créée dans l'article 2, 1°, 1.1., de l'arrêté royal du 13 juin 2014, les « données sensibles pseudonymisées, au sens des articles 9 et 10 du règlement général sur la protection des données » ; et l'actuelle classe « données sensibles » est remplacée par « données sensibles non pseudonymisées, au sens des articles 9 et 10 du règlement général sur la protection des données ».

Concernant l'emploi des termes « données globales et anonymes » relevé par l'avis de l'Autorité de protection des données précité (considérants 13 à 15), ces termes sont employés dans la loi statistique. Par données globales, il y a lieu de comprendre « données agrégées ».

S'agissant des accès « gérés au plus près » dans l'article 2, 1°, 1.2., de l'arrêté royal du 13 juin 2014, l'avis de l'Autorité de protection des données précité se méprend quant à la nature de l'activité de l'Institut national de Statistique qui n'endosse pas le rôle d'entité de recherche au sens du règlement (UE) 557/2013 de la Commission du 17 juin 2013 mettant en oeuvre le règlement (CE) 223/2009 du Parlement européen et du Conseil relatif aux statistiques européennes en ce qui concerne l'accès aux données confidentielles à des fins scientifiques et abrogeant le règlement (CE) no 831/2002 de la Commission (et non le règlement 553/2013 tel que mentionné dans l'avis, qui n'est plus en vigueur et qui concerne la pêche du brosme), mais bien le rôle d'Institut national de Statistique au sens du règlement (CE) 223/2009 du Parlement européen et du Conseil du 11 mars 2009 relatif aux statistiques européennes (ci-après « règlement européen relatif aux statistiques »). En effet, le contexte est différent dès lors qu'un Institut national de Statistique produit des statistiques et ne réalise pas, ou peu, d'études.

Concernant l'octroi de l'accès, conformément au considérant 17 de l'avis de l'Autorité de protection des données précité, il est désormais prévu que la demande d'accès doit être validée par le supérieur hiérarchique, après avis du délégué à la protection des données.

S'agissant des mesures particulières pour les données à caractère personnel avec identifiants directs, visées à l'article 2, 1°, 1.3., de l'arrêté royal du 13 juin 2014 et abordées au considérant 19 de l'avis de l'Autorité de protection des données précité, en substance, l'Autorité recommande que les destinataires de données pseudonymisées soient également concernés par l'obligation de journalisation des accès imposée à l'Institut national de Statistique. Elle ajoute qu'il serait conforme aux principes de protection des données de prévoir que ces communications de données aient lieu au sein du système d'information de l'Institut national de Statistique afin que les données ne quittent pas la data room. Compte tenu des coûts importants que générerait une telle infrastructure et de la complexité découlant de telles obligations pour les stakeholders de l'Institut national de Statistique, il conviendrait d'en discuter préalablement avec ceux-ci au sein du Conseil supérieur de Statistique. Quant au niveau de qualité de la journalisation qu'il est exigé de l'Institut national de Statistique (considérant 20), il convient de remarquer que les directories du Data Warehouse de l'Institut national de Statistique sont organisés en fonction des lignes de production de statistiques.

Intégrer dans cette journalisation obligatoire la mention de l'étude statistique ou du dossier spécifique pour lequel les requêtes sur les données à caractère personnel ont été effectuées n'a pas de valeur-ajoutée dans la mesure où cette journalisation permet déjà de mettre en relation une personne ayant accès aux données avec une statistique identifiée. Les missions de l'Institut national de Statistique sont définies dans la loi statistique et se limitent à la production/publication de statistiques et la fourniture de microdonnées (pseudonymisées) au monde de la recherche. L'Institut national de Statistique ne réalise pas, ou peu, d'analyses statistiques. Les finalités de ses traitements sont exclusivement statistiques. Enfin, l'Autorité de protection des données recommande également (considérant 21) la mise en place d'un système automatisé de détection des accès anormaux aux données à caractère personnel. Il conviendrait que l'Autorité de protection des données fournisse davantage d'informations opportunes quant à la mise en oeuvre d'un tel système. Dans l'état actuel des connaissances, il ne semble pas exister de telle technologie.

Concernant l'information et la formation du personnel visée à l'article 2, 1°, 1.4., de l'arrêté royal du 13 juin 2014, il est tenu compte de la remarque énoncée au considérant 22 de l'avis de l'Autorité de protection des données précité.

Concernant l'article 2, 1°, 1.5., de l'arrêté royal du 13 avril 2014, sa terminologie est mise à jour dès lors qu'il convient d'employer le terme « pseudonymisation » à la place de « codage ». Par ailleurs, la mesure est précisée et est conforme à la pratique actuelle résultant de la modification récente de la loi statistique.

Lors du processus d'anonymisation les données sont protégées contre l'identification directe et, dans la mesure du possible, contre l'identification indirecte. En définitive, le chercheur ne recevra que les données qui sont strictement nécessaires pour mener à bien la recherche. Il faut toutefois avoir à l'esprit qu'un risque résiduel d'identification indirecte subsistera toujours. C'est la raison pour laquelle les données restent confidentielles et que la mise à disposition de ces données fait l'objet d'un contrat de confidentialité signé par l'Institut national de Statistique et par le chercheur. Si le risque était totalement supprimé, cela voudrait dire que le chercheur pourrait se satisfaire de données anonymes (le pseudonyme n'a, en général, que peu d'intérêt pour le chercheur, si ce n'est éventuellement pour lier différents jeux de données). On ne serait donc plus dans le cadre d'une demande relevant du champ d'application de l'article 15 de la loi statistique.

Conformément à ce qui a été précisé dans l'exposé des motifs de la loi du 25 septembre 2022Documents pertinents retrouvés type loi prom. 25/09/2022 pub. 16/01/2023 numac 2022033978 source service public federal economie, p.m.e., classes moyennes et energie Loi portant dispositions diverses en matière d'économie fermer portant dispositions diverses en matière d'économie, modifiant la loi statistique, le risque d'identification indirecte est évalué sur base des registres auxquels le chercheur aurait éventuellement accès. S'il s'avérait que le chercheur dispose d'informations complémentaires lui permettant d'identifier facilement et systématiquement des unités statistiques, l'Institut national de Statistique généraliserait les données de manière à rendre cette identification indirecte quasi impossible. Il est toutefois clair que l'Institut national de Statistique ne peut prendre des mesures pour empêcher des identifications indirectes « accidentelles » d'unités statistiques.

L'article 2, 1°, 1.6., de l'arrêté royal du 13 juin 2014, est mis à jour afin de correspondre à la pratique actuelle résultant de la modification récente de la loi statistique.

L'article 2, 1°, 1.7., de l'arrêté royal du 13 juin 2014,est modifié conformément à l'avis de l'Autorité de protection des données précité (considérant 31), l'exemple repris dans la version actuelle de l'article constitue désormais la seule exception à la règle générale.

Il est enfin créé une nouvelle mesure technique relative à la réidentification des données. Celle-ci ne peut avoir lieu qu'après avis du délégué à la protection des données et accord formel du responsablement de traitement.

S'agissant des mesures organisationnelles visées à l'article 2, 2°, de l'arrêté royal du 13 juin 2014, outre les modifications légistiques et terminologiques énoncées précédemment, le rôle du délégué à la protection des données est également revu conformément à la pratique actuelle résultant de la dernière modification de la loi statistique.

La recommandation de l'Autorité de protection des données, dans son avis précité (considérant 34), n'est pas compatible avec les obligations imposées par Eurostat résultant de l'application des règlements européens encadrant la réalisation des statistiques. Ainsi, les données collectées pour une personne spécifique constituent souvent une combinaison unique. L'application du principe énoncé par l'Autorité de protection des données ne permettrait pas à l'Institut national de Statistique de stocker certaines informations telles que la date de naissance exacte ou la commune de résidence. Cela a par ailleurs été rappelé dans l'exposé des motifs de la loi du 25 septembre 2022Documents pertinents retrouvés type loi prom. 25/09/2022 pub. 16/01/2023 numac 2022033978 source service public federal economie, p.m.e., classes moyennes et energie Loi portant dispositions diverses en matière d'économie fermer portant dispositions diverses en matière d'économie, modifiant la loi statistique.

Enfin, concernant l'article 2, 3°, de l'arrêté royal du 13 juin 2014, il est tenu compte de l'avis de l'Autorité de protection des données précité (considérant 35) en ce qui concerne l'obligation de confidentialité applicable aux agents de l'Institut national de Statistique à l'issue de leur fonction au sein de celui-ci.

Concernant le rôle d'organisation intermédiaire visé par le chapitre 2 de l'arrêté royal du 13 juin 2014, le règlement européen relatif aux statistiques ne prévoit aucune condition ou restriction quant à l'exercice de cette activité par un Institut national de Statistique.

Le contexte juridique européen n'a pas été modifié depuis l'adoption de l'arrêté royal du 13 juin 2014. Dans tous les cas, l'Institut national de Statistique n'intervient comme organisation intermédiaire que pour des finalités statistiques.

L'article 3 de l'arrêté royal du 13 juin 2014 est modifié afin de correspondre à la pratique actuelle résultant de la modification récente de la loi statistique et compte tenu de l'évolution de la terminologie. Par ailleurs, conformément au considérant 44 de l'avis de l'Autorité de protection des données précité, il est désormais prévu que l'Institut national de Statistique assume le rôle de responsable de traitement lorsqu'il agit en qualité d'organisation intermédiaire.

L'article 4 de l'arrêté royal du 13 juin 2014 est modifié afin de correspondre à la pratique actuelle résultant de la modification récente de la loi statistique.

Concernant l'article 5 de l'arrêté royal du 13 juin 2014, outre la suppression de la référence au Comité de surveillance statistique, l'article est modifié afin de tenir compte des recommandations de l'avis de l'Autorité de protection des données précité (considérant 41) se référant au principe de finalité du règlement général sur la protection des données et sur le principe de finalité statistique consacré à l'article 1erbis de la loi statistique en vertu duquel des données collectées pour une fin statistique déterminée ne peuvent être utilisées à d'autres fins statistiques que si ces dernières sont compatibles avec la finalité statistique initiale. L'article 6 de l'arrêté royal du 13 juin 2014 est modifié afin de supprimer la référence au Comité de surveillance statistique.

J'ai l'honneur d'être, Sire, de Votre Majesté le très respectueux et très fidèle serviteur, Le Ministre de l'Economie, P.-Y. DERMAGNE Conseil d'Etat, section de législation Première chambre La demande d'avis introduite le 8 décembre 2023 par le Ministre de l'Economie, sur un projet d'arrêté royal `portant modification de l'arrêté royal du 13 juin 2014 déterminant d'une part, les mesures réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques', portant le numéro 75.063/1 du rôle de la section de législation du Conseil d'Etat, a été rayée du rôle le 12 décembre 2023, conformément à l'article 84, § 5, des lois `sur le Conseil d'Etat', coordonnées le 12 janvier 1973.

17 DECEMBRE 2023. - Arrêté royal portant modification de l'arrêté royal du 13 juin 2014 déterminant d'une part, les mesures réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques PHILIPPE, Roi des Belges, A tous, présents et à venir, Salut.

Vu la Constitution, l'article 108 ;

Vu la loi du 4 juillet 1962Documents pertinents retrouvés type loi prom. 04/07/1962 pub. 01/02/2007 numac 2006001011 source service public federal interieur Loi relative à la statistique publique Traduction allemande fermer relative à la statistique publique, l'article 17quater, §§ 1er, alinéa 2, et 2, insérés par la loi du 22 mars 2006 et modifiés par la loi du 25 septembre 2022Documents pertinents retrouvés type loi prom. 25/09/2022 pub. 16/01/2023 numac 2022033978 source service public federal economie, p.m.e., classes moyennes et energie Loi portant dispositions diverses en matière d'économie fermer ;

Vu l'arrêté royal du 13 juin 2014 déterminant d'une part, les mesures réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques ;

Vu l'avis du Conseil supérieur de Statistique, donné le 8 juin 2023 ;

Vu l'avis n° 115/2023 de l'Autorité de protection des données, donné le 18 juillet 2023 ;

Vu l'avis 75.063/1 du Conseil d'Etat, donné le 12 décembre 2023, en application de l'article 84, § 5, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973 ;

Sur la proposition du Ministre de l'Economie, Nous avons arrêté et arrêtons :

Article 1er.L'intitulé de l'arrêté royal du 13 juin 2014 déterminant d'une part, les mesures réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques, est remplacé par ce qui suit : « Arrêté royal déterminant d'une part, les mesures minimales de nature réglementaires, administratives, techniques et organisationnelles spécifiques afin d'assurer le respect des prescriptions relatives à la protection des données à caractère personnel ou relatives à des entités individuelles et de secret statistique et d'autre part, fixant les conditions auxquelles l'Institut national de Statistique peut agir en qualité d'organisation intermédiaire en vue d'un traitement ultérieur à des fins statistiques ».

Art. 2.L'intitulé du chapitre 1er du même arrêté, est remplacé par ce qui suit : « Mesures minimales de nature réglementaires, administratives, techniques et organisationnelles de référence applicables à tout traitement de données ».

Art. 3.A l'article 1er du même arrêté, les mots « qui se fonde sur les lignes directrices pour la sécurité de l'information de données à caractère personnel édictées par la Commission de la protection de la vie privée » sont remplacés par les mots « tenue à jour ».

Art. 4.L'article 2 du même arrêté est remplacé par ce qui suit : «

Art. 2.§ 1er. Pour sécuriser tous les traitements de données, l'Institut national de Statistique prend des mesures spécifiques.

Celles-ci sont proportionnelles au risque que représente l'ensemble de données. Le risque étant évalué sur base de la classe de données, de la sensibilité des données, du nombre d'unités statistiques reprises dans l'ensemble de données et du détail repris dans les données. § 2. Les mesures techniques passent par la classification des données, la gestion des accès aux données classifiées, les mesures particulières pour les données à caractère personnel avec identifiants directs, l'information et la formation du personnel, la pseudonymisation des données, les mesures relatives la réidentification des données, la protection des clés de concordance permettant de réassocier les données d'étude aux données d'identification directe ainsi que les mesures relatives à la pseudonymisation des données communiquées dans le cadre de l'article 15 de la loi du 4 juillet 1962Documents pertinents retrouvés type loi prom. 04/07/1962 pub. 01/02/2007 numac 2006001011 source service public federal interieur Loi relative à la statistique publique Traduction allemande fermer relative à la statistique publique. 1° La classification des données. Les données détenues par l'Institut national de Statistique font l'objet d'une classification.

Les différents niveaux de classification sont : a) données globales et anonymes ;b) données globales non anonymes ;c) données pseudonymisées d'entreprises ;d) données à caractère personnel pseudonymisées ;e) données sensibles pseudonymisées, au sens des articles 9 et 10 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;f) données non pseudonymisées d'entreprises ;g) données à caractère personnel non pseudonymisées ;h) données sensibles non pseudonymisées, au sens des articles 9 et 10 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. La classification des informations définit le niveau de protection des données. 2° La gestion des accès aux données classifiées. A l'exception des données globales et anonymes, toutes les données font l'objet d'un contrôle d'accès. Les accès sont gérés « au plus près ». Cela implique que : a) les accès ne sont accordés qu'aux personnes ayant le besoin d'en connaître ;toute demande d'accès aux données individuelles est validée par le supérieur hiérarchique direct, après avis du délégué à la protection des données ; b) les permissions d'accès des utilisateurs sont supprimées dès qu'ils ne sont plus autorisés à accéder à une ressource. L'Institut national de Statistique veille à limiter au maximum l'accès aux données à caractère personnel, avec identifiants directs. 3° Les mesures particulières pour les données à caractère personnel avec identifiants directs. Les accès aux données à caractère personnel avec identifiants directs font l'objet de mesures de protection particulières : tous les accès à ces banques de données sont journalisés. L'Institut national de Statistique doit donc être en mesure d'enregistrer de façon permanente l'identité des personnes ayant accédé à ces données.

La journalisation des accès des utilisateurs inclut leur identifiant, la date et l'heure de leur connexion, la date et l'heure de leur déconnexion et l'ensemble des requêtes (queries) exécutées sur ces données entre le début et la fin de la connexion. Les utilisateurs seront informés de l'existence du système de journalisation.

Le délégué à la protection des données informe les personnes concernées et le fonctionnaire dirigeant des accès frauduleux dont il aura pu prendre connaissance. 4° L'information et la formation du personnel. L'Institut national de Statistique veille à ce que son personnel soit correctement informé de ses devoirs en matière de confidentialité.

L'Institut national de Statistique met à disposition de son personnel un code déontologique ICT qui définit les conditions d'utilisation et d'accès aux ressources informatiques.

Les bénéficiaires d'un accès aux données individuelles sont amenés à suivre des séances de formation et de sensibilisation à la protection des données à caractère personnel en ce compris les garanties pour les droits et libertés des personnes concernées, ainsi qu'à la sécurité de l'information et à l'application du secret statistique dans le processus de production des statistiques. 5° La pseudonymisation des données. Les données sont traitées de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable. 6° Les mesures relatives à la réidentification des données. La réidentification des données nécessite l'avis du délégué à la protection des données et après l'accord formel du responsable de traitement. 7° La protection des clés de concordance. Par mesure de sécurité, les clés de concordance sont chiffrées lorsque leur archivage est nécessaire. Le déchiffrement des clés de concordance ne peut se faire qu'après avis du délégué à la protection des données. 8° Mesures relatives à la pseudonymisation des données communiquées dans le cadre de l'article 15 de la loi du 4 juillet 1962Documents pertinents retrouvés type loi prom. 04/07/1962 pub. 01/02/2007 numac 2006001011 source service public federal interieur Loi relative à la statistique publique Traduction allemande fermer relative à la statistique publique. Une clé secrète distincte est utilisée pour chaque communication. Une même unité statistique se verra donc attribuer des pseudonymes différents, d'une communication à l'autre, hormis lorsque le suivi des unités statistiques au cours du temps est requis. § 3. Les mesures organisationnelles sont les suivantes : 1° l'Institut national de Statistique dispose de services chargés de la collecte des données, qui sont responsables de la collecte primaire et secondaire de données, et qui sont distincts des services thématiques, qui traitent eux les données afin de produire des statistiques ;2° les services chargés de la collecte des données sont habilités à travailler avec toutes les classes de données individuelles.Les services thématiques sont habilités à travailler avec des données pseudonymisées à caractère personnel et avec toutes les classes de données d'entreprises ; 3° l'Institut national de Statistique veille au contrôle de l'utilisation des clés de concordance permettant la réidentification des données, pour éviter tout risque d'utilisation à des fins autres que statistiques ou de recherche scientifique ;4° le couplage de données se fait après avis du délégué à la protection des données et avec l'accord formel du responsable de traitement ;5° le délégué à la protection des données, placé sous l'autorité directe du fonctionnaire dirigeant de l'Institut national de Statistique, agit de manière indépendante des services chargés de la collecte des données et des services thématiques. § 4. Les mesures juridiques sont les suivantes : 1° les agents de l'Institut national de Statistique sont soumis au secret statistique.; 2° les agents de l'Institut national de Statistique signent un engagement de confidentialité concernant les données ;3° le devoir de confidentialité, auquel sont soumis les agents de l'Institut national de Statistique, demeure d'application et cela même après la cessation de leur fonction au sein de celui-ci.».

Art. 5.A l'article 3 du même arrêté, les modifications suivantes sont apportées : 1° à l'alinéa premier, le mot « codées » est remplacé par le mot « pseudonymisées » ;2° l'alinéa 4 est remplacé par ce qui suit : « Le couplage des données s'effectue après avis du délégué à la protection des données et avec l'accord formel du responsable de traitement.» ; 3° l'article est complété par un alinéa rédigé comme suit : : « Lorsqu'il agit en qualité d'organisation intermédiaire, l'Institut national de Statistique assume le rôle de responsable de traitement. ».

Art. 6.L'article 4 du même arrêté est remplacé par ce qui suit : «

Art. 4.Le délégué à la protection des données veille à ce que les clés de concordance ne soient utilisées que pour des finalités statistiques ou de recherches scientifique et conseille l'Institut national de Statistique dans ce cadre. ».

Art. 7.L'article 5 du même arrêté est remplacé par ce qui suit : «

Art. 5.Lorsque l'Institut national de Statistique agit en qualité d'organisme intermédiaire pour des tiers, il ne peut réutiliser les données pour d'autres finalités que celles reprises dans le contrat signé avec ces tiers.

Lorsque l'Institut national de Statistique couple des bases de données pour ses propres besoins, il le fait dans le respect des accords passés avec les sources de données. ».

Art. 8.A l'article 6, alinéa 2, du même arrêté, les mots « à la disposition de la Commission de la protection de la vie privé » sont abrogés.

Art. 9.Le présent arrêté royal entre en vigueur le jour de sa publication au Moniteur belge.

Art. 10.Le ministre qui a l'Economie dans ses attributions est chargé de l'exécution du présent arrêté.

Donné à Bruxelles, le 17 décembre 2023.

PHILIPPE Par le Roi : Le Ministre de l'Economie, P.-Y. DERMAGNE