2 DECEMBRE 2022. - Décret autorisant la création de l'agence autonomisée externe de droit privé Service public flamand des données (« Vlaams Datanutsbedrijf ») sous forme de société anonyme (1)

Le PARLEMENT FLAMAND a adopté et Nous, GOUVERNEMENT, sanctionnons ce qui suit : DECRET autorisant la création de l'agence autonomisée externe de droit privé Service public flamand des données (« Vlaams Datanutsbedrijf ») sous forme de société anonyme CHAPITRE 1er. - Dispositions générales

Article 1er.Le présent décret règle des matières communautaire et régionale.

Art. 2.Dans le présent décret, on entend par : 1° agence Flandre Numérique : l'agence Flandre Numérique (« Digitaal Vlaanderen »), visée à l'article 2 de l'arrêté du Gouvernement flamand du 18 mars 2016 portant création de l'agence autonomisée interne Flandre Numérique et détermination du fonctionnement, de la gestion et de la comptabilité des Fonds propres Flandre Numérique ;2° règlement général sur la protection des données : le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;3° Service public flamand des données : l'agence, visée à l'article 3 ; 4° citoyen : un citoyen tel que visé à l'article I.4, 7°, du Décret de gouvernance du 7 décembre 2018 ; 5° métadonnées : la documentation décrivant le contenu et la fréquence d'actualisation d'une source de données, ainsi que le procédé technique de l'accès à et de la publication de cette source ;6° service électronique : le traitement des données contenues dans des sources de données ou le traitement des métadonnées y afférentes par le biais d'une application informatique ;7° données : les données dans une source de données qui contiennent des informations sur un citoyen, y compris les données à caractère personnel, les métadonnées ou les données d'un service électronique ;8° données à caractère personnel : les données à caractère personnel, visées à l'article 4, 1) du règlement général sur la protection des données ;9° traitement : le traitement, visé à l'article 4, 2) du règlement général sur la protection des données ;10° consentement : le consentement, visé à l'article 4, 11) du règlement général sur la protection des données ;11° écosystème basé sur les données : un système constitué des interactions entre les sources de données, les applications de traitement et de partage des données et les clients des données, ainsi que la gouvernance y afférente, à condition que l'interaction ne vise pas les instances publiques entre elles ;12° coffre-fort de données : une plateforme de stockage des données des citoyens qui vise à permettre aux citoyens d'avoir le contrôle de leurs données et de les partager en toute sécurité avec d'autres citoyens ou instances publiques ; 13° instances publiques : un instance publique, telle que visée à l'article I.3 du Décret de gouvernance du 7 décembre 2018 ; 14° instance flamande : chacune des instances publiques suivantes : a) les instances de l'Autorité flamande, visées à l'article I.3, 1°, du Décret de gouvernance du 7 décembre 2018 ; b) les institutions investies d'une mission de service public, visées à l'article I.3, 6°, du Décret de gouvernance du 7 décembre 2018, relevant de l'Autorité flamande ou d'une ou plusieurs autres institutions investies d'une mission de service public relevant de l'Autorité flamande ; 15° entité : des citoyens ou des instances publiques. CHAPITRE 2. - Création, forme et désignation

Art. 3.Le Gouvernement flamand est autorisé à créer, dans les conditions énoncées au présent décret, la société anonyme Service public flamand des données. Le Service public flamand des données est une agence autonomisée externe de droit privé telle que visée à l'article III.14 du Décret de gouvernance du 7 décembre 2018.

L'agence, visée à l'alinéa 1er, porte le nom de « Vlaams Datanutsbedrijf » (Service public flamand des données), en abrégé « DNB ». L'agence, visée à l'alinéa 1er, peut utiliser un ou plusieurs noms commerciaux.

Les statuts du Service public flamand des données et toute modification de ces statuts sont soumis à l'approbation du Gouvernement flamand et communiqués au Parlement flamand.

Le Gouvernement flamand détermine le domaine politique dont relève le Service public flamand des données. CHAPITRE 3. - Objectifs et tâches de mise en oeuvre de la politique

Art. 4.§ 1er. Le Service public flamand des données a pour objectif, dans un écosystème basé sur les données, de faciliter la coopération autour du partage sécurisé des données avec et par les citoyens ou les instances publiques et d'optimiser l'exercice des droits des citoyens en matière de protection des données avec un minimum de charges administratives.

Outre les objectifs énoncés à l'alinéa 1er, le Service public flamand des données a pour objectif de soutenir le développement de nouvelles applications dans le domaine du partage des données et de permettre un partage sécurisé des données entre les entités dans un écosystème basé sur les données.

Dans le cadre de ces objectifs, énoncés aux alinéas 1er et 2, le Service public flamand des données est chargé des tâches de mise en oeuvre de la politique, visées à l'article 5, § 1er, et vise, en plus de fournir des avantages patrimoniaux à ses actionnaires, à faciliter les demandes des citoyens. En outre, le Service public flamand des données agit comme un levier pour promouvoir l'économie des données. § 2. Le Service public flamand des données coopère, si nécessaire, avec d'autres prestataires de services, notamment l'agence Flandre Numérique, qui remplit la fonction d'intégrateur de services au sens de l'article 3, § 1er, du décret du 13 juillet 2012 portant création et organisation d'un intégrateur de services flamand. § 3. Dans le cadre des objectifs énoncés au paragraphe 1er et sous réserve des articles 12 à 30, le Service public flamand des données peut créer ou participer à d'autres personnes morales et partenariats nationaux et étrangers, avec ou sans participation majoritaire. § 4. Le Service public flamand des données peut réaliser toutes les activités, tâches et opérations qui contribuent directement ou indirectement à la réalisation des objectifs énoncés au paragraphe 1er et aux tâches de mise en oeuvre de la politique énoncées à l'article 5.

Art. 5.§ 1er. Le Service public flamand des données a les tâches de mise en oeuvre de la politique suivantes : 1° réaliser des études de faisabilité sur le développement et la gestion d'applications qui soutiennent le partage des données dans un écosystème basé sur les données ;2° développer et gérer une plateforme de coffres-forts de données pour les citoyens.Les coffres-forts de données sont mis à la disposition des citoyens. L'utilisation du coffre-fort de données n'est pas obligatoire pour les citoyens. Un citoyen peut, uniquement à sa demande expresse, activer et, le cas échéant, désactiver son coffre-fort de données, y stocker, modifier ou supprimer ses données et gérer la communication de ces données à sa demande et, en cas de communication de données à caractère personnel, à condition que le citoyen donne son consentement au sens de l'article 29 du présent décret ; 3° développer et gérer une plate-forme pour partager et consulter de manière intégrée les métadonnées des instances publiques ;4° développer et gérer une plate-forme pour partager et consulter de manière intégrée les métadonnées des citoyens ;5° développer et gérer une plate-forme qui assure le traitement sécurisé et garanti des transactions entre les citoyens ou les instances publiques concernés et qui traite toute redevance due qui découle de l'accès des citoyens ou des instances publiques concernés aux plates-formes mentionnées dans le présent paragraphe ;6° exécuter les tâches énoncées à l'article 4 du décret KLIP du 14 mars 2008 ;7° exécuter les tâches énoncées à l'article 5 du décret GIPOD du 4 avril 2014 ;8° exécuter des missions spéciales qui s'inscrivent dans le cadre des objectifs, énoncés à l'article 4, § 1er, du présent décret, ou des tâches de mise en oeuvre de la politique, énoncées aux points 1° à 7°, et qui sont confiées au Service public flamand des données par ou en vertu d'un décret. § 2. Lorsque les instances flamandes consentent à une communication de données spécifique et qu'elles ont demandé l'accès à une application du Service public flamand des données à cette fin, les instances flamandes utilisent la plate-forme visée au paragraphe 1er, 2° pour communiquer les données gérées par les instances flamandes, conformément à l'article 13, § 1er, 1° et 2°.

Les instances flamandes utilisent la plate-forme visée au paragraphe 1er, 2°, pour recevoir des données, conformément aux conditions énoncées à l'article 21, § 1er.

Le Service public flamand des données apporte le soutien nécessaire aux instances flamandes dans les conditions prévues par l'accord de coopération mentionné à l'article 6.

Dans les conditions prévues par l'accord de coopération, mentionné à l'article 6, le Service public flamand des données est responsable de la communication des données gérées par les instances publiques qui ne sont pas des instances flamandes, conformément aux conditions, énoncées à l'article 13, § 1er, et de la réception des données par les instances publiques qui ne sont pas des instances flamandes, moyennant leur consentement, conformément aux conditions, énoncées à l'article 21, § 1er. § 3. Le Gouvernement flamand peut autoriser le Service public flamand des données, le cas échéant dans les conditions particulières qu'il détermine, à associer à l'exécution de ses tâches de mise en oeuvre de la politique une personne morale à laquelle le Service public flamand des données participe. § 4. Sauf dérogation expresse, le Service public flamand des données ne modifie pas les applications existantes de stockage et de communication de données des citoyens. CHAPITRE 4. - Accord de coopération

Art. 6.Le Service public flamand des données conclut un accord de coopération avec la Communauté flamande et la Région flamande. Cet accord de coopération fixe au moins les points suivants : 1° les modalités des tâches de mise en oeuvre de la politique, visées à l'article 5, § 1er ;2° les modalités du devoir d'information et de l'obligation de rapport sur les tâches de mise en oeuvre de la politique, visées à l'article 5, § 1er, et sur la situation financière ;3° les conditions relatives à la gestion, au contrôle et au fonctionnement du Service public flamand des données ;4° les conditions relatives à la mise à disposition du personnel, des ressources et des infrastructures ;5° la durée, les possibilités de résiliation et de reconduction de l'accord de coopération ;6° les mesures prises lorsqu'une partie ne respecte pas ses engagements découlant de l'accord de coopération ;7° la présentation d'un rapport annuel, y compris un chapitre distinct sur le respect de la protection des données à caractère personnel, pour le 1er juin de l'année suivante, sur la mise en oeuvre de l'accord de coopération au cours de l'année civile écoulée, et la présentation d'autres documents à soumettre annuellement, que ce soit ou non pour approbation par le Gouvernement flamand. Chaque modification de l'accord de coopération est formalisée par un addenda à l'accord de coopération. CHAPITRE 5. - Actions

Art. 7.La Région flamande et la Communauté flamande détiennent toujours, directement ou indirectement, au moins la moitié plus une des actions du Service public flamand des données et la majorité du nombre total de droits de vote liés aux actions. CHAPITRE 6. - Allocation de fonctionnement

Art. 8.Le Gouvernement flamand est autorisé, dans les limites des crédits budgétaires, à octroyer annuellement au Service public flamand des données une allocation de fonctionnement à charge du budget de la Communauté flamande. CHAPITRE 7. - Mise à disposition de personnel

Art. 9.Le Gouvernement flamand et les personnes morales relevant de la Communauté flamande et de la Région flamande sont autorisés à mettre du personnel à disposition afin de soutenir le fonctionnement du Service public flamand des données.

Les conditions et les modalités de la mise à disposition visée à l'alinéa 1er sont fixées dans l'accord de coopération visé à l'article 6. CHAPITRE 8. - Le comité consultatif

Art. 10.§ 1er. Au sein du Service public flamand des données, il est créé un comité consultatif, composé de trois membres permanents et de trois membres suppléants. Le comité consultatif possède une expertise approfondie en matière de protection des données à caractère personnel des citoyens, de technologies des données et de sécurité de l'information. Lors de toute délibération du comité consultatif, les membres présents disposent ensemble de l'expertise susmentionnée. Les membres sont nommés par le Gouvernement flamand pour une période de six ans après un appel public aux candidatures et sur la base d'une sélection comparative. Le Gouvernement flamand désigne un président parmi les membres.

L'appel public aux candidatures indique le nombre de places vacantes, les conditions de désignation et les modalités de présentation des candidatures.

Les membres sont désignés sur la base de leurs qualifications, de leur expérience et de leurs compétences dans les domaines d'expertise mentionnés à l'alinéa 1er.

Le mandat des membres du comité consultatif est incompatible avec : 1° la qualité de membre d'une assemblée législative, décrétale ou ordonnantielle ;2° la fonction de ministre ou de secrétaire d'état ;3° la fonction de gouverneur de province ;4° la qualité de membre de la députation permanente ;5° la fonction de fonctionnaire dirigeant d'une instance publique ;6° la fonction de membre d'un cabinet ministériel ;7° la fonction de bourgmestre, d'échevin ou de président du CPAS ;8° la qualité de membre du conseil d'administration du Service public flamand des données ou d'une entreprise dans laquelle le Service public flamand des données a une participation ;9° un poste ou un mandat de personnel statutaire ou contractuel du Service public flamand des données ou d'une entreprise dans laquelle le Service public flamand des données a une participation ;10° un poste ou un mandat de personnel statutaire ou contractuel d'un intégrateur de services ;11° la qualité de membre d'une autorité de contrôle de la protection des données. Tous les membres signent une déclaration sur les conflits d'intérêts et la confidentialité. Lorsque, dans un dossier donné, un conflit d'intérêts découlant des activités ou de la fonction d'un membre, rend un jugement impartial impossible, ce membre ne peut pas participer à la prise de décision dans ce dossier. Le membre informe le président ou, s'il est lui-même le président, le président suppléant, du conflit d'intérêts et de son abstention de participation à la prise de décision.

Les membres du comité consultatif ont droit au jeton de présence. Le Gouvernement flamand en fixe le montant. Ce montant est lié à l'évolution de l'indice des prix à la consommation. L'assemblée générale du Service public flamand des données peut modifier le montant. Tous les membres ont droit au remboursement des frais de voyage et de séjour conformément aux dispositions applicables aux membres du personnel des services de l'Autorité flamande.

Le Gouvernement flamand peut spécifier la composition et le fonctionnement du comité consultatif. § 2. Le comité consultatif fournit des avis au conseil d'administration du Service public flamand des données sur les points suivants, chaque fois du point de vue de la protection des données à caractère personnel des citoyens : 1° le projet de politique de gestion des utilisateurs et des accès relative aux données à caractère personnel communiquées par l'intermédiaire du Service public flamand des données ;2° le projet de politique et de gestion de sécurité coordonnées du Service public flamand des données ;3° le projet de procédure, notamment le contenu requis du dossier de demande et les critères d'évaluation de la demande d'accès à une application du Service public flamand des données si la demande d'accès concerne le traitement de données à caractère personnel ;4° les demandes, les modalités et les accords nécessaires concernant l'accès à une application du Service public flamand des données si la demande d'accès concerne le traitement de données à caractère personnel.Le comité consultatif rend son avis sur la base du dossier de demande et, le cas échéant, de l'analyse d'impact relative à la protection des données préparée par le demandeur.

L'avis, mentionné dans l'alinéa 1er, couvre tous les aspects relatifs à tous les domaines d'expertise mentionnés dans le paragraphe 1er, alinéa 1er.

Le fonctionnaire à la protection des données peut, après avoir reçu l'avis du comité consultatif mentionné à l'alinéa 1er, rendre son avis sur les points mentionnés à l'alinéa 1er à la demande du conseil d'administration du Service public flamand des données.

Le conseil d'administration du Service public flamand des données recueille l'avis de la Commission de contrôle flamande du traitement des données à caractère personnel, mentionnée à l'article 10/1 du décret du 18 juillet 2008 relatif à l'échange électronique de données administratives, sur le point mentionné à l'alinéa 1er, 1°.

Le conseil d'administration du Service public flamand des données statue ensuite sur les points mentionnés à l'alinéa 1er.

Si le conseil d'administration du Service public flamand des données ne suit pas l'avis du comité consultatif ou du fonctionnaire à la protection des données du Service public flamand des données, le conseil d'administration justifie dans les dispositions introductives de sa décision pourquoi il ne suit pas l'avis. CHAPITRE 9. - Contrôle

Art. 11.§ 1er. Sur proposition du ministre flamand ayant la numérisation dans ses attributions, le Gouvernement flamand désigne un commissaire du gouvernement auprès du Service public flamand des données, qui veille à ce que les tâches de mise en oeuvre de la politique, mentionnées à l'article 5, § 1er, soient exécutées par le Service public flamand des données conformément aux lois et décrets et à leurs arrêtés d'exécution, aux statuts et à l'accord de coopération mentionné à l'article 6. Ce commissaire du gouvernement veille également à ce que, lors de l'octroi d'accès par le conseil d'administration, la disposition de l'article 10, § 2, soit respectée par le conseil d'administration.

Sur proposition du ministre flamand ayant les finances et le budget dans ses attributions, le Gouvernement flamand désigne un commissaire du gouvernement qui veille à ce que toutes les décisions du Service public flamand des données ayant un impact budgétaire ou financier soient prises conformément aux lois et décrets, à leurs arrêtés d'exécution, aux statuts et à l'accord de coopération mentionné à l'article 6. § 2. Le Gouvernement flamand fixe la rémunération des commissaires du gouvernement, qui est à charge du budget de la Communauté flamande. Le Gouvernement flamand peut mettre à la disposition des commissaires du gouvernement les personnels nécessaires à l'accomplissement de leur tâche de contrôle.

Le Gouvernement flamand peut spécifier les conditions statutaires dans lesquelles les commissaires du gouvernement sont désignés. § 3. Les commissaires du gouvernement assistent avec voix consultative aux réunions des organes du Service public flamand des données. Les commissaires du gouvernement reçoivent, sauf en cas d'urgence motivée, l'ordre du jour complet des réunions de ces organes, ainsi que tous les documents y afférents, au moins cinq jours ouvrables avant la date de ces réunions. § 4. Les commissaires du gouvernement peuvent consulter, à tout moment et sur simple demande, tous les documents et écritures du Service public flamand des données. Les commissaires du gouvernement peuvent réclamer auprès des membres des organes et du personnel du Service public flamand des données toute information et clarification et procéder à toute vérification qu'ils jugent nécessaire à l'accomplissement de leur mission. § 5. Dans un délai de cinq jours ouvrables à compter du jour où les commissaires du gouvernement prennent connaissance de ou reçoivent la décision en question, ils peuvent introduire un recours motivé auprès du Gouvernement flamand contre toute décision des organes du Service public flamand des données ou des personnes auxquelles ceux-ci ont éventuellement délégué leur compétence, si les commissaires du gouvernement estiment que la décision en question n'est pas conforme aux lois et décrets et à leurs arrêtés d'exécution, ainsi qu'aux statuts ou à l'accord de coopération et que la décision en question concerne l'une des tâches mentionnées à l'article 5. Le recours a un effet suspensif.

Si le Gouvernement flamand n'a pas informé le Service public flamand des données dans un délai de vingt jours ouvrables à compter du même jour que le délai dont disposent les commissaires du Gouvernement pour introduire un recours, visé à l'alinéa 1er, de l'annulation de la décision, celle-ci devient définitive. CHAPITRE 1 0. - Traitement des données Section 1re. - Communication de données au Service public flamand des

données

Art. 12.La présente section s'applique sans préjudice de toute réglementation contraire et des dispositions de l'article 10.

Art. 13.§ 1er. Sans préjudice de la réglementation relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel applicable à la communication des données à caractère personnel, telle que précisée plus avant, le cas échéant, au niveau fédéral ou flamand, les instances flamandes communiquent les données spécifiques, y compris les données à caractère personnel, au Service public flamand des données, par l'intermédiaire de l'Agence Flandre Numérique, qui remplit la fonction d'intégrateur de services tel que mentionné à l'article 3, § 1er, du décret du 13 juillet 2012 portant création et organisation d'un intégrateur de services flamand, si au moins une des conditions suivantes est remplie : 1° le citoyen concerné demande ces données et a demandé au Service public flamand des données de transmettre cette demande au nom du citoyen concerné ;2° l'instance flamande est autorisée à partager des données par ou en vertu d'une norme supranationale ou d'une norme ayant force de loi et le citoyen concerné a demandé au Service public flamand des données de donner suite à ce partage de données. § 2. Sans préjudice de la réglementation relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel applicable à la communication des données à caractère personnel, telle que précisée plus avant, le cas échéant, au niveau fédéral ou flamand, le Service public flamand des données peut conclure, le cas échéant et si nécessaire, des accords avec des instances publiques qui ne sont pas des instances flamandes, afin que des données spécifiques, y compris des données à caractère personnel, qu'elles traitent puissent être communiquées au Service public flamand des données, si au moins une des conditions suivantes est remplie : 1° le citoyen concerné demande ces données et a demandé au Service public flamand des données de transmettre cette demande au nom du citoyen concerné ;2° l'instance publique qui n'est pas une instance flamande est autorisée à partager des données par ou en vertu d'une norme supranationale ou d'une norme ayant force de loi et le citoyen concerné a demandé au Service public flamand des données de donner suite à ce partage de données. § 3. Sans préjudice de la réglementation relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel applicable à la communication des données à caractère personnel, telle que précisée plus avant, le cas échéant, au niveau fédéral ou flamand, une entité qui n'est pas une instance publique telle que mentionnée aux paragraphes 1er et 2, peut communiquer des données spécifiques, y compris des données à caractère personnel, qu'elle traite, au Service public flamand des données, à condition que le citoyen concerné demande à recevoir ces données et ait demandé au Service public flamand des données de transmettre cette demande au nom du citoyen concerné.

Art. 14.§ 1er. Les entités fournisseuses, mentionnées à l'article 13, §§ 1er à 3, ne communiquent au Service public flamand des données que les données qui sont nécessaires pour répondre à la demande du citoyen, ou, pour les entités fournisseuses mentionnées à l'article 13, §§ 1er et 2, uniquement les données qui sont nécessaires pour partager les données par ou en vertu d'une norme supranationale ou d'une norme ayant force de loi. § 2. Les entités fournisseuses, mentionnées à l'article 13, § 1er, assurent la mise à jour permanente des données communiquées tant que les conditions mentionnées à l'article 13, § 1er, sont remplies. § 3. Les entités fournisseuses, mentionnées à l'article 13, §§ 2 et 3, assurent à la demande du citoyen la mise à jour permanente des données communiquées.

Art. 15.Les entités fournisseuses, mentionnées à l'article 13, §§ 1er à 3, transmettent les données en question au Service public flamand des données par voie électronique.

Le Gouvernement flamand peut fixer d'autres conditions et modalités concernant le partage de données entre les instances flamandes mentionnées à l'article 13, § 1er, et le Service public flamand des données.

Art. 16.En cas de traitement de données à caractère personnel, la demande du citoyen mentionnée à l'article 13, §§ 1er à 3 et à l'article 14, § 3, est soumise aux conditions du consentement mentionné à l'article 29. Section 2. - Traitement de données par le Service public flamand des

données

Art. 17.La présente section s'applique sans préjudice de toute réglementation contraire et des dispositions de l'article 10.

Art. 18.§ 1er. Les données communiquées au Service public flamand des données conformément à l'article 13 sont traitées par le Service public flamand des données en vue de ses objectifs, mentionnés à l'article 4, et tâches de mise en oeuvre de la politique, mentionnées à l'article 5. § 2. Sans préjudice des dispositions des articles 23 à 30 du présent décret, le Service public flamand des données peut traiter les données suivantes : 1° les données relatives aux personnes physiques, énumérées à l'article 24, § 1er, du présent décret ;2° les données relatives à un bien immobilier ou à un droit immobilier ;3° les données relatives à une personne morale ou à toute autre organisation sans personnalité juridique ;4° les données géographiques telles que visées à l'article 3, 3° du décret GDI du 20 février 2009. § 3. Sans préjudice des dispositions des articles 23 à 30 du présent décret, les moyens d'identification suivants sont utilisés lors du traitement des données en application du présent décret : 1° le numéro d'identification du Registre national lorsque les données ont trait à une personne physique reprise dans le Registre national ;2° le numéro d'identification de la Banque-Carrefour de la Sécurité sociale lorsque les données ont trait à une personne physique qui n'est pas reprise dans le Registre national ;3° le numéro d'entreprise lorsque les données ont trait à une entreprise enregistrée à la Banque-Carrefour des Entreprises ;4° l'identificateur, visé à l'article 2, 9°, du décret CRAB du 8 mai 2009 lorsque les données ont trait aux adresses mentionnées à l'article 6 du décret précité ;5° le numéro cadastral de parcelle lorsque les données ont trait à des parcelles ;6° les identificateurs des objets géographiques de la Base de données des références à grande échelle (« Grootschalig Referentie Bestand »), au sens de l'annexe à l'arrêté ministériel du 11 mars 2005 portant approbation des spécifications GRB en exécution du décret du 16 avril 2004 relatif à la Base de données des références à grande échelle, lorsque les données ont trait ou font référence à des exemplaires du GRB. § 4. Pour les données qui ne relèvent pas de l'application du paragraphe 2, le Gouvernement flamand peut imposer l'utilisation d'autres moyens d'identification.

Art. 19.§ 1er. Le Service public flamand des données n'effectue aucun traitement autre que ceux nécessaires pour atteindre les objectifs mentionnés à l'article 4 et les tâches de mise en oeuvre de la politique mentionnées à l'article 5. § 2. Les données à caractère personnel sont traitées dans le respect de la réglementation en matière de protection des personnes physiques à l'égard du traitement des données à caractère personnel. § 3. Le Service public flamand des données prend des mesures appropriées pour assurer la sécurité, la confidentialité et l'intégrité des applications et des données traitées par le Service public flamand des données. Si nécessaire, le comité consultatif, mentionné à l'article 10, § 1er, donne son avis à ce sujet conformément à l'article 10, § 2. Section 3. - Communication de données par le Service public flamand

des données

Art. 20.La présente section s'applique sans préjudice de toute réglementation contraire et des dispositions de l'article 10.

Art. 21.§ 1er. Sans préjudice de la réglementation relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, le Service public flamand des données communique des données spécifiques, y compris des données à caractère personnel, à l'entité réceptrice désignée par le citoyen, à condition que le citoyen concerné demande que ces données soient communiquées à une entité réceptrice particulière via la plate-forme mentionnée à l'article 5, § 1er, 2°. § 2. Dans le cas, mentionné au paragraphe 1er, les entités réceptrices n'ont accès qu'aux données nécessaires à l'exécution de leurs tâches respectives. § 3. Le Service public flamand des données transmet les données demandées, mentionnées au paragraphe 1er, à l'entité réceptrice par voie électronique.

Si l'entité réceptrice est une instance publique, le Service public flamand des données communique les données par l'intermédiaire de l'Agence Flandre Numérique, qui remplit la fonction d'intégrateur de services au sens de l'article 3, § 1er, du décret du 13 juillet 2012 portant création et organisation d'un intégrateur de services flamand.

Art. 22.Si la demande du citoyen, mentionnée à l'article 21, § 1er, concerne un traitement de données à caractère personnel, cette demande est soumise aux conditions du consentement mentionné à l'article 29. CHAPITRE 1 1. - Dispositions complémentaires concernant le traitement des données à caractère personnel

Art. 23.Le présent chapitre s'applique sans préjudice de toute réglementation contraire et des dispositions de l'article 10.

Art. 24.§ 1er. Les données traitées par le Service public flamand des données peuvent contenir les catégories suivantes de données à caractère personnel : 1° données de contact et d'identification ;2° données sur la composition de la famille ;3° données professionnelles et de formation ;4° données financières ;5° numéro d'identification au Registre national ;6° numéro d'identification à la Banque-Carrefour de la sécurité sociale ;7° numéro d'entreprise à la Banque-Carrefour des Entreprises ;8° données cadastrales. § 2. Les données à caractère personnel traitées par le Service public flamand des données concernent les personnes physiques qui ont activé leur coffre-fort de données, mentionné à l'article 5, § 1er, 2°.

Art. 25.Les données à caractère personnel, mentionnées à l'article 24, sont traitées par le Service public flamand des données aux fins des objectifs énumérés à l'article 4 et des tâches de mise en oeuvre de la politique énumérées à l'article 5.

Art. 26.§ 1er. Dans le présent article, il faut entendre par responsable du traitement : le responsable du traitement, tel que visé à l'article 4, 7) du règlement général sur la protection des données.

Le Service public flamand des données agit en tant que responsable du traitement pour ses propres activités de traitement, mentionnées à l'article 25. § 2. L'entité fournisseuse, mentionnée à l'article 13, §§ 1er à 3, agit en tant que responsable du traitement pour la communication des données au Service public flamand des données. § 3. L'entité réceptrice agit en tant que responsable du traitement pour les données qu'elle reçoit conformément à l'article 21, § 1er.

Art. 27.Les données à caractère personnel que traite le Service public flamand des données ne sont pas conservées plus longtemps que nécessaire à la réalisation des objectifs, mentionnés à l'article 25 du présent décret, conformément à l'article III.87, § 1er, du Décret de gouvernance du 7 décembre 2018, ou elles sont conservées jusqu'à ce que la personne concernée demande la suppression de ces données à caractère personnel, conformément aux conditions énoncées dans le règlement général sur la protection des données.

Dans l'alinéa 1er, on entend par personne concernée : une personne concernée, telle que visée à l'article 4, 1) du règlement général sur la protection des données.

Pour les traitements de données à caractère personnel, le délai de conservation est déterminé au cas par cas. Les éléments suivants sont notamment pris en compte : 1° l'objectif du traitement des données à caractère personnel ;2° la mesure dans laquelle une période de conservation des données est stipulée par ou en vertu d'une loi ou d'un décret, ou la mesure dans laquelle il existe un lien suffisamment substantiel avec des délais légaux, décrétaux ou réglementaires ;3° la mesure dans laquelle la personne concernée renouvelle son consentement au traitement, conformément à l'article 29 du présent décret ;4° la mesure dans laquelle des mesures empêchant l'identification de la personne concernée peuvent être mises en place. En tout état de cause, les données à caractère personnel, mentionnées à l'alinéa 1er, ne sont pas conservées plus de six mois après le décès de la personne concernée.

Ce qui précède est sans préjudice du droit de la personne concernée de faire supprimer ses données à caractère personnel, au sens de l'alinéa 1er.

Art. 28.Le Service public flamand des données n'effectue pas de prise de décision automatisée, y compris le profilage, sur les données à caractère personnel traitées.

Art. 29.§ 1er. Le consentement du citoyen est toujours donné de manière explicite, le citoyen étant informé à l'avance du traitement des données à caractère personnel sur lequel porte le consentement. Ce consentement peut être retiré conformément à l'article 7, paragraphe 3, du règlement général sur la protection des données. § 2. Le consentement du citoyen est demandé pour tout traitement de données à caractère personnel sur lequel porte le consentement. Le consentement est toujours donné pour une période limitée pendant laquelle les données à caractère personnel peuvent être communiquées.

Pendant cette période, il est demandé au citoyen, à intervalles réguliers, si son consentement est toujours valable. Après l'expiration de cette période, il est demandé au citoyen s'il souhaite renouveler son consentement, après quoi il lui est à nouveau demandé à intervalles réguliers si son consentement est toujours valable.

Le contenu du consentement du citoyen reste inchangé dans le temps si le citoyen ne modifie pas son consentement. § 3. Le consentement visé au paragraphe 1er s'applique sans préjudice de l'application des autres motifs de traitement des entités fournisseuses ou réceptrices, énumérés à l'article 6 du règlement général sur la protection des données.

Art. 30.§ 1er. L'entité réceptrice est soumise à l'interdiction de principe de copier des données à caractère personnel. Si nécessaire, le conseil d'administration, en concertation avec l'entité fournisseuse mentionnée à l'article 13, §§ 1er à 3, après avis du comité consultatif, mentionné à l'article 10, § 1er, peut consentir à ce que l'entité réceptrice fasse une copie des données à caractère personnel, dans le seul but de rendre plus efficace la mise à disposition ultérieure de ces données à caractère personnel, à condition que l'entité réceptrice : 1° ne modifie pas les données à caractère personnel ;2° mette à jour les données à caractère personnel conformément aux règles établies en consultation avec l'entité fournisseuse concernée ;3° supprime immédiatement les données à caractère personnel traitées ou en rende l'accès impossible dans l'un des cas suivants : a) dès que l'entité réceptrice a effectivement pris connaissance que : 1) les données à caractère personnel ont été retirées de l'endroit où elles se trouvaient à l'origine ;2) l'accès à ces données à caractère personnel a été rendu impossible ;b) dès qu'une autorité administrative ou judiciaire a ordonné que les données soient supprimées ou que l'accès à celles-ci soit rendu impossible ;4° ne commercialise pas les données à caractère personnel traitées sans disposer d'une base de justification pour le faire. § 2. En cas de violation des dispositions du paragraphe 1er, le conseil d'administration du Service public flamand des données peut, après avis du comité consultatif, mentionné à l'article 10, § 1er, ou du fonctionnaire à la protection des données, prendre l'une des mesures suivantes : 1° ordonner à l'entité réceptrice en question de supprimer immédiatement les données à caractère personnel reçues ;2° arrêter temporairement ou définitivement la communication des données à caractère personnel à l'entité réceptrice en question. § 3. Chaque citoyen a le droit de savoir quelles entités réceptrices ont consulté ou mis à jour, par l'intermédiaire du Service public flamand des données, les données à caractère personnel le concernant, au cours des six derniers mois. Le Service public flamand des données prévoit les moyens appropriés à cet effet, conformément aux conditions et règles sur lesquelles le comité consultatif, mentionné à l'article 10, § 1er, a donné son avis conformément à l'article 10, § 2. CHAPITRE 1 2. - Modifications du décret KLIP du 14 mars 2008

Art. 31.Dans l'article 2, § 1er, du décret KLIP du 14 mars 2008, modifié par les décrets des 17 janvier 2014, 10 novembre 2017 et 2 avril 2021, le point 14° est remplacé par ce qui suit : « 14° agence : l'agence autonomisée externe de droit privé Service public flamand des données (« Vlaams Datanutsbedrijf »), créée en vertu du décret du 2 décembre 2022 autorisant la création de l'agence autonomisée externe de droit privé Service public flamand des données sous forme de société anonyme ; ».

Art. 32.Dans l'article 5, § 1er, alinéa 1er, du même décret, modifié par les décrets des 17 janvier 2014 et 2 avril 2021, le membre de phrase « l' "Eigen Vermogen Digitaal Vlaanderen", visé à l'article 7 du décret du 15 janvier 2016 portant l'établissement de l' "Eigen Vermogen Digitaal Vlaanderen" » est remplacé par les mots « l'agence ». CHAPITRE 1 3. -Modifications au décret GIPOD du 4 avril 2014

Art. 33.Dans l'article 3 du décret GIPOD du 4 avril 2014, modifié par les décrets des 10 novembre 2017, 2 avril 2021 et 17 décembre 2021, le point 1° est remplacé par ce qui suit : « 1° agence : l'agence autonomisée externe de droit privé Service public flamand des données (« Vlaams Datanutsbedrijf »), créée en vertu du décret du 2 décembre 2022 autorisant la création de l'agence autonomisée externe de droit privé Service public flamand des données sous forme de société anonyme ; ».

Art. 34.A l'article 6 du même décret, remplacé par le décret du 17 décembre 2021, les modifications suivantes sont apportées : 1° dans le paragraphe 2, l'alinéa 1er est abrogé ;2° le paragraphe 2 est complété par un alinéa 3, qui devient l'alinéa 2, rédigé comme suit : « Pour ses tâches en exécution du présent décret, l'agence reçoit de l'« Eigen Vermogen Digitaal Vlaanderen » les moyens de fonctionnement permettant de couvrir les frais d'entretien, d'exploitation, de gestion opérationnelle, ainsi que les frais pour l'évolution ultérieure.» ; 3° dans le paragraphe 3, alinéa 7, le mot « agence » est chaque fois remplacé par les mots « agence Flandre Numérique ». CHAPITRE 1 4. - Modifications du décret du 15 janvier 2016 portant création des Fonds propres Flandre Numérique

Art. 35.L'article 7, alinéa 2, du décret du 15 janvier 2016 portant création des Fonds propres Flandre Numérique, modifié par le décret du 2 avril 2021, est complété par un point 6°, rédigé comme suit: « 6° à allouer des moyens de fonctionnement à l'agence autonomisée externe de droit privé Service public flamand des données pour les tâches de cette agence dans le cadre du décret GIPOD du 4 avril 2014. ».

Art. 36.L'article 8, 3°, du même décret, est complété par le membre de phrase « et des moyens nécessaires à l'accomplissement de la tâche, visée à l'article 7, alinéa 2, 6° ». CHAPITRE 1 5. - Dispositions finales

Art. 37.Le Gouvernement flamand détermine la liste des droits et obligations de la Communauté flamande, de la Région flamande et des Fonds propres Flandre Numérique, visés à l'article 7 du décret du 15 janvier 2016 portant création des Fonds propres Flandre Numérique, qui ont trait aux tâches mentionnées à l'article 5 du présent décret et qui sont transférés au Service public flamand des données.

La publication au Moniteur belge de l'arrêté mentionné à l'alinéa 1er entraîne de plein droit le transfert au Service public flamand des données des droits et obligations contenus dans l'arrêté précité. Le transfert est opposable aux tiers à partir du jour de la publication de la liste au Moniteur belge.

Art. 38.Le Gouvernement flamand est chargé de modifier, de remplacer ou de supprimer les dispositions légales et décrétales existantes afin de les mettre en concordance avec les dispositions du présent décret.

Les arrêtés pris en vertu du présent article, cessent de produire leurs effets s'ils n'ont pas été ratifiés par décret dans les douze mois suivant la date de leur entrée en vigueur. La ratification rétroagit jusqu'à cette date d'entrée en vigueur.

La compétence visée au présent article, assignée au Gouvernement flamand, cesse douze mois après la date d'entrée en vigueur du présent décret. Après cette date, les arrêtés adoptés et ratifiés en vertu du présent article ne peuvent être modifiés, remplacés ou abrogés que par décret.

Art. 39.Le présent décret entre en vigueur le 15 décembre 2022, à l'exception de l'article 5, § 1er, 6°, et des articles 31 et 32, qui entrent en vigueur à une date à fixer par le Gouvernement flamand.

Promulguons le présent décret, ordonnons qu'il soit publié au Moniteur belge.

Bruxelles, le 2 décembre 2022 Le Ministre-Président du Gouvernement flamand Le Ministre flamand des Affaires étrangères, de la Culture, de la Numérisation et de la Gestion facilitaire, J. JAMBON _______ Note (1) Session 2022-2023 Documents : - Projet de décret : 1424 - N° 1 - Amendement : 1424 - N° 2 - Rapport : 1424 - N° 3 - Texte adopté en séance plénière : 1424 - N° 4 Annales - Discussion et adoption : Séance du 30 novembre 2022.