MINISTERE DE LA COMMUNAUTE FRANÇAISE

7 MARS 2024. - Décret transposant certains aspects de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union en Communauté française (1)

Le Parlement de la Communauté française a adopté et Nous, Gouvernement, sanctionnons ce qui suit :

Article 1er.Le présent décret transpose partiellement la directive 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union.

Art. 2.Au sens du présent décret, on entend par : 1. « signalement » ou « signaler » : le signalement réalisé en application des dispositions législatives et réglementaires transposant la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union en Communauté française ;2. « divulgation publique » ou « divulguer publiquement »: la mise à disposition dans la sphère publique d'informations en application des dispositions législatives et réglementaires transposant le chapitre IV de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union en Communauté française ;3. « représailles » : tout acte ou omission direct ou indirect qui intervient dans un contexte professionnel, est suscité par un signalement interne ou externe ou une divulgation publique, et qui cause ou peut causer un préjudice injustifié à l'auteur de signalement ; 4. « donnée personnelle » : donnée à caractère personnel au sens de l'article 4.1 du Règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; 5. « RGPD » : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;6. « référent intégrité » : la personne désignée chargée de recevoir et enquêter sur les signalements internes, conformément à la procédure arrêtée par le Gouvernement dans le cadre de la transposition de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union. CHAPITRE 1 - Sanctions

Art. 3.§ 1er. Seront punies d'un emprisonnement de huit jours à un an et d'une amende de vingt-six euros à dix mille euros toutes personnes physiques ou morales qui : 1° entravent ou tentent d'entraver la réalisation d'un signalement ;2° exercent des représailles contre les auteurs de signalement ou de divulgation publique ;3° intentent des procédures abusives contre les personnes visées au point 2°. La peine d'emprisonnement maximale prévue à l'alinéa 1er est portée à deux ans lorsque l'auteur de l'infraction : 1° soit, a tiré un avantage matériel personnel direct ou indirect de l'irrégularité signalée ou dont le signalement est entravé ;2° soit, avait connaissance de la matérialité de l'irrégularité alléguée lorsque celle-ci a un caractère frauduleux. § 2. Seront punies d'un emprisonnement de huit jours à six mois et d'une amende de vingt-six euros à dix mille euros les personnes faisant sciemment usage des modes de signalement ou de divulgation institués par les dispositions décrétales et réglementaires visées au paragraphe 1er pour diffuser de fausses allégations.

La peine d'emprisonnement maximale prévue à l'alinéa 1er est portée à un an lorsqu'un des mobiles du délit est la volonté de nuire à une ou plusieurs personnes physiques déterminées. CHAPITRE 2 - Secret professionnel

Art. 4.Les personnes soumises à une obligation de secret en vertu de l'article 458 du Code pénal ou par une norme législative ou réglementaire de la Communauté française ne violent pas cette obligation lorsqu'elles divulguent les secrets dont elles sont dépositaires et que les conditions suivantes sont réunies : 1° la divulgation intervient dans le cadre d'un signalement ou d'une divulgation publique effectué dans les formes et conditions prévues ;2° l'auteur de la divulgation a des motifs raisonnables de penser que le signalement est fondé et qu'il n'est pas possible d'informer l'autorité compétente de la violation sans cette divulgation ;3° la divulgation n'excède pas ce qui est nécessaire à un signalement effectif de la violation concernée. CHAPITRE 3 - De la protection des données à caractère personnel

Art. 5.§ 1er. Le référent intégrité traite des données personnelles dans le cadre de ses missions afin d'assurer la réception du signalement, la prise de connaissance du signalement et éventuellement l'instruction de celui-ci. § 2. Le responsable du traitement visé au paragraphe 1er est le service du Gouvernement ou l'organisme d'intérêt public au sein duquel le référent intégrité exerce ses fonctions.

Si le référent des services du Gouvernement exerce ses fonctions pour le compte d'un organisme, le responsable du traitement est l'organisme au sein duquel le signalement est effectué.

Art. 6.§ 1er. Le référent intégrité traite les catégories et les données personnelles pour les personnes concernées suivantes : 1° les données d'identification et les données de contact relatives à un membre du personnel, du stagiaire, du stagiaire externe ou de l'ancien membre du personnel qui effectue un signalement ;2° les données d'identification et les données de contact des personnes qui font l'objet d'un signalement d'une irrégularité ;3° les données d'identification et les données de contact de toute personne éventuellement concernée par un signalement parce qu'elle aurait contribué, été témoin ou victime d'une irrégularité ou parce qu'elle pourrait apporter des éléments d'information dans le cadre de l'instruction menée par le référent intégrité ;4° toute autre donnée nécessaire transmise par l'auteur du signalement ou recueillie dans le cadre des missions du référent intégrité telles qu'arrêtées par le Gouvernement se rapportant aux personnes listées aux points 1° à 3°. § 2. Les données personnelles visées au paragraphe 1er, alinéa 1, 4°, qui ne sont manifestement pas pertinentes pour le traitement d'un signalement spécifique ne sont pas traitées.

Des garanties organisationnelles et techniques spécifiques sont mises en place par le responsable de traitement pour garantir leur sécurité et leur non-diffusion.

Au terme du délai de conservation visé à l'article 9, les données personnelles sont supprimées avec l'ensemble du dossier. § 3. Le référent intégrité peut obtenir les données visées au paragraphe 1 directement auprès des services du personnel des services du Gouvernement de la Communauté française ou d'un organisme public.

Art. 7.§ 1er. Le référent intégrité ne transmet les données personnelles visées à l'article 6 § 1er que dans les cas suivants : 1° en cas d'autorisation expresse donnée par la personne visée par la divulgation ;2° il estime que la procédure prévue à l'article 29 du Code d'instruction criminelle doit s'appliquer ;3° pour informer le Secrétaire général s'il s'agit des services du Gouvernement ou le fonctionnaire dirigeant s'il s'agit d'un organisme public, de l'identité de la ou des personnes qui font l'objet d'un signalement afin de prendre les mesures adéquates ;4° si cela apparaît nécessaire et proportionné, dans le cadre d'enquêtes menées par les autorités compétentes en matière de recherche d'infractions ou dans le cadre de procédures judiciaires, en vue de sauvegarder les droits de la défense des personnes mises en cause ;5° au délégué à la protection des données du responsable du traitement lorsque le signalement est en lien avec ses missions. § 2. Lorsque, en application du paragraphe 1er, l'identité d'une personne, ou toute autre information à partir de laquelle cette identité peut être directement ou indirectement déduite, peut être transmise ou divulguée, le référent intégrité en informe, au préalable, la personne visée par cette transmission ou divulgation et lui indique les motifs justifiant ce transfert ou cette divulgation, à moins que cette information préalable ne risque de compromettre les enquêtes ou les procédures judiciaires en cours.

Le référent intégrité informe les membres du personnel visés par un signalement qu'ils font l'objet d'une instruction, sauf si cette information met en péril le bon déroulement de l'instruction.

Art. 8.§ 1er. Lorsqu'il existe un risque d'entrave, d'empêchement, d'obstruction ou de retardement du suivi du signalement, en application de l'article 23 du RGPD, le responsable du traitement visé à l'article 5, § 2, peut prévoir que les articles 12 à 22 et 34 du RGPD, ainsi que le principe de transparence du traitement visé à l'article 5 du RGPD, ne s'appliquent pas au traitement visé à l'article 18, § 1er. § 2. Les restrictions visées au paragraphe 1er s'appliquent aux canaux de signalement interne et aux autorités compétentes, et pour toutes les données traitées en leur sein. § 3. Les restrictions s'appliquent à compter de la date du signalement et pour toute la durée de la procédure. § 4. Le responsable du traitement visé à l'article 5, § 2, notifie aux personnes concernées de manière proactive les restrictions visées au paragraphe 1er et mentionne explicitement les voies de recours prévues par le RGPD et la réglementation en vigueur.

Lors de la réception d'une demande d'information ou d'accès ou dans le cas d'une demande de rectification, le responsable du traitement visé à l'article 5, § 2, après avis du délégué à la protection des données, s'assure que le demandeur est informé de manière réactive conformément à l'article 12 du RGPD.

Art. 9.Les données personnelles visées à l'article 6, § 1er, sont conservées cinq ans à dater de l'expiration de la période de sept jours suivant un signalement écrit ou oral.

Pour respecter les délais légaux en cas de poursuite pénale ou d'action judiciaire, les données sont conservées dix ans à dater de l'expiration de la période de sept jours suivant un signalement écrit ou oral.

Art. 10.§ 1er. Afin d'assurer la sécurité des données personnelles visées à l'article 6 § 1er, le responsable du traitement visé à l'article 5, § 2, prend au minimum des mesures spécifiques relatives aux locaux et aux solutions informatiques mises à disposition du référent intégrité. § 2. Les mesures relatives aux locaux doivent au minimum prévoir les modalités d'accès en fonction du niveau de classification des données. § 3. Les mesures relatives aux solutions informatiques doivent au minimum prévoir les éléments suivants : a) gestion des comptes administrateurs ;b) gestion des identifiants ;c) gestion de l'authentification appropriée à la classification de l'information ;d) gestion des accès dans la solution informatique restreinte conformément à la classification des données ;e) gestion des accès au code source ;f) gestion de la capacité (monitoring et suivi) ;g) gestion des vulnérabilités ;h) gestion des incidents ;i) gestion de la traçabilité ;j) gestion de la sécurité du réseau. Promulguons le présent décret, ordonnons qu'il soit publié au Moniteur belge.

Bruxelles, le 7 mars 2024.

Le Ministre-Président, en charge des Relations internationales, des Sports et de l'Enseignement de Promotion sociale, P.-Y. JEHOLET Le Vice-Président et Ministre du Budget, de la Fonction publique, de l'Egalité des Chances et de la Tutelle sur Wallonie-Bruxelles Enseignement, F. DAERDEN La Vice-Présidente et Ministre de l'Enfance, de la Santé, de la Culture, des Médias et des Droits des Femmes, B. LINARD La Ministre de l'Enseignement supérieur, de la Recherche scientifique, des Hôpitaux universitaires, de l'Aide à la Jeunesse, des Maisons de Justice, de la Jeunesse et de la Promotion de Bruxelles, F. BERTIEAUX La Ministre de l'Education, C. DESIR _______ Note (1) Session 2023-2024 Documents du Parlement.- Projet de décret, n° 646-1 - Rapport de commission, n° 646-2 - Texte adopté en séance plénière, n° 646-3 Compte rendu intégral. - Discussion et adoption. - Séance du 6 mars 2024.