3 AOUT 2012. - Loi portant dispositions relatives aux traitements de données à caractère personnel réalisés par le Service public fédéral Finances dans le cadre de ses missions

ALBERT II, Roi des Belges, A tous, présents et à venir, Salut.

Les Chambres ont adopté et Nous sanctionnons ce qui suit : CHAPITRE 1er. - Dispositions générale

Article 1er.La présente loi règle une matière visée à l'article 78 de la Constitution. CHAPITRE 2. - Dispositions relatives aux traitements de données à caractère personnel réalisés par le Service public fédéral Finances dans le cadre de ses missions Section 1re. - Du responsable du traitement

Art. 2.Le Service public fédéral Finances est le responsable des traitements de données à caractère personnel visés au présent chapitre. Section 2. - Finalités des traitements de données à caractère

personnel

Art. 3.Le Service public fédéral Finances collecte et traite des données à caractère personnel afin d'exécuter ses missions légales.

Les données ne peuvent être utilisées par le Service public fédéral Finances à d'autres fins que l'exécution de ses missions légales.

Le Service public fédéral Finances peut, dans le respect de l'article 4, traiter ultérieurement pour l'exécution d'une autre mission légale toute donnée à caractère personnel collectée légitimement dans le cadre de l'exécution de l'une de ses autres missions. Section 3. - Echanges internes de données

Art. 4.Les administrations et, ou services du Service public fédéral Finances s'échangent des données à caractère personnel sur autorisation d'une instance interne au Service public fédéral Finances désignée par arrêté royal après avis du Comité sectoriel pour l'Autorité fédérale.

Cette instance décide quels types de données à caractère personnel peuvent faire l'objet d'un échange entre administrations et, ou services du Service public fédéral Finances, de façon systématique ou ponctuelle et pour l'exécution de finalités déterminées, après avoir vérifié leur caractère adéquat, pertinent et non excessif.

Elle adopte un règlement décrivant d'une part le processus de demande d'accès aux données à caractère personnel détenues par une administration et, ou service du Service public fédéral Finances et d'autre part, la procédure selon laquelle cet échange a lieu. Ce règlement est approuvé par le Roi, après avis du Comité sectoriel pour l'Autorité fédérale.

Elle peut demander préalablement l'avis du Comité sectoriel pour l'Autorité fédérale sur toute demande de traitement de données qui lui est soumise et pour laquelle le Comité est compétent. Section 4. - Traitement particulier

Art. 5.§ 1er. Le Service public fédéral Finances peut procéder également à l'agrégation des données recueillies en application de l'article 3 en vue de la création d'un datawarehouse qui doit permettre à ses services d'une part, de réaliser des contrôles ciblés sur la base d'indicateurs de risque et d'autre part, d'effectuer des analyses sur des données relationnelles provenant des différentes administrations et, ou services du Service public fédéral Finances. § 2. Toute catégorie de données communiquée au datawarehouse fait l'objet d'une autorisation du Comité sectoriel pour l'Autorité fédérale.

Celui-ci veille en particulier à ce que le traitement intervienne, lorsque cela est possible, sur des données à caractère personnel codées et à ce que le décodage n'intervienne que lorsqu'il existe un risque de commission d'une infraction à une loi ou à une réglementation dont l'application relève des missions du Service public fédéral Finances.

Un arrêté royal délibéré en Conseil des ministres, pris après avis de la Commission pour la protection de la vie privée, détermine les cas où un échange de données à caractère personnel ne requiert pas d'autorisation du Comité sectoriel pour l'Autorité fédérale. Section 5. - Echanges externes de données

Art. 6.§ 1er. Le Service public fédéral Finances ne communique électroniquement à un autre service public ou à une personne morale de droit public des données à caractère personnel qu'après autorisation du Comité sectoriel pour l'Autorité fédérale ou de l'autorité communautaire ou régionale compétente.

Un arrêté royal délibéré en Conseil des ministres, pris après avis de la Commission pour la protection de la vie privée, détermine les cas où un échange de données à caractère personnel ne requiert pas d'autorisation du Comité sectoriel pour l'Autorité fédérale. § 2. Le Service public fédéral Finances ne reçoit électroniquement des données à caractère personnel d'un service public ou d'une personne morale de droit public que dans le cadre de l'exécution de ses missions légales et après autorisation du Comité sectoriel ou de l'autorité communautaire ou régionale compétents.

Lorsque ces données externes sont utilisées pour la finalité visée à l'article 5, l'autorisation du comité sectoriel compétent doit prévoir que l'échange est autorisé pour cette finalité. § 3. Les agents du Service public fédéral Finances restent dans l'exercice de leurs fonctions au sens de l'article 337 du Code des impôts sur les revenus 1992, de l'article 93bis du Code de la taxe sur la valeur ajoutée, de l'article 236bis du Code des droits d'enregistrement, d'hypothèque et de greffe, de l'article 146bis du Code des droits de succession, de l'article 212 du Code des droits et taxes divers et de l'article 320 de la Loi générale sur les Douanes et Accises lorsqu'ils communiquent des renseignements, en vertu d'une autorisation du comité sectoriel. Les destinataires de ces données sont également tenus au secret professionnel et ne peuvent utiliser les données que dans le cadre de l'exécution de leurs missions légales ou des autorisations des comités sectoriels compétents. Section 6. - Institution de gestion compétente

Art. 7.Dans les échanges de données visés à l'article 5 et à l'article 6, § 1er, le Service public fédéral Technologie de l'Information et de la Communication rend l'avis juridique et technique visé aux articles 31bis, § 3, et 36bis de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel après consultation du Service public fédéral Finances.

L'institution de gestion du comité sectoriel compétent pour l'instance qui fournit la donnée rend l'avis juridique et technique dans les cas visés à l'article 6, § 2. Section 7. - Service de Sécurité de l'Information et de Protection de

la vie privée

Art. 8.§ 1er. Il est créé, au sein du Service public fédéral Finances, un Service de Sécurité de l'Information et de Protection de la vie privée qui est placé sous l'autorité directe du président du comité de direction du Service public fédéral Finances.

Ce service est chargé : a) d'assurer l'application de la réglementation relative à la protection de la vie privée, de la présente loi ainsi que de ses mesures d'exécution;b) de vérifier, préalablement à la décision du responsable du traitement, que les conditions d'application de l'exception visée à l'article 3, § 7, de la loi du 8 décembre 1992, relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, sont remplies;c) rendre les avis juridiques lorsque le Service public fédéral Finances est consulté conformément à l'article 7. Ce service a également une fonction de conseil, de stimulation, de documentation et d'audit interne au niveau de la protection de la vie privée.

Il peut également porter plainte directement auprès du Comité sectoriel pour l'Autorité fédérale lorsqu'il existe un risque de commission d'une infraction à une loi ou à une règlementation dont l'application relève des missions du Service public fédéral Finances. § 2. Le Roi détermine par arrêté délibéré en Conseil des Ministres, après avis de la Commission de la protection de la vie privée, la composition et le mode de fonctionnement de ce service ainsi que le statut des membres qui le compose. Section 8. - Service de surveillance

Art. 9.§ 1er. Il est créé, au sein du Service public fédéral Finances, un service chargé de réaliser techniquement les échanges de données à caractère personnel. Ce service veille également à la conformité au niveau technique de ces échanges de données à caractère personnel à la présente loi, la réglementation, les autorisations des autorités compétentes et les décisions du responsable de traitement.

Ce service est placé sous l'autorité directe du président du comité de direction du Service public fédéral Finances. § 2. Le Roi détermine par arrêté délibéré en Conseil des Ministres, après avis de la Commission de la protection de la vie privée, la composition et le mode de fonctionnement de ce service. Section 9. - Autorisation d'accès aux données

Art. 10.§ 1er. Les agents du Service public fédéral Finances et les membres du personnel des tiers dûment habilités n'accèdent aux dossiers, aux données et aux applications électroniques que dans la mesure où cet accès est adéquat, pertinent et non excessif au regard de l'exécution des tâches qui leur sont confiées dans le cadre des missions telles que définies aux articles 3 et 5. § 2. Le droit d'accès est octroyé individuellement et personnellement sur base d'un profil. Il ne peut pas être transféré. Chaque utilisateur du réseau interne du Service public fédéral Finances à qui un compte d'accès personnel est attribué, est personnellement responsable de son utilisation. § 3. Tout accès aux dossiers, données ou applications électroniques fait l'objet d'une vérification par le système de gestion de l'identité de la personne qui sollicite l'accès et de sa correspondance au profil défini. § 4. Chaque accès ou tentative d'accès aux dossiers, données ou applications fait l'objet d'un enregistrement automatisé dont le contenu et la durée de conservation sont fixés par un règlement interne soumis pour avis au Comité sectoriel pour l'Autorité fédérale.

Le service visé à l'article 8 contrôle périodiquement les accès et tentatives d'accès dans le but de détecter les incidents de sécurité. Section 10. - Droit d'information, d'accès et de correction

Art. 11.Il est inséré dans l'article 3, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, remplacé par la loi du 11 décembre 1998 et modifié en dernier lieu par la loi du 10 juillet 2006, un § 7 rédigé comme suit : « 7. Les articles 9, § 2, 10 et 12 ne sont pas applicables aux traitements de données à caractère personnel gérés par le Service public fédéral Finances durant la période dans laquelle la personne concernée est l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-ci effectués par le Service public fédéral Finances dans le cadre de l'exécution de ses missions légales.

Lorsque le Service public fédéral Finances a fait usage de l'exception telle que déterminée à l'alinéa premier, la règle de l'exception est immédiatement levée après la clôture du contrôle ou de l'enquête. Le Service de Sécurité de l'Information et Protection de la Vie Privée en informe le contribuable concerné sans délai. ». Section 11. - Entrée en vigueur

Art. 12.La présente loi entre en vigueur le 1er janvier 2013.

Le Roi peut fixer une date d'entrée en vigueur antérieure à celle mentionnée à l'alinéa 1er.

Promulguons la présente loi, ordonnons qu'elle soit revêtue du sceau de l'Etat et publiée par le Moniteur belge.

Donné à Châteauneuf-de-Grasse, le 3 août 2012.

ALBERT Par le Roi : Le Vice-Premier Ministre et Ministre des Finances, S. VANACKERE La Ministre de la Justice, Mme A. TURTELBOOM Scellé du sceau de l'Etat : La Ministre de la Justice, Mme A. TURTELBOOM _______ Note Documents de la Chambre des représentants : 53-2343 - 2011/2012 : N° 1 : Projet de loi.

N° 2 : Amendements.

N° 3 : Rapport.

N° 4 : Texte corrigé par la commission.

N° 5 : Texte adopté en séance plénière et transmis au Sénat.

Compte rendu intégral : 18 juillet 2012.

Documents du Sénat : 5-1765 - 2011/2012 : N° 1: Projet évoqué par le Sénat.

N° 2: Rapport.

N° 3: Décision de ne pas amender.

Annales du Sénat : 19 juillet 2012.