Wet 9 mei 2019 verwerking persoonsgegevens

FILIP, Koning der Belgen,
Aan allen die nu zijn en hierna wezen zullen, Onze Groet.
De Kamers hebben aangenomen en Wij bekrachtingen hetgeen volgt :
Op de voordracht van Onze minister van Veiligheid en Binnenlandse Zaken en op het advies van Onze in Raad vergaderde ministers,
Gelet op advies 63.762/2 van de Raad van State, gegeven op 25 juni 2018, met toepassing van artikel 84, § 1, eerste lid, 3°, van de gecoördineerde wetten op de Raad van State;
Gelet op advies 62/2018 van de Gegevensbeschermingsautoriteit, gegeven op 25 juli 2018;
Gelet op advies 65.395/2 van de Raad van State, gegeven op 12 februari 2019, met toepassing van artikel 84, § 1, eerste lid, 3°, van de gecoördineerde wetten op de Raad van State;
De minister van Veiligheid en Binnenlandse Zaken is ermee belast het ontwerp van wet, waarvan de tekst hierna volgt, in Onze naam voor te leggen en bij de Kamer van volksvertegenwoordigers in te dienen:

HOOFDSTUK 1. - Algemene bepaling
Artikel 1. Deze wet regelt een aangelegenheid als bedoeld in artikel 74 van de Grondwet.

HOOFDSTUK 2. - Wijzigingsbepalingen
Art. 2.

Artikel 2 van de wet van 2 oktober 2017 tot regeling van de private en bijzondere veiligheid wordt aangevuld met de bepalingen onder 36° en 37°, luidende:
"36° de Verordening (EU) 2016/679: de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming);
37° de wet Bescherming persoonsgegevens: wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.".

Art. 3. In hoofdstuk 8, afdeling 1, van dezelfde wet wordt een onderafdeling 4/1 ingevoegd, luidende:
"Onderafdeling 4/1. Beperkingen van de rechten van de betrokken persoon bij de verwerking van persoons-gegevens.".

Art. 4. In onderafdeling 4/1, ingevoegd bij artikel 3, wordt een artikel 269/1 ingevoegd, luidende:
"Art. 269/1. § 1. In afwijking van de artikelen 13, 14, 15, 16, 17 en 18 van de Verordening (EU) 2016/679, en voor zover artikel 14, lid 5, b), c) of d), van de Verordening (UE) 2016/679 in het specifieke geval niet kan worden ingeroepen, kunnen de rechten bedoeld in die artikelen worden uitgesteld, beperkt of uitgesloten voor wat betreft verwerkingen van persoonsgegevens uitgevoerd door de Algemene Directie Veiligheid en Preventie van de Federale overheidsdienst Binnenlandse Zaken als overheidsdienst belast met opdrachten van algemeen belang op het gebied van toezicht, inspectie of regelgeving die verband houden, al is het incidenteel, met de uitoefening van het openbaar gezag in de gevallen bedoeld in artikel 23, lid 1, c), d) en g), van de Verordening (EU) 2016/679. Dit teneinde te voorkomen dat de betrokken persoon systematisch geïnformeerd wordt over het gegeven dat er een dossier bestaat over hem, wat de noden van de administratieve procedure, de controle, het onderzoek of de voorbereidende werkzaamheden schade zou kunnen toebrengen, of het geheim van het strafonderzoek of de veiligheid van personen dreigt te schenden.
De in het eerste lid bedoelde verwerkingen zijn deze die uitgevoerd worden:
1° in het kader van de uitoefening van de opdrachten opgesomd in de artikelen 65 tot 75 en/of het verwerken van de meldingen bedoeld in de artikelen 49, 54 en 205;
2° in het kader van de uitoefening van de opdrachten met betrekking tot de administratieve procedures betreffende de toekenning, vernieuwing, weigering, schorsing, intrekking van vergunningen, rechten van een persoon om activiteiten zoals bedoeld in deze wet uit te oefenen, toestemmingen en identificatiekaarten, bedoeld in de artikelen 16 tot 41, 76 tot 87, 92, 93, 167, 186 tot 190;
3° in het kader van de uitoefening van de opdrachten opgesomd in de artikelen 208 tot 233;
4° in het kader van de uitoefening van opdrachten, opgesomd in de artikelen 234 tot 255.
In het kader van de opdrachten bedoeld in het tweede lid kan de Algemene Directie Veiligheid en Preventie van de Federale Overheidsdienst Binnenlandse Zaken gegevens bedoeld in artikel 9 van de Verordening (EU) 2016/679, waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen blijken, en gegevens bedoeld in artikel 10 van de Verordening (EU) 2016/679, verwerken, wanneer een dergelijke verwerking strikt noodzakelijk is voor de goede uitvoering van de opdrachten als bedoeld in het tweede lid.
De beperkingen van de rechten van de betrokken persoon bedoeld in het eerste lid hebben betrekking op alle soorten van verwerkte gegevens in het kader van de opdrachten bedoeld in het tweede lid, met uitzondering van de gegevens waarvoor reeds een afwijking is voorzien in de artikelen 11 en 14 van de wet Bescherming persoonsgegevens. De beperking van de rechten bedoeld in de artikelen 13, 15 en 16 van de Verordening (EU) 2016/679 is evenwel niet van toepassing op de persoonsgegevens die bij de betrokken persoon zelf werden verzameld in het kader van de uitoefening van de opdrachten bedoeld in het tweede lid.

§ 2. De beperking van het recht van de betrokken persoon geldt:

a) in het geval bedoeld in paragraaf 1, tweede lid, 1° : zonder afbreuk te doen aan artikel 269/2, onbeperkt in tijd;
b) in het geval bedoeld in paragraaf 1, tweede lid, 2° : uitsluitend gedurende de periode voorafgaand aan een definitieve beslissing in het kader van de bedoelde administratieve procedures;
c) in de gevallen bedoeld in paragraaf 1, tweede lid, 3° en 4° : uitsluitend gedurende de periode waarin de betrokken persoon rechtstreeks of onrechtstreeks het voorwerp uitmaakt van een lopend onderzoek, controle of inspectie alsook gedurende de daarmee verband houdende voorbereidende werkzaamheden. Indien het onderzoeksdossier vervolgens wordt overgemaakt aan de sanctieambtenaar bedoeld in artikel 234 om uitspraak te doen over de resultaten van het onderzoek, worden de rechten pas hersteld nadat er dienaangaande een definitieve beslissing genomen werd.
De duur van de voorbereidende werkzaamheden, bedoeld in het eerste lid, c), gedurende dewelke de artikelen 13, 14, 15, 16, 17 en 18 van de Verordening (EU) 2016/679 niet van toepassing zijn, mag niet meer bedragen dan drie jaar vanaf de ontvangst van een verzoek betreffende de mededeling met toepassing van die artikelen.
Wanneer een dossier wordt overgemaakt aan de gerechtelijke overheid, worden de rechten van de betrokken persoon pas hersteld na machtiging door de gerechtelijke overheid, nadat de gerechtelijke fase is beëindigd of nadat het openbaar ministerie aan de bevoegde overheid heeft bevestigd dat zij afzien van verdere gerechtelijke vervolging oftewel een minnelijke schikking bedoeld in artikel 216bis van het Wetboek van strafvordering of een bemiddeling bedoeld in artikel 216ter van het Wetboek van strafvordering voorstelt. Evenwel mogen inlichtingen die werden ingewonnen tijdens de uitoefening van plichten voorgeschreven door de rechterlijke overheid slechts worden meegedeeld mits uitdrukkelijke machtiging van deze laatste.
Wanneer een dossier wordt overgemaakt aan een andere overheidsdienst met toepassing van artikel 217 om over de bevindingen van het onderzoek te beslissen, worden de rechten van de betrokken persoon pas hersteld nadat deze andere overheidsdienst zich heeft uitgesproken over het resultaat van het onderzoek.

§ 3. De beperking van het recht van de betrokken persoon geldt voor zover de toepassing van dit recht nadelig zou zijn voor de noden van de administratieve procedure, de controle, het onderzoek of de voorbereidende werkzaamheden, of het geheim van het strafonderzoek of de veiligheid van personen dreigt te schenden.
De beperking van het recht van de betrokken persoon heeft geen betrekking op gegevens die los staan van het voorwerp van de administratieve procedure, van het onderzoek of van de controle die de beperking van het recht rechtvaardigt.

§ 4. De beperking van de rechten van de betrokken persoon, voorzien in dit artikel, doet geen afbreuk aan de specifieke rechten die door of krachtens deze wet aan de betrokken persoon worden toegekend in het kader van bepaalde geschillen- of administratieve procedures.

§ 5. Bij ontvangst van een verzoek betreffende één van de rechten bedoeld in paragraaf 1, eerste lid, bevestigt de functionaris voor gegevensbescherming van de Algemene Directie Veiligheid en Preventie van de Federale overheidsdienst Binnenlandse Zaken de ontvangst hiervan.
De in het eerste lid bedoelde functionaris voor gegevensbescherming informeert de betrokken persoon schriftelijk, onverwijld, en in ieder geval binnen één maand na de ontvangst van het verzoek, over iedere weigering of beperking van het recht ingeroepen door de betrokken persoon, alsook over de redenen voor deze weigering of beperking. Die informatie over de weigering of beperking kan achterwege worden gelaten wanneer de verstrekking daarvan één van de doelstellingen van de verwerkingen genoemd in paragraaf 1, tweede lid, zou ondermijnen. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met twee maanden worden verlengd. De functionaris voor gegevensbescherming stelt de betrokken persoon binnen één maand na ontvangst van het verzoek in kennis van deze verlenging en van de redenen van het uitstel.
De functionaris voor gegevensbescherming licht de betrokken persoon in over de mogelijkheid om klacht in te dienen bij de Gegevensbeschermingsautoriteit en om een beroep in rechte in te stellen.
De functionaris voor gegevensbescherming vermeldt de feitelijke of juridische redenen waarop zijn beslissing steunt. Deze inlichtingen worden ter beschikking gesteld van de Gegevensbeschermingsautoriteit.
De functionaris voor gegevensbescherming brengt de betrokken persoon onverwijld op de hoogte van de opheffing van de beperking van de te verstrekken informatie.".

Art. 5. In dezelfde onderafdeling 4/1 wordt een artikel 269/2 ingevoegd, luidende:
"Art. 269/2. Onverminderd de bewaring noodzakelijk voor de verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden bedoeld in artikel 89 van de Verordening (EU) 2016/679, worden de bedoelde persoonsgegevens niet langer bewaard dan noodzakelijk voor de doeleinden waarvoor zij worden verwerkt.
Behoudens uitdrukkelijke andersluidende wettelijke bepaling inzake de bewaring van persoonsgegevens die afkomstig zijn van een bevoegde overheid, bedoeld in titel 2 van de wet Bescherming persoonsgegevens, of een inlichtingen- en veiligheidsdienst, bedoeld in titel 3 van dezelfde wet bedraagt de bewaartermijn voor persoonsgegevens verwerkt door de Algemene Directie Veiligheid en Preventie van de Federale overheidsdienst Binnenlandse Zaken in het kader van haar wettelijke opdrachten inzake de toepassing van en het toezicht en de controle op de naleving van deze wet, maximum 10 jaar te rekenen vanaf de datum van de laatste verwerking van nieuwe informatie aangaande de betrokken persoon.
Bij het verstrijken van deze termijn worden de dossiers - volgens de geldende regels inzake archivering in het algemeen belang - overgebracht naar het Rijksarchief, dan wel definitief vernietigd.".

Art. 6. In dezelfde onderafdeling 4/1 wordt een artikel 269/3 ingevoegd, luidende:
"Art. 269/3. § 1. In het kader van de toepassing van de artikelen 269/1 en 269/2 houdt de Algemene Directie Veiligheid en Preventie van de Federale overheidsdienst Binnenlandse Zaken rekening met de risico's voor de rechten en vrijheden van de betrokken personen en neemt zij de noodzakelijke maatregelen om de voorkoming van misbruik of onrechtmatige toegang of doorgifte van persoonsgegevens te waarborgen.

§ 2. Rekening houdend met de aard, de omvang, de context en de verwerkingsdoeleinden, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verantwoordelijke voor de verwerking passende technische en organisatorische maatregelen.
De verantwoordelijke voor de verwerking moet in staat zijn om aan te tonen dat de verwerking overeenkomstig de wet wordt uitgevoerd.
In ieder geval omvatten deze maatregelen een passend gegevensbeschermingsbeleid dat door de verantwoordelijke voor de verwerking wordt uitgevoerd.
Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.

§ 3. Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, zijn de technische en organisatorische maatregelen bedoeld in paragraaf 2 opgesteld met als doel de gegevensbeschermingsbeginselen op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter bescherming van de rechten van de betrokken persoon, zowel op het moment van de bepaling van de middelen voor de verwerking als op het moment van de verwerking zelf.
De passende technische en organisatorische maatregelen bedoeld in paragraaf 2 zorgen ervoor dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking.

§ 4. De verantwoordelijke voor de verwerking neemt in het bijzonder volgende maatregelen:

1° hij neemt de gepaste technische of organisatorische maatregelen om de persoonsgegevens te beschermen tegen toevallige of ongeoorloofde vernietiging, tegen toevallig verlies, evenals tegen de wijziging of iedere andere niet toegelaten verwerking van deze gegevens zoals:
- technische beveiligingsmaatregelen voor servers, netwerken en werkposten waar de gegevens worden geraadpleegd en
- het loggen van de toegangen en regelmatige inspecties met als doel onregelmatigheden op te sporen;
2° hij wijst een functionaris voor de gegevens-bescherming aan;
3° hij stelt een lijst op met de categorieën van personen die toegang hebben tot de persoonsgegevens met een beschrijving van hun functie met betrekking tot de verwerking van de bedoelde gegevens. Deze lijst wordt ter beschikking gehouden van de bevoegde toezichthoudende autoriteit;
4° hij wijst een verantwoordelijke aan voor het machtigen van de toegangen en voor de differentiatie van de rollen;
5° hij zorgt ervoor dat de personen bedoeld in de bepaling onder 3° door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling ertoe gehouden zijn het vertrouwelijk karakter van de betrokken gegevens in acht te nemen;
6° hij ziet toe op de opleiding en sensibilisering van het personeel dat toegang heeft tot de gegevens wat betreft de veiligheid van de informatie, de goede praktijken en de inherente risico's.

Kondigen deze wet af, bevelen dat zij met 's Lands zegel zal worden bekleed en door het Belgisch Staatsblad zal worden bekendgemaakt.

Gegeven te Brussel, 9 mei 2019.
FILIP
Van Koningswege :
De minister van Veiligheid en Binnenlandse Zaken,
P. DE CREM
Met 's Lands zegel gezegeld :
De Minister van Justitie,
K. GEENS