Chapitre 1er.- Disposition générale
Article 1er. La présente loi règle une matière visée à l'article 74 de la Constitution.
Chapitre 2.- Modifications de la loi du 15 décembre 2013 en matière de dispositifs médicaux
Art. 2.Dans la loi du 15 décembre 2013 en matière de dispositifs médicaux, il est inséré un titre 7, intitulé "Titre 7 - Traitement de données".
Art. 3.Dans le titre 7, de la même loi, inséré par l'article 2, il est inséré un article 67 rédigé comme suit:
"Art. 67. L'AFMPS réalise des traitements de données à caractère personnel dans le cadre de l'application de la présente loi et de ses arrêtés d'exécution pour:
1°l'enregistrement des distributeurs de dispositifs visé à l'article 50;
2°l'enregistrement des données relatives à l'implantation ou au retrait de dispositifs visé à l'article 51;
3°la notification des entreprises qui installent ou maintiennent des dispositifs dans le cadre d'un traitement médical d'un patient en dehors d'un hôpital, conformément à l'article 60, § 2, alinéa 3;
4°la transmission et la gestion des formulaires d'autocontrôle visés à l'article 62.
Ces traitements sont régis par les dispositions du chapitre 7/1 de la loi du 22 décembre 2020 relative aux dispositifs médicaux en ce qui concerne les dispositifs médicaux et les dispositions du titre 7/1 de la loi du 15 juin 2022 relative aux dispositifs médicaux de diagnostic in vitro en ce qui concerne les dispositifs de diagnostic in vitro.".
Chapitre 3.- Modifications de la loi du 22 décembre 2020 relative aux dispositifs médicaux
Art. 4.L'article 3 de la loi du 22 décembre 2020 relative aux dispositifs médicaux, est complété par les 12) à 21), rédigés comme suit:
"12) "numéro d'identification au Registre national": le numéro d'identification visé à l'article 2, § 3, de la loi du 8 août 1983 organisant un Registre national des personnes physiques;
13) "numéro d'identification bis": le numéro d'identification visé à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale;
14) "données de contact professionnelles": le nom, le prénom, la fonction, l'adresse électronique professionnelle et le numéro de téléphone professionnel;
15) "données d'identification d'une entreprise": la dénomination, le numéro d'entreprise, l'adresse du siège social, les adresses des lieux d'activité, le numéro d'enregistrement auprès de l'Agence fédérale des médicaments et des produits de santé, le numéro d'identification à la taxe sur la valeur ajoutée pour les entreprises établies à l'étranger, la langue de communication choisie par l'entreprise et, le cas échéant, l'adresse du site internet de l'entreprise;
16) "données d'identification du représentant légal": le nom, le prénom et la qualité ou fonction telle que publiée à la Banque-Carrefour des Entreprises;
17) "les personnes de contact": les personnes désignées par un opérateur économique, un établissement de santé ou toute autre entité concernée pour assurer les échanges avec l'Agence fédérale des médicaments et des produits de santé, dont les données de contact professionnelles sont traitées dans le cadre des finalités prévues par la présente loi;
18) "données d'identification d'un professionnel de la santé": le nom, le prénom, la spécialité ou la fonction, le numéro d'identification à l'Institut national d'assurance maladie-invalidité et l'établissement ou le service d'affectation;
19) "données d'identification d'un patient à des fins de traçabilité": le sexe, l'année de naissance et le numéro d'identification au Registre national ou le numéro d'identification au registre bis;
20) "données de traçabilité d'un dispositif": l'identifiant unique du dispositif, le numéro de lot ou de série, la date de prescription, la date d'implantation ou de retrait, l'établissement concerné, l'identité du professionnel prescripteur et l'identité du professionnel ayant réalisé l'acte;
21) "acteurs non soumis à enregistrement obligatoire auprès de l'AFMPS": les opérateurs économiques visés à l'article 2, point 35, du règlement 2017/745, les établissements de santé visés à l'article 2, point 36, du même règlement, ainsi que les entreprises visées à l'article 59 de la loi du 15 décembre 2013 en matière de dispositifs médicaux, lorsqu'ils ne sont soumis à aucune obligation d'enregistrement auprès de l'AFMPS en vertu de la loi du 15 décembre 2013 en matière de dispositifs médicaux ou de la présente loi.".
Art. 5.Dans l'article 7, de la même loi, le § 5 est abrogé.
Art. 6.Dans l'article 12, de la même loi, le § 4 est abrogé.
Art. 7.Dans l'article 15, de la même loi, le § 2 est abrogé.
Art. 8.Dans l'article 26, de la même loi, modifié par la loi du 15 juin 2022, l'alinéa 3 est abrogé.
Art. 9.Dans l'article 62, de la même loi, le § 2 est abrogé.
Art. 10.Dans l'article 63, § 1er, de la même loi, l'alinéa 4 est abrogé.
Art. 11.Dans l'article 68, de la même loi, le § 2 est abrogé.
Art. 12.Dans le chapitre 7 de la loi même loi, la section 3, modifiée en dernier lieu par la loi du 11 juillet 2023, comportant les articles 69 à 78, est abrogée.
Art. 13.L'article 87 de la même loi est complété par un 12) rédigé comme suit:
"12) sont des fabricants ou d'autres opérateurs économiques et ne respectent pas l'obligation d'information en cas d'interruption ou de cessation de la fourniture de certains dispositifs visée à l'article 10bis, paragraphes 1er et 3, du règlement 2017/745.".
Art. 14.A l'article 88, 6), de la même loi, les mots "de l'article 87, 2), 4), 5) et 10)" sont remplacés par les mots "de l'article 87, 2), 4), 5), 10) et 12)".
Art. 15.Dans la même loi, il est inséré un chapitre 7/1, intitulé "Chapitre 7/1 - Traitement de données relatif à la vigilance et aux opérateurs économiques".
Art. 16.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/1 rédigé comme suit:
"Art. 103/1. L'AFMPS traite des données à caractère personnel pour les finalités suivantes:
1°l'enregistrement des distributeurs de dispositifs conformément à l'article 50 de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
2°la gestion des demandes de certificats de libre vente visés à l'article 27 et de certificats d'exportation visés à l'article 27/1;
3°la publication de la déclaration visée à l'article 5, paragraphe 5, e), du règlement 2017/745 et la notification des incidents graves et des mesures correctives concernant un dispositif fabriqué et utilisé exclusivement au sein d'un établissement de santé conformément à l'article 7, § 2;
4°la notification des établissements de santé qui retraitent et utilisent des dispositifs à usage unique retraités conformément à l'article 12, § 3;
5°la transmission et la gestion de formulaires d'autocontrôle visés à l'article 62 de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
6°la déclaration annuelle du chiffre d'affaires par les opérateurs économiques actifs dans le domaine des dispositifs visée à l'article 14/4 de la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé, aux fins de calcul des contributions ou redevances dues à l'AFMPS;
7°l'enregistrement et la gestion centralisée des données relatives à l'implantation ou au retrait de dispositifs implantables conformément à l'article 51 de la loi du 15 décembre 2013 en matière de dispositifs médicaux, aux fins de garantir la traçabilité, la transparence envers les patients et la gestion des mesures prises en cas d'incident grave;
8°la notification des entreprises qui installent ou maintiennent des dispositifs dans le cadre d'un traitement médical d'un patient en dehors d'un hôpital, conformément à l'article 60, § 2, alinéas 1er et 3, de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
9°la gestion des demandes de dérogation visées à l'article 59 du règlement 2017/745 et à l'article 26;
10°la gestion des notifications, des déclarations d'incidents graves et des mesures correctives en matière de matériovigilance, conformément aux articles 62 à 68, laquelle comprend l'enregistrement des signalements effectués par les professionnels de santé ou les fabricants, l'analyse et le suivi des incidents et des risques potentiels, la coordination avec les opérateurs économiques concernés ainsi que la mise en oeuvre et le suivi des mesures correctives, y compris les retraits ou modifications de dispositifs, en vue d'assurer la sécurité des patients et la conformité des dispositifs;
11°la notification des fabricants de dispositifs sur mesure selon l'article 15, § 1er;
12°l'enregistrement volontaire des acteurs non soumis à enregistrement obligatoire auprès de l'AFMPS, aux fins de faciliter la communication avec l'AFMPS;
13°permettre à l'AFMPS d'effectuer des analyses statistiques internes sur les données qu'elle détient, conformément à l'article 89 du règlement 2016/679, en privilégiant, lorsque cela est possible, l'utilisation de données anonymes ou, à défaut, pseudonymisées, afin d'améliorer la qualité de ses activités."
Art. 17.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/2 rédigé comme suit:
"Art. 103/2. L'AFMPS est la responsable du traitement de données visé à l'article 103/1.".
Art. 18.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/3 rédigé comme suit:
"Art. 103/3. Les données visées à l'article 103/1 proviennent des déclarations, enregistrements, demandes, formulaires, rapports ou autres documents transmis à l'AFMPS dans le cadre de l'exécution des finalités visées à l'article 103/1."
Art. 19.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/4 rédigé comme suit:
"Art. 103/4. Les personnes concernées par le traitement de données visé à l'article 103/1 sont les suivantes:
1°les personnes physiques qui exercent une fonction au sein d'un opérateur économique, d'un établissement de santé ou d'une entreprise visée à l'article 59 de la loi du 15 décembre 2013 en matière de dispositifs médicaux et dont les données sont traitées dans le cadre d'une des finalités mentionnées à l'article 103/1;
2°les patients ou utilisateurs victimes d'un incident grave notifié dans le cadre des obligations de matériovigilance visées aux articles 62 à 68;
3°les patients ayant fait l'objet d'une intervention d'implantation ou de retrait d'un dispositif implantable, ainsi que les professionnels de la santé impliqués dans l'implantation, le retrait, la délivrance ou la prescription d'un dispositif devant faire l'objet d'un enregistrement conformément à l'article 51 de la loi du 15 décembre 2013 en matière de dispositifs médicaux.".
Art. 20.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/5 rédigé comme suit:
"Art. 103/5. Les catégories de données à caractère personnel traitées dans le cadre du traitement visé à l'article 103/1 sont les suivantes:
1°pour l'enregistrement des distributeurs de dispositifs conformément à l'article 50 de la loi du 15 décembre 2013 en matière de dispositifs médicaux: les données de contact professionnelles des personnes de contact des distributeurs, les données d'identification du représentant légal, les données d'identification d'une entreprise, le numéro d'enregistrement auprès de l'AFMPS, ainsi que la fonction exercée au sein de l'entreprise par les personnes de contact, notamment lorsqu'elles agissent comme personne de contact principale ou suppléante, responsable de la matériovigilance ou suppléante, ou dans toute autre fonction déclarée à l'AFMPS;
2°pour la gestion des demandes de certificats de libre vente visés à l'article 27 et de certificats d'exportation visés à l'article 27/1: les données d'identification d'une entreprise, les données de contact professionnelles des personnes introduisant la demande, ainsi que les données de contact professionnelles des personnes désignées pour recevoir le statut de la demande, la e-legalisation ou la facturation du certificat;
3°pour la publication de la déclaration visée à l'article 5, paragraphe 5, e), du règlement 2017/745 et pour la notification des incidents graves et des mesures correctives concernant un dispositif fabriqué et utilisé exclusivement au sein d'un établissement de santé conformément à l'article 7, § 2: les données de contact professionnelles des personnes de contact des établissements de santé concernés, les données d'identification d'une entreprise lorsque l'établissement de santé est organisé sous forme d'entité juridique, les données de contact professionnelles du rapporteur, ainsi que les données d'identification d'un patient à des fins de traçabilité nécessaires à la notification, parmi lesquelles le sexe, l'année de naissance, la catégorie d'âge lorsque celle-ci a une incidence sur l'incident, la taille et le poids lorsque ceux-ci ont une incidence sur l'incident, la date de l'incident, la description du dispositif et les conséquences de l'incident sur la santé;
4°pour la notification des établissements de santé qui retraitent et utilisent des dispositifs à usage unique retraités conformément à l'article 12, § 3: les données de contact professionnelles des personnes de contact des établissements de santé concernées par le retraitement, les données d'identification d'une entreprise lorsque l'établissement de santé est organisé sous forme d'entité juridique, ainsi que les données de contact professionnelles de la personne responsable d'une entreprise externe de retraitement lorsqu'un tel prestataire intervient;
5°pour la transmission et la gestion des formulaires d'autocontrôle visés à l'article 62 de la loi du 15 décembre 2013 en matière de dispositifs médicaux: les données de contact professionnelles des personnes de contact des distributeurs, ainsi que les données d'identification d'une entreprise lorsque ceux-ci sont organisés sous forme d'entité juridique;
6°pour la déclaration annuelle du chiffre d'affaires par les opérateurs économiques conformément à l'article 14/4 de la loi du 20 juillet 2006: les données de contact professionnelles des déclarants personnes physiques ou des personnes de contact des entreprises concernées, ainsi que les données d'identification d'une entreprise lorsque la déclaration est introduite pour le compte d'une entité organisée sous forme d'entreprise;
7°pour l'enregistrement et la gestion centralisée des données relatives à l'implantation ou au retrait de dispositifs conformément à l'article 51 de la loi du 15 décembre 2013 en matière de dispositifs médicaux: les données d'identification d'un patient à des fins de traçabilité, les données de traçabilité d'un dispositif, les données d'identification d'un professionnel de la santé concernant le professionnel prescripteur et le professionnel ayant réalisé l'acte, les données d'identification d'une entreprise et les données d'identification du représentant légal lorsqu'une pharmacie ouverte au public ou une pharmacie hospitalière a mis le dispositif à disposition, ainsi que, le cas échéant, les données d'identification du membre du personnel administratif chargé de l'enregistrement des données;
8°pour la notification des entreprises qui installent ou maintiennent des dispositifs dans le cadre d'un traitement médical en dehors de l'hôpital conformément à l'article 60, § 2, alinéas 1er et 3, de la loi du 15 décembre 2013 en matière de dispositifs médicaux: les données de contact professionnelles des personnes de contact de ces entreprises, les données d'identification d'une entreprise et les données d'identification du représentant légal;
9°pour la gestion des demandes de dérogation visées à l'article 59 du règlement 2017/745 et à l'article 26: les données de contact professionnelles du professionnel de la santé demandeur, les données d'identification d'une entreprise lorsque la demande est introduite par un fabricant, un mandataire, un distributeur, un importateur ou toute personne mandatée, les données d'identification du représentant légal lorsque cela s'applique, ainsi que les données d'identification d'un patient à des fins de traçabilité, complétées des informations médicales suivantes strictement nécessaires à l'examen de la demande: le sexe, l'année de naissance, les raisons médicales justifiant le recours à la dérogation, les conséquences potentielles d'un refus, les informations relatives à une intervention chirurgicale, les motifs pour lesquels les dispositifs conformes ne peuvent pas être utilisés, les informations relatives à une participation à une étude clinique et les raisons d'une éventuelle non-inclusion, ainsi que la confirmation de l'information du patient sur le caractère dérogatoire de la procédure;
10°pour la gestion des notifications, des déclarations d'incidents graves et des mesures correctives en matière de matériovigilance, en vue d'assurer la sécurité des patients et la conformité des dispositifs, les catégories de données à caractère personnel traitées sont les suivantes:
a)les données de contact professionnelles des personnes déclarant un incident grave, qu'elles agissent ou non pour le compte d'un fabricant, d'un distributeur, d'un représentant autorisé ou d'un établissement de santé;
b)l'adresse postale de la personne déclarant l'incident grave lorsqu'elle n'agit pas pour le compte d'un fabricant, d'un distributeur, d'un représentant autorisé ou d'un établissement de santé;
c)les données de contact professionnelles de la personne désignée comme point de contact en matériovigilance d'un hôpital ou d'un autre établissement de soins;
d)le poids et la taille du patient ou de l'utilisateur lorsque ces données sont pertinentes pour l'analyse de l'incident grave;
e)les informations relatives aux conséquences de l'incident grave sur la santé du patient ou de l'utilisateur, parmi les catégories suivantes: décès, dégradation importante de la santé, dégradation limitée de la santé ou absence de conséquence;
11°pour la notification des fabricants de dispositifs sur mesure selon l'article 15, § 1: les données d'identification d'une entreprise du fabricant ou de son mandataire, les données d'identification du représentant légal lorsqu'il intervient dans la notification, ainsi que les données de contact professionnelles des personnes de contact, y compris celles exerçant le rôle de personne de contact principale ou suppléante, de responsable de la matériovigilance principale ou suppléante ou de personne chargée de veiller au respect de la réglementation;
12°pour la mise en oeuvre de l'enregistrement volontaire des acteurs non soumis à enregistrement obligatoire auprès de l'AFMPS, aux fins exclusives de faciliter la communication avec l'AFMPS: les données de contact professionnelles des personnes de contact désignées et les données d'identification d'une entreprise, ainsi que la fonction exercée par ces personnes au sein de l'acteur concerné;
13°pour permettre à l'AFMPS d'effectuer des analyses statistiques internes sur les données traitées dans le cadre des finalités mentionnées aux points 1° à 13°, conformément à l'article 89 du règlement (UE) 2016/679, en privilégiant, lorsque cela est possible, l'utilisation de données anonymisées ou, à défaut, pseudonymisées, afin d'améliorer la qualité de ses activités."
Art. 21.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/6 rédigé comme suit:
"Art. 103/6. § 1er. L'accès aux données traitées dans le cadre de l'article 103/1 est réservé aux membres du personnel statutaire ou contractuel de l'AFMPS en fonction des tâches qui leur sont attribuées.
Cet accès est individuel, non transférable, et limité aux seules données nécessaires à l'exercice de leurs missions.
Il est soumis à vérification préalable de l'identité de l'utilisateur et à la correspondance de son profil d'accès avec ses fonctions.
Les membres du personnel visés à l'alinéa précédent sont tenus au strict respect de la confidentialité des données à caractère personnel et des autres informations dont ils ont connaissance dans le cadre de leurs fonctions.
Ces données et informations ne peuvent être consultées, utilisées ou communiquées qu'en lien direct avec les missions qui leur sont confiées, et dans les limites strictement nécessaires à leur exécution.
§ 2. Par dérogation au paragraphe 1er, les personnes visées à ce paragraphe peuvent communiquer les données et informations qu'il mentionne:
1°à d'autres membres du personnel de l'AFMPS ne disposant pas d'un accès direct au traitement, pour autant que cette communication soit strictement nécessaire à l'accomplissement des missions de l'AFMPS. Ces autres membres du personnel sont soumis aux obligations de confidentialité prévues au paragraphe 1er;
2°à l'Institut national d'assurance maladie-invalidité, lorsque cette communication est nécessaire pour atteindre l'une des finalités suivantes:
- disposer d'un point de contact pour toute question relative au remboursement de dispositifs médicaux;
- assurer un canal de contact rapide avec l'opérateur économique concerné en cas d'incidents, de mesures correctives de sécurité ou de retraits du marché concernant des dispositifs remboursables; pour les finalités visées à l'article 103/1, 10° ;
- vérifier le respect des conditions de remboursement attachées aux dérogations relatives à des dispositifs remboursables, pour la finalité visée à l'article 103/1, 9° ;
- croiser, lorsque cela est nécessaire, des informations issues du registre central de traçabilité visé à l'article 103/1, 7°, conformément à l'article 51 de la loi du 15 décembre 2013, avec les données de remboursement relatives aux implants remboursables.
La communication porte uniquement sur les données de contact professionnelles des personnes de contact des opérateurs économiques, les données d'identification d'une entreprise, les données d'identification du représentant légal, les données relatives au dispositif médical concerné nécessaires au traitement de la demande ou au suivi de la procédure de remboursement, ainsi que, pour les opérations de croisement visées à l'alinéa précédent, la nature de l'intervention (implantation ou retrait), la date de l'intervention, l'identifiant unique du dispositif ou, à défaut, le numéro d'identifiant attribué en vertu de l'article 35septies de la loi relative à l'assurance obligatoire soins de santé et indemnités coordonnée le 14 juillet 1994, le nom du dispositif implanté ou retiré et le numéro d'identification de l'établissement de santé dans lequel l'intervention a eu lieu.
3°à des tiers en vue d'assurer la réorientation correcte d'une notification vers l'autorité ou le service compétent lorsque les données traitées révèlent que la notification concerne un produit ou un domaine échappant à la compétence de l'AFMPS, sans conservation des données dans le traitement concerné.
Toute communication doit être documentée. Seules les données nécessaires à la finalité poursuivie peuvent être communiquées.
§ 3. Tout accès ou tentative d'accès aux données visées au présent article fait l'objet d'un enregistrement automatisé dans un journal d'audit sécurisé. Ce journal consigne l'identité de l'utilisateur, la date, l'heure et la nature de l'accès. Sa conservation, son contenu et ses modalités d'exploitation sont définis par un règlement interne soumis pour avis au délégué à la protection des données de l'AFMPS.
§ 4. Le délégué à la protection des données de l'AFMPS contrôle périodiquement les accès aux données visées au présent article, sans préjudice des autres missions qui lui sont confiées en vertu du règlement 2016/679.".
Art. 22.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/7 rédigé comme suit:
"Art. 103/7. § 1er. Les données à caractère personnel traitées dans le cadre des finalités visées à l'article 103/1 sont conservées pour les durées suivantes:
1°l'enregistrement des distributeurs visé à l'article 103/1, 1° : dix ans après la fin de l'enregistrement du distributeur auprès de l'AFMPS;
2°la gestion des certificats de libre vente et des certificats d'exportation visée à l'article 103/1, 2° :
- dix ans après la délivrance du certificat;
- quinze ans lorsqu'il s'agit d'un certificat relatif à un dispositif implantable;
3°la publication de la déclaration visée à l'article 5, paragraphe 5, e), du règlement 2017/745 et gestion des notifications d'incidents graves ou mesures correctives visée à l'article 103/1, 3° : dix ans après la publication;
4°la notification des établissements de santé retraitant des dispositifs à usage unique visée à l'article 103/1, 4° : dix ans après la notification;
5°la transmission et gestion des formulaires d'autocontrôle visés à l'article 103/1, 5° : cinq ans après leur dépôt;
6°la déclaration annuelle du chiffre d'affaires visée à l'article 103/1, 6° : cinq ans après la déclaration;
7°l'enregistrement des implantations et retraits de dispositifs visé à l'article 103/1, 7° : trente ans après l'enregistrement;
8°la notification des entreprises installant ou assurant la maintenance des dispositifs en dehors de l'hôpital visée à l'article 103/1, 8° : dix ans après la dernière intervention déclarée;
9°la gestion des demandes de dérogation visée à l'article 103/1,9° :
- dix ans après la demande;
- quinze ans lorsque la demande concerne un dispositif implantable;
10°la gestion des incidents graves et des mesures correctives en matière de matériovigilance visée à l'article 103/1, 10° :
a)quinze ans après la mise sur le marché ou la mise en service du dernier dispositif implantable concerné;
b)dix ans après la mise sur le marché ou la mise en service du dernier dispositif non implantable concerné;
c)dix ans après le retraitement, ou quinze ans pour les dispositifs implantables retraités;
d)dix ans après la mise sur le marché ou la mise en service des dispositifs sur mesure, ou quinze ans lorsqu'ils sont implantables;
e)trente ans après l'autorisation de mise sur le marché ou de mise en service visée à l'article 26;
11°la notification des fabricants de dispositifs sur mesure visée à l'article 103/1, 11° :
- dix ans après la notification pour les dispositifs non implantables;
- quinze ans pour les dispositifs implantables;
12°l'enregistrement volontaire des acteurs non soumis à enregistrement obligatoire visé à l'article 103/1, 12° : 5 ans après l'enregistrement ou jusqu'au retrait volontaire de l'acteur;
13°la réalisation d'analyses statistiques internes visée à l'article 103/1, 13° :
- dix ans;
- quinze ans lorsque les analyses portent sur des données relatives à des dispositifs implantables.
§ 2. Les données relatives à l'authentification et aux traces techniques d'accès sont conservées cinq ans après la dernière connexion.
§ 3. Les données pseudonymisées liées aux patients et aux professionnels de la santé dans le cadre du traitement visé à l'article 51 de la loi du 15 décembre 2013 en matière de dispositifs médicaux sont conservées trente ans conformément à cet article.
§ 4. A l'expiration des délais fixés aux paragraphes ci-dessus, les données sont effacées ou rendues anonymes, sauf conservation ultérieure nécessaire pour respecter une obligation légale, mener une recherche scientifique ou statistique d'intérêt public, ou permettre la constatation, l'exercice ou la défense de droits en justice.
§ 5. L'AFMPS adopte, après avis du délégué à la protection des données, un règlement interne fixant les modalités d'effacement ou d'anonymisation.".
Art. 23.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/8 rédigé comme suit:
" § 1er. Les traitements visés à l'article 103/1, sont mis en oeuvre suivant des mesures techniques et organisationnelles destinées à garantir la sécurité, la fiabilité et la traçabilité des traitements et des opérations informatiques suivantes:
1°l'authentification, via les applications informatiques mises à disposition par l'AFMPS, des personnes physiques qui doivent accéder à ces applications ou s'y connecter dans le cadre de la réalisation des finalités visées à l'article 103/1;
2°assurer la traçabilité des opérations effectuées par les personnes physiques qui se sont authentifiées dans les applications informatiques mises à disposition par l'AFMPS dans le cadre des finalités visées à l'article 103/1;
3°consulter et intégrer, dans les systèmes de l'AFMPS, des données à caractère personnel issues de la Banque-Carrefour des Entreprises, à des fins de vérification, de mise à jour ou d'enregistrement des informations relatives aux personnes physiques liées aux opérateurs économiques concernés par les traitements visés à l'article 103/1, y compris l'accès aux données non publiques relatives à ces personnes physiques;
4°garantir l'identification unique des représentants légaux dans le cadre de la création ou de la mise à jour d'entreprises étrangères concernées par les traitements visés à l'article 103/1 et devant être enregistrées dans la Banque-Carrefour des Entreprises, en ce compris l'attribution d'un numéro d'identification bis à la personne physique étrangère désignée comme représentant légal lorsque celle-ci n'est pas inscrite au Registre national.
Ces mesures techniques et organisationnelles s'appliquent aux personnes physiques qui sont elles-mêmes des opérateurs économiques ou qui agissent en qualité de représentants légaux d'un opérateur économique actif dans le secteur des dispositifs, et qui s'authentifient pour accéder aux applications mises à disposition par l'AFMPS.
§ 2. Dans le cadre des mesures visées au paragraphe 1er, les catégories de données à caractère personnel traitées sont les suivantes:
1°les données d'identification des personnes physiques qui s'authentifient via les applications de l'AFMPS, y compris, le cas échéant, leur numéro d'identification au Registre national ou leur numéro d'identification bis;
2°les données relatives aux opérations effectuées par les personnes authentifiées, incluant des identifiants utilisateurs pseudonymisés dérivés du numéro d'identification au Registre national ou du numéro d'identification bis, les horodatages et la nature des actions réalisées;
3°les données à caractère personnel issues de la Banque-Carrefour des Entreprises concernant les personnes physiques liées aux opérateurs économiques concernés, telles que le nom, le prénom, la fonction, l'adresse et autres données pertinentes;
4°les données d'identification des personnes physiques désignées comme représentants légaux des entreprises étrangères devant être enregistrées dans la Banque-Carrefour des Entreprises, telles que le nom, le prénom, la date de naissance, la nationalité et, le cas échéant, le numéro d'identification bis attribué par l'AFMPS conformément à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 portant création et organisation d'une Banque-carrefour de la sécurité sociale.
§ 3. Le traitement des numéros d'identification au Registre national et des numéros d'identification bis par les agents de l'AFMPS est effectué exclusivement sous forme pseudonymisée, sauf dans les cas visés au paragraphe 4.
Les pseudonymes sont générés par les sous-traitants techniques agissant pour le compte de l'AFMPS. Seuls ces sous-traitants ont accès aux numéros d'identification en clair, et uniquement dans le cadre strict de la procédure de pseudonymisation. En aucun cas ces numéros en clair ne sont accessibles aux agents de l'AFMPS ni à d'autres personnes ou autorités.
§ 4. Par dérogation au paragraphe 3:
1°les numéros d'identification au Registre national ou les numéros d'identification bis des professionnels de la santé peuvent être traités sous forme non pseudonymisée lorsque cela est nécessaire pour garantir l'intégrité, la traçabilité ou la vérifiabilité des données relatives à la délivrance, à la prescription ou à la pose d'un dispositif implantable;
2°lorsqu'un risque grave et immédiat pour la santé des patients rend nécessaire leur identification directe, un médecin spécialement désigné à cette fin peut accéder aux numéros d'identification en clair conformément à l'article 51, § 8, de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
3°le traitement du numéro d'identification bis tel que visé à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 portant création et organisation d'une Banque-carrefour de la sécurité sociale peut être effectué sous forme non pseudonymisée lorsqu'il est nécessaire à la génération, à l'attribution ou à la gestion de ce numéro, y compris pour la détection et la résolution de doublons. Ces numéros restent invisibles par défaut dans les interfaces utilisées par les agents de l'AFMPS et ne deviennent accessibles que lorsque cela est requis pour traiter un incident relatif à ces numéros;
4°le traitement du numéro d'identification au Registre national, du numéro d'identification bis ou de tout autre identifiant unique peut être effectué sous forme non pseudonymisée lorsqu'il est nécessaire à la gestion d'une demande de support technique impliquant l'identification précise d'un utilisateur. Ces numéros restent invisibles par défaut dans les interfaces utilisées par les agents de l'AFMPS et ne deviennent accessibles que lorsque cela est nécessaire pour traiter un incident ou une demande;
5°le traitement du numéro d'identification au Registre national ou du numéro d'identification bis à des fins statistiques internes peut être effectué sous forme non pseudonymisée, tout en demeurant invisible pour les utilisateurs de l'AFMPS dans les interfaces d'analyse. Ces numéros servent uniquement de clés techniques cachées assurant la cohérence et l'unicité des données traitées."
Art. 24.Dans le chapitre 7/1 de la même loi, inséré par l'article 15, il est inséré un article 103/9 rédigé comme suit:
"Art. 103/9. Le Roi peut préciser plus en détails les mesures techniques et organisationnelles que l'AFMPS doit mettre en oeuvre pour assurer la sécurité du traitement visé à l'article 103/1, ainsi que pour prévenir tout accès, transfert ou usage illicite ou abusif des données qu'il contient.
Il peut notamment préciser plus en détails:
1°les catégories de données à caractère personnel traitées visées à l'article 103/5;
2°les modalités techniques de pseudonymisation visées à l'article 103/8;
3°les mesures techniques et les modalités organisationnelles garantissant le respect des délais de conservation définis à l'article 103/7;
4°les règles relatives à la gestion des accès aux données, en ce compris les exigences applicables en matière de journalisation, d'habilitation, de vérification d'identité, de contrôle d'accès et de traçabilité, conformément à l'article 103/6;
5°les modalités techniques et organisationnelles de la communication des données aux organismes expressément désignés à l'article 103/6, § 1er, sans pouvoir modifier la liste des destinataires, les catégories de données ou les finalités prévues à cet article;
6°les modalités de contrôle exercées par le délégué à la protection des données sur les accès aux traitements concernés;
7°les modalités spécifiques et les conditions strictes d'accès, de gestion et de sécurisation des numéros d'identification au Registre national, des numéros d'identification bis ou d'autres numéros d'identification uniques lorsqu'ils sont traités sous forme non pseudonymisée conformément à l'article 103/8, afin de garantir une protection adéquate de ces données sensibles et de limiter les risques liés à leur traitement."
Chapitre 4.- Modifications de la loi du 15 juin 2022 relative aux dispositifs médicaux de diagnostic in vitro
Art. 25.L'article 3 de la loi du 15 juin 2022 relative aux dispositifs médicaux de diagnostic in vitro, est complété par les 12° à 19°, rédigés comme suit:
"12° "numéro d'identification au Registre national": le numéro d'identification visé à l'article 2, § 3, de la loi du 8 août 1983 organisant un Registre national des personnes physiques;
13°"numéro d'identification bis": le numéro d'identification visé à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale.".
14°"données de contact professionnelles": le nom, le prénom, la fonction, l'adresse électronique professionnelle et le numéro de téléphone professionnel;
15°"données d'identification d'une entreprise": la dénomination, le numéro d'entreprise, l'adresse du siège social, les adresses des lieux d'activité, le numéro d'enregistrement auprès de l'Agence fédérale des médicaments et des produits de santé, le numéro d'identification à la taxe sur la valeur ajoutée pour les entreprises établies à l'étranger, la langue de communication choisie par l'entreprise et, le cas échéant, l'adresse du site internet de l'entreprise;
16°"données d'identification du représentant légal": le nom, le prénom et la qualité ou fonction telle que publiée à la Banque-Carrefour des Entreprises;
17°"personnes de contact": les personnes désignées par un opérateur économique, un établissement de santé, un laboratoire ou toute autre entité concernée pour assurer les échanges avec l'Agence fédérale des médicaments et des produits de santé, dont les données de contact professionnelles sont traitées dans le cadre des finalités prévues par la présente loi;
18°"données d'identification d'un professionnel de la santé": le nom, le prénom, la spécialité ou la fonction, le numéro d'identification à l'Institut national d'assurance maladie-invalidité et l'établissement, le service ou le laboratoire d'affectation;
19°"acteurs non soumis à enregistrement obligatoire auprès de l'AFMPS": les opérateurs économiques visés à l'article 2, point 28, du règlement 2017/746, les établissements de santé visés à l'article 2, point 29, du même règlement, ainsi que les entreprises visées à l'article 59 de la loi du 15 décembre 2013 en matière de dispositifs médicaux, lorsqu'ils ne sont soumis à aucune obligation d'enregistrement auprès de l'AFMPS en vertu de la loi du 15 décembre 2013 en matière de dispositifs médicaux ou de la présente loi.".
Art. 26.Dans l'article 7, de la même loi, le § 6 est abrogé.
Art. 27.Dans l'article 21, de la même loi, l'alinéa 3 est abrogé.
Art. 28.Dans l'article 61, de la même loi, le § 2 est abrogé.
Art. 29.Dans l'article 62, § 1er, de la même loi, l'alinéa 4 est abrogé.
Art. 30.Dans l'article 67, de la même loi, le § 2 est abrogé.
Art. 31.Dans le titre 7 de la même loi, le chapitre 3, modifié en dernier lieu par la loi du 11 juillet 2023, comportant les articles 68 à 77, est abrogé.
Art. 32.L'article 86 de la même loi est complété par un 11) rédigé comme suit:
"11) les fabricants ou d'autres opérateurs économiques qui ne respectent pas l'obligation d'information en cas d'interruption ou de cessation de la fourniture de certains dispositifs visée à l'article 10bis, paragraphes 1er et 3, du règlement 2017/746.".
Art. 33.Dans la même loi, il est inséré un titre 7/1, intitulé "Titre 7/1 - Traitement de données relatif à la vigilance et aux opérateurs économiques".
Art. 34.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/1 rédigé comme suit:
"Art. 102/1. L'AFMPS traite des données à caractère personnel pour l'exécution des finalités suivantes:
1°l'enregistrement des distributeurs de dispositifs conformément à l'article 50 de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
2°la gestion des demandes de certificats de libre vente visés à l'article 22 et de certificats d'exportation visés à l'article 22/1;
3°la publication de la déclaration visée à l'article 5, paragraphe 5, f), du règlement 2017/746 et la notification des incidents graves et des mesures correctives concernant un dispositif fabriqué et utilisé exclusivement au sein d'un établissement de santé conformément à l'article 7, § 3;
4°la transmission et la gestion de formulaires d'autocontrôle visés à l'article 62 de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
5°la déclaration annuelle du chiffre d'affaires par les opérateurs économiques actifs dans le domaine des dispositifs visée à l'article 14/4 de la loi du 20 juillet 2006 relative à la création et au fonctionnement de l'Agence fédérale des médicaments et des produits de santé, aux fins de calcul des contributions ou redevances dues à l'AFMPS;
6°la notification des entreprises qui installent ou maintiennent des dispositifs dans le cadre d'un traitement médical d'un patient en dehors d'un hôpital, conformément à l'article 60, § 2, alinéas 1er et 3, de la loi du 15 décembre 2013 en matière de dispositifs médicaux;
7°la gestion des demandes de dérogation visées à l'article 54 du règlement 2017/746 et à l'article 21;
8°la gestion des notifications, des déclarations d'incidents graves et des mesures correctives en matière de vigilance des dispositifs, conformément aux articles 61 à 67, laquelle comprend l'enregistrement des signalements effectués par les professionnels de santé ou les fabricants, l'analyse et le suivi des incidents et des risques potentiels, la coordination avec les opérateurs économiques concernés ainsi que la mise en oeuvre et le suivi des mesures correctives, y compris les retraits ou modifications de dispositifs, en vue d'assurer la sécurité des patients et la conformité des dispositifs;
9°l'enregistrement volontaire des acteurs non soumis à enregistrement obligatoire auprès de l'AFMPS, aux fins de faciliter la communication avec l'AFMPS;
10°permettre à l'AFMPS d'effectuer des analyses statistiques internes sur les données qu'elle détient, conformément à l'article 89 du règlement 2016/679, en privilégiant, lorsque cela est possible, l'utilisation de données anonymes ou, à défaut, pseudonymisées, afin d'améliorer la qualité de ses activités."
Art. 35.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/2 rédigé comme suit:
"Art. 102/2. L'AFMPS est la responsable du traitement de données visé à l'article 102/1.".
Art. 36.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/3 rédigé comme suit:
"Art. 102/3. Les données visées à l'article 102/1 proviennent des déclarations, enregistrements, demandes, formulaires, rapports ou autres documents transmis à l'AFMPS dans le cadre de l'exécution des finalités visées à l'article 102/1.".
Art. 37.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/4 rédigé comme suit:
"Art. 102/4. Les personnes concernées par le traitement de données visé à l'article 102/1 sont les suivantes:
1°les personnes physiques qui exercent une fonction au sein d'un opérateur économique, d'un établissement de santé ou d'une entreprise visée à l'article 59 de la loi du 15 décembre 2013 en matière de dispositifs médicaux et dont les données sont traitées dans le cadre d'une des finalités mentionnées à l'article 102/1;
2°les patients ou utilisateurs victimes d'un incident grave notifié dans le cadre des obligations de matériovigilance visées aux articles 61 à 67.".
Art. 38.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/5 rédigé comme suit:
"Art. 102/5. Les catégories de données à caractère personnel traitées dans le cadre du traitement visé à l'article 102/1 sont les suivantes:
1°pour l'enregistrement des distributeurs de dispositifs conformément à l'article 50 de la loi du 15 décembre 2013 en matière de dispositifs médicaux: les données de contact professionnelles des personnes de contact des distributeurs, les données d'identification du représentant légal, les données d'identification d'une entreprise, le numéro d'enregistrement auprès de l'AFMPS, ainsi que la fonction exercée au sein de l'entreprise par les personnes de contact, notamment lorsqu'elles agissent comme personne de contact principale ou suppléante ou dans toute autre fonction déclarée à l'AFMPS;
2°pour la gestion des demandes de certificats de libre vente visés à l'article 22 et de certificats d'exportation visés à l'article 22/1: les données d'identification d'une entreprise, les données de contact professionnelles des personnes introduisant la demande, ainsi que les données de contact professionnelles des personnes désignées pour recevoir le statut de la demande, la e-legalisation ou la facturation du certificat;
3°pour la publication de la déclaration visée à l'article 5, paragraphe 5, f), du règlement 2017/746 et pour la notification des incidents graves et des mesures correctives concernant un dispositif fabriqué et utilisé exclusivement au sein d'un établissement de santé ou d'un laboratoire conformément à l'article 7, § 3: les données de contact professionnelles des personnes de contact des établissements de santé ou des laboratoires concernés, les données d'identification d'une entreprise lorsque l'établissement de santé ou le laboratoire est organisé sous forme d'entité juridique, les données de contact professionnelles du rapporteur, ainsi que les données d'identification d'un patient strictement nécessaires à la notification, parmi lesquelles le sexe, l'année de naissance, la catégorie d'âge lorsque celle-ci a une incidence sur l'incident, la date de l'incident, la description du dispositif et les conséquences de l'incident sur la santé; la taille et le poids ne sont traités que lorsqu'ils ont une incidence sur l'incident;
4°pour la transmission et la gestion des formulaires d'autocontrôle visés à l'article 62 de la loi du 15 décembre 2013 en matière de dispositifs: les données de contact professionnelles des personnes de contact des opérateurs économiques concernés, ainsi que les données d'identification d'une entreprise lorsque ceux-ci sont organisés sous forme d'entité juridique;
5°pour la déclaration annuelle du chiffre d'affaires par les opérateurs économiques conformément à l'article 14/4 de la loi du 20 juillet 2006: les données de contact professionnelles des déclarants personnes physiques ou des personnes de contact des entreprises concernées, ainsi que les données d'identification d'une entreprise lorsque la déclaration est introduite pour le compte d'une entité organisée sous forme d'entreprise;
6°pour la notification des entreprises qui installent ou maintiennent des dispositifs dans le cadre d'un traitement médical d'un patient en dehors d'un hôpital, conformément à l'article 60, § 2, alinéas 1er et 3, de la loi du 15 décembre 2013 en matière de dispositifs médicaux: les données de contact professionnelles des personnes de contact de ces entreprises, les données d'identification d'une entreprise et les données d'identification du représentant légal;
7°pour la gestion des demandes de dérogation visées à l'article 54 du règlement 2017/746 et à l'article 21: les données de contact professionnelles du professionnel de la santé demandeur, les données d'identification d'une entreprise lorsque la demande est introduite par un fabricant, un mandataire, un distributeur, un importateur ou toute personne mandatée, les données d'identification du représentant légal lorsque cela s'applique, ainsi que les données d'identification d'un patient strictement nécessaires à l'examen de la demande, parmi lesquelles: le numéro d'identification au Registre national ou, le cas échéant, le numéro d'identification bis, le sexe, la date ou l'année de naissance, les raisons médicales justifiant le recours à la dérogation, les conséquences potentielles d'un refus, les informations relatives à une éventuelle intervention chirurgicale, les motifs pour lesquels les dispositifs conformes ne peuvent pas être utilisés, les informations relatives à une participation éventuelle à une étude clinique et les raisons d'une éventuelle non-inclusion, ainsi que la confirmation de l'information du patient sur le caractère dérogatoire de la procédure;
8°pour la gestion des notifications, des déclarations d'incidents graves et des mesures correctives en matière de vigilance, en vue d'assurer la sécurité des patients et la conformité des dispositifs médicaux de diagnostic in vitro:
a)les données de contact professionnelles des personnes déclarant un incident grave, qu'elles agissent ou non pour le compte d'un fabricant, d'un distributeur, d'un représentant autorisé ou d'un établissement de santé;
b)l'adresse postale de la personne déclarant l'incident grave lorsqu'elle n'agit pas pour le compte d'un fabricant, d'un distributeur, d'un représentant autorisé ou d'un établissement de santé;
c)les données de contact professionnelles de la personne désignée comme point de contact pour la vigilance au sein d'un hôpital ou d'un autre établissement de santé;
d)le poids et la taille du patient ou de l'utilisateur lorsque ces données sont pertinentes pour l'analyse de l'incident grave;
e)les informations relatives aux conséquences de l'incident grave sur la santé du patient ou de l'utilisateur, parmi les catégories suivantes: décès, dégradation importante de la santé, dégradation limitée de la santé ou absence de conséquence;
9°pour la mise en oeuvre de l'enregistrement volontaire des acteurs non soumis à enregistrement obligatoire auprès de l'AFMPS, aux fins exclusives de faciliter la communication avec l'AFMPS: les données de contact professionnelles des personnes de contact désignées et les données d'identification d'une entreprise, ainsi que la fonction exercée par ces personnes au sein de l'acteur concerné;
10°pour permettre à l'AFMPS d'effectuer des analyses statistiques internes sur les données traitées dans le cadre des finalités mentionnées aux points 1° à 10°, conformément à l'article 89 du règlement 2016/679, en privilégiant, lorsque cela est possible, l'utilisation de données anonymisées ou, à défaut, pseudonymisées, afin d'améliorer la qualité de ses activités.".
Art. 39.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/6 rédigé comme suit:
"Art. 102/6. § 1er. L'accès aux données traitées dans le cadre de l'article 102/1 est réservé aux membres du personnel statutaire ou contractuel de l'AFMPS en fonction des tâches qui leur sont attribuées.
Cet accès est individuel, non transférable, et limité aux seules données nécessaires à l'exercice de leurs missions.
Il est soumis à vérification préalable de l'identité de l'utilisateur et à la correspondance de son profil d'accès avec ses fonctions.
Les membres du personnel visés à l'alinéa précédent sont tenus au strict respect de la confidentialité des données à caractère personnel et des autres informations dont ils ont connaissance dans le cadre de leurs fonctions.
Ces données et informations ne peuvent être consultées, utilisées ou communiquées qu'en lien direct avec les missions qui leur sont confiées, et dans les limites strictement nécessaires à leur exécution.
§ 2. Par dérogation au paragraphe 1er, les personnes visées à ce paragraphe peuvent communiquer les données et informations qu'il mentionne:
1°à d'autres membres du personnel de l'AFMPS ne disposant pas d'un accès direct au traitement, pour autant que cette communication soit strictement nécessaire à l'accomplissement des missions de l'AFMPS. Ces autres membres du personnel sont soumis aux obligations de confidentialité prévues au paragraphe 1er;
2°à l'Institut national d'assurance maladie-invalidité, lorsque cette communication est nécessaire pour atteindre l'une des finalités suivantes:
- disposer d'un point de contact pour toute question relative au remboursement de dispositifs médicaux de diagnostic in vitro;
- assurer un canal de contact rapide avec l'opérateur économique concerné en cas d'incidents, de mesures correctives de sécurité ou de retraits du marché concernant des dispositifs remboursables, pour les finalités visées à l'article 102/1, 8° ;
- vérifier le respect des conditions de remboursement attachées aux dérogations relatives à des dispositifs remboursables, pour la finalité visée à l'article 102/1, 7°.
La communication porte uniquement sur les données de contact professionnelles des personnes de contact des opérateurs économiques, les données d'identification d'une entreprise, les données d'identification du représentant légal, ainsi que les données relatives au dispositif médical de diagnostic in vitro concerné nécessaires au traitement de la demande ou au suivi de la procédure de remboursement.
3°à des tiers en vue d'assurer la réorientation correcte d'une notification vers l'autorité ou le service compétent lorsque les données traitées révèlent que la notification concerne un produit ou un domaine échappant à la compétence de l'AFMPS, sans conservation des données dans le traitement concerné.
Toute communication doit être documentée. Seules les données nécessaires à la finalité poursuivie peuvent être communiquées.
§ 3. Tout accès ou tentative d'accès aux données visées au présent article fait l'objet d'un enregistrement automatisé dans un journal d'audit sécurisé. Ce journal consigne l'identité de l'utilisateur, la date, l'heure et la nature de l'accès. Sa conservation, son contenu et ses modalités d'exploitation sont définis par un règlement interne soumis pour avis au délégué à la protection des données de l'AFMPS.
§ 4. Le délégué à la protection des données de l'AFMPS contrôle périodiquement les accès aux données visées au présent article, sans préjudice des autres missions qui lui sont confiées en vertu du règlement 2016/679."
Art. 40.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/7 rédigé comme suit:
"Art. 102/7. § 1er. Les données à caractère personnel traitées dans le cadre des finalités visées à l'article 102/1 sont conservées pour les durées suivantes:
1°l'enregistrement des distributeurs visé à l'article 102/1, 1° : dix ans après la fin de l'enregistrement du distributeur auprès de l'AFMPS;
2°la gestion des certificats de libre vente et des certificats d'exportation visée à l'article 102/1, 2° : dix ans après la délivrance du certificat;
3°la publication de la déclaration visée à l'article 5, paragraphe 5, f), du règlement 2017/746 et la gestion des notifications d'incidents graves ou des mesures correctives visée à l'article 102/1, 3° : dix ans après la publication;
4°la transmission et la gestion des formulaires d'autocontrôle visée à l'article 102/1, 4° : cinq ans après leur dépôt;
5°la déclaration annuelle du chiffre d'affaires visée à l'article 102/1, 5° : cinq ans après la déclaration;
6°la notification des entreprises installant ou assurant la maintenance des dispositifs hors hôpital visée à l'article 102/1, 6° : dix ans après la dernière intervention déclarée;
7°la gestion des demandes de dérogation visée à l'article 102/1, 7° : dix ans après la demande;
8°la gestion des incidents graves et des mesures correctives en matière de vigilance visée à l'article 102/1, 8° : dix ans après la mise sur le marché ou la mise en service du dernier dispositif concerné;
9°l'enregistrement volontaire des acteurs non soumis à enregistrement obligatoire visée à l'article 102/1, 9° : cinq ans après l'enregistrement ou jusqu'au retrait volontaire de l'acteur;
10°la réalisation d'analyses statistiques internes visée à l'article 102/1, 10° : dix ans.
§ 2. Les données relatives à l'authentification et aux traces techniques d'accès sont conservées cinq ans après la dernière connexion.
§ 3. A l'expiration des délais fixés aux paragraphes ci-dessus, les données sont effacées ou rendues anonymes, sauf conservation ultérieure nécessaire pour respecter une obligation légale, mener une recherche scientifique ou statistique d'intérêt public, conformément à l'article 89 du règlement 2016/679, ou permettre la constatation, l'exercice ou la défense de droits en justice.
§ 4. L'AFMPS adopte, après avis du délégué à la protection des données, un règlement interne fixant les modalités d'effacement ou d'anonymisation."
Art. 41.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/8 rédigé comme suit:
" § 1er. Les traitements visés à l'article 102/1 sont mis en oeuvre suivant des mesures techniques et organisationnelles destinées à garantir la sécurité, la fiabilité et la traçabilité des traitements et des opérations informatiques suivantes:
1°l'authentification, via les applications informatiques mises à disposition par l'AFMPS, des personnes physiques qui doivent accéder à ces applications ou s'y connecter dans le cadre de la réalisation des finalités visées à l'article 102/1;
2°assurer la traçabilité des opérations effectuées par les personnes physiques qui se sont authentifiées dans les applications informatiques mises à disposition par l'AFMPS dans le cadre des finalités visées à l'article 102/1;
3°consulter et intégrer, dans les systèmes de l'AFMPS, des données à caractère personnel issues de la Banque-Carrefour des Entreprises, à des fins de vérification, de mise à jour ou d'enregistrement des informations relatives aux personnes physiques liées aux opérateurs économiques concernés par les traitements visés à l'article 102/1, y compris l'accès aux données non publiques relatives à ces personnes physiques;
4°garantir l'identification unique des représentants légaux dans le cadre de la création ou de la mise à jour d'entreprises étrangères concernées par les traitements visés à l'article 102/1 et devant être enregistrées dans la Banque-Carrefour des Entreprises, en ce compris l'attribution d'un numéro d'identification bis à la personne physique étrangère désignée comme représentant légal lorsque celle-ci n'est pas inscrite au Registre national.
Ces mesures techniques et organisationnelles s'appliquent aux personnes physiques qui sont elles-mêmes des opérateurs économiques ou qui agissent en qualité de représentants légaux d'un opérateur économique actif dans le secteur des dispositifs médicaux de diagnostic in vitro, et qui s'authentifient pour accéder aux applications mises à disposition par l'AFMPS.
§ 2. Dans le cadre des mesures visées au paragraphe 1er, les catégories de données à caractère personnel traitées sont les suivantes:
1°les données d'identification des personnes physiques qui s'authentifient via les applications de l'AFMPS, y compris, le cas échéant, leur numéro d'identification au Registre national ou leur numéro d'identification bis;
2°les données relatives aux opérations effectuées par les personnes authentifiées, incluant des identifiants utilisateurs pseudonymisés dérivés du numéro d'identification au Registre national ou du numéro d'identification bis, les horodatages et la nature des actions réalisées;
3°les données à caractère personnel issues de la Banque-Carrefour des Entreprises concernant les personnes physiques liées aux opérateurs économiques concernés, telles que le nom, le prénom, la fonction, l'adresse et autres données pertinentes;
4°les données d'identification des personnes physiques désignées comme représentants légaux des entreprises étrangères devant être enregistrées dans la Banque-Carrefour des Entreprises, telles que le nom, le prénom, la date de naissance, la nationalité et, le cas échéant, le numéro d'identification bis attribué par l'AFMPS conformément à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 portant création et organisation d'une Banque-carrefour de la sécurité sociale.
§ 3. Le traitement des numéros d'identification au Registre national et des numéros d'identification bis par les agents de l'AFMPS est effectué exclusivement sous forme pseudonymisée, sauf dans les cas visés au paragraphe 4.
Les pseudonymes sont générés par les sous-traitants techniques agissant pour le compte de l'AFMPS.
Seuls ces sous-traitants ont accès aux numéros d'identification en clair, et uniquement dans le cadre strict de la procédure de pseudonymisation.
En aucun cas ces numéros en clair ne sont accessibles aux agents de l'AFMPS ni à d'autres personnes ou autorités.
§ 4. Par dérogation au paragraphe 3:
1°le traitement du numéro d'identification bis tel que visé à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 portant création et organisation d'une Banque-carrefour de la sécurité sociale peut être effectué sous forme non pseudonymisée lorsqu'il est nécessaire à la génération, à l'attribution ou à la gestion de ce numéro, y compris pour la détection et la résolution de doublons. Ces numéros restent invisibles par défaut dans les interfaces utilisées par les agents de l'AFMPS et ne deviennent accessibles que lorsque cela est requis pour traiter un incident relatif à ces numéros;
2°le traitement du numéro d'identification au Registre national, du numéro d'identification bis ou de tout autre identifiant unique peut être effectué sous forme non pseudonymisée lorsqu'il est nécessaire à la gestion d'une demande de support technique impliquant l'identification précise d'un utilisateur. Ces numéros restent invisibles par défaut dans les interfaces utilisées par les agents de l'AFMPS et ne deviennent accessibles que lorsque cela est nécessaire pour traiter un incident ou une demande;
3°le traitement du numéro d'identification au Registre national ou du numéro d'identification bis à des fins statistiques internes peut être effectué sous forme non pseudonymisée, tout en demeurant invisible pour les utilisateurs de l'AFMPS dans les interfaces d'analyse.
Ces numéros servent uniquement de clés techniques cachées assurant la cohérence et l'unicité des données traitées."
Art. 42.Dans le titre 7/1 de la même loi, inséré par l'article 33, il est inséré un article 102/9 rédigé comme suit:
"Art. 102/9. Le Roi peut préciser plus en détails les mesures techniques et organisationnelles que l'AFMPS doit mettre en oeuvre pour assurer la sécurité du traitement visé à l'article 102/1, ainsi que pour prévenir tout accès, transfert ou usage illicite ou abusif des données qu'il contient.
Il peut notamment préciser plus en détails:
1°les catégories de données à caractère personnel traitées visées à l'article 102/5;
2°les modalités techniques de pseudonymisation visées à l'article 102/8;
3°les mesures techniques et les modalités organisationnelles garantissant le respect des délais de conservation définis à l'article 102/7;
4°les règles relatives à la gestion des accès aux données, en ce compris les exigences applicables en matière de journalisation, d'habilitation, de vérification d'identité, de contrôle d'accès et de traçabilité, conformément à l'article 102/6;
5°les modalités techniques et organisationnelles de la communication des données aux organismes expressément désignés à l'article 102/6, § 2, sans pouvoir modifier la liste des destinataires, les catégories de données ou les finalités prévues à cet article;
6°les modalités de contrôle exercées par le délégué à la protection des données sur les accès aux traitements concernés;
7°les modalités spécifiques et les conditions strictes d'accès, de gestion et de sécurisation des numéros d'identification au Registre national, des numéros d'identification bis ou d'autres numéros d'identification uniques lorsqu'ils sont traités sous forme non pseudonymisée conformément à l'article 102/8, afin de garantir une protection adéquate de ces données sensibles et de limiter les risques liés à leur traitement."
Chapitre 5.- Modifications de la loi du 5 mai 2022 sur les médicaments vétérinaires
Art. 43.L'article 4 de la loi du 5 mai 2022 sur les médicaments vétérinaires est complété par les 12° à 14, rédigés comme suit:
"12° "Pharmacien- titulaire": le(s) pharmacien(s) responsable(s) d'une pharmacie ouverte au public telle que visée à l'article 8 de la loi relative à l'exercice des professions de soins de santé, coordonnée le 10 mai 2015; dont l'identité est enregistrée conformément à l'article 8, alinéa 7, de la même loi;
13°"numéro d'identification au Registre national": le numéro d'identification visé à l'article 2, § 3, de la loi du 8 août 1983 organisant un Registre national des personnes physiques;
14°"numéro d'identification bis": le numéro d'identification visé à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale.".
Art. 44.L'article 23/1 de la même loi, introduit par la loi du 25 mai 2024, est remplacé comme suit:
"Art. 23/1. L'AFMPS traite des données à caractère personnel pour les finalités suivantes:
1°en application de l'article 57, paragraphe 1er du Règlement 2019/6 et de ses actes délégués et d'exécution, recueillir et traiter des données pertinentes et comparables relatives au volume des ventes et à l'utilisation des médicaments antimicrobiens utilisés chez l'animal sur le territoire belge, ainsi que mettre des données à dispositions du vétérinaire, ou responsable des animaux de denrées alimentaire ou à leurs mandataires;
2°conformément à l'article 57, paragraphe 2, du Règlement 2019/6, l'AFMPS communique à l'EMA, selon les modalités déterminées par le Roi et sous une forme agrégée, les données collectées sur les volumes de vente et l'utilisation, par espèce et par catégorie, des médicaments antimicrobiens utilisés chez les animaux;
3°analyser l'utilisation des médicaments antimicrobiens chez les animaux dans le cadre d'un benchmarking;
4°la mise à disposition des données enregistrées concernant les volumes de vente et l'utilisation d'antimicrobiens au vétérinaire, au vétérinaire titulaire d'un dépôt, au pharmacien titulaire et au responsable des animaux, ou à leurs mandataires.
5°mettre à disposition les rapports individuels de benchmarking au vétérinaire concerné, au responsable des animaux ou leurs mandataires et, dans la mesure où d'autres législations l'autorisent, le suivi des actions résultant de benchmarking sus-mentionné;
6°contrôler l'exactitude et la qualité des données introduites et, le cas échéant, contacter le vétérinaire qui prescrit, fournit ou administre, le vétérinaire- titulaire d'un dépôt, le pharmacien-titulaire ou le responsable des animaux pour corriger les données;
7°octroyer des subsides ou primes, ou fournir aux autorités ou institutions compétentes (ou les sous-traitants qu'ils ont désignés) les informations nécessaires à leur octroi et leur paiement, en fonction de l'utilisation observée d'antibiotiques;
8°analyser l'utilisation des médicaments antimicrobiens chez les animaux afin de fournir des conseils et de communiquer dans le cadre de la politique nationale de lutte contre la résistance aux antimicrobiens;
9°préparer des politiques et mettre en oeuvre des actions de prévention et de contrôle de la résistance aux antimicrobiens chez les animaux;
10°contrôler le respect de la présente loi ainsi que de la loi du 28 août 1991 relative à l'exercice de la médecine vétérinaire et leurs arrêtés d'exécution;
11°communiquer des informations sanitaires ou réglementaires aux vétérinaires et aux responsables des animaux producteurs de denrées alimentaires;"
Art. 45.Dans la même loi, il est inséré un article 23/2, rédigé comme suit:
"Art. 23/2. L'AFMPS est la responsable du traitement de données visé à l'article 23/1.".
Art. 46.Dans la même loi, il est inséré un article 23/3, rédigé comme suit:
"Art. 23/3. Les données à caractère personnel traitées dans le cadre de l'article 23/1 proviennent des déclarations, enregistrements, demandes, formulaires, rapports ou autres documents transmis à l'AFMPS dans le cadre de l'exécution des finalités visées à l'article 23/1 par les personnes visées à l'article 23/4."
Art. 47.Dans la même loi, il est inséré un article 23/4, rédigé comme suit:
"Art. 23/4. Les personnes concernées par le traitement visé à l'article 23/1 sont:
1°les vétérinaires qui acquièrent, prescrivent, fournissent ou administrent des médicaments antimicrobiens et, le cas échéant, le vétérinaire-titulaire d'un dépôt;
2°les personnes responsables des animaux producteurs de denrées alimentaires;
3°les pharmaciens-titulaires qui acquièrent les médicaments vétérinaires antimicrobiens ou délivrent des médicaments antimicrobiens.".
Art. 48.Dans la même loi, il est inséré un article 23/5, rédigé comme suit:
"Art. 23/5. § 1er. Les catégories de données à caractère personnel traitées dans le cadre du traitement visé à l'article 23/1 sont les suivantes:
1°les catégories des données personnelles suivantes du médecin vétérinaire qui préscrit, délivre ou administre, et du vétérinaire titulaire d'un dépôt sont traitées:
a)les données d'identité, y compris le numéro de registre national;
b)les coordonnées;
c)les données d'identification de l'entreprise du médecin vétérinaire;
d)les données, même si elles ne sont pas des données à caractère personnel, telles que visées à l'article 23, alinéas 1er et 2, sur le volume de vente et sur l'utilisation des médicaments antimicrobiens utilisés chez l'animal, sur le territoire belge.
Les catégories de données comprennent les données suivantes:
a)le prénom;
b)le nom de famille;
c)le numéro d'inscription à l'Ordre des Médecins vétérinaires;
d)l'adresse du siège social du cabinet vétérinaire, ou de la personne morale par laquelle le médecin vétérinaire exerce son activité;
e)le numéro de dépôt;
f)le numéro de téléphone;
g)l'adresse e-mail;
h)le numéro de registre national;
i)le numéro d'entreprise;
j)le numéro de T.V.A.;
k)la quantité de médicaments antimicrobiens acquis, prescrits, fournis et administrés;
l)l'espèce animale et, le cas échéant, la catégorie et le stade des animaux pour lesquels les médicaments antimicrobiens ont été prescrits ou auxquels les médicaments antimicrobiens ont été fournis ou administrés.
2°les catégories suivantes des données personnels du responsable des animaux producteurs de denrées alimentaires sont traitées:
a)les données d'identité, y compris le numéro de registre national;
b)les coordonnées;
c)les données, même si elles ne sont pas des données à caractère personnel, telles que visées à l'article 23, alinéa 1er et 2, sur le volume de vente et sur l'utilisation des médicaments antimicrobiens utilisés chez l'animal, sur le territoire belge.
Les catégories de données comprennent les données suivantes:
a)le prénom;
b)le nom de famille;
c)l'adresse physique;
d)le pays;
e)le numéro de téléphone;
f)l'adresse e-mail;
g)le numéro de registre national;
h)le numéro d'entreprise;
i)le numéro de T.V.A.;
j)la quantité de médicaments antimicrobiens prescrits, fournis et administrés;
k)l'espèce animale et, le cas échéant, la catégorie et le stade des animaux pour lesquels les médicaments antimicrobiens ont été prescrits ou auxquels les médicaments antimicrobiens ont été fournis ou administrés.
3°Les catégories suivantes des données personnelles du pharmacien titulaire sont traitées:
a)les données d'identité, y compris le numéro de registre national;
b)les coordonnées;
c)les données d'identification de la pharmacie; et
d)les données, même si elles ne sont pas des données à caractère personnel, telles que visées à l'article 23, alinéa 1er et 2, sur le volume de vente et sur l'utilisation des médicaments antimicrobiens utilisés chez l'animal, sur le territoire belge.
Les catégories de données comprennent les données suivantes:
a)le prénom;
b)le nom de famille;
c)l'adresse et le numéro d'autorisation d'exploitation de la pharmacie ouverte au public et dont le pharmacien titulaire est responsable;
d)le pays;
e)le numéro de téléphone;
f)l'adresse e-mail;
g)le numéro de registre national;
h)le numéro d'entreprise;
i)le numéro de T.V.A.;
j)la quantité de médicaments vétérinaires antimicrobiens acquis et la quantité de médicaments antimicrobiens délivrés utilisés chez les animaux; et
k)l'espèce animale et, le cas échéant, la catégorie des animaux pour lesquels les médicaments antimicrobiens ont été délivrés.
§ 2. Les données, visées dans paragraphe 1, sont traitées pour les finalités mentionées dans l'art. 23/1."
Art. 49.Dans la même loi, il est inséré un article 23/6, rédigé comme suit:
"Art. 23/6. § 1er. L'accès aux données visées à l'article 23/5 est strictement limité aux personnes suivantes, dans la mesure où cet accès est nécessaire à l'exercice de leurs missions:
1°les membres du personnel statutaire ou contractuel de l'AFMPS désignés individuellement à cet effet par l'administrateur général ou le directeur général compétent;
2°le Service public fédéral Santé publique, Sécurité de la chaîne alimentaire et Environnement pour les finalités suivantes:
a)octroyer des subsides ou des primes, ou fournir des informations permettant de payer et d'octroyer des subsides ou des primes, en fonction de l'utilisation observée d'antibiotiques;
b)analyser l'utilisation des médicaments antimicrobiens chez les animaux afin de fournir des conseils et de communiquer dans le cadre de la politique nationale de lutte contre la résistance aux antimicrobiens;
c)préparer des politiques et mettre en oeuvre des actions de prévention et de contrôle de la résistance aux antimicrobiens;
d)communiquer des informations sanitaires ou réglementaires aux vétérinaires et aux responsables des animaux producteurs de denrées alimentaires;
e)analyser l'utilisation des médicaments antimicrobiens chez les animaux à des fins de recherche et de préparation de la politique;
3°l'Agence fédérale pour la Sécurité de la chaîne alimentaire, pour exercer ses compétences en matière de législation concernant la santé animale et la sécurité de la chaîne alimentaire aux fins suivantes:
a)la consultation des données des vétérinaires et des responsables d'animaux producteurs de denrées alimentaires concernant l'utilisation d'antimicrobiens chez les animaux, à des fins de recherche et de préparation des politiques;
b)la consultation des données qui sont nécessaires pour mettre en oeuvre des actions en matière de prévention et de lutte contre la résistance antimicrobienne dans ses domaines de compétence;
c)la consultation des données qui sont nécessaires pour effectuer des analyses dans le cadre de la recherche pour la prévention et le contrôle de la résistance antimicrobienne;
4°les Régions, compétentes en matière d'agriculture et de pêche, aux fins suivantes ou les sous-traitants qui leur ont désignés:
a)la consultation des données nécessaires à l'exécution des contrôles dans leurs domaines de compétence;
b)la consultation des données nécessaires au paiement des subventions ou des primes;
c)la consultation des données nécessaires à la mise en oeuvre d'actions de prévention et de contrôle de la résistance antimicrobienne;
d)la consultation des données nécessaires à la réalisation d'analyses dans le cadre de la recherche sur la prévention et le contrôle de la résistance antimicrobienne;
5°toute association ou personne morale créée dans le but de fournir des conseils dans le cadre de la politique nationale en matière de résistance aux antimicrobiens pour l'exercice de leurs compétences consultatives et qui a été désignée par le Roi conformément à l'article 23/8 comme une association ou une personne morale ayant accès aux données du traitement visé à l'article 23/5, dans le cadre des missions qui leurs sont demandées ou sous-traitées par l'AFMPS;
6°les instituts de recherche, pour autant que l'accès soit nécessaire à la réalisation d'analyses dans le cadre de la recherche sur la prévention et le contrôle de la résistance antimicrobienne;
7°toute association ou personne morale mandatée par le responsable des animaux producteurs de denrées alimentaires ou le vétérinaire pour transmettre les données relatives à l'utilisation des antibiotiques dans Sanitel-Med afin de respecter les obligations prévues à l'article 57, paragraphe 1er, du règlement 2019/6 et les actes délégués et d'exécution visés à l'article 23 et prévus à l'article 9, § 2, troisième à sixième alinéas, de la loi du 28 août 1991, ainsi qu'ils sont mandatées de consulter et recevoir ces données;
8°chaque vétérinaire, vétérinaire-titulaire d'un dépôt, pharmacien-titulaire ou personne responsable des animaux et toute personne, physique ou morale, ainsi que les associations mandatées par elles, pour ses propres données et les rapports du benchmarking.
Tout accès, toute tentative d'accès et toute opération effectuée sur les données est traçable et fait l'objet d'un enregistrement automatisé dans un journal sécurisé, contrôlé périodiquement par le délégué à la protection des données de l'AFMPS.
§ 2. Les données peuvent être communiquées, sous forme agrégée, à l'EMA, conformément à l'article 57, paragraphe 2, du Règlement 2019/6.
§ 3. Tout accès ou tentative d'accès aux données visées au présent article fait l'objet d'un enregistrement automatisé dans un journal d'audit sécurisé. Ce journal consigne l'identité de l'utilisateur, la date, l'heure et la nature de l'accès. Sa conservation, son contenu et ses modalités d'exploitation sont définis par un règlement interne soumis pour avis au délégué à la protection des données de l'AFMPS.
§ 4. Le délégué à la protection des données de l'AFMPS contrôle périodiquement les accès aux données visées au présent article, sans préjudice des autres missions qui lui sont confiées en vertu du règlement (UE) 2016/679.".
Art. 50.Dans la même loi, il est inséré un article 23/7, rédigé comme suit:
"Art. 23/7. § 1er. Les données des traitements visés à l'article 23/1 sont conservées pour les durées suivantes:
1°les données traitées qui concernent les vétérinaires sont conservées pour une durée maximale de dix années consécutives à compter de leur enregistrement;
2°les données traitées qui concernent les pharmaciens-titulaires sont conservées pour une durée maximale de dix années consécutives à compter de leur enregistrement;
3°les données traitées qui concernent les responsables des animaux producteurs de denrées alimentaires sont conservées pour une durée maximale de dix années consécutives à compter de leur enregistrement.
§ 2. Les journaux techniques, les données d'authentification et les traces de connexion sont conservés pour une durée maximale de cinq ans.
§ 3. A l'issue des délais prévus aux paragraphes 1 et 2, les données sont supprimées ou rendues anonymes, sauf si leur conservation ultérieure est nécessaire pour des finalités de recherche scientifique ou statistique, ou pour la constatation, l'exercice ou la défense de droits en justice.
§ 4. L'AFMPS adopte un règlement interne, soumis pour avis à son délégué à la protection des données, précisant les modalités d'effacement ou d'anonymisation des données à l'expiration des délais.".
Art. 51.Dans la même loi, il est inséré un article 23/8 rédigé comme suit:
"Art. 23/8. § 1er. Les traitements visés à l'article 23/1 sont mis en oeuvre suivant des mesures techniques et organisationnelles destinées à garantir la sécurité, la fiabilité et la traçabilité des traitements et des opérations informatiques suivantes:
1°l'authentification, via les applications informatiques mises à disposition par l'AFMPS, des personnes physiques qui doivent accéder à ces applications ou s'y connecter dans le cadre de la réalisation des finalités visées à l'article 23/1;
2°assurer la traçabilité des opérations effectuées par les personnes physiques qui se sont authentifiées dans les applications informatiques mises à disposition par l'AFMPS dans le cadre des finalités visées à l'article 23/1;
3°consulter et intégrer, dans les systèmes de l'AFMPS, des données à caractère personnel issues de la Banque-Carrefour des Entreprises, à des fins de vérification, de mise à jour ou d'enregistrement des informations relatives aux personnes physiques visées à l'article 23/4, y compris l'accès aux données non publiques relatives à ces personnes physiques.
Ces mesures techniques et organisationnelles s'appliquent aux personnes physiques visées à l'article 23/4 qui doivent s'authentifier pour accéder aux applications mises à disposition par l'AFMPS dans le cadre de l'exécution des finalités prévues à l'article 23/1.
§ 2. Dans le cadre des mesures visées au paragraphe 1er, les catégories de données à caractère personnel traitées sont les suivantes:
1°les données d'identification des personnes physiques qui s'authentifient via les applications de l'AFMPS, y compris, le cas échéant, leur numéro d'identification au Registre national ou leur numéro d'identification bis;
2°les données relatives aux opérations effectuées par les personnes authentifiées, incluant des identifiants utilisateurs pseudonymisés dérivés du numéro d'identification au Registre national ou du numéro d'identification bis, les horodatages et la nature des actions réalisées;
3°les données à caractère personnel issues de la Banque-Carrefour des Entreprises concernant les pharmaciens-titulaires, les vétérinaires, les vétérinaires titulaires d'un dépôt et les responsables des animaux de denrées alimentaires concernés, telles que le nom, le prénom, la fonction, l'adresse et autres données pertinentes.
§ 3. Le traitement des numéros d'identification au Registre national et des numéros d'identification bis par les agents de l'AFMPS est effectué exclusivement sous forme pseudonymisée, sauf dans les cas visés au paragraphe 4.
Les pseudonymes sont générés par les agents désignés par l'AFMPS ou les sous-traitants techniques agissant pour le compte de l'AFMPS. Seuls ces agents et/ou les sous-traitants ont accès aux numéros d'identification en clair, et uniquement dans le cadre strict de la procédure de pseudonymisation. En aucun cas ces numéros en clair ne sont accessibles à d'autres que les agents de l'AFMPS désignés à cet effet ou à d'autres personnes ou instances.
§ 4. Par dérogation au paragraphe 3:
1°le traitement du numéro d'identification bis tel que visé à l'article 8, § 1er, 2°, de la loi du 15 janvier 1990 portant création et organisation d'une Banque-carrefour de la sécurité sociale peut être effectué sous forme non pseudonymisée lorsqu'il est nécessaire à la génération, à l'attribution ou à la gestion de ce numéro, y compris pour la détection et la résolution de doublons. Ces numéros restent invisibles par défaut dans les interfaces utilisées par les agents de l'AFMPS et ne deviennent accessibles que lorsque cela est requis pour traiter un incident relatif à ces numéros ou si c'est nécessaire à l`exécution des tâches;
2°le traitement du numéro d'identification au Registre national, du numéro d'identification bis ou de tout autre identifiant unique peut être effectué sous forme non pseudonymisée lorsqu'il est nécessaire à la gestion d'une demande de support technique impliquant l'identification précise d'un utilisateur. Ces numéros restent invisibles par défaut dans les interfaces utilisées par les agents de l'AFMPS et ne deviennent accessibles que lorsque cela est nécessaire pour traiter un incident ou une demande ou si c'est nécessaire à l`exécution des tâches;
3°le traitement du numéro d'identification au Registre national ou du numéro d'identification bis à des fins statistiques internes peut être effectué sous forme non pseudonymisée, tout en demeurant invisible pour les utilisateurs de l'AFMPS dans les interfaces d'analyse. Ces numéros servent uniquement de clés techniques cachées assurant la cohérence et l'unicité des données traitées."
Art. 52.Dans la même loi, il est inséré un article 23/8/1, rédigé comme suit:
"Art. 23/8/1. Le Roi peut préciser plus en détails les mesures techniques et organisationnelles que l'AFMPS doit mettre en oeuvre afin d'assurer la sécurité du traitement visé à l'article 23/1, ainsi que pour prévenir tout accès, transfert ou usage illicite ou abusif des données qu'il contient.
Il peut notamment préciser plus en détails:
1°les catégories de données à caractère personnel traitées visées à l'article 23/5;
2°les modalités de la communication visée à l'article 23/1, 2°, a);
3°les modalités techniques de pseudonymisation visées à l'article 23/8, § 3;
4°les mesures techniques et les modalités organisationnelles garantissant le respect des délais de conservation définis à l'article 23/7;
5°les règles relatives à la gestion des accès aux données, en ce compris les exigences applicables en matière de journalisation, d'habilitation, de vérification d'identité, de contrôle d'accès et de traçabilité;
6°les modalités de contrôle exercées par le délégué à la protection des données sur les accès aux traitements concernés;
7°les modalités spécifiques encadrant l'accès des associations ou personnes morales visées à l'article 23/6, § 1er, 5°, autorisées à accéder aux données visées à l'article 23/5, dans le cadre des missions confiées ou sous-traitées par l'AFMPS, sans pouvoir modifier la liste des destinataires, les catégories de données ou les finalités prévues par la loi;
8°modalités et délais spécifiques concernant le début de la collecte des données et les modalités de transmission, même rétroactive, conformément aux délais prévus à l'article 15 du règlement délégué (UE) 2021/578."
Art. 53.Dans la même loi, il est inséré un article 23/9, redigé comme suit:
"Art. 23/9. Les vétérinaires, les pharmaciens-titulaires et les responsables d'animaux sont tenus de télécharger correctement les données visées à l'article 23/5, ainsi que les données relatives à l' acquisition, la prescription, la fourniture, l'administration, la délivrance ou à l'utilisation de produits antimicrobiens visées à l'article 57 du règlement 2019/6, ainsi que ses actes délégués ou d'exécution, et comme mentionné dans l'article 9, § 2, alinéa 3, de la loi du 28 août 1991 sur l'exercice de la médecine vétérinaire, dans la plateforme mise à disposition par l'AFMPS à cet effet.
Le Roi peut préciser plus en détails les règles concernant les catégories de personnes physiques et les catégories d'espèces animales visées au premier alinéa.
L'AFMPS peut traiter les données visées au présent article par le biais des banques de données visées à l'article 17/1 de la loi du 24 mars 1987 relative à la santé animale et à l'article 4/1 de la loi du 28 août 1991 relative à l'exercice de la médecine vétérinaire et ce, en reliant les bases de données ou en intégrant les bases de données sur une plateforme.".