Article 1er.Dans le décret du 20 décembre 2011 portant organisation du budget et de la comptabilité des Services du Gouvernement de la Communauté française, tel que modifié par le décret du 9 février 2023, les points suivants sont ajoutés à l'article 2 :
" 27° " RGPD " : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
28°données personnelles : données à caractère personnel au sens de l'article 4.1) du RGPD ;
29°traitement de données personnelles : opérations et ensembles d'opérations visées à l'article 4.2) du RGPD ;
30°Ministère : Ministère de la Communauté française ;
31°ETNIC : Entreprise publique des Technologies Numériques de l'Information et de la Communication, organisée par le décret du 25 octobre 2018 relatif à l'Entreprise publique des Technologies Numériques de l'Information et de la Communication de la Communauté française (ETNIC) ; ".
Art. 2.Dans le titre Ier du même décret, il est inséré un article 3/1 rédigé comme suit :
" Art. 3/1. § 1er. Les traitements de données personnelles visés par le présent décret relèvent de la responsabilité des services d'administration générale et des cabinets ministériels visés à l'article 3 qui agissent chacun pour leur périmètre en tant que responsable de traitement au sens de l'article 4.7) du RGPD.
§ 2. Par exception, le Ministère est considéré comme sous-traitant au sens de l'article 4.8) du RGPD pour l'ensemble des opérations qu'il réalise pour le compte des cabinets ministériels visés à l'article 3, alinéa 1erdans le cadre des traitements visés à l'article 3/2, § 1er, 2°, 4°, 6° et 7°. ".
Art. 3.Dans le titre Ier du même décret, il est inséré un article 3/2 rédigé comme suit :
" Art. 3/2. § 1er. Les services d'administration générale visés à l'article 3, alinéa 1er, assurent les traitements de données personnelles suivants :
1. gérer la comptabilité générale en application des articles 30 à 36 ;
2. en application des articles 53 à 56, la gestion, par les ordonnateurs, des contestations des débiteurs de créances non fiscales de la Communauté française, l'octroi, par les receveurs, de facilités de paiement ainsi que le recouvrement, par les receveurs, des créances non fiscales ;
3. octroyer des subventions en application des articles 57 à 62 ;
4. octroyer des prix en application des articles 63 à 65 ;
5. administrer les biens désaffectés en application des articles 66 et 67 ;
6. gérer les paiements indus en application de l'article 75 ;
7. gérer les contentieux juridiques et administratifs en application de l'article 21, § 3.
§ 2. Les cabinets ministériels visés à l'article 3, alinéa 1er assurent les traitements de données personnelles suivants :
1. gérer la comptabilité générale en application des articles 30 à 36 ;
2. octroyer des subventions en application des articles en application des articles 57 à 62 ;
3. administrer les biens désaffectés en application des articles 66 et 67. ".
Art. 4.Dans le titre Ier du même décret, il est inséré un article 3/3 rédigé comme suit :
" Art. 3/3. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 1°, les finalités sont les suivantes :
1. garantir l'exactitude et l'exhaustivité des opérations comptables ;
2. assurer que chaque écriture comptable repose sur une pièce justificative datée et référencée ;
3. permettre la production du bilan, des comptes de résultats et de l'inventaire des avoirs, droits, dettes et engagements de l'entité ;
§ 2. Les catégories de données personnelles traitées pour les créanciers et débiteurs sont les suivantes :
a)les données d'identification et de contact ;
b)les données financières. ".
Art. 5.Dans le titre Ier du même décret, il est inséré un article 3/4 rédigé comme suit :
" Art. 3/4. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 2°, les finalités sont les suivantes :
1. identifier et authentifier les personnes concernées ;
2. recouvrer les droits constatés ;
3. assurer le suivi complet des créances ;
4. procéder à la médiation de dettes ;
5. réaliser les rappels et relances ;
6. déclarer l'irrécouvrabilité des droits constatés.
§ 2. Les catégories de données personnelles traitées sont les suivantes :
a)les données d'identification et de contact ;
b)les données financières ;
c)les données relatives à la composition du ménage ;
d)les données relatives à la profession et à l'emploi ;
e)les données relatives à la succession.
§ 3. Les catégories de données personnelles visées aux paragraphes 2, 1°, a), et 2, 2°, a), comprennent le numéro de registre national et les données associées.
Ces données sont traitées par les responsables de traitement pour les finalités visées au paragraphe 1er.
Lorsque la personne physique n'est pas inscrite au Registre national, les responsables de traitement traitent le numéro d'identification de la Banque Carrefour de la sécurité sociale. ".
Art. 6.Dans le titre Ier du même décret, il est inséré un article 3/5 rédigé comme suit :
" Art. 3/5. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 3°, les finalités sont les suivantes :
1. identifier et authentifier les personnes concernées ;
2. constater les droits ;
3. effectuer l'engagement et la liquidation ;
4. valider l'engagement et la liquidation ;
5. émettre l'ordre de paiement ;
6. procéder au paiement de la subvention.
§ 2. Les catégories de données traitées, par catégorie de personnes concernées, sont les suivantes :
1. les personnes physiques en tant que bénéficiaires :
a)les données d'identification et de contact ;
b)les données financières ;
c)les données relatives à la profession et à l'emploi.
2. les personnes physiques en tant que représentants des personnes morales et des associations ou organisations sans personnalité juridique :
a)les données d'identification et de contact.
Art. 7.Dans le titre Ier du même décret, il est inséré un article 3/6 rédigé comme suit :
" Art. 3/6. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 4°, les finalités sont les suivantes :
1. identifier et authentifier les personnes concernées ;
2. constater les droits ;
3. effectuer l'engagement et la liquidation ;
4. valider l'engagement et la liquidation ;
5. émettre l'ordre de paiement ;
6. procéder au paiement du prix.
§ 2. Les catégories de données traitées, par catégorie de personnes concernées, sont les suivantes :
1. les personnes physiques en tant que bénéficiaires :
a)les données d'identification et de contact ;
b)les données financières ;
c)les données relatives à la profession et à l'emploi.
2. les personnes physiques en tant que représentants des personnes morales :
a)les données d'identification et de contact ;
b)les données financières. ".
Art. 8.Dans le titre Ier du même décret, il est inséré un article 3/7 rédigé comme suit :
" Art. 3/7. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 5°, les finalités sont les suivantes :
1. identifier et authentifier les personnes concernées ;
2. céder à titre gratuit les biens meubles.
§ 2. Les catégories de données traitées, par catégorie de personnes concernées, sont les suivantes :
1. les personnes physiques en tant qu'acquéreurs : les données d'identification et de contact.
2. les personnes physiques en tant que représentants des personnes morales : les données d'identification et de contact. ".
Art. 9.Dans le titre Ier du même décret, il est inséré un article 3/8 rédigé comme suit :
" Art. 3/8. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 6°, les finalités sont les suivantes :
1. identifier et authentifier les personnes concernées ;
2. recouvrer les droits constatés ;
3. examiner et traiter les réclamations introduites par les débiteurs ;
4. notifier les débiteurs.
§ 2. Les catégories de données personnelles traités pour les personnes physiques considérées comme débiteurs sont les suivantes :
a)les données d'identification et de contact ;
b)les données financières ;
c)les données relatives à la profession et à l'emploi.
§ 3. La catégorie de données personnelles visées au paragraphe 2, a), comprend le numéro de registre national et les données associées.
Ces données sont traitées par les responsables de traitement pour les finalités visées au paragraphe 1er.
Lorsque la personne physique n'est pas inscrite au Registre national, les responsables de traitement traitent le numéro d'identification de la Banque Carrefour de la sécurité sociale. ".
Art. 10.Dans le titre Ier du même décret, il est inséré un article 3/9 rédigé comme suit :
" Art. 3/9. § 1er. Dans le traitement de données personnelles visé à l'article 3/2, § 1er, 7°, les finalités sont les suivantes :
1. identifier et authentifier les personnes concernées ;
2. déterminer les bénéficiaires, les créanciers, les mandataires et ayants droit ;
3. donner l'ordre de paiement.
§ 2. Les catégories de données personnelles traitées pour les personnes physiques en tant que bénéficiaires, créanciers, mandataires et ayants droit sont les suivantes :
a)les données d'identification et de contact ;
b)les données financières ;
c)les données relatives à la profession et à l'emploi ;
d)les données relatives aux infractions, aux poursuites et aux condamnations ;
e)les données relatives à la composition du ménage.
§ 3. La catégorie de données personnelles visées au paragraphe 2, 1°, a), comprend le numéro de registre national et les données associées.
Ces données sont traitées par les responsables de traitement pour les finalités visées au paragraphe 1er.
Lorsque la personne physique n'est pas inscrite au Registre national, les responsables de traitement traitent le numéro d'identification de la Banque Carrefour de la sécurité sociale.
Art. 11.Dans le titre Ier du même décret, il est inséré un article 3/10 rédigé comme suit :
" Art. 3/10. Pour chaque traitement de données personnelles visé par le présent décret, le Gouvernement précise les éléments suivants :
1. la liste des données personnelles par traitement, par catégories de données et par catégories de personnes concernées ;
2. les durées de conservation de ces données ;
3. les modalités d'exercice des droits des personnes concernées ;
4. les modalités de communication vers les personnes concernées. ".
Art. 12.Dans le titre Ier du même décret, il est inséré un article 3/11 rédigé comme suit :
" Art. 3/11. § 1er. Dans le cadre des traitements de données personnelles visés par le présent décret, ces données sont collectées, exploitées, communiquées, transférées et stockées dans des locaux sécurisés par le Ministère, ou dans des solutions informatiques sécurisées mises à disposition par le sous-traitant principal du responsable de traitement au sens de l'article 4.8) du RGPD, l'ETNIC.
Le Gouvernement précise les modalités des mesures de sécurité visées à l'alinéa 1er.
§ 2. Dans le cadre de la mise à disposition visée au paragraphe 1er, le Ministère traite les catégories de données suivantes sur les utilisateurs externes et les agents du Ministère :
1. les données personnelles relatives à l'identification et de contact ;
2. les données relatives à la navigation et la traçabilité.
Le Gouvernement précise la liste des données personnelles visées à l'alinéa 1er par catégories de données et par catégories de personnes concernées ainsi que les durées de conservation de celles-ci. ".
Art. 13.Dans le titre Ier du même décret, il est inséré un article 3/12 rédigé comme suit :
" Art. 3/12. § 1er. Les données personnelles traitées dans le cadre des traitements de données personnelles visés par le présent décret peuvent être traitées ultérieurement par les services et les cabinets ministériels visés à l'article 3 et des opérateurs externes à des fins de recherche scientifique ou historique ou à des fins statistiques.
§ 2. Les données traitées par les services et les cabinets ministériels visés à l'article 3 aux fins visées au paragraphe 1er sont, avant tout transfert éventuel, anonymisées ou, si les objectifs visés par le traitement de données personnelles ne peuvent pas être atteints avec une anonymisation, elles sont pseudonymisées ou transférées sous format brut.
Les modalités du transfert sont encadrées par un marché public ou sont déterminées dans une convention.
§ 3. Les données personnelles traitées dans le cadre des traitements de données personnelles visés par le présent décret peuvent être traitées ultérieurement par des tiers à d'autres fins que celles prévues au paragraphe 1er en application de réglementations nationales en vigueur. ".
Art. 14.Dans le titre Ier du même décret, il est inséré un article 3/13 rédigé comme suit :
" Art. 3/13. Les services d'administration générale et les cabinets ministériels visés à l'article 3 sont autorisés à accéder à des systèmes d'information ou des sources authentiques mis à disposition par d'autres autorités publiques. ".