L. comm. électroniques Art. 127/2

§ 1er. Les opérateurs veillent à garantir la qualité des métadonnées de communications électroniques conservées et, pour ce qui concerne les données conservées pour les autorités, à ce qu'elles soient de la même qualité que les données traitées dans le cadre de la fourniture du réseau ou du service de communications électroniques.

Les opérateurs mettent tout en oeuvre pour établir les liens techniques entre les données conservées pour les autorités qui sont nécessaires pour répondre à leurs demandes.

§ 2. Pour ce qui concerne les données d'identification de l'abonné et les métadonnées de communications électroniques, conservées pour les autorités, les opérateurs:

1° garantissent que les données conservées sont soumises aux mêmes exigences de sécurité et de protection que les données sur le réseau ou traitées par le service;

2° mettent en oeuvre des mesures de protection technologique qui rendent les données conservées, dès leur enregistrement, illisibles et inutilisables par toute personne qui n'est pas autorisée à y avoir accès;

3° ne peuvent utiliser les données conservées pour d'autres finalités que la fourniture de ces données aux autorités, sauf lorsqu'ils obtiennent le consentement des abonnés concernés conformément à l'article 4, 11), du RGDP et sans préjudice d'autres dispositions légales.

§ 3. Pour ce qui concerne les données d'identification de l'abonné et les métadonnées de communications électroniques, les opérateurs:

1° conservent les données sur le territoire de l'Union européenne et fournissent en Belgique les données demandées par une autorité belge;

2° veillent à ce que les données conservées soient détruites de tout support lorsqu'est expiré le délai de conservation applicable à ces données ou que ces données soient rendues anonymes;

3° veillent à ce que les données conservées fassent l'objet de mesures techniques et organisationnelles appropriées afin de les protéger contre la destruction accidentelle ou illicite, la perte ou l'altération accidentelle, ou le stockage, le traitement, l'accès ou la divulgation non autorisés ou illicites, conformément à l'article 107/2;

4° garantissent que l'accès aux données conservées pour répondre aux demandes des autorités n'est effectué que par un ou plusieurs membres de la Cellule de coordination visée à l'article 127/3, § 1er, de manière manuelle ou automatisée;

5° assurent une traçabilité de l'exploitation des données conservées.

§ 4. La traçabilité visée au paragraphe 3, 5°, s'effectue à l'aide d'un journal.

L'opérateur prend les mesures nécessaires pour que chaque consultation des données qu'il conserve pour les autorités génère de manière automatisée un enregistrement dans le journal des données suivantes: l'identité de la personne ayant consulté les données, le moment de la consultation et les données consultées.

Ce journal comprend également les informations et documents suivants, qui, le cas échéant, y sont introduits de manière manuelle:

1° l'identité de l'autorité demanderesse, l'objet, la date et l'heure de la demande, une copie de la demande ou un lien vers cette dernière;

2° pour ce qui concerne la réponse de l'opérateur à la demande de l'autorité: l'identité de son destinataire, la date et l'heure de son envoi ainsi que le moyen de communication utilisé pour l'envoyer.

Le journal peut comprendre d'autres documents ou informations, pour autant que ces informations et documents ne révèlent pas d'informations confidentielles sur l'enquête menée par l'autorité, telles que sa finalité ou son contexte.

Les données de ce journal sont conservées pendant une période de dix ans. A l'échéance de la période de conservation, les données du journal sont détruites.

L'opérateur adopte des mesures appropriées pour assurer la sécurité du journal. Toute modification des données reprises dans le journal est interdite. Toute consultation du journal est journalisée.

Le Roi peut préciser, après avis de l'Autorité de protection des données et de l'Institut, les exigences à respecter par les opérateurs concernant le journal.

Dans le cadre du contrôle de l'opérateur, l'Institut ainsi que l'inspecteur général et les inspecteurs désignés par l'inspecteur général, au sein de l'Autorité de protection des données, visés à l'article 66, § 1er, de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, peuvent consulter ce journal ou exiger une copie de tout ou partie de ce journal.

§ 5. Si l'Institut dispose d'indices qui pourraient indiquer une infraction d'un opérateur au paragraphe 2, 3 ou 4, il peut l'obliger à se soumettre à un contrôle de sécurité effectué par un organisme qualifié indépendant, proposé par l'opérateur à l'Institut pour accord.

Cet organisme ne prend pas connaissance des demandes des autorités envers les opérateurs, en ce compris le journal visé au paragraphe 4.

Le rapport et les résultats de ce contrôle de sécurité sont communiqués à l'Institut. Le coût du contrôle est à la charge de l'opérateur.