C. pén. soc. Art. 214

Les atteintes graves relatives à la confidentialité des données à caractère personnel

Sont punis d'une sanction de niveau 2 :

1° la Banque-carrefour et les institutions de sécurité sociale, leurs préposés ou mandataires qui :

a) contrairement aux dispositions de l'article 24 de la loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale, n'auront pas désigné, au sein de leur personnel ou non, un conseiller de sécurité;

b) contrairement aux dispositions de l'article 26, § 1er, alinéa 1er, de la loi précitée du 15 janvier 1990, n'auront pas fait conserver les données sociales à caractère personnel relatives à la santé par un médecin;

c) chargés de la conservation des données sociales à caractère personnel relatives à la santé, n'auront pas, contrairement aux dispositions de l'article 26, § 2, de la loi précitée du 15 janvier 1990, fait les désignations nominatives prévues ou défini le contenu et l'étendue des autorisations d'accès aux données sociales à caractère personnel relatives à la santé;

2° les institutions de sécurité sociale, leurs préposés ou mandataires qui :

a) contrairement aux dispositions de l'article 20, § 2, de la loi précitée du 15 janvier 1990, n'ont pas communiqué à la Banque-Carrefour les corrections et les effacements des données sociales à caractère personnel qu'ils traitent;

b) contrairement aux dispositions de l'article 26, § 3, alinéa 1er, de la loi précitée du 15 janvier 1990, n'auront pas veillé à ce que l'accès aux données sociales à caractère personnel relatives à la santé contenues dans les banques automatisées se fasse exclusivement au moyen de codes individuels d'accès et de compétence;

c) contrairement aux dispositions de l'article 26, § 3, alinéa 2, de la loi précitée du 15 janvier 1990, n'auront pas veillé à ce que les données sociales à caractère personnel relatives à la santé conservées aux archives automatisées, le soient sur des supports qui ne sont pas directement accessibles;

3° les personnes, leurs préposés ou mandataires qui :

a) auront reçu, régulièrement ou non, communication de données sociales à caractère personnel et en auront délibérément usé à d'autres fins que celles prévues par ou en vertu de la loi précitée du 15 janvier 1990;

b) contrairement aux conditions imposées par l'article 5 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, n'auront pas pris les mesures qui devaient permettre de garantir le caractère confidentiel des données sociales à caractère personnel ainsi que leur usage aux seules fins prévues par ou en vertu de la loi précitée du 15 janvier 1990 ou pour l'application de leurs obligations légales ...;

c) contrairement aux dispositions de la loi précitée du 15 janvier 1990, auront délibérément entravé ou altéré le fonctionnement d'un traitement automatisé de données sociales du réseau ou délibérément endommagé ou détruit tout ou partie d'un tel traitement, notamment les données ou les programmes qui y figurent;

4° les titulaires de codes individuels d'accès et de compétence qui les auront divulgués, contrairement aux dispositions de l'article 26, § 3, alinéa 1er, de la loi précitée du 15 janvier 1990.