Code belge de la Navigation Art. 2.5.2.85

Reconnaissance du sous-traitant

§ 1er. Les données biométriques ne peuvent être traitées que par une entreprise reconnue à cet effet par le ministre sur la base de l'audit visé au paragraphe 2 et d'un avis de l'ANSM.

Afin d'être reconnue comme sous-traitant de ces données biométriques, l'entreprise doit être établie dans l'Espace économique européen et avoir une unité d'établissement en Belgique. La reconnaissance ne s'applique que pour le traitement des données biométriques autorisées conformément au présent chapitre.

§ 2. La Cellule de la Sûreté maritime et le Contrôle de la navigation, en collaboration avec le Centre pour la Cybersécurité, effectuent un audit au cours duquel l'entreprise doit démontrer que :

1° l'entreprise est certifiée conformément à la norme ISO 27001, ISO 27701 ou une norme équivalente établie conformément à l'article 22, § 1er, de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique ;

2° elle dispose des systèmes et procédures internes nécessaires pour empêcher l'accès non autorisé aux données biométriques ;

3° le système de traitement satisfait aux exigences énoncées au paragraphe 3.

§ 3. Les données biométriques ne peuvent être traitées que via des systèmes qui sont conformes aux conditions suivantes :

1° lors de la première phase de collecte des données biométriques, les caractéristiques uniques et individuelles de l'individu sont codées et enregistrées en tant que modèle, et ensuite les données biométriques brutes sont immédiatement supprimées ;

2° lors de la vérification de l'identité de l'individu, il est seulement vérifié si les informations collectées au moment où l'individu souhaite s'authentifier correspondent au modèle qui a été enregistré lors de la première phase de collecte ;

3° le modèle est exclusivement conservé sur un support de stockage durable en possession de l'individu, aucun stockage n'étant autorisé dans les bases de données du sous-traitant ;

4° les données biométriques collectées lors de la deuxième phase de collecte aux fins de vérification de l'identité ne sont pas conservées plus longtemps que nécessaire aux fins de comparaison de ces données collectées avec le modèle.

§ 4. La reconnaissance s'applique pour une durée indéterminée.

Après la reconnaissance et ensuite à chaque fois dans la période comprise entre vingt-quatre et trente-six mois après un audit précédent, un audit de suivi est effectué. Sur la base de cet audit, le ministre peut décider :

1° d'imposer des délais dans lesquels l'entreprise doit se conformer aux mesures imposées par le ministre ;

2° de retirer la reconnaissance.