30/07/18 Loi RGPD
Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel

Le responsable du traitement ou le sous-traitant, son préposé ou mandataire, l'autorité compétente, visés aux titres 1^er et 2, est puni d'une amende de deux cent cinquante euros à quinze mille euros lorsque:

1°

les données à caractère personnel sont traitées sans base juridique conformément à l'article 6 du Règlement et aux articles 29, § 1^er, et 33, § 1^er, de la présente loi, y compris les conditions relatives au consentement et au traitement ultérieur;

2°

les données à caractère personnel sont traitées en violation des conditions imposées par l'article 5 du Règlement et par l'article 28 de la présente loi par négligence grave ou avec intention malveillante;

3°

le traitement ayant fait l'objet d'une objection conformément à l'article 21.1 du Règlement est maintenu sans raisons juridiques impérieuses;

4°

le transfert de données à caractère personnel à un destinataire dans un pays tiers ou à une organisation internationale est effectué en violation des garanties, conditions ou exceptions prévues dans les articles 44 à 49 du Règlement ou des articles 66 à 70 de la présente loi par négligence grave ou avec intention malveillante;

5°

la mesure correctrice adoptée par l'autorité de contrôle visant la limitation temporaire ou définitive des flux conformément à l'article 58.2.f) du Règlement n'est pas respectée;

6°

la mesure correctrice adoptée par l'autorité de contrôle au sens de l'article 58.2.d) du Règlement n'est pas respectée;

7°

il a été fait obstacle aux missions légales de vérification et de contrôle de l'autorité de contrôle compétente, de ses membres ou de ses experts;

8°

de la rébellion, dans le sens de l'article 269 du Code pénal, a été commise à l'encontre des membres de l'autorité de contrôle;

9°

la certification visée à l'article 42 du Règlement est revendiquée ou des sceaux de certification en matière de protection des données sont utilisées publiquement alors que ces certifications, labels ou marques n'ont pas été délivrés par une entité accréditée ou ceux-ci sont utilisés après que la validité de la certification, du sceau ou de la marque a expiré;

10°

la certification visée à l'article 42 du Règlement a été obtenue sur la base de faux documents ou de documents erronés;

11°

des tâches sont exécutées en tant qu'organisme de certification alors que celui-ci n'a pas été accrédité par l'organisme national d'accréditation compétent;

12°

l'organisme de certification ne se conforme pas aux principes et aux tâches auxquels il est soumis tels que prévus aux articles 42 et 43 du Règlement;

13°

les tâches de l'organisme visée à l'article 41 du Règlement sont exécutées sans agrément par l'autorité de contrôle compétente;

14°

l'organisme agréé visé à l'article 41 du Règlement n'a pas pris les mesures appropriées en cas de violation du code de conduite tel que visé à l'article 41.4 du Règlement.

Est puni d'une amende de cinq cents euros à trente mille euros, le responsable du traitement visé au titre 1^er, le sous-traitant ou la personne agissant sous leur autorité qui:

1°

a, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, informé la personne concernée de l'existence d'une donnée à caractère personnel la concernant émanant d'une autorité visée au titre 3 en violation de l'article 11, alors qu'il connaissait l'origine de la donnée et qu'il ne se trouvait pas dans un des cas visés à l'article 11, § 2, alinéa 1^er, 1° ou 2°;

2°

a, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, informé la personne concernée qu'une autorité visée au titre 3 est destinataire d'une de ses données à caractère personnel en violation de l'article 12.

Est puni d'une amende de deux cents euros à dix mille euros, tout membre ou tout membre du personnel de l'autorité de contrôle compétente ou tout expert qui a violé l'obligation de confidentialité à laquelle il est astreint.

En condamnant du chef d'infraction aux articles 222 ou 223, le tribunal peut ordonner l'insertion du jugement, intégralement ou par extraits, dans un ou plusieurs journaux, dans les conditions qu'il détermine, aux frais du condamné.

Est puni d'une amende de cent euros à dix mille euros, le responsable du traitement ou la personne agissant sous l'autorité d'une autorité visée au titre 3 ou de son sous-traitant qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, n'a pas respecté une des obligations de confidentialité et de sécurité visées aux articles 83 à 86, 116 à 119, 149 à 152, 177 et 178.

Est puni d'une amende de cent euros à vingt mille euros:

1°

le responsable du traitement, le sous-traitant, la personne agissant sous l'autorité de l'autorité visée au titre 3 ou du sous-traitant ou le mandataire qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, qui traite des données à caractère personnel en dehors des cas prévus aux articles 74, 108, 140 et 170;

2°

le responsable du traitement, le sous-traitant ou le mandataire qui traite des données à caractère personnel en infraction aux conditions du traitement imposées par les articles 75, 109, 141 et 170 et la personne agissant sous l'autorité d'une autorité visée au titre 3 ou du sous-traitant qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, traite des données à caractère personnel en infraction aux conditions imposées par les articles 75, 109, 141 et 170;

3°

quiconque qui, pour contraindre une personne à lui donner son autorisation au traitement de données à caractère personnel la concernant, a usé à son égard de voies de fait, de violence ou menaces, de dons ou de promesses;

4°

quiconque a transféré, fait ou laissé transférer, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, des données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale sans qu'il ait été satisfait aux exigences prévues aux articles 93, 94, 126, 127, 159, 160, 182 et 183;

5°

toute personne qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, a accès à des données à caractère personnel visées aux articles 99, 132 et 162 à des fins historiques, scientifiques ou statistiques, et qui traite ces données en violation des articles 102, 104, 135, 137, 165 ou 167.

Sans préjudice de dispositions particulières, le responsable du traitement, le sous-traitant, ou son représentant en Belgique est civilement responsable du paiement des amendes auxquelles son préposé ou mandataire a été condamné.

En ce qui concerne les infractions visées aux articles 222 et 223, l'autorité de contrôle compétente et le Collège des procureurs généraux peuvent conclure un protocole régissant les accords de travail entre l'autorité de contrôle et le ministère public dans des dossiers portant sur des faits pour lesquels la législation prévoit aussi bien la possibilité d'une amende administrative que la possibilité d'une sanction pénale.

À défaut de protocole et pour les infractions visées aux articles 222 et 223 le procureur du Roi dispose d'un délai de deux mois, à compter du jour de la réception de l'original du procès-verbal, pour communiquer à l'autorité de contrôle compétente qu'une information ou une instruction a été ouverte ou que des poursuites ont été entamées. Cette communication éteint la possibilité pour l'autorité de contrôle d'exercer ses compétences correctrices.

Toutes les dispositions du livre 1^er du Code pénal, y compris le chapitre VII et l'article 85, s'appliquent aux infractions prévues par la présente loi ou par les arrêtés pris pour son exécution.