Demande d’autorisation
En vertu de l’article 23, § 2, de la loi du 3 décembre 2017 portant création de l’Autorité de protection des données (ci-après, « la LCA »), le Service d’Autorisation et d’Avis a pour mission d’autoriser les arrangements administratifs visés à l’article 46, § 3, point b) du RGPD et, dans les limites visées à l’article 23, §3 de la LCA et des autres dispositions légales applicables d’autoriser des institutions compétentes à accéder aux métadonnées de communications électroniques relatives au trafic ou à la localisation.
En ce qui concerne l’autorisation des arrangements administratifs, le Service examine les dispositions à intégrer dans ces arrangements entre autorités publiques ou organismes publics telles que visées à l’article 46.3.b du RGPD.
S’agissant de l’accès aux métadonnées de communications électroniques, en vertu de l’article 23, § 3 de la LCA et de l’article 15 de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges (ci-après, « la loi IBPT »), le Service d’Autorisation et d’Avis examine les demandes d’autorisation d’accès aux métadonnées de communications électroniques détenues par un opérateur, pour la réalisation des finalités déterminées par la loi et ne relevant pas de l’exercice de missions de prévention, de recherche, de détection ou de poursuite d’un fait constituant une infraction pénale ou de la recherche de personnes disparues ou de la sécurité nationale.
Ces demandes d’autorisation doivent être signées par le Président du Conseil de l’Institut belge des services postaux et des télécommunications (ci-après, « IBPT »).
En vertu de l’article 23, § 3 de la LCA et de l’article 21, § 4, de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique (ci-après, la « Loi NIS2 »), le service examine les demandes d’autorisation d’accès aux métadonnées de communications électroniques conservées par un opérateur qui sont transmises sous la signature du directeur du Centre national de réponse aux incidents de sécurité informatique (ci-après, « CSIRT national », intégré au Centre pour la Cybersécurité Belgique - CCB) si cet accès est strictement nécessaire pour l’exercice, par le CSIRT national, de ses missions énumérées à l'article 19, § 1er, 1° à 5° de la Loi NIS2, aux finalités prévues dans l’article 21, § 2, al. 2, de cette même loi.
Dans ces deux hypothèses de demandes, conformément aux principes de prévisibilité et de légalité notamment consacrés dans l'article 22 de la Constitution, l'APD ne peut se substituer au législateur et déterminer les éléments essentiels des traitements de données à caractère personnel pour lesquels l'autorisation est sollicitée. Le Service d’Autorisation et d’Avis se limite donc à vérifier, d’une part, que les éléments du traitement de données sollicité reposent sur et sont conformes à la (ou aux) disposition(s) normatives de rang législatif qui les prévoie(nt), et d’autre part, si les modalités du projet de traitement soumis à autorisation sont conformes aux principes de nécessité et de proportionnalité en matière de protection du droit au respect la vie privée et du droit à la protection des données à caractère personnel.
Procédure
Compléter le formulaire
Remplissez le formulaire de demande d’autorisation via notre portail Internet :
Formulaire de demande d'autorisation d'accès à des métadonnées
Formulaire de demande d'autorisation d'arrangements administratifs
Accusé de réception
Une demande d’autorisation est considérée comme complète à partir du moment où le Service a pu en analyser la complétude et dispose de l’ensemble des informations nécessaires à sa prise de décision (par exemple, lorsque le Service d’Autorisation et d’Avis a reçu les informations complémentaires sollicitées). Afin de garantir la sécurité juridique quant à la date à laquelle le délai visé à l’article 23, §3 de la LCA commence à courir, un accusé de réception est adressé par voie électronique au demandeur attestant du caractère complet ou incomplet de sa demande d’autorisation et ce, dans un délai raisonnable. (Remarque : cet accusé de réception ne doit pas être confondu avec l’accusé de réception automatique envoyé après l’introduction du formulaire). Le délai visé à l’article 23, § 3 de la LCA, concernant les demandes d’accès aux métadonnées de communications électroniques, commence à courir au moment de l’envoi de l’accusé de réception confirmant la complétude de la demande.
S’agissant des demandes d’autorisation concernant un arrangement administratif, dans les deux mois suivant la réception du projet d’arrangement administratif, le Service informe le demandeur du caractère complet ou non du dossier.