Avis, Autorité de protection des données, 2026-03-12

Avis n° 42/2026 du 12 mars 2026
Objet : Avant-projet de loi visant à assurer la transposition de la directive (UE) 2024/1619 du Parlement européen et du Conseil du 31 mai 2024 modifiant la directive 2013/36/UE en ce qui concerne les pouvoirs de surveillance, les sanctions, les succursales de pays tiers et les risques environnementaux, sociaux et de gouvernance, la directive (UE) 2023/2864 du Parlement européen et du Conseil du 13 décembre 2023 modifiant certaines directives en ce qui concerne l’établissement et le fonctionnement du point d’accès unique européen, la directive (UE) 2024/2994 du Parlement européen et du Conseil du 27 novembre 2024 modifiant les directives 2009/65/CE, 2013/36/UE et (UE) 2019/2034 en ce qui concerne le traitement du risque de concentration découlant d’expositions sur des contreparties centrales et du risque de contrepartie des transactions sur instruments dérivés faisant l’objet d’une compensation centrale, et portant dispositions diverses (CO-A-2025-213)
Version originale
Mots-clés : données biométriques, éléments essentiels du traitement des données à caractère personnel, limitation des droits RGPD, évaluation d'aptitude professionnelle (Fit & Proper), Banque Nationale de Belgique (BNB), extrait de casier judiciaire, ESAP, CRD VI
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, en particulier ses articles 23 et 26 (ci-après « LCA ») ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD ») ;
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ;
Vu la demande d’avis de Monsieur Jan Jambon, Premier ministre et ministre des Finances et des Pensions, chargé de la Loterie Nationale et des Institutions culturelles fédérales, (ci-après « le demandeur »), reçue le 8 décembre 2025;
Vu les informations complémentaires transmises le 6 février 2026:
L’Autorité ne publie en français et en néerlandais que les avis concernant les projets ou propositions de textes de rang de loi émanant de l’Autorité fédérale, de la Région de Bruxelles-Capitale ou de la Commission Communautaire Commune. La « Version originale » est la version qui a été validée.
Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »), émet, le 12 mars 2026, l'avis suivant :
I. OBJET ET CONTEXTE DE LA DEMANDE D’AVIS
1. Le demandeur a sollicité, le 8 décembre 2025, l’avis de l’Autorité concernant l’ avant-projet de loi mentionné dans le titre du présent avis (ci-après « l’avant-projet »).
2. Les objectifs sont ambitieux et l’avant-projet est particulièrement volumineux. Il transpose plusieurs directives européennes et adapte le droit belge à divers règlements européens récents dans le domaine financier. En plus de ces adaptations, il introduit un nouveau chapitre dans la loi organique de la Banque nationale de Belgique (BNB) du 22 février 1998, consacré au “Traitement et à la protection des données à caractère personnel”. Il prévoit également des modifications concernant l’organisation institutionnelle de la BNB, ainsi que des ajustements techniques et des changements supplémentaires relatifs au statut légal de contrôle des établissements de crédit, des sociétés de bourse, des entreprises d’assurance et de réassurance, des établissements de paiement et des établissements de monnaie électronique, en modifiant les lois de contrôle relevant des compétences de la BNB1.
3. L’avant-projet transpose la directive européenne 2024/1619 du 31 mai 2024, dite «CRD VI»2, qui est accompagnée du règlement européen 2024/1623 du même jour3, communément appelé le « règlement CRR III » 4. Cette transposition apporte des modifications aux lois belges suivantes :
- la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique (ci-après, « loi organique de la BNB ») ;
- la loi du 25 avril 2014 relative au statut et au contrôle des établissements de crédit (ci-après, la « loi bancaire ») ;
- la loi du 20 juillet 2022 relative au statut et contrôle des sociétés de bourse (ci-après, « loi relative au contrôle des sociétés de bourse »).
4. Les modifications concernent :
- le renforcement des dispositions pour l'évaluation de l'aptitude des membres de l'organe légal d’administration, des dirigeants effectifs et des titulaires de postes clés des établissements de crédit (l'évaluation dite « Fit & Proper ») ;
- le renforcement de l’indépendance de l'autorité de contrôle ;
- la prise en compte des risques environnementaux, sociaux et de gouvernance (« risques ESG ») et des risques découlant des expositions sur cryptoactifs et de la fourniture de services sur cryptoactifs ;
- le rôle des fonctions de contrôle indépendantes (les fonctions de conformité (compliance), de gestion des risques et d’audit interne);
- la structure du capital des établissements de crédit, particulièrement en matière de coopération avec les autorités chargées de la surveillance de la lutte contre le blanchiment de capitaux et le financement du terrorisme;
- les compétences des autorités de contrôle en matière de supervision des opérations importantes (acquisitions de participations, fusions et scissions );
- l’introduction du « plancher de fonds propres » (« output floor »);
- les succursales de pays tiers;
- l’élargissement du cadre européen des pouvoirs de sanction et l’introduction de l'astreinte.
5. L’avant-projet prévoit l’introduction en droit national des dispositions nécessaires à la mise en œuvre progressive, à compter de juillet 2026, du paquet législatif européen instaurant un « point d'accès unique européen » (ESAP – European Single Access Point), comprenant:
- le règlement européen 2023/2859, dit règlement ESAP, qui définit le fonctionnement de la future plateforme gérée par l'Autorité européenne des marchés financiers (ESMA
– European Securities and Markets Authority)5, - la directive européenne 2023/2864, dite directive omnibus ESAP6, qui modifie seize directives existantes afin d'y introduire à chaque fois un article créant une obligation de transmission en vue de publication sur la plateforme ESAP7et
- le règlement européen 2023/2869, dit règlement omnibus ESAP, amendant dix-neuf autres règlements aux mêmes fins8.
6. L’avant-projet transpose la directive européenne 2024/29949 concernant le traitement du risque de concentration découlant d'expositions sur des contreparties centrales et du risque de contrepartie des transactions sur instruments dérivés faisant l'objet d'une compensation centrale visant à renforcer le cadre prudentiel européen en matière de risque de concentration lié aux expositions envers les contreparties centrales (CCP). L’objectif de cette directive est d’assurer la cohérence avec le règlement (UE) 648/2012 (règlement dit « EMIR »)10. Les modifications apportées par le projet visent le risque de concentration lié aux expositions sur des CCP dans leur cadre de gestion des risques, ainsi que la prise en compte des risques financiers découlant à court, moyen et long termes des facteurs environnementaux, sociaux et de gouvernance (risques « ESG »).
7. L’avant‑projet introduit un nouveau chapitre IV/5 dans la loi organique de la BNB, intitulé « Traitement et protection des données à caractère personnel ». Ce chapitre regroupe certaines dispositions déjà présentes dans la loi tout en y ajoutant des éléments nouveaux, notamment concernant les finalités des traitements de données, les catégories de données traitées, les personnes concernées par ces traitements, la durée de conservation des données, l’identification du responsable du traitement de ces données ainsi que le traitement de données biométriques.
8. L’Autorité s’est déjà prononcée in concreto à plusieurs reprises au sujet des traitements de données effectués par la BNB notamment dans les avis mentionné ci-dessous, dans lesquels sont rappelés les principes de la protection des données qui s’appliquent mutatis mutandis à l’avant-projet soumis pour avis :
- Avis n° 41/2018 du 23 mai 201811 ;
- Avis n° 99/2023 du 29 juin 202312.
S’agissant du traitement de données biométriques, l’Autorité s’est prononcée in concreto dans un avis relatif à un avant-projet présentant des similitudes avec l’avant-projet soumis pour avis :
- Avis n° 51/2022 du 9 mars 202213
9. L’Autorité relève que l’avant-projet dont elle est saisie est d’une ampleur exceptionnelle : il compte 363 articles, répartis sous 22 chapitres sur plus de 200 pages, auxquels s’ajoutent un exposé des motifs et des commentaires des articles totalisant plus de 250 pages. La plupart des adaptations proposées portent sur des domaines techniques. Si certaines conduisent à des modifications limitées et même répétitives des textes normatifs de droit national d’autres imposent une lecture en profondeur des dispositions proposées afin de comprendre l’articulation des normes européennes avec les normes nationales. A l’occasion de l’introduction de sa demande d’avis, le demandeur a précisé les articles en projet au sujet desquels l’avis de l’Autorité était demandé. Les dispositions concernées sont les suivantes : 11, 17 à 19, 21, 24 à 26, 27 à 57, 65, 72, 90, article 100, 127, 162, 170, 194, 221, 5°, 227, 250, 252, 256 à 271, 274, 280, 290, 306, 318, 326, 334, 6°, 340 à 352, 353.
10. Le présent avis formule des commentaires sur les dispositions de l’avant-projet dans la mesure où elles appellent des remarques en matière de protection des données à caractère personnel, de légalité et de prévisibilité des normes.
II. EXAMEN DU PROJET
A. Remarque liminaire
11. Le caractère complexe et volumineux du texte soumis pour avis aurait justifié que les commentaires d’articles et les tableaux de correspondance...