2016011491 27 NOVEMBRE 2016. - Arrêté royal relatif à l'identification de l'utilisateur final de services de communications électroniques [accessibles au public] mobiles fournis sur la base d'une carte prépayée(NOTE : Consultation des versions antérieures à partir du 07-12-2016 et mise à jour au 30-05-2024)

L'article 1er, alinéa 2, de l'arrêté en projet prévoit que celui-ci s'applique notamment aux " cartes prépayées des entreprises étrangères qui sont vendues en Belgique ".

Le rapport au Roi explique comme suit cette définition du champ d'application du projet

" Le présent arrêté royal s'applique également aux cartes prépayées d'entreprises étrangères vendues en Belgique. Par `entreprises étrangères', il faut entendre un `opérateur étranger' qui, comme un `opérateur belge', fournit des réseaux ou des services de communications électroniques mais qui ne doit pas se notifier comme opérateur auprès de l'IBPT et qui n'est donc pas considéré comme un opérateur au sens de la LCE. Une notification à l'IBPT de l'opérateur étranger n'est pas nécessaire car le service de communications électroniques de l'opérateur étranger n'est pas fourni en Belgique mais à l'étranger. C'est l'opérateur belge avec lequel l'opérateur étranger a conclu un accord de roaming qui fournit en Belgique le service de communications électroniques à l'utilisateur final qui a acheté la carte prépayée de l'opérateur étranger.

L'entreprise étrangère est bien entendu libre de s'organiser comme il l'entend pour respecter le présent arrêté royal (par exemple s'associer à un opérateur belge ou assurer lui-même le respect du présent arrêté royal). La loi du 29 mai 2016 relative à la collecte et à la conservation des données dans le secteur des communications électroniques prévoit cependant que les données conservées sur base de l'article 126 de la loi (ce qui inclut les données reprises dans le présent arrêté royal) doivent être conservées sur le territoire de l'Union européenne.

La vente de cartes prépayées d'entreprises étrangères en Belgique sans identification conformément au présent arrêté royal est donc illégale (voir article 127, § 2, de la loi) ".

Il en résulte que l'intention est donc de soumettre les opérateurs étrangers à l'arrêté en projet dès lors que leurs cartes prépayées sont vendues en Belgique.

Il convient toutefois de ne pas perdre de vue que l'article 127, § 1er, de la loi du 13 juin 2005 `relative aux communications électroniques', tel que modifié par le projet de loi adopté le 20 juillet 2016 en séance plénière de la Chambre des représentants (1) et dont l'alinéa 1er du préambule de l'arrêté en projet laisse supposer qu'il aurait été sanctionné et promulgué le 1er septembre 2016, habilite le Roi à prendre des mesures qui s'imposeront aux " opérateurs (2), aux fournisseurs visés à l'article 126, § 1er, alinéa 1er, aux canaux de vente de services de communications électroniques, aux entreprises fournissant un service d'identification ou aux utilisateurs finals ".

L'arrêté en projet ne peut étendre le champ d'application des obligations qu'il contient à des catégories de personnes ou d'entreprises non visées à l'article 127 précité.

Les entreprises étrangères ne peuvent donc se voir imposer d'obligation par ce biais que si elles revêtent par ailleurs l'une des autres qualités énumérées à l'article 127, § 1er, et en cette dernière qualité exclusivement.

Le texte en projet sera revu à la lumière de cette observation.

Champ d'application

Le présent projet d'arrêté royal se limite à l'identification des utilisateurs finaux de services de communications électroniques publics mobiles fournis sur la base d'une carte prépayée, dès lors que ces services fournis à l'aide d'un abonnement ne semblent actuellement pas être utilisés de manière importante par les criminels et dès lors que l'identification des utilisateurs de ces services ne pose actuellement pas de problème majeur en pratique.

Ce projet d'arrêté royal s'applique entre autres à l'ensemble des cartes prépayées liées à un MSISDN belge (c'est-à-dire un numéro de téléphone), à un IMSI belge ou aux deux. De manière générale, un IMSI est associé à un numéro de téléphone du même pays. Cependant, cela n'est pas toujours le cas, dès lors qu'il est possible que l'un des deux identifiants soit belge et l'autre étranger, afin, par exemple, de réduire les frais de roaming.

Le présent arrêté royal s'applique également aux cartes prépayées d' entreprises étrangères vendues en Belgique. Par " entreprises étrangères ", il faut entendre un " opérateur étranger " qui, comme un " opérateur belge ", fournit des réseaux ou des services de communications électroniques mais qui ne doit pas se notifier comme opérateur auprès de l'IBPT et qui n'est donc pas considéré comme un opérateur au sens de la LCE. Une notification à l'IBPT de l'opérateur étranger n'est pas nécessaire car le service de communications électroniques de l'opérateur étranger n'est pas fourni en Belgique mais à l'étranger. C'est l'opérateur belge avec lequel l'opérateur étranger a conclu un accord de roaming qui fournit en Belgique le service de communications électroniques à l'utilisateur final qui a acheté la carte prépayée de l'opérateur étranger.

L'entreprise étrangère est bien entendu libre de s'organiser comme elle l'entend pour respecter le présent arrêté royal (par exemple s'associer à un opérateur belge ou assurer elle-même le respect du présent arrêté royal). La loi du 29 mai 2016 relative à la collecte et à la conservation des données dans le secteur des communications électroniques prévoit cependant que les données conservées sur base de l'article 126 de la loi (ce qui inclut les données reprises dans le présent arrêté royal) doivent être conservées sur le territoire de l'Union européenne.

La vente de cartes prépayées actives d'entreprises étrangères en Belgique sans identification préalable conformément au présent arrêté royal est donc illégale (voir article 127, § 2, de la loi).

Le présent arrêté royal ne couvre ni la fourniture de Wi-Fi ni les communications " machine to machine ".

La notion de " carte prépayée " est une notion légale, employée par le législateur à l'article 127 de la loi du 13 juin 2005 `relative aux communications électroniques'.

Il n'appartient pas au pouvoir exécutif de définir cette notion, à fortiori en élargissant la notion comme tend à le faire le rapport au Roi en visant toute dématérialisation du support physique SIM.

Le 5° sera donc omis.

L'obligation de s'identifier à la demande de l'entreprise concernée

Certains opérateurs ont décidé d'inviter tous les utilisateurs finaux qui disposent de cartes déjà activées à la date de l'entrée en vigueur du présent arrêté royal, ou certains d'entre eux, à s'identifier. Si une entreprise concernée souhaite procéder de la sorte, l'utilisateur final ne pourra se retrancher derrière les exceptions prévues à l'article 4, § 1er, alinéa 1er, du projet d'arrêté royal pour refuser de s'identifier.

[ '> 1 La personne s'identifie au plus tard à l'activation de la carte selon une des méthodes d'identification décrites dans le présent arrêté.] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 6, 002; En vigueur : 09-06-2024>

Le délai fixé pour s'identifier

L'arrêté royal définit ce qu'est un utilisateur final d'une ancienne carte prépayée qui n'a pas encore été identifié, conformément à la délégation contenue dans l'article 127, § 3, alinéa 2, de la loi.

Le 19 novembre 2015 est la date à laquelle le gouvernement fédéral a annoncé vouloir mettre fin à l'anonymat pour les cartes prépayées. Comme, avant le 19 novembre 2015, il n'y avait pas d'obligation pour les utilisateurs finaux de s'identifier pour les cartes prépayées, il n'y a en principe aucune raison que les personnes qui ont librement déclaré à l'entreprise concernée leur identité avant cette date aient menti par rapport à leur identité. Par conséquent, il est présumé qu'ils se sont valablement identifiés. Une identification sur base d'une simple déclaration n'est cependant pas admise pour les cartes achetées le 19 novembre 2015 ou après cette date.

Comme indiqué ci-dessus, une entreprise concernée peut décider d'identifier à nouveau tous les utilisateurs des anciennes cartes prépayées (même ceux qui sont présumés être déjà identifiés). Mais elle peut également se contenter d'identifier uniquement les utilisateurs d'anciennes cartes prépayées qui se sont identifiés sous un nom qui est manifestement incorrect.

1. Dans la logique du texte en projet, les tiers cessionnaires de la carte prépayée doivent pouvoir être identifiés avec le même degré de certitude que l'acquéreur initial. La section de législation se demande si ce dispositif permet d'atteindre cet objectif.

La disposition sera réexaminée à la lumière de cette observation.

2. Au 6°, il convient de mentionner " l'article 9, alinéa 2 " au lieu de " l'article 10, alinéa 2 ".

La possibilité de céder une carte prépayée à un tiers

Lorsque l'acheteur de la carte prépayée est une personne morale (par exemple une société), cette dernière doit tenir une liste à jour de la personne à laquelle la carte prépayée a été attribuée. Si une carte prépayée a été attribuée à plusieurs personnes, cette information devra être reprise dans la liste tenue à jour par la personne morale. L'entreprise concernée doit par ailleurs conserver l'information que la carte prépayée a été vendue à une personne morale.

Le Conseil d'Etat se demande si l'article 5 du projet d'arrêté royal répond à l'objectif de l'arrêté royal. La réponse est positive car cet article permet aux autorités de retrouver, grâce à l'identité de la personne à laquelle la carte a été attribuée (par exemple un parent), l'identité de l'utilisateur effectif de la carte (par exemple un enfant). En d'autres termes, il est essentiel pour les autorités d'avoir une trace fiable à partir de laquelle elles pourront mener leur enquête.

Dans les 24 heures du vol ou de la perte de la carte prépayée, l'[ '> 1 abonné] '> 1 en informe l'[ '> 1 opérateur] '> 1 .

----------

( 1 )<AR 2024-05-03/20 , art. 8, 002; En vigueur : 09-06-2024>

CHAPITRE 3. [ '> 1 - Mesures à charge des opérateurs qui fournissent des cartes prépayées] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 9, 002; En vigueur : 09-06-2024>

Section 1. [ '> 1 - Dispositions générales] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 10, 002; En vigueur : 09-06-2024>

Le vol ou la perte de la carte prépayée

Cet article n'appelle pas de commentaire.

Tels que ses alinéas 1er et 2 sont rédigés, l'article 7 du projet peut laisser croire que l'obligation d'identification ne repose que sur les entreprises concernées, alors que l'article 127, § 3, de la loi du 13 juin 2005, tel que complété par le projet de loi adopté en séance plénière de la Chambre des représentants le 20 juillet 2016, impose avant tout aux utilisateurs finals non identifiés de cartes prépayées achetées avant l'entrée en vigueur de l'arrêté en projet de s'identifier dans le délai fixé par l'opérateur ou le fournisseur, ce délai ne pouvant excéder six mois après la publication du texte en projet.

L'article 7 sera revu aux fins de mieux assurer sa cohérence avec l'article 127, § 3, de manière qu'il apparaisse comme se combinant avec celui-ci et non pas comme instaurant un régime différent.

La même observation vaut, mutatis mutandis, pour l'article 20, alinéa 2, du projet.

Immédiatement après avoir été informé par l'[ '> 1 abonné] '> 1 du vol ou de la perte de sa carte prépayée, l'[ '> 1 opérateur] '> 1 rend cette carte inutilisable.

----------

( 1 )<AR 2024-05-03/20 , art. 12, 002; En vigueur : 09-06-2024>

Lorsqu'une carte prépayée est achetée par une personne physique ou morale, l'[ '> 1 opérateur] '> 1 collecte et vérifie selon une des méthodes d'identification [ '> 1 décrites dans le présent arrêté] '> 1 l'identité de la personne [ '> 1 qui s'identifie] '> 1 .

[ '> 1 ...] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 13, 002; En vigueur : 09-06-2024>

Section 2.

<Abrogé par AR 2024-05-03/20 , art. 14, 002; En vigueur : 09-06-2024>

<Abrogé par AR 2024-05-03/20 , art. 14, 002; En vigueur : 09-06-2024>

Section 3. - La vérification de la fiabilité des données d'identification

La collecte des données d'identification

Une question est de savoir si le point de vente ou l'utilisateur final peut scanner ou copier la photo de l'utilisateur final et le numéro du document ou en faire une photo lorsqu'il scanne la carte d'identité électronique belge, en fait une copie ou une photo et l'envoie à l'entreprise concernée ou au fournisseur de service d'identification.

L'arrêté royal le permet, afin d'éviter des difficultés opérationnelles conséquentes (nécessité de cacher la photo et le numéro de la carte d'identité) et dès lors que le numéro de la carte d'identité permettra d'en vérifier la validité.

Cependant, comme prévu à l'article 12, cette photo sera détruite par l'opérateur ou le fournisseur de service d'identification au plus tard avant l'activation de la carte prépayée.

Ceci n'est pas problématique vu que les services de renseignement et de sécurité et les autorités judiciaires auront accès à cette photo par le biais du registre national.

Compte tenu des termes de l'habilitation au Roi qui figure à l'article 127, § 1er, de la loi du 13 juin 2005, et s'agissant de mesures de nature à porter atteinte au droit au respect de la vie privée et à la protection de ce droit, les notions de " mesures nécessaires " et de " doute " ou de " données d'identification douteuses " ne peuvent être laissées à l'appréciation des entreprises concernées et doivent être précisées dans l'arrêté en projet qui sera complété en conséquence, le cas échéant, en reprenant les explications ou précisions qui figurent dans le rapport au Roi.

Les mesures à prendre par l'entreprise concernée afin d'assurer une identification fiable de l'utilisateur final

L'arrêté prévoit que les entreprises concernées vérifient, de manière systématique et avant l'activation de la carte prépayée, que la carte d'identité belge n'a pas été volée ou n'a pas fait l'objet d'une fraude.

A l'heure actuelle, les entreprises concernées ne sont pas en mesure d'effectuer ces tests de manière systèmatique. C'est pourquoi les entreprises concernées ont jusqu'au 30 juin 2017 pour mettre en oeuvre un tel système de test. Ce système devra donc obligatoirement être utilisé pour les cartes prépayées achetées à partir du 1er juillet 2017 mais les entreprises concernées sont libres d'utiliser ce système de vérification avant cette date. Les entreprises concernées sont libres quant aux moyens techniques mis en oeuvre pour vérifier que la carte n'a pas été volée ou n'a pas fait l'objet d'une fraude.

Le paragraphe 2 vise le cas où l'entreprise concernée, après avoir activé la carte prépayée, prend conscience que l'identification de l'utilisateur final n'est pas ou plus correcte ou présente une anomalie. L'arrêté royal prévoit qu'elle doit alors prendre les mesures nécessaires.

Il est demandé aux entreprises concernées d'appliquer correctement la méthode d'identification choisie ainsi que les mesures de sécurité nécessaires dans le cadre de ces méthodes. En cas de fraude (par exemple faux documents ou fausses informations), une entreprise concernée ne peut pas être tenue responsable si elle a correctement appliqué cette méthode ainsi que ces mesures.

S'agissant de la nature et de l'objet des données à conserver telles qu'énumérées à l'article 12 du projet, et au regard notamment des points 17 à 19 de l'avis 54/2016 donné le 21 septembre 2016 sur le texte en projet par la Commission de la protection de la vie privée, il convient de prendre acte que, selon le rapport au Roi, l'arrêté royal portant exécution de l'article 126 de la loi du 13 juin 2005 et le projet à l'examen " feront l'objet d'un alignement ultérieur afin d'être rendus compatibles ". Il est tout aussi essentiel que cet " alignement " intervienne au plus vite, pour les motifs évoqués dans l'avis 54/2016 précité.

La conservation de données et de documents d'identification

Les données qui peuvent être conservées sont énumérées dans cet article.

[ '> 1 L'opérateur doit proposer au moins une méthode d'identification visée dans la présente section à la personne qui s'identifie.

Lorsque l'opérateur propose comme méthode d'identification la méthode de comparaison faciale visé à l'article 127, § 5, alinéa 4, de la loi, il propose également une méthode d'identification alternative prévue dans le présent arrêté.] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 17, 002; En vigueur : 09-06-2024>

Sous-section 1. [ '> 1 - Présentation à un point de vente d'un document d'identification] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 18, 002; En vigueur : 09-06-2024>

Méthodes d'identification

Le projet d'arrêté royal décrit un certain nombre de méthodes d'identification qui sont considérées comme valides.

Une entreprise concernée qui fournit un service de communications électroniques mobile sur base d'une carte prépayée doit proposer au moins une méthode d'identification valide de son choix. Elle ne doit donc pas toutes les mettre en oeuvre.

La présente réglementation est par ailleurs sans préjudice de l'article 107, § 2, alinéa 1er, de la LCE. En vertu de cet article, les opérateurs doivent fournir, lors de l'appel d'urgence, aux services d'urgence offrant de l'aide sur place, les données d'identification de l'appelant, ce qui inclut les nom et prénom de l'abonné. Ceci peut impliquer que les opérateurs doivent, si les méthodes d'identification décrites dans le présent projet d'arrêté royal ne le prévoient pas, collecter le nom et le prénom de l'abonné pour pouvoir les transmettre aux services d'urgence au moment de l'appel.

Les différentes méthodes d'identification sont commentées ci-après.

[ '> 1 Un opérateur peut identifier une personne lorsqu'elle présente un document d'identification visé à l'article 127, § 6, de la loi à un point de vente visé à l'article 127, § 2, 5°, de la même loi.

Lorsque l'opérateur a été autorisé à mettre en oeuvre un outil de comparaison faciale conformément à l'article 127, § 5, alinéa 4, 1°, de la même loi, il ne peut identifier une personne à l'aide de cet outil qu'avec son consentement.

En cas de présentation d'une carte d'identité électronique belge, lorsque l'outil de comparaison faciale n'est pas utilisé et lorsqu'un membre du point de vente le demande, la personne qui s'identifie doit introduire le code PIN de la carte d'identité électronique.] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 19, 002; En vigueur : 09-06-2024>

Sous-section 2. [ '> 1 - L'identification à distance à l'aide d'un document d'identification] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 20, 002; En vigueur : 09-06-2024>

Vérification de l'identité en présence de l'utilisateur final

Cette première méthode suppose la présence physique de l'acheteur de la carte prépayée dans un canal de vente de communications électroniques (faisant partie ou non de la structure de l'entreprise concernée).

En cas de lecture de la carte d'identité au magasin (p.ex. dans un magasin de GSM) et si le point de vente le demande, le code PIN doit être introduit. Il est possible qu'un point de vente préfère demander l'introduction de ce code pour ne pas devoir effectuer de contrôle visuel de l'acheteur. Mais un autre point de vente pourrait ne pas demander l'introduction d'un tel code PIN, vu les contraintes que cela implique (connaissance du code PIN, cartes sans code PIN, développements techniques). Dans ce dernier cas, l'absence de code PIN doit être compensée par un contrôle visuel par le point de vente que la personne qui se présente est bien la personne qui est reprise sur le document de la carte d'identité.

§ 1er. [ '> 1 Un opérateur peut identifier une personne par la lecture des données de sa carte d'identité électronique. Son identité sera validée après authentification.] '> 1

Cette méthode d'identification est soumise aux conditions suivantes

1° seules les cartes d'identité électroniques valides sont acceptées;

2° le code PIN [ '> 1 de la carte d'identité électronique] '> 1 doit être introduit.

§ 2. [ '> 1 Lorsque l'opérateur a été autorisé à mettre en oeuvre un outil de comparaison faciale conformément à l'article 127, § 5, alinéa 4, 1°, de la même loi, il peut identifier une personne à l'aide de cet outil et d'un document d'identification visé à l'article 127, § 6, de la loi.] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 21, 002; En vigueur : 09-06-2024>

Sous-section 3. [ '> 1 - L'identification à l'aide d'un outil qui permet de s'identifier auprès d'une application numérique des pouvoirs publics belges] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 22, 002; En vigueur : 09-06-2024>

L'identification en ligne et la signature électronique par la carte d'identité électronique

La lecture de la carte d'identité belge (eID ou carte d'identité belge pour étranger) ou étrangère avec l'introduction d'un code PIN présente un haut degré de fiabilité et constitue par ailleurs une méthode permettant une activation de la carte à distance.

[ '> 1 Un opérateur peut identifier une personne lorsqu'elle utilise un outil qui permet de s'identifier auprès d'une application numérique des pouvoirs publics belges.

Le ministre et le ministre de la Justice peuvent, à tout moment, interdire qu'un outil visé à l'alinéa 1er ne soit utilisé pour l'identification des abonnés des opérateurs.

Les données d'identification doivent avoir été transmises à l'opérateur avant l'activation de la carte prépayée.] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 23, 002; En vigueur : 09-06-2024>

Sous-section 4. - L'opération de paiement en ligne

Le fournisseur de service d'identification

Un fournisseur de service d'identification est un tiers par rapport à l'utilisateur final, au point de vente et à l'entreprise concernée, qui entre en contact avec l'utilisateur final et qui récolte l'identité de ce dernier et la fournit à l'entreprise concernée.

Comme c'est l'entreprise concernée qui reste responsable de l'identification, c'est elle qui doit récupérer auprès du fournisseur de service d'identification les données d'identification pour les transmettre aux autorités compétentes.

§ 1er. [ '> 1 L'opérateur peut permettre l'identification d'une personne] '> 1 sur la base d'une opération de paiement électronique en ligne spécifique à l'achat ou la recharge de la carte prépayée [ '> 1 , en conservant les informations visées à l'article 127, § 10, 3°, de la loi, dont la référence de paiement] '> 1 .

Cette méthode [ '> 1 d'identification] '> 1 est soumise aux conditions suivantes

1° l'opération de paiement doit être traitée par un prestataire de services de paiement tel que visé à l'art. I.9. 2°, a), b), c), et d) du Code de droit économique;

2° Le prestataire de services de paiement est soumis à la loi du 11 janvier 1993 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme;

3° une nouvelle identification doit être effectuée dans les 18 mois qui suivent l'opération de paiement liée à la carte prépayée;

4° [ '> 1 ...] '> 1 .

§ 2. [ '> 1 ...] '> 1

----------

( 1 )<AR 2024-05-03/20 , art. 24, 002; En vigueur : 09-06-2024>

Sous-section 5. - L'extension ou la migration de produit

L'opération de paiement en ligne

Sur la base de la référence de l'opération de paiement, les autorités compétentes obtiennent les données d'identification auprès de l'institution financière.

Par opération de paiement bancaire spécifique, il faut comprendre que seule une carte prépayée a été achetée ou rechargée à l'aide de cette opération de paiement et ce via une connexion spécifique.

La référence à la Loi antiblanchiment fait en sorte que toutes les institutions financières qui peuvent exécuter des services payants sont visées, et pas uniquement les banques. Toutes ces institutions doivent identifier leurs clients en vertu de la Loi antiblanchiment.

L'utililisateur final doit être à nouveau identifié dans les 18 mois qui suivent l'achat ou la recharge de la carte prépayée en ligne, par exemple via une nouvelle opération de paiement en ligne (recharge de la carte) ou via une autre procédure d'identification prévue dans un autre article du présent arrêté royal. Dans le cas contraire, l'entreprise concernée devra rendre la carte inutilisable.

§ 1er. [ '> 1 L'opérateur peut identifier une personne en reliant la carte prépayée acquise auprès de cet opérateur à un produit du même opérateur auquel elle a souscrit.] '> 1

L'[ '> 1 opérateur] '> 1 s'assure, en mettant en place des mesures techniques et opérationnelles, que la personne qui demande l'extension ou la migration du produit est effectivement la personne identifiée pour ce produit.

§ 2. L'[ '> 1 opérateur] '> 1 conserve pour la carte prépayée toutes les données d'identification collectées pour le produit auquel cette carte est associée.

----------

( 1 )<AR 2024-05-03/20 , art. 25, 002; En vigueur : 09-06-2024>

Sous-section 6. - La vérification par un moyen de communication électronique

L'extension ou la migration de produit

Une personne peut déjà être cliente d'une entreprise concernée pour un autre produit (par exemple un abonnement à la téléphonie mobile) et avoir été identifiée par l'entreprise concernée pour ce produit. Elle peut alors décider d'acheter en complément une carte prépayée (l'extension de produit) ou de passer du premier produit vers une carte prépayée (la migration de produit).

L'entreprise concernée peut alors établir un lien entre la carte prépayée et le produit déjà acheté par l'utilisateur final. L'entreprise concernée s'assure, en mettant en place des mesures techniques et opérationnelles, que la personne qui demande l'extension du produit est effectivement la personne identifiée pour ce produit. Ceci peut être par exemple fait par la présentation d'un document d'identité ou à l'aide du numéro d'identifiant et d'un mot de passe.

La personne qui est le titulaire du produit auquel la carte prépayée est associée doit être la même personne que celle qui demande l'activation de la carte prépayée. Cette méthode ne peut donc pas être utilisée si un enfant demande l'activation de la carte prépayée en se référant à un autre produit souscrit par un parent.

1. Aux fins de garantir le respect du principe d'égalité et la sécurité juridique, les critères à mettre en oeuvre pour l'octroi de l'autorisation et son retrait, tels que prévus à l'article 19, § 1er, du projet, seront précisés dans le texte en projet.

Par ailleurs, s'agissant du retrait de cette autorisation, il va de soi que le respect du principe audi alteram partem s'impose.

2. La question se pose de savoir comment combiner l'article 19, § 2, du projet et l'article 12, alinéa 2, de celui-ci.

Le texte en projet sera revu afin d'assurer la cohérence de ces deux dispositions.

La date manquante sera complétée, à chacun des alinéas de l'article 20 du projet.

Observation finale

Le texte en projet ne comporte aucune disposition fixant la date de son entrée en vigueur.

Dans ce cadre, l'attention est attirée sur le fait que l'arrêté en projet entend procurer exécution à l'article 127, § 1er, de la loi du 13 juin 2005, telle que cet article est modifié par un projet de loi adopté en séance plénière de la Chambre des représentants le 20 juillet 2016, dont, comme mentionné ci-avant, l'alinéa 1er du préambule du projet laisse supposer qu'il aurait été sanctionné et promulgué le 1er septembre 2016.

Toutefois, en l'état des textes publiés au Moniteur belge à la date de l'avis, cette loi n'a pas encore fait l'objet de la publication requise et n'est donc pas entrée en vigueur.

L'auteur de l'arrêté en projet veillera à ce que la publication de ce dernier au Moniteur belge n'intervienne pas de sorte qu'il entrerait en vigueur avant la loi précitée.

(1) Doc. parl., Chambre, 2015-2016, n° 54-1964/004.

(2) A savoir, selon l'article 2, 11°, de la loi du 13 juin 2005 `relative aux communications électroniques', les personnes " soumise[s] à l'obligation d'introduire une notification conformément à l'article 9 ", ce que ne sont précisément pas les opérateurs étrangers, comme l'expose le rapport au Roi.

Le greffier,

C. Gigot.

Le président,

P. Liénardy.

Le ministre qui a les Télécommunications dans ses attributions est chargé de l'exécution du présent arrêté.

Signatures

Donné à Bruxelles, le 27 novembre 2016.

PHILIPPE

Par le Roi

Le Ministre des Télécommunications,

A. DE CROO

Le Ministre de la Justice,

K. GEENS

Préambule

PHILIPPE, Roi des Belges,

A tous, présents et à venir, Salut.

Vu la loi du 13 juin 2005 relative aux communications électroniques, l'article 127, § 1er, modifié par la loi du 4 février 2010, du 27 mars 2014, du 29 mai 2016 et du 1er septembre 2016;

Vu l'analyse d'impact de la réglementation réalisée conformément aux articles 6 et 7 de la loi du 15 décembre 2013 portant des dispositions diverses en matière de simplification administrative;

Vu la consultation publique du 29 mars au 10 avril 2016;

Vu l'avis de l'Inspecteur des Finances, donné le 3, 9 et 11 mai 2016;

Vu l'accord du Ministre du Budget, donné le 12 mai 2016;

Vu l'avis de l'Institut belge des services postaux et des télécommunications, donné le 10 mai 2016;

Vu l'avis n° 54/2016 de la Commission pour la protection de la vie privée, donné le 21 septembre 2016;

Vu la consultation du 13 mai 2016 au 27 mai 2016 du Comité interministériel des Télécommunications et de la Radiodiffusion et la Télévision;

Vu la consultation du Comité de concertation du 6 juillet 2016;

Vu l'avis n° 60.213/4 du Conseil d'Etat, donné le 26 octobre 2016, en application de l'article 84, § 1er, alinéa 1er, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973;

Sur la proposition du Ministre des Télécommunications et du Ministre de la Justice;

Nous avons arrêté et arrêtons

Fiche des modifications

Arrêté royal du 03-05-2024 publié le 30-05-2024

Articles modifiés

INTITULE; 1; 2; 3; 4; 5; 6; 7; 8; 9; 11:12; 13; 14; 15; 16; 17; 18; 19; 20

Rapport au Roi

RAPPORT AU ROI

Sire,

Généralités

Le présent projet d'arrêté royal vise à exécuter l'article 127, § 1er, de la loi du 13 juin 2005 relative aux communications électroniques (ci-après la " LCE "), spécifiquement en ce qui concerne l'identification des utilisateurs de cartes prépayées de services de communications électroniques mobiles. Ce projet s'inscrit dans les mesures visant à lutter contre le terrorisme et à lutter contre la traite des êtres humains. Il fait suite à la modification de l'art. 127 par la loi du 1er septembre 2016 portant modification de l'article 127 de la loi du 13 juin 2005 relative aux communications électroniques et de l'article 16/2 de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité (ci-après la loi du 1er septembre 2016).

Il fixe des obligations à charge des utilisateurs de ces cartes, à charge des entreprises concernées (les " opérateurs belges et étrangers ") qui fournissent par l'intermédiaire de ces cartes des services de communications mobiles, des canaux de vente de services de communications électroniques et des fournisseurs de service d'identification.

1. Prise en compte de l'avis de la Commission pour la protection de la vie privée n° 54/2015 du 16 décembre 2015

La loi du 1er septembre 2016, à l'état de projet de loi, a fait l'objet de l'avis n° 54/2015 du 16 décembre 2015 de la Commission pour la protection de la vie privée (ci-après la CPVP). Une partie des recommandations de cette Commission trouvent à s'appliquer dans le cadre de la mesure d'exécution de l'art. 127 susmentionné et non dans le corps de l'article même.

Dans son avis, la CPVP indique ce qui suit : " sur le plan pratique, l'obligation d'identification soulève de nombreuses questions. La Commission se demande quelles en seront les modalités concrètes. L'obligation d'identification contraint les opérateurs et leurs sous-traitants qui vendent des cartes prépayées -donc en l'occurrence chaque supermarché, épicerie, magasin d'électronique, ...-à enregistrer l'identité des acheteurs de telles cartes. Qui le fera ? Comment cela se passera-t-il ? Quelles données seront enregistrées ? Comment les données seront-elles conservées et transférées ? Qui sera le responsable du traitement ? Ce dernier disposera-t-il d'un conseiller en sécurité ? Qui contrôlera cette collecte de données ? Comment l'obligation d'information sera-t-elle remplie ? Ces points devraient être clarifiés dans les arrêtés d'exécution. ".

Il convient d'emblée de souligner que la réponse à la plupart de ces questions figure dans la législation récemment adoptée : d'une part, la loi du 29 mai 2016 concernant la collecte et la conservation de données dans le secteur des communications électroniques (ci-après la loi du 29 mai 2016) et, d'autre part, la loi du 1er septembre 2016.

Ainsi, la loi en vigueur (art. 127) stipule qui fera l'identification (à savoir l'opérateur avec, le cas échéant, l'aide d'un tiers) et comment, ce que le présent projet d'arrêté royal précise.

L'article 127 de la LCE désigne le responsable du traitement, à savoir l'opérateur ou le fournisseur au sens de l'article 126, § 1er, alinéa 1er, de la loi. L'article 126/1 de la LCE prévoit l'instauration auprès de chaque entreprise concernée qui doit conserver des données, d'un préposé à la protection des données à caractère personnel. L'article 126/1, § 3, indique que " le préposé à la protection des données veille à ce que [...] le fournisseur ou l'opérateur ne collecte et conserve que les données qu'il peut légalement conserver ". Par ailleurs, le non-respect de l'article 127 de la LCE et de ses arrêtés d'exécution est sanctionné pénalement (voir l'article 145 de la LCE). Par conséquent, après la rédaction d'un procès-verbal par un officier de police judiciaire, c'est à l'IBPT ou au procureur du Roi qu'il conviendra de poursuivre l'infraction (voir l'article 148 de la LCE). Le non-respect des articles 126 et 126/1 est également sanctionné pénalement (voir l'article 145 de la LCE). Les articles 126 et 126/1 confient par ailleurs certaines missions à la CPVP.

Enfin, pour ce qui concerne l'obligation d'information, l'article 9, § 1er, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel prévoit ce qui suit

" Art. 9. § 1er. Le responsable du traitement ou son représentant doit fournir à la personne concernée auprès de laquelle il obtient les données la concernant et au plus tard au moment où ces données sont obtenues, au moins les informations énumérées ci-dessous, sauf si la personne concernée en est déjà informée

a) le nom et l'adresse du responsable du traitement et, le cas échéant, de son représentant;

b) les finalités du traitement;

c) l'existence d'un droit de s'opposer, sur demande et gratuitement, au traitement de données à caractère personnel la concernant envisagé à des fins de direct marketing;

d) d'autres informations supplémentaires, notamment

- les destinataires ou les catégories de destinataires des données,

- le caractère obligatoire ou non de la réponse ainsi que les conséquences éventuelles d'un défaut de réponse,

- l'existence d'un droit d'accès et de rectification des données la concernant;

sauf dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont obtenues, ces informations supplémentaires ne sont pas nécessaires pour assurer à l'égard de la personne concernée un traitement loyal des données;

e) d'autres informations déterminées par le Roi en fonction du caractère spécifique du traitement, après avis de la commission de la protection de la vie privée. ".

Dès lors que nul n'est censé ignorer la loi, la personne concernée est censée avoir été informée de ces différents éléments par la publication de l'article 127 et du présent projet d'arrêté royal.

2. Prise en compte de l'avis de la CPVP n° 54/2016 du 21 septembre 2016

En réponse au point 8 de l'avis, il est précisé que la méthode d'identification est en effet conservée car elle est un élément utile dans le cadre des enquêtes des services de police et des services de renseignement et de sécurité.

Dans son avis, aux points 13 et 14, la CPVP indique que l'arrêté royal doit limiter sa finalité à l'identification du porteur de la carte et demande que l'arrêté royal impose aux opérateurs de prendre les mesures nécessaires pour limiter l'accès aux données à un nombre restreint de personnes qui sont chargées de cette mission.

L'article 1er de l'arrêté royal a été adapté pour préciser sa finalité. Les dispositions légales déjà existantes permettent de répondre à la remarque de la CPVP pour le reste.

En effet, l'article 127, § 1er, tel que modifié par la loi du 1er septembre 2016, prévoit expressement que " Les données et documents d'identification collectés sont conservés conformément à l'article 126, § 3, alinéa 1er. ".

Cela signifie donc que les données d'identification collectées conformément au présent arrêté royal sont soumis à l'article 126 de la loi.

Or, l'article 126, § 2, contient la liste des autorités qui peuvent demander d'accèder aux données conservées. En pratique, ce seront surtout les autorités judiciaires, les services de renseignement et de sécurité, le Service de médiation pour les télécommunications (en vue de l'identification de la personne ayant effectué une utilisation malveillante d'un réseau ou d'un service de communications électroniques) et les services d'urgence offrant de l'aide sur place (que ce soit dans le cadre d'un appel d'urgence faisant suite à une situation de détresse ou dans le cadre d'un appel malveillant vers les services d'urgence), qui demanderont l'accès aux données d'identification collectées conformément au présent arrêté royal.

De plus, l'article 126, § 2, interdit aux opérateurs d'utiliser les données collectées conformément au présent arrêté royal à des fins commerciales.

Le présent arrêté royal n'interdit cependant pas la collecte de données d'identification à des fins commerciales mais cette collecte suit ses propres règles.

Finalement, lorsque la demande d'accès aux données conservées n'est pas automatisée, cet accès devra obligatoirement avoir lieu par l'intermédiaire de la Cellule de coordination de l'opérateur, comme l'article 126, § 4, de la LCE le prévoit, ce qui répond au point 27 de l'avis.

Le point 16 de l'avis (suppression du numéro de la puce de la carte d'identité électronique) a été suivi.

S'agissant des points 17 à 19 (rapport entre le présent projet et le projet d'arrêté royal portant exécution de l'art. 126 de la LCE en matière de conservation des données), il peut être précisé que les deux arrêtés feront l'objet d'un alignement ultérieur afin d'être rendus compatibles.

Dans le point 20 de l'avis, la CPVP suggère d'ajouter l'interdiction pour le commerçant qui participe à l'identification de stocker les données d'identification. Or cette interdiction figure déjà dans l'art. 127, § 1er, al. 5. de la LCE, qui dispose ce qui suit : " Le canal de vente de services de communications électroniques ne conserve pas de données ou de documents d'identification, qui sont transmis à l'opérateur, au fournisseur visé à l'article 126, § 1er, alinéa 1er ou à l'entreprise fournissant un service d'identification. ".

Au point 24 de son avis, la CPVP recommande de préciser dans le contenu de l'arrêté en projet de lui soumettre le futur projet d'arrêté fixant la procédure d'approbation par le Service public fédéral Technologie de l'Information et de la Communication d'une application Internet similaire à celle qui permet l'accès à une application digitale des pouvoirs publics. Ce projet-là sera également soumis à la CPVP.

La CPVP demande au point 26 s'il n'est pas possible de conserver dans une base de données distincte les données qui sont conservées en vertu de l'article 126 du projet.

Ceci afin de limiter autant que possible les risques de l'accès fonctionnel.

Il convient de rappeler ce qui a été exposé dans le cadre du commentaire de l'art. 2 de la loi du 1er septembre 2016 portant modification de l'article 127 de la loi du 13 juin 2005 relative aux communications électroniques et de l'article 16/2 de la loi du 30 novembre 1998 organique des services de renseignements et de sécurité : " Par conséquent, les opérateurs et les fournisseurs visés à l'article 126, § 1er, alinéa 1er, ne peuvent pas utiliser à titre commercial les données d'identification collectées en vertu de l'article 127 de la LCE, qui sont conservées en vertu de l'article 126 de la LCE, mais ils peuvent collecter et conserver à titre commercial des données d'identification d'utilisateurs de cartes prépayées conformément à l'article 122 (applicable si une facture est envoyée) ou la législation générale sur la protection de la vie privée. ".

D'un point de vue technique, la conservation dans une base de données distincte ne garantit en aucune manière un meilleur respect de l'obligation d'accès fonctionnel. Du point de vue du contrôle de l'accès fonctionnel par l'IBPT, peu importe que les données soient conservées séparément ou avec des données commerciales.

Afin de respecter le principe de neutralité technologique, il est donc approprié de ne pas imposer de choix technologique aux opérateurs et aux fournisseurs lorsque cette obligation n'a pas de valeur ajoutée effective. Ce qui importe toutefois, c'est que seuls les membres de la cellule de coordination de l'opérateur aient accès aux données conservées conformément à l'article 126.

3. Prise en compte de l'avis du Conseil d'Etat n° 60.213/4 du 26 octobre 2016

L'avis du Conseil d'Etat a été suivi intégralement.

4. Les sanctions applicables

L'article 127, § 5, de la LCE prévoit ce qui suit

" § 5. Les opérateurs et les fournisseurs visés à l'article 126, § 1er, alinéa 1er, déconnectent les utilisateurs finaux qui ne respectent pas les mesures techniques et administratives qui leur sont imposées par le présent article ou par le Roi, des réseaux et services auxquels les mesures imposées s'appliquent. Ces utilisateurs finaux ne sont en aucune manière indemnisés pour la déconnexion. ".

Or la loi du 1er septembre 2016 impose aux utilisateurs non identifiés des anciennes cartes prépayées l'obligation de s'identifier dans le délai fixé par l'entreprise concernée, délai qui ne peut excéder 6 mois après la publication du présent arrêté royal.

Par conséquent, les utilisateurs finaux qui ne s'identifient pas dans le délai fixé par l'entreprise concernée devront être déconnectés du réseau et des services conformément à l'article 127, § 5, de la LCE.

L'article 127, § 4, de la LCE prévoit ce qui suit

" § 4. Si un opérateur ou un fournisseur visé à l'article 126, § 1er, alinéa 1er, ne respecte pas les mesures techniques et administratives qui lui sont imposées par le présent article ou par le Roi, il lui est interdit de fournir le service pour lequel les mesures en question n'ont pas été prises. ".

Par conséquent, une entreprise concernée ne peut plus fournir de services de communications électroniques mobiles à l'aide de cartes prépayées, à partir de l'entrée en vigueur du présent projet d'arrêté royal, si elle n'est pas en mesure d'identifier l'utilisateur final conformément à cet arrêté royal.

Commentaire article par article