2024011702 20 DECEMBRE 2024. - Arrêté royal portant exécution de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, aux avis de sécurité et au service public réglementé

Le titre 1er ne contient qu'un seul article, qui fournit une série de définitions.

1° La définition de la " loi " n'appelle pas de commentaire supplémentaire ;

2° La définition du " fonctionnaire dirigeant " est reprise de l'arrêté royal du 24 mars 2000. Les termes " et son remplaçant " sont maintenant ajoutés.

Le Comité permanent R note dans son avis que la délégation au remplaçant n'a pas de fondement juridique et renvoie à cet égard à l'article 1er, 3°, de la loi relative à la classification. Le Comité permanent R estime qu'il n'existe aucune disposition permettant de déléguer cette tâche.

Les auteurs du projet soulignent que l'article 1er, 3°, de la loi relative à la classification - auquel le Comité permanent R se réfère dans son avis - est inexistant. La définition de " fonctionnaire dirigeant " figure bien à l'article 1er, 3°, de l'arrêté royal du 24 mars 2000. Dans le projet d'arrêté royal, les termes " et son remplaçant " ont été ajoutés pour que les compétences puissent être exercées par le chef faisant fonction en cas d'absence et/ou d'empêchement du fonctionnaire dirigeant ;

3° et 4° Les définitions de " compromission " et d'" incident de sécurité " sont reprises du document C-M(2002)49-REV 1 de l'OTAN du 20 novembre 2020. La distinction entre les deux termes réside dans le fait que, dans le cas d'une compromission, les données ont été mises en péril (et non potentiellement mises en péril). Dans le cas d'un incident de sécurité, seule une règle a été enfreinte sans qu'il ait été établi que les données ont été mises en péril. Dans son avis (p. 44), le Conseil d'Etat relève que la signification de la notion de " mettre en péril " correspond quant au fond à celle de " compromission ". En effet, ces deux notions peuvent être considérées comme des synonymes, étant entendu qu'en cas d'incident de sécurité, l'accent est mis sur " potentiellement ".

La définition de la compromission inclut la situation dans laquelle des services et moyens d'appui ont perdu leur intégrité ou leur disponibilité, en ce compris le déni de service. Le " déni de service " fait référence au fait de ne plus fonctionner correctement. A titre d'exemple, on cite une armoire cassée ou un réseau qui n'est pas opérationnel ;

5° et 6° Les définitions d'" Autorité nationale de Sécurité " et de " Conseil national de Sécurité " n'appellent pas de commentaires ;

7° La définition de " sécurité industrielle " repose, quant au fond, sur la définition du Conseil européen (Décision du Conseil européen du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l'UE (2013/488/UE) art. 11). Cette définition a été ajoutée pour garantir l'application des mesures de protection pendant la phase de négociation précontractuelle et pendant toute la durée des marchés publics classifiés. Les formulations utilisées dans cet article sont cohérentes avec les termes utilisés dans l'article 100 du présent arrêté ;

8° La définition de " titulaire " se fonde sur la définition du Conseil européen (Décision du Conseil européen du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l'UE (2013/488/UE) p. 42). La définition a été ajoutée afin de préciser qu'une distinction peut exister entre l'autorité d'origine et le titulaire d'informations classifiées. Ainsi, les personnes morales, telles que définies dans le cadre du présent arrêté, peuvent être détentrices d'informations classifiées, mais jamais autorités d'origine. Le titulaire a toujours un besoin d'en connaître ;

9° La définition de " porteur " est nouvelle. L'article 16 de l'arrêté royal du 24 mars 2000 faisait mention de " courrier spécial ". Ce terme prêtait à confusion, car sa signification exacte n'était pas claire.

Le terme " porteur " s'entend au sens large et inclut toute personne transportant des informations classifiées. Il s'agit notamment des entreprises publiques chargées de la distribution du courrier (par exemple Bpost), les entreprises de courrier privées et/ou les services de colis (par exemple DHL ou Fedex), les services postaux au sein d'une entreprise ou d'une administration (" courrier interne ", huissiers, chauffeurs), etc.

La définition a été ajoutée pour préciser qu'un porteur doit être titulaire d'une habilitation de sécurité. Cette exigence se justifie par le fait que l'expédition est souvent effectuée par la même personne. De plus, cette personne est en possession d'informations classifiées alors qu'elle n'a pas de " besoin d'en connaître ".

Cette exigence d'habilitation de sécurité est analogue à l'exigence de posséder une habilitation de sécurité pour l'accès à durée indéterminée d'une personne à une zone sécurisée, sans que cette personne ait accès aux informations classifiées proprement dites.

L'exigence d'habilitation de sécurité s'applique à tous les " porteurs ", y compris aux huissiers et aux chauffeurs du ministère public ;

10° La définition des " organes " de la personne morale.

L'article 1bis, 10°, b), de la loi utilise les notions d'" organes " et " préposés ". Dans la pratique de l'Autorité nationale de Sécurité, il est devenu nécessaire de définir et distinguer clairement ces deux concepts. Parallèlement, sur avis du Conseil d'Etat, le terme " personne morale " est également défini au point 12°.

Le terme " organes " désigne les personnes ou les collèges de personnes déterminés par le Code des sociétés et des associations, de manière obligatoire ou facultative, qui accomplissent une tâche spécifique dans la structure des personnes morales et qui, dans la mesure où leur rôle n'est pas purement interne, représentent à titre permanent la personne morale à l'égard de tiers. Tant le comportement effectif de l'organe que les actes juridiques posés par celui-ci sont directement imputés à la personne morale. A l'égard des tiers, l'organe et la personne morale sont considérés comme étant identiques. (VAN DEN BRANDEN, S., MARYSSE, S., Focus op de besloten vennootschap, 77-94 (18 p.)).

Il en ressort que les " dirigeants de fait ", y compris les " dirigeants de l'ombre ", qui exercent un véritable pouvoir de direction en coulisses, relèvent également du terme " organes ".

Ce terme doit être clairement distingué de celui de " préposé ", défini au point 11° ;

11° La définition du terme " préposé ". " Préposer " est compris dans son acceptation courante, à savoir " charger, employer " (dictionnaire Le Robert) et requiert un lien de subordination, à savoir la capacité réelle d'exercer une autorité et un contrôle sur le comportement d'un tiers sans nécessairement exercer une autorité effective au moment du fait préjudiciable (Cass. 16 octobre 1992, Pas. 1993, 16 ; Cass. 11 décembre 2001, De Verz. 2002, 361, note J. VANHOVEN ; Cass. 22 janvier 2007, Arr. Cass. 2007, 136).

Pour que le lien de subordination existe, une convention ou un contrat est conclu entre le " préposé " et la personne morale (ou entité), que ce " préposé " soit payé ou non.

Par conséquent, un " préposé " est de manière générale un membre du personnel ou une personne exécutant un rôle ou une tâche pour une personne morale (ou une entité) qui ne représente pas la personne morale (ou l'entité) de manière permanente vis-à-vis de tiers. Un préposé peut exercer une fonction purement interne.

Les " bénévoles " qui ne sont pas liés par une convention à l'entité donneuse d'ordre ne peuvent par conséquent pas être considérés comme des " préposés " au sens du présent arrêté . Autrement dit, les " bénévoles " qui sont liés par un contrat ou une convention à une entité dans un contexte professionnel sont donc bien considérés comme des " préposés ". Il doit clairement ressortir du contrat que le " bénévole " a pris connaissance des mesures de sécurité prévues dans la loi et le présent arrêté et qu'il s'engage à accomplir son rôle ou sa tâche en respectant les instructions de et sous la responsabilité de l'entité donneuse d'ordre. Les collaborateurs " détachés " auprès d'une autre autorité publique peuvent bien évidemment être aussi considérés comme des " préposés " ;

12° La définition de " personne morale " a été ajoutée à la demande du Conseil d'Etat. Etant donné que les points 10° et 11° définissent qui sont les organes et les préposés de la personne morale, il était également nécessaire de définir la personne morale.

La notion de " personne morale " renvoie, quant au fond, à toute personne morale, quelle que soit sa forme juridique, pour laquelle une habilitation de sécurité est demandée ou qui est titulaire d'une habilitation de sécurité. Dans le cadre du présent arrêté, la notion de personne morale désigne toute personne morale qui n'est pas une entité de droit public belge. Par conséquent, celles-ci doivent suivre la procédure décrite à l'article 1bis, 10°, b) et 15°, b), de la loi et au chapitre 5, section 2 (habilitation de sécurité pour les personnes morales), du présent arrêté. Cette disposition vise à définir quelles personnes morales doivent demander une habilitation de sécurité pour les personnes morales afin de pouvoir prendre connaissance d'informations classifiées. Par conséquent, les personnes morales qui ne relèvent pas de cette définition (= secteur public) sont dispensées de la demande d'habilitation de sécurité pour les personnes morales afin de pouvoir prendre connaissance d'informations classifiées. En revanche, les personnes physiques d'un organisme public doivent bien évidemment être en possession d'une habilitation de sécurité afin de pouvoir prendre connaissance d'informations classifiées ;

13° La définition de " personne de contact pour la sécurité " est nouvelle. Conformément à l'article 1bis, 15°, a) et b), de la loi, toutes les administrations publiques, les organismes d'intérêt public, les entreprises publiques autonomes et les personnes morales qui utilisent des informations classifiées doivent désigner un officier de sécurité. L'officier de sécurité est chargé de veiller au respect des règles de sécurité. L'officier de sécurité doit être titulaire d'une habilitation de sécurité.

Pour les personnes morales, cela implique une lourde obligation. Ainsi, l'officier de sécurité, qui est un collaborateur de la personne morale, ne pourra être habilité qu'après l'habilitation de la personne morale. Cela a des conséquences financières pour les personnes morales.

La loi du 7 avril 2023 portant modification de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité et avis de sécurité a introduit le niveau de classification " RESTREINT ". Contrairement aux trois autres niveaux de classification, il n'est pas nécessaire d'être titulaire d'une habilitation de sécurité pour accéder à des documents classifiés au niveau " RESTREINT " (un briefing de sécurité est cependant obligatoire).

Les auteurs du projet d'arrêté royal ont dès lors estimé qu'il était excessif d'exiger des personnes morales utilisant exclusivement des informations classifiées de niveau " RESTREINT " que celles-ci désignent un officier de sécurité. Cela impliquerait que la personne morale doive être titulaire d'une habilitation de sécurité, étant donné que l'article 1bis, 15°, b), impose à la personne morale d'être titulaire d'une habilitation de sécurité, ce qui entraverait l'attribution rapide et efficace des contrats.

C'est pourquoi la nouvelle fonction de " personne de contact pour la sécurité " a été créée par analogie avec la fonction de " gestionnaire des avis de sécurité " introduite par l'article 3 de la loi du 2 juin 2024 modifiant la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé et la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

Dans son avis (p. 2), le Comité permanent R indique que la loi attribue à l'officier de sécurité la responsabilité du respect des règles de sécurité relatives aux informations classifiées (article 1erocties de la loi). Etant donné que les informations classifiées au niveau " RESTREINT " relèvent également de la définition des informations classifiées (prévue à l'art. 4 de la loi), le Comité permanent R estime que la responsabilité du respect des règles de sécurité pour le niveau " RESTREINT " ne peut pas être déléguée à la personne de contact pour la sécurité.

L'article 7, § 1er, 1°, de la loi relative à la classification précise que le Roi détermine les mesures de protection applicables à la classification et à la gestion des informations classifiées. La désignation d'une " personne de contact pour la sécurité " en ce qui concerne l'utilisation d'informations classifiées au niveau " RESTREINT " est l'une de ces mesures de protection, ce qui signifie que la mission de vérification du respect des règles de sécurité pour le niveau " RESTREINT " peut effectivement être confiée à la " personne de contact pour la sécurité " susmentionnée.

La définition précise que la personne de contact pour la sécurité doit avoir obtenu un avis de sécurité positif. Dans son avis (p. 2), le Comité permanent R indique que l'exigence d'un avis de sécurité positif ne peut être imposée par arrêté royal car cela ne permettrait pas à la personne morale de droit privé ou de droit public concernée de déroger à l'avis.

Les auteurs du projet d'arrêté royal estiment que la possibilité de déroger à l'avis n'est pas retirée à la personne morale de droit privé ou de droit public. Si l'Autorité nationale de Sécurité, visée à l'article 23 de la loi, émet un avis positif, l'autorité administrative compétente peut encore émettre un avis négatif. Dans ce cas, cette personne ne pourra pas exercer la fonction de personne de contact pour la sécurité ;

14° La définition de la notion d'" entité ". Dans son avis, le Conseil d'Etat recommande, dans un souci de sécurité juridique, de définir la notion d'" entité " dans le projet. La notion d'" entité " doit être comprise dans son acceptation la plus large. Il peut s'agir de personnes morales de droit privé ou de droit public, d'autorités administratives, etc. Elle concerne toutes les instances qui utilisent des informations classifiées ;

15° La définition de l'" autorité fonctionnelle d'un système de communication et d'information " est nouvelle et a été ajoutée pour indiquer qui est responsable de la mise en oeuvre de la politique relative aux systèmes de communication et d'information au sein d'un service donné.

L'autorité fonctionnelle peut être non seulement une personne physique, mais aussi une entité (par exemple un réseau financé par plusieurs nations). Lorsqu'il s'agit d'une entité, celle-ci doit toujours désigner une personne habilitée à signer des documents au nom de l'entité. Tout service travaillant avec un système de communication et d'information destiné à traiter des informations classifiées doit ainsi disposer d'une autorité fonctionnelle, y compris le ministère public.

TITRE II. - Rôles et responsabilités

CHAPITRE 1er. - L'officier de sécurité

L'article 2 dispose que les membres du gouvernement fédéral et des gouvernements des entités fédérées désignent un officier de sécurité au sein de leur cellule stratégique et au moins un officier de sécurité au sein de chaque administration publique relevant de leur autorité, dans laquelle des informations classifiées de niveau " CONFIDENTIEL " ou supérieur sont utilisées. Cette disposition figurait déjà dans l'arrêté royal du 24 mars 2000 en ce qui concerne le gouvernement fédéral. Les gouvernements des entités fédérées ont été ajoutés pour aligner la réglementation sur la pratique.

En effet, la loi s'applique à toute personne qui utilise ou souhaite utiliser des informations classifiées. Même lorsque ces informations sont utilisées par des entités fédérées, les mesures de protection (telles que la désignation d'un officier de sécurité), définies par la loi et le présent arrêté d'exécution, doivent être respectées.

Le Conseil d'Etat a confirmé dans son avis qu'il ne pouvait être déduit de l'article 1bis, 15°, a), de la loi du 11 décembre 1998 que la loi ne s'appliquait qu'aux autorités publiques fédérales. La notion d'" administrations publiques ", reprise à l'article 1bis, 15°, a), de la loi du 11 décembre 1998, s'entend au sens large pour inclure les entités fédérées ou les instances chargées d'une mission d'intérêt général, dans la mesure où celles-ci utilisent des informations classifiées.

Cependant, le Conseil d'Etat a souligné qu'à la lumière du principe de l'exercice autonome des compétences, l'article 1bis, 15°, a), de la loi ne pouvait être lu ou interprété comme habilitant le Roi à utiliser cette disposition comme base juridique pour imposer unilatéralement aux entités fédérées des obligations auxquelles ces dernières n'auraient pas consenti volontairement, étant donné que l'instrument juridique requis pour les y contraindre - l'accord de coopération - fait défaut en l'espèce.

Le Conseil d'Etat estime dès lors que la disposition proposée dans le projet n'est acceptable que si les entités fédérées choisissent volontairement de coopérer, dans un souci de sécurité, à une classification des documents dans les matières pour lesquelles elles sont compétentes. Il y a alors lieu de penser que, lorsqu'une entité constitutive coopère volontairement à une telle classification afin de bénéficier des avantages que celle-ci induit, elle doit automatiquement se soumettre aux conséquences opérationnelles que cette classification implique, lesquelles sont déterminées par l'autorité compétente en la matière, à savoir l'Etat fédéral, telles que l'obligation prévue à l'article 2, alinéa 1er, du projet de nommer un officier de sécurité auprès des organes et services concernés. La désignation de l'officier de sécurité relève de la responsabilité des entités fédérées et non de l'autorité fédérale.

L'article 2, alinéa 1er, du projet est donc légèrement modifié en conséquence.

L'article 3 du projet dispose que la fonction d'officier de sécurité ne peut être exercée que par des personnes qui possèdent la nationalité belge.

Les " informations classifiées " sont des informations qui, dans l'intérêt de la sécurité nationale, sont protégées par des mesures de sécurité contre tout accès non autorisé, toute utilisation inappropriée et toute diffusion. En d'autres termes, des intérêts fondamentaux de l'Etat belge sont en jeu et doivent être protégés, quelle que soit leur forme et leur localisation. Dans le cadre de la gestion des risques, et notamment de l'identification des menaces contre les intérêts fondamentaux de l'Etat belge, il est logique d'imposer des mesures de sécurité permettant de résister à ces menaces ou de les réduire à un risque acceptable.

L'imposition de la nationalité belge à certaines personnes clés, dont l'officier de sécurité, fait partie de ces mesures de sécurité.

En effet, l'officier de sécurité veille au respect des règles de sécurité belges en matière de protection des informations classifiées (article 1erocties de la loi). L'officier de sécurité doit s'assurer que l'entreprise et son personnel respectent les mesures de protection des informations classifiées. L'officier de sécurité doit également être titulaire d'une habilitation de sécurité pour les personnes physiques démontrant des garanties suffisantes en termes de discrétion, de loyauté et d'intégrité. En raison de cette fonction indépendante de contrôle du respect des règles de sécurité relatives aux informations classifiées qui, comme mentionné précédemment, protègent les intérêts fondamentaux de l'Etat belge, il importe également que l'officier de sécurité (et la personne de contact pour la sécurité) possède la nationalité belge.

D'autres pays suivent la même logique (Royaume-Uni, Canada et Pays-Bas).

Au sein d'un groupe d'entreprises dont au moins une entreprise a accès à des informations classifiées, ou au sein d'une société holding dont une des filiales a accès à des informations classifiées, un officier de sécurité (ou une personne de contact pour la sécurité) peut être désigné pour veiller à la cohérence entre l'administration du groupe ou du holding et les défis que la protection de ces informations classifiées implique. L'Autorité nationale de Sécurité procède à une évaluation de l'officier de sécurité proposé par le groupe de sociétés ou la société holding afin de déterminer si cette personne sera en mesure d'exercer efficacement sa fonction.

Pour les informations classifiées de l'UE, de l'OTAN ou d'institutions inter- ou supranationales, il suffit que l'officier de sécurité ou la personne de contact pour la sécurité soit un ressortissant d'un Etat membre de l'une de ces organisations, étant donné qu'il s'agit ici - logiquement - de protéger la " sécurité nationale " de l'UE ou de l'OTAN. Exiger que l'officier de sécurité ou la personne de contact pour la sécurité possède également la nationalité belge serait disproportionné.

L'article 4 dispose que l'Autorité nationale de Sécurité fixe les modalités du contrôle de l'exécution des missions de l'officier de sécurité. Etant donné que l'Autorité nationale de Sécurité doit contrôler l'exécution des missions de l'officier de sécurité, elle est également la mieux placée pour élaborer avec expertise ces règles complexes à portée technique.

CHAPITRE 2. - La personne de contact pour la sécurité

L'article 5 décrit les responsabilités de la personne de contact pour la sécurité.

Le 1° prévoit que la personne de contact pour la sécurité " est un membre du personnel de la personne morale ou la personne contractuellement liée à l'entité ".

Or, la définition donnée à la personne de contact pour la sécurité par l'article 1er, 11°, du projet prévoit déjà que celle-ci est fonctionnaire, membre du personnel ou la personne contractuellement liée à l'entité.

Dès lors qu'il ne correspond pas de manière exacte à la définition de la personne de contact et qu'il est pour le surplus redondant, le 1° sera omis. Il en est d'autant plus ainsi que l'objet de la disposition examinée semble davantage consacré aux missions de la personne de contact qu'à son statut.

A cet égard, il est renvoyé à l'explication de la définition de " personne de contact pour la sécurité ". Si un officier de sécurité a déjà été désigné au sein d'une entité, il n'est évidemment plus nécessaire de désigner une personne de contact pour la sécurité, étant donné que, conformément à l'article 1er octies, § 1er, 1°, de la loi relative à la classification, l'officier de sécurité veille également au respect des règles de sécurité relatives à la protection des informations classifiées, qui incluent dès lors également les informations classifiées au niveau " RESTREINT ".

L'article 8 dispose que l'Autorité nationale de Sécurité fixe les modalités du contrôle de l'exécution des missions de la personne de contact pour la sécurité. Etant donné que l'Autorité nationale de Sécurité doit contrôler l'exécution des missions de l'officier de sécurité, elle est également la mieux placée pour élaborer ces règles à portée technique en connaissance de cause. Les missions de la personne de contact pour la sécurité sont analogues à celles de l'officier de sécurité.

CHAPITRE 3. - L'autorité fonctionnelle d'un système de communication et d'information

L'article 9 définit les missions de l'autorité fonctionnelle d'un système de communication et d'information et n'appelle pas de commentaire supplémentaire.

TITRE III. - Informations classifiées

CHAPITRE 1er. - Mesures de protection applicables à la classification et à la gestion d'informations classifiées

Section 1re. - Disposition générale

Cet article veille à préserver la compétence pour chaque ministre de prescrire des règles complémentaires d'ordre technique en matière de classification, de déclassification et de mesures de protection inhérentes à la classification.

Les règles prévues par le présent arrêté constituent la norme minimale à laquelle les personnes (morales) doivent satisfaire afin de pouvoir traiter des informations classifiées. Toutefois, ces règles ne mettent en lumière qu'une seule dimension de la sécurité militaire. La sécurité opérationnelle en constitue par exemple un autre aspect. La sécurité opérationnelle peut être définie comme suit : "All measures taken to give a military operation or exercise appropriate security, using passive or active means, to deny an adversary knowledge of the essential elements of friendly information or indicators thereof" (NATO Glossary of Terms and definitions, AAP-06).

En vertu de l'article 11, § 1er, 2°, de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité, le SGRS a pour mission de " veiller au maintien de la sécurité militaire du personnel relevant du ministre de la Défense nationale, et des installations militaires, armes, munitions, équipements, plans, écrits, documents, systèmes informatiques et de communications ou autres objets militaires ".

Le maintien de la sécurité militaire, par exemple au cours d'une opération à l'étranger, requiert des mesures de sécurité strictes. Chaque opération nécessite des règles différentes et la situation sécuritaire diffère par ailleurs dans chaque pays.

De plus, les règles doivent pouvoir être adaptées en fonction de la menace et des besoins opérationnels. Il est dès lors essentiel que le chef du SGRS puisse, le cas échéant, imposer des règles plus strictes en matière de protection des informations classifiées afin de garantir la sécurité militaire.

C'est pourquoi, il est également prévu que, outre le ministre, le chef du SGRS puisse prescrire des règles supplémentaires (plus strictes) de nature technique en ce qui concerne la Défense. Cela n'exclut cependant pas la possibilité pour les fonctionnaires dirigeants d'établir des directives supplémentaires (plus strictes) pour les services qui leur sont subordonnés. Dans ce cas, ces directives n'ont pas de caractère réglementaire, mais elles sont contraignantes pour les services subordonnés.

Section 2. - Personnes et autorités compétentes pour la classification, la modification du niveau de classification et la déclassification

L'article 11 définit le champ d'application ratione personae en matière de classification, de déclassification et de modification du niveau de classification des informations classifiées. Ces personnes doivent être titulaires d'une habilitation de sécurité de niveau " SECRET " au minimum, même s'il s'agit de classifier des informations de niveau " RESTREINT ".

Il permet dès lors de déterminer précisément les personnes compétentes pour classifier, modifier le niveau de classification, et déclassifier les informations classifiées, ce qui permet ainsi un meilleur contrôle sur le flux de ces informations et une meilleure sécurité vis-à-vis de leur contenu et de leur pertinence.

On peut également se référer à l'explication de la modification de l'article 1bis de la loi (DOC 55 n° 2443/003, p. 7) : " [...], car les décisions de déclassification et de modification des niveaux de classification appartiennent exclusivement à un gouvernement public. [...]

Il est donc clair que les personnes morales privées - avec lesquelles une autorité administrative passe des contrats - ne peuvent être considérées comme une "autorité d'origine", même si elles produisent des pièces classifiées au profit et sous l'autorité d'une autorité administrative.

Le Collège des procureurs généraux a soulevé que le procureur fédéral et les magistrats qu'il désigne devraient également avoir l'autorisation de classifier et de déclassifier des informations aux niveaux " SECRET ", " CONFIDENTIEL " et " RESTREINT ", en plus du niveau " TRES SECRET ". Ils ont donc été inclus dans cet article.

Parmi les personnes qui, moyennant la possession d'une habilitation de sécurité du niveau de classification correspondante, sont habilitées à classifier, modifier ou déclassifier un niveau de classification " TRES SECRET ", figurent, au 11°, " le procureur fédéral et les magistrats qu'il délègue à cet effet ".

Dans son avis 61.551/2 donné le 14 juin 2017, la section de législation a observé ce qui suit

" Dans la mesure où les magistrats, en vertu de l'article 8 de la loi du 11 décembre 1998, ne doivent pas disposer d'une habilitation de sécurité, le Conseil d'Etat s'interroge quant à la cohérence de l'exigence qu'un magistrat, pour pouvoir être désigné officier de sécurité du Ministère public, doive être titulaire d'une habilitation de sécurité " 16 .

Compte tenu de cette observation, il apparaît de même incohérent de prévoir que " le procureur fédéral et les magistrats qu'il délègue à cet effet ", visés au 11°, sont habilités à classifier, modifier ou déclassifier un niveau de classification " TRES SECRET " à la condition de posséder une habilitation de sécurité du niveau de classification correspondante.

Partant, l'article 12 sera revu de sorte que " le procureur fédéral et les magistrats qu'il délègue à cet effet " ne soient pas soumis à cette condition.

Cette observation vaut pour l'article 44, 2°, du projet, en ce qu'il implique que des magistrats, qui ne doivent pas posséder d'habilitation de sécurité en vertu de l'article 8, § 2, alinéa 1er, de la loi du 11 décembre 1998, ne pourraient pas pénétrer dans une zone sécurisée, sauf à être toujours escortés par une personne habilitée, conformément à l'article 44, 3°, du projet.

Cet article permet à l'Autorité nationale de Sécurité de pouvoir compléter de manière rapide les dispositions du présent arrêté par des mesures administratives et techniques supplémentaires qui permettraient une meilleure gestion des informations classifiées.

Sous-section 1. - Marquages

La gestion des informations sensibles est cruciale et nécessite une attention particulière pour éviter toute confusion. Les autorités doivent classifier, modifier ou déclassifier ces informations de manière appropriée, en veillant à ce qu'elles soient clairement identifiées selon leur niveau de confidentialité. La classification n'est pas statique et peut évoluer ; il est donc essentiel de mettre à jour le niveau de classification lorsque cela s'avère nécessaire. Il est également important de déclassifier. Ainsi, les mesures de sécurité rigoureuses qui s'appliquaient à des informations devenues moins sensibles peuvent être levées. Les marquages doivent être clairs et visibles pour garantir une bonne identification. En définitive, une gestion responsable des informations sensibles est essentielle pour les protéger et éviter toute confusion. Les personnes compétentes doivent être conscientes de leur rôle et agir avec prudence.

Articles 15 à 19

Ces articles ne nécessitent pas d'explication particulière, si ce n'est que la traduction en allemand et en anglais des niveaux de classification n'a pas été prévue, étant donné que ces niveaux de classification en allemand et en anglais sont inexistants dans la loi et que, par conséquent, ces documents ne seront pas non plus protégés si le marquage est effectué en allemand ou en anglais. Toutefois, conformément à l'article 16, alinéa 4, du projet d'arrêté royal il est possible de compléter le marquage en néerlandais ou en français par l'équivalent international en langue anglaise repris dans le tableau comparatif de l'annexe 1. Les compatriotes germanophones peuvent toujours opter pour un marquage supplémentaire en allemand, conformément à l'article 18, qui indique clairement le niveau de classification aux destinataires germanophones d'un document classifié, même s'ils préparent déjà des documents classifiés avec une indication du niveau de classification en français ou en néerlandais.

Sous-section 2. - Déclassification du niveau de classification " RESTREINT "

Le niveau de classification d'informations classifiées ne peut être ni modifié ni déclassifié sans l'autorisation écrite de l'autorité d'origine, de même que les marquages visés aux articles 16, 17, 18 et 20 ne peuvent pas être modifiés ou supprimés.

L'autorité ou la personne compétente indique clairement et correctement le niveau de classification sur les informations classifiées, conformément aux alinéas 2 et 3, et les éventuelles restrictions de diffusion conformément à l'article 18.

Chaque page d'un document classifié est numérotée et marquée du niveau de classification attribué au document et porte la mention " TRES SECRET ", " SECRET ", " CONFIDENTIEL " ou " RESTREINT ", ou la mention " ZEER GEHEIM ", " GEHEIM ", " VERTROUWELIJK " ou " BEPERKT ", selon que le document est rédigé en français ou en néerlandais.

La mention visée à l'alinéa 2 doit être suivie de la mention " (Wet 11.12.1998) " ou de la mention " (Loi 11.12.1998) ", selon que le document est rédigé en néerlandais ou en français.

Si le document est rédigé dans une langue autre que le néerlandais ou le français, le marquage en néerlandais ou en français doit être complété par son équivalent international en langue anglaise repris dans le tableau comparatif de l'annexe 1.

A défaut d'un marquage adéquat et complet, conformément aux alinéas 1er à 4 ainsi qu'à l'article 20, le titulaire du document prend contact par écrit avec l'autorité ou la personne compétente pour demander une correction.

A défaut d'une correction, le document en question sera considéré comme non-classifié.

Des parties distinctes d'un même document peuvent requérir des niveaux de classification différents et être marquées en conséquence, y compris si elles sont traitées sous forme électronique.

La version française du 1° sera rédigée de manière identique à la version néerlandaise.

§ 1er. Les informations classifiées échangées dans le cadre de conventions ou de traités internationaux qui lient la Belgique, sont protégées par le niveau de classification belge correspondant, mentionné dans le tableau comparatif de l'annexe 1.

§ 2. Sous réserve des conventions et traités internationaux visés au paragraphe 1er, les informations classifiées échangées dans un cadre international par le Service général du Renseignement et de la Sécurité des Forces armées, le Ministère de la Défense ou par d'autres services publics fédéraux sont, pour ce qui concerne ces services, protégées par le niveau de classification belge correspondant comme déterminé dans les accords conclus à cet effet.

§ 3. Le cas échéant, le niveau de classification belge correspondant ainsi que des marquages supplémentaires seront apposés sur ces informations classifiées.

Sous-section 3. - Déclassification du niveau de classification " RESTREINT "

Cet article n'appelle aucun commentaire.

Sous-section 3. - Classification ou déclassification collective

1. Invitée à préciser, au regard de la sécurité juridique, la ratio legis de l'alinéa 3, selon lequel " [l]es dispositions de la sous-section 1 ne s'appliquent pas aux documents classifiés en vertu des alinéas [1er et 2] ", ce qui signifie que l'ensemble des règles relatives au marquage ne doit pas être appliqué à ces documents classifiés de manière collective, de sorte qu'en cas de classification collective, l'on serait confronté à des documents non marqués mais qui seront néanmoins classifiés, même si cela n'apparaît pas clairement sur le document en cause, la déléguée du Ministre a indiqué ce qui suit

" Deze regel staat al in huidige koninklijk besluit van 24 maart 2000 tot uitvoering van de wet van 11 december 1998 betreffende de classificatie en de veiligheidsmachtigingen, veiligheidsattesten en veiligheidsadviezen (artikel 32) en wordt soms toegepast op oude archieffondsen (van vóór de inwerkingtreding van de wet van 11 december 1998), waarvoor het niet aangewezen is omwille van hun kwetsbaarheid/fragiliteit, historische waarde, omvang of technische redenen (oude documenten op microfiches) het document zelf individueel te markeren. Daarbij wordt wel altijd via een schriftelijke beslissing van de overheid van oorsprong aangeduid dat het archieffonds in zijn geheel als ge(de-)classificeerd moet worden beschouwd ".

Ces explications figureront dans le rapport au Roi.

2. A l'alinéa 3, il y a lieu d'écrire " en vertu des alinéas 1er et 2 ".

La deuxième phrase, laquelle constitue une répétition de ce qui figure à l'article 1er, 8°, du projet, qui définit le " titulaire ", sera omise.

1. A l'alinéa 3, il y a lieu d'écrire " distinct du registre visé à l'alinéa 2 ".

2. A l'alinéa 6, il y a lieu d'écrire " Les registres visés aux alinéas 2 et 3 [...] ".

Cet article précise que l'utilisation d'informations classifiées dans des systèmes de communication approuvés doit être enregistrée conformément aux processus internes.

Cet article souligne que les titulaires des informations classifiées de niveau " SECRET " ou " TRES SECRET " doivent toujours connaître leur localisation, garantissant ainsi un contrôle rigoureux sur ces données sensibles.

Sous-section 5. - Reproduction et traduction

Articles 26 à 28

Ces articles établissent des règles concernant la reproduction et la traduction des documents classifiés. Ils disposent que la reproduction ou la traduction d'un document classifié de niveau " TRES SECRET " nécessite l'accord écrit de l'autorité d'origine, soulignant ainsi l'importance de la sécurité pour les informations sensibles.

Pour les documents de niveau " SECRET " ou inférieur, si aucune restriction n'est imposée par l'autorité d'origine, le titulaire peut les reproduire ou les traduire.

En outre, toutes les reproductions et traductions doivent être soumises aux mêmes mesures de protection que celles appliquées à l'original, garantissant ainsi la sécurité continue des informations classifiées. Ces dispositions visent à équilibrer la nécessité de sécurité avec la possibilité d'utiliser les informations de manière efficace.

Sous-section 6. - Transmission et transport

Articles 29 à 32

Les articles 29 à 32 établissent des règles strictes pour la transmission des informations classifiées, en insistant sur la nécessité de prendre des mesures visant à empêcher toute consultation non autorisée.

Les informations doivent être transmises soit par porteur, sous double enveloppe fermée, soit par voie électronique via des systèmes approuvés par l'Autorité nationale de Sécurité, en respectant les mesures de protection appropriées.

Pour les informations classifiées de niveau " RESTREINT ", il est également possible de les envoyer par pli recommandé, toujours sous double enveloppe fermée. En cas de circulation interne, les informations de niveau " CONFIDENTIEL " ou supérieur doivent être transportées par porteur (en possession d'une habilitation de sécurité valable d'un niveau au moins équivalent à celle des informations transportées) ou par leur titulaire dans une enveloppe fermée.

Il est impératif que l'organisation où circulent des informations de niveau " RESTREINT " mette en oeuvre toutes les mesures de sécurité possibles pour empêcher leur consultation non autorisée, garantissant ainsi la protection de ces informations sensibles.

En outre, les informations classifiées peuvent être transportées au sein de l'installation physique par le titulaire, à condition que toutes les mesures de sécurité nécessaires soient en place pour prévenir toute consultation non autorisée.

Sous-section 7. - Destruction

La reproduction ou la traduction, partielle ou complète, d'une pièce classifiée " TRES SECRET " ne peut avoir lieu sans l'accord écrit préalable exprès de l'autorité d'origine.

Lorsque l'autorité d'origine de documents classifiés du niveau " SECRET " ou inférieur n'a pas imposé de restrictions à leur reproduction ou à leur traduction, lesdits documents peuvent être reproduits ou traduits sur instruction du titulaire.

Les mesures de protection applicables au document original le sont aussi à ses reproductions et à ses traductions.

Sous-section 7. - Transmission et transport

L'information classifiée doit être transmise selon les modalités suivantes

1° par porteur, sous double enveloppe fermée, le niveau de classification ne figurant que sur l'enveloppe intérieure ; ou

2° par voie électronique, sous la protection de systèmes approuvés par l'Autorité nationale de Sécurité et conformément aux mesures de protection applicables au niveau de classification correspondant aux informations classifiées.

L'Autorité nationale de Sécurité fixe les conditions supplémentaires de nature administrative et technique que cette double enveloppe fermée et ce porteur doivent remplir.

Les informations classifiées de niveau " RESTREINT " peuvent également être envoyées par pli recommandé à la poste, avec accusé de réception, sous double enveloppe fermée. Le niveau de classification ne peut figurer que sur l'enveloppe intérieure.

Les informations classifiées peuvent être transmises sur des supports électroniques conformément à la politique de sécurité de l'Autorité nationale de Sécurité.

La rédaction des alinéas 2 et 3 doit être revue de telle sorte qu'il apparaisse plus clairement que l'entité doit prendre les mesures visant à empêcher la consultation.

La même observation vaut mutatis mutandis pour l'article 41, alinéas 3 et 4.

Articles 33 à 35

Les dispositions de la sous-section 7 concernent principalement la destruction des informations classifiées par le titulaire. Il n'est cependant pas clair si cette destruction est définitive, parce qu'elle concernerait l'information originale transmise par l'autorité d'origine, ou s'il s'agit seulement de la destruction de la copie, l'autorité d'origine en détenant toujours la version originale.

L'article 34, alinéa 2, en particulier, pourrait aussi concerner la destruction définitive de l'information originale par l'autorité d'origine.

Interprétés comme ne concernant que la destruction d'une ou de plusieurs copies des informations classifiées détenues par l'autorité d'origine, les articles 33 à 35 ne posent pas de difficultés.

Interprétés comme concernant la destruction définitive par le titulaire ou par l'autorité d'origine de l'information classifiée originale, les dispositions concernées doivent être articulées avec la loi du 24 juin 1955 `relative aux archives', en particulier l'article 5 de celle-ci qui prévoit que " [l]es autorités visées à l'article 1er, alinéas 1 et 2, ne pourront procéder à la destruction de documents sans avoir obtenu l'autorisation de l'archiviste général du Royaume ou de ses délégués ", ainsi qu'avec les articles 132 à 137 de la loi du 30 juillet 2018 `relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel', qui concernent le traitement de données à caractère personnel à des fins historiques, scientifiques ou statistiques dans le cadre de la loi du 11 décembre 1998, et avec les articles 21 et 21/1 de la loi du 30 novembre 1998 `organique des services de renseignement et de sécurité' 17 . La simple mention " sans préjudice de l'article 25 de la loi et de l'article 21 de la loi du 30 novembre 1998 " n'est à cet égard pas suffisante puisque ces dispositions ne prévoient pas le respect de la loi du 24 juin 1955 ou de l'article 21/1 de la loi du 30 novembre 1998 pour toutes les autorités autres que celles visées par la loi du 30 novembre 1998.

Les articles 33 à 35 seront réexaminés à la lumière de cette observation.

Cet article dispose que les articles de la sous-section s'appliquent sans préjudice des diverses lois existantes qui régissent la classification, la gestion des informations sensibles, l'archivage et la protection des données à caractère personnel.

Cette précision est essentielle car elle garantit que les nouvelles dispositions ne remplacent pas ou ne contredisent pas les règles déjà établies, assurant ainsi une continuité et une cohérence législative.

Par ailleurs, le texte souligne que le titulaire et l'autorité d'origine des informations classifiées doivent régulièrement évaluer l'utilité de ces informations et décider si leur destruction est nécessaire.

Cela reflète une approche proactive et responsable dans la gestion des informations sensibles, visant à éviter la conservation indéfinie de données qui pourraient ne plus être pertinentes ou nécessaires.

Cet article établit des règles strictes concernant la gestion des informations classifiées de niveau " TRES SECRET ". Il dispose que le titulaire de telles informations ne doit jamais procéder à leur destruction, mais doit les retourner à l'autorité d'origine. Cette mesure vise à garantir la sécurité et l'intégrité des informations sensibles, en évitant qu'elles ne soient perdues ou détruites de manière inappropriée.

L'autorité d'origine est alors responsable de dresser un procès-verbal de la destruction, qui doit inclure des détails sur l'objet détruit et être signé par les personnes ayant effectué la destruction ainsi que par l'officier de sécurité.

Cela crée une traçabilité et une responsabilité claires, essentielles dans le cadre de la gestion des informations classifiées, afin de prévenir toute utilisation abusive ou fuite d'informations.

Cet article souligne donc l'importance de la responsabilité et de la traçabilité dans la gestion des informations classifiées, tout en garantissant que les procédures de destruction soient effectuées de manière sécurisée et documentée. Cela contribue à maintenir la confiance dans le système de gestion des informations sensibles et à protéger les intérêts de la sécurité nationale.

Cet article traite de la destruction des informations classifiées, spécifiquement celles de niveau " SECRET " ou inférieur.

Il prévoit que cette destruction peut être effectuée par l'autorité d'origine, le titulaire de l'information, ou un officier de sécurité désigné.

Cela inclut également la possibilité pour une personne de contact pour la sécurité de procéder à la destruction des informations classifiées de niveau " RESTREINT ".

Cette procédure est essentielle pour garantir que les informations sensibles ne tombent pas entre de mauvaises mains, ce qui pourrait compromettre la sécurité nationale ou la confidentialité des données.

La nécessité d'enregistrer la destruction des informations classifiées de niveau " CONFIDENTIEL " ou " SECRET " dans un registre souligne l'importance de la traçabilité et de la responsabilité dans la gestion des informations sensibles.

En effet, cette obligation d'enregistrement permet de maintenir un contrôle rigoureux sur les informations classifiées, assurant ainsi que chaque acte de destruction est documenté et justifié. Cela contribue à prévenir les abus et à garantir que seules les personnes autorisées peuvent manipuler ces informations.

Logiquement, cette réglementation s'inscrit dans un cadre plus large de protection des données et de sécurité.

Dans un monde où les cybermenaces et les fuites d'informations sont de plus en plus fréquentes, il est crucial d'établir des protocoles clairs pour la gestion des informations classifiées.

La destruction appropriée de ces informations, accompagnée d'un enregistrement systématique, constitue une mesure préventive contre les risques de divulgation non autorisée.

Cet article établit donc des règles précises pour la destruction des informations classifiées, mettant en avant la responsabilité des autorités et des titulaires d'informations. Cette approche logique et structurée vise à protéger la sécurité des données sensibles tout en assurant une traçabilité nécessaire pour prévenir les abus.

Sous-section 8. - Incidents de sécurité et compromission

Articles 36 à 38

Ces articles disposent qu'en cas d'incident de sécurité impliquant des informations classifiées, l'officier de sécurité ou la personne de contact pour la sécurité doivent être immédiatement informés par écrit.

L'officier de sécurité ou la personne de contact pour la sécurité mène alors une enquête administrative interne et en informe simultanément la direction de l'administration ou de l'organisme concerné, ainsi que l'Autorité nationale de Sécurité. Cela permet à l'Autorité nationale de Sécurité d'exercer ses pouvoirs de contrôle. Si nécessaire, l'Autorité nationale de sécurité informera également l'autorité d'origine des informations classifiées. En effet, selon les réglementations internationales, cela n'est requis que s'il a été constaté que les informations classifiées ont été compromises.

Si une compromission d'informations classifiées de niveau " CONFIDENTIEL " ou supérieur est constatée, l'officier de sécurité doit en faire immédiatement rapport à l'Autorité nationale de Sécurité. Dans ce cas, l'Autorité nationale de Sécurité est tenue d'informer l'autorité d'origine de la compromission et des résultats de l'enquête.

En outre, un résumé des incidents de sécurité et des compromissions survenus au cours de l'année écoulée doit être transmis à l'Autorité nationale de Sécurité par l'officier de sécurité ou, le cas échéant, par la personne de contact pour la sécurité, au plus tard le 15 mars de chaque année.

Ces incidents de sécurité ou compromissions peuvent également concerner des personnes qui ne sont plus en service ou des personnes n'ayant plus besoin d'une habilitation de sécurité.

CHAPITRE 2. - Mesures de protection physique

Le chapitre 2 contient les mesures de protection physique pour l'utilisation d'informations classifiées.

Section 1re. - Dispositions générales

En cas d'incident de sécurité concernant des informations classifiées, l'officier de sécurité ou, le cas échéant, la personne de contact pour la sécurité des informations classifiées concernées en sont immédiatement avertis.

L'officier de sécurité ou, le cas échéant, la personne de contact pour la sécurité procède à une enquête administrative interne et avertit simultanément la personne qui dirige l'administration, la cellule stratégique, le service, l'organisme ou l'entreprise où il est désigné, ainsi que l'Autorité nationale de Sécurité.

Si nécessaire, l'Autorité nationale de Sécurité informe l'autorité d'origine des informations classifiées.

L'officier de sécurité signale une compromission d'informations classifiées de niveau " CONFIDENTIEL " ou supérieur à l'Autorité nationale de Sécurité immédiatement, qui en informe l'autorité d'origine.

En cas d'incident de sécurité ou de compromission dont la survenance est due à l'officier de sécurité ou à la personne de contact pour la sécurité, la direction de l'entité à laquelle appartient l'officier de sécurité ou la personne de contact pour la sécurité est tenue d'en informer l'Autorité nationale de Sécurité immédiatement après en avoir pris connaissance.

L'officier de sécurité ou, le cas échéant, la personne de contact pour la sécurité transmet chaque année, avant le 15 mars, un aperçu des incidents de sécurité et des compromissions au cours de l'année précédente à l'Autorité nationale de Sécurité.

CHAPITRE 2. - Mesures de protection physique

Section 1. - Dispositions générales

L'article 39 dispose que l'Autorité nationale de Sécurité détermine les mesures de protection physique minimales supplémentaires de nature administrative et technique pour l'utilisation d'informations classifiées au sein et en dehors des zones visées à l'article 42. L'Autorité nationale de Sécurité est en effet l'instance qui devra contrôler la conformité des zones visées à l'article 42 avec les mesures de protection exigées par la loi relative à la classification et le présent arrêté. Elle est donc la mieux placée pour élaborer les spécifications techniques.

L'article 40 n'appelle aucun commentaire.

L'article 41 décrit les informations classifiées pouvant être consultées et les conditions dans lesquelles elles peuvent l'être, respectivement dans la zone administrative et dans la zone sécurisée. Dans son avis, le Conseil d'Etat demande que l'article 41, alinéas 3 et 4, soit révisé afin de préciser que l'entité est tenue de prendre les mesures permettant d'empêcher toute consultation. Cette disposition a été adaptée en ce sens.

Section 2. - Zones administratives et sécurisées

Tout d'abord, cette section porte sur la mise en place des zones administrative et sécurisée. Elle comprend également les conditions d'accès aux zones administrative et sécurisée, et aborde ensuite la procédure d'approbation d'une zone sécurisée.

Articles 42 et 43

Les articles 42 et 43 n'appellent pas de commentaire supplémentaire.

Sans préjudice de l'article 39, deux types de zones physiquement protégées sont créés, afin de protéger physiquement les informations classifiées, au sein d'une installation physique

1° la zone administrative ; et

2° la zone sécurisée.

Les zones administratives doivent au moins répondre aux conditions suivantes

1° un périmètre défini est établi de façon visible afin de permettre le contrôle des personnes et, dans la mesure du possible, des véhicules ;

2° seules les personnes qui y ont été spécifiquement autorisées par le chef de l'entité ou son remplaçant en vue d'accomplir un rôle ou une tâche spécifique peuvent pénétrer dans cette zone sans être escortées par une personne habilitée;

3° si le chef de l'entité ou son remplaçant autorise d'autres personnes à pénétrer dans cette zone, celles-ci sont toujours escortées par une personne habilitée.

L'article 44 définit les conditions d'accès à une zone sécurisée. A la suite d'une remarque formulée par le Conseil d'Etat dans son avis et par analogie avec les dispositions de l'article 8, § 2, alinéa 1er, de la loi, il a été précisé à l'article 44, § 1er, 2°, que les compétences propres des autorités judiciaires n'étaient pas affectées. Cela signifie que les magistrats sont exemptés des exigences de l'article 44, § 1er, 2°, pendant l'exercice de leurs fonctions judiciaires et qu'ils ont accès à la zone sécurisée sans être escortés.

En réponse à une remarque formulée par le Comité permanent R dans son avis, les précisions nécessaires ont été apportées à l'article 44, § 1er, 3°, afin de clarifier que le fait d'être titulaire d'une habilitation de sécurité et d'une autorisation spécifique du chef de l'entité s'appliquait cumulativement à l'accès à la zone sécurisée sans être escorté. L'absence de l'une ou de l'autre conduit à ce que l'on ne puisse pénétrer dans la zone sécurisée que sous escorte.

Enfin, le Comité permanent R relève, dans son avis (point 4), que la possibilité prévue à l'article 8, § 2, alinéa 2, de la loi n'était pas développée.

L'article 8, § 2, al. 2 de la loi prévoit que les autorités désignées par le Roi peuvent conditionner l'accès aux locaux, bâtiments ou sites où se trouvent des informations classifiées, notamment à la possession d'une habilitation de sécurité.

Comme indiqué plus haut, l'article 44, § 1er, 2° du présent arrêté reprend le principe selon lequel l'accès à une zone sécurisée est conditionné à la possession d'une habilitation de sécurité (et à l'autorisation du chef de l'entité). Il est possible de déroger au principe de la possession d'une habilitation de sécurité, si la personne non habilitée est escortée par une personne habilitée pendant son accès à la zone sécurisée (voir article 44, § 1, 3° du présent arrêté).

Pour répondre à la remarque du Comité permanent R, l'article 44, § 2 du présent arrêté prévoit que ce sont les autorités visées à l'article 12 qui peuvent établir des zones sécurisées, sachant que l'accès à cette zone est conditionné à la possession d'une habilitation de sécurité, comme mentionné ci-dessus (voir article 44, § 1, 2° du présent arrêté). Pour ces autorités, il est en effet évident qu'elles ont besoin d'une zone sécurisée, qu'elles peuvent donc mettre en place, étant donné qu'elles peuvent classifier jusqu'au niveau " TRES SECRET ". Bien entendu, cette zone de sécurité doit également être homologuée par l'Autorité nationale de Sécurité et elles doivent introduire une demande à cet effet conformément à la procédure décrite dans le présent arrêté. Toutefois, la nécessité d'établir cette zone sécurisée sera déjà présumée en vertu de l'article 44, § 2.

La désignation des autorités visées à l'article 12, à savoir les autorités compétentes pour classifier au niveau " TRES SECRET " se justifie par le fait que la mesure de sécurité exigée pour la consultation d'informations classifiées au niveau " TRES SECRET " correspond à l'exigence de se trouver dans une zone sécurisée (voir article 41 du présent arrêté).

Les autorités autres que celles visées à l'article 12, ou les personnes morales qui ont besoin d'une zone sécurisée parce qu'elles utilisent des informations classifiées, soumettent la demande à cet effet à l'Autorité nationale de Sécurité, conformément à la procédure décrite dans le présent arrêté, qui évaluera la nécessité de cette zone, comme c'est le cas pour une demande d'habilitation de sécurité.

Cet article n'appelle aucun commentaire.

A la question de savoir s'il existe un modèle de déclaration de conformité, la déléguée du Ministre a indiqué ce qui suit

" Deze documenten zullen op de website van de Nationale Veiligheidsoverheid ter beschikking worden gesteld. Dit laat toe om deze documenten snel aan te passen indien nodig ".

La section de législation se demande si ce modèle ne gagnerait pas à être annexé à l'arrêté royal examiné, à l'instar des modèles qui figurent aux annexes 2 à 5 du projet.

Cette observation vaut également pour la déclaration de conformité visée à l'article 50, alinéas 2 et 3, du projet.

Cet article n'appelle aucun commentaire.

La disposition examinée s'inscrit dans la section 2 du titre III, chapitre 2, du projet, relative aux zones administratives et sécurisées.

Les articles 42 à 47 du projet sont consacrés à la procédure d'approbation de ces zones.

S'agissant de la zone de sécurité, l'article 47 prévoit que l'Autorité nationale de Sécurité notifie à l'officier de sécurité sa décision concernant l'approbation de la zone au sein de l'installation physique. D'après l'article 48 examiné, tout changement apporté à l'installation physique en question doit être immédiatement signalé à l'Autorité nationale de Sécurité.

Le dispositif reste toutefois en défaut de préciser les conséquences qui s'attachent à ce signalement en manière telle que la question se pose de savoir si l'ensemble de la procédure d'approbation doit à nouveau être appliquée ou non.

Le dispositif sera revu compte tenu de l'observation.

L'article 49 dispose que l'Autorité nationale de Sécurité détermine les mesures de protection minimales supplémentaires de nature administrative et technique des systèmes de communication et d'information pour les informations classifiées. Il s'agit de mesures qui contribuent à la protection de l'information et garantissent les propriétés de confidentialité, d'intégrité, de disponibilité, de non-répudiation et d'authenticité. L'application d'un ensemble de mesures de protection est basée sur la gestion et l'évaluation des risques de sécurité, dans le but d'établir une sécurité proportionnelle avec un équilibre acceptable entre les besoins des utilisateurs, l'investissement requis et le risque de sécurité résiduel. Plus concrètement, il s'agit des mesures de protection techniques des systèmes et réseaux de télécommunication dans lesquels des données classifiées sont utilisées. La directive n'ajoute pas de nouvelles règles juridiques, mais interprète et concrétise l'arrêté d'exécution. En raison de la complexité technique et pour des raisons de sécurité, il convient de partir du principe que l'Autorité nationale de Sécurité, qui doit veiller au respect de ces mesures de protection, est également la mieux placée pour les élaborer en connaissance de cause.

L'article 50 prévoit l'obligation pour l'officier de sécurité d'évaluer si un système de communication et d'information offre les garanties suffisantes en ce qui concerne la confidentialité, l'intégrité et la disponibilité du système et des informations qu'il contient. L'article aborde ensuite la déclaration de conformité que l'officier de sécurité doit envoyer à l'Autorité nationale de Sécurité.

Dans son avis, le Conseil d'Etat pose la question de savoir si le modèle de déclaration de conformité doit être ajouté en annexe à l'arrêté royal, à l'instar des modèles déjà repris aux annexes 2 à 5.

Les auteurs soulignent cependant que les évolutions techniques en matière de protection des systèmes de communication et d'information et les informations qu'ils contiennent peuvent entraîner la nécessité de modifier (le modèle de) la déclaration de conformité d'un système de communication et d'information. En ce sens, (le modèle de) la déclaration de conformité se distingue fondamentalement des modèles repris aux annexes 2 à 5. Pour cette raison, et afin d'éviter toute confusion possible due à la diffusion de différents modèles au moyen de l'annexe de l'arrêté royal, d'une part, et du site web de l'Autorité nationale de Sécurité, d'autre part, les auteurs ont choisi de ne pas ajouter de modèle de déclaration de conformité en annexe de l'arrêté royal.

Articles 51 et 52

L'article 51 n'appelle aucun commentaire.

L'article 52 prévoit que, pour les systèmes d'information utilisant des informations classifiées de niveau " RESTREINT ", l'Autorité nationale de Sécurité PEUT demander à l'entité de soumettre le système concerné à des tests de sécurité afin de vérifier que les garanties suffisantes sont atteintes en termes de confidentialité, d'authenticité et de non-répudiation de ces systèmes et des informations qu'ils contiennent.

Tant l'OTAN que l'UE autorisent que des entités approuvent par elles-mêmes leur système de communication et d'information jusqu'au niveau " RESTREINT " tout au plus. Les auteurs du présent projet ne sont toutefois pas favorables à ce genre d'auto-homologation ou d'auto-accréditation pour des raisons de sécurité, et préfèrent que l'Autorité nationale de Sécurité examine la documentation fournie en ce qui concerne la sécurité, y compris la gestion des risques et les déclarations sur les risques résiduels, les spécifications des exigences en matière de sécurité liées au système, les documents attestant la mise en oeuvre/le déploiement de la sécurité et les procédures de sécurité opérationnelle, ainsi que la garantie que cette documentation est conforme aux règles et aux directives imposées par l'Autorité nationale de Sécurité. L'Autorité nationale de Sécurité effectue un contrôle physique à un stade ultérieur afin d'éviter qu'un certain nombre d'entités belges ne puissent, à défaut d'approbation d'un système de communication et d'information en temps et en heure, prendre part à des projets lancés par l'OTAN ou l'UE.

L'Autorité nationale de Sécurité vérifie la déclaration de conformité. A cet effet, l'Autorité nationale de Sécurité peut utiliser la documentation technique ou, le cas échéant, demander une documentation technique supplémentaire.

Pour les systèmes de communication et d'information utilisant des informations classifiées de niveau " RESTREINT ", l'Autorité nationale de Sécurité peut demander à l'entité de soumettre le système de sécurité concerné à des tests de sécurité afin de vérifier que les garanties suffisantes sont atteintes en termes de confidentialité, d'intégrité, de disponibilité, d'authenticité et de non-répudiation de ces systèmes et des informations qu'ils contiennent. De surcroît, l'Autorité nationale de Sécurité peut vérifier que les mesures techniques et non techniques sont correctement implémentées, intégrées et configurées.

Pour les systèmes de communication et d'information utilisant des informations classifiées de niveau " CONFIDENTIEL " ou supérieur, l'Autorité nationale de Sécurité demande à l'entité de soumettre le système concerné à des tests de sécurité afin de vérifier que les garanties suffisantes sont atteintes en termes de confidentialité, d'intégrité, de disponibilité, d'authenticité et de non-répudiation de ces systèmes et des informations qu'ils contiennent. De surcroît, l'Autorité nationale de Sécurité vérifie que les mesures techniques et non techniques sont correctement implémentées, intégrées et configurées.

1. Dans l'hypothèse où l'Autorité Nationale de Sécurité adopte une décision de refus d'approbation du système de communication et d'information, la déléguée du Ministre a répondu comme suit à propos de la possibilité d'un recours contre ce type de décision

" Deze beslissing tot weigering van de goedkeuring van een communicatie- en informaticasysteem vormt een administratieve beslissing, waartegen een beroep open staat bij de afdeling bestuursrechtspraak van de Raad van State overeenkomstig artikel 14 van de gecoördineerde wetten op de Raad van State, tenzij de wetgever in de toekomst nog zal beslissen om dit toe te vertrouwen aan een specifiek daartoe opgericht administratief rechtscollege, zoals het Beroepsorgaan inzake veiligheidsmachtigingen, - attesten of - adviezen. Dit is echter niet aan de opstellers van het ontwerpbesluit om te beslissen ".

Cette réponse vaut également pour l'article 61 du projet, en cas de décision de refus d'approbation d'un produit cryptographique, et pour les articles 107 et 111 du projet, pour les cas de suspension (immédiate) ou de retrait de l'approbation.

2. Invitée à justifier la période fort réduite, prévue au paragraphe 2, durant laquelle une demande de renouvellement doit être introduite, la déléguée du Ministre a indiqué ce qui suit

" - Mbt de geldigheidsduur van de beslissing tot goedkeuring van een communicatie- en informatiesysteem: in de vroegere wet van 11 december 1998 betreffende de classificatie en de veiligheidsmachtigingen, veiligheidsattesten en veiligheidsadviezen (artikel 13, 2° ) luidde de definitie van veiligheidsmachtiging als volgt: `[...] - een rechtspersoon voldoende garanties biedt inzake de materiële en de technische middelen en de methoden, gebruikt om deze gegevens te beschermen, en inzake [...]'. De goedkeuring van een communicatie- en informatiesysteem maakte bijgevolg deel uit van een veiligheidsmachtiging voor rechtspersonen. De wetgever heeft er in de wet van 7 april 2023 houdende wijziging van de wet van 11 december 1998, betreffende de classificatie en de veiligheidsmachtigingen, veiligheidsattesten en veiligheidsadviezen voor gekozen om hier een aparte beslissing van te maken (zie artikel 1bis, 10° en artikel 1quater, 6° ). De veiligheidsmachtiging wordt volgens het koninklijk besluit van 24 maart 2000 toegestaan voor een periode van maximum vijf jaar (hetgeen dus eveneens korter kon zijn).

In het ontwerpbesluit wordt een geldigheidsduur van maximum drie jaar voorzien voor informatie- en communicatiesystemen (artikel 53, § 2 van het ontwerpbesluit), omwille van de snelle technologische evolutie. Idem voor cryptografische producten (artikel 61 van het ontwerpbesluit).

- Mbt de vraag tot hernieuwing van de beslissing tot goedkeuring: een termijn tussen de zes en de zeven maanden vóór het einde van de geldigheidsduur van de beslissing werd door de diensten realistisch geacht. Het kan immers niet de bedoeling zijn dat de aanvraag een dag vóór het einde van de geldigheidsduur van de beslissing wordt aangevraagd en de functionele autoriteit vervolgens zonder homologatie verder werkt met het communicatie- en informatiesysteem. De termijn voor de vraag tot hernieuwing is nieuw en stond nog niet in het huidige koninklijk besluit van 24 maart 2000 ".

Ces éléments de réponse figureront dans le rapport au Roi suggéré dans l'observation préalable n° 2.

L'article 54 dispose que l'Autorité nationale de Sécurité fixe les exigences minimales administratives et techniques en termes d'évaluation, d'approbation, d'utilisation, y compris du compte cryptographique, de transport, de partage, de conservation, de gestion, y compris la production des clés cryptographiques, et de destruction du matériel cryptographique destiné au traitement des informations classifiées.

L'Autorité nationale de Sécurité est habilitée à délivrer, modifier, suspendre ou révoquer les approbations des produits cryptographiques. Une approbation signifie que certains produits cryptographiques peuvent être utilisés comme mesure de protection des informations classifiées employées dans les systèmes de communication et d'information. En outre, l'Autorité nationale de Sécurité est également compétente pour gérer le matériel cryptographique destiné à la protection des informations classifiées, y compris les clés cryptographiques, en Belgique. La gestion comprend également le partage de matériel cryptographique national et international pour les utilisateurs. Le matériel cryptographique international est principalement, mais pas exclusivement, celui utilisé dans les contextes de l'UE, de l'OTAN et de l'ESA. L'Autorité nationale de Sécurité garde le contrôle sur les utilisateurs belges de ce matériel sensible, obligation par ailleurs inscrite dans la réglementation internationale.

En raison de la complexité technique et pour des raisons de sécurité, il est souhaitable d'exposer plus en détail les mesures fixées par l'arrêté d'exécution par le biais d'une directive de l'Autorité nationale de Sécurité. Compte tenu de la complexité technique et dans l'intérêt de la sécurité, l'Autorité nationale de Sécurité, qui doit veiller au respect de ces mesures de protection, est également la mieux placée pour les élaborer en connaissance de cause.

Articles 55 et 56

Les articles 55 et 56 n'appellent aucun commentaire.

Section 2. - Procédure d'approbation de produits cryptographiques

La section 2 traite de la procédure d'approbation de produits cryptographiques.

Seuls les produits cryptographiques approuvés par l'Autorité nationale de Sécurité peuvent être utilisés pour stocker, traiter et transmettre des informations classifiées.

L'Autorité nationale de Sécurité est l'unique point de contact entre les autorités fonctionnelles d'un système de communication et d'information et les titulaires de comptes cryptographiques de produits cryptographiques destinés au traitement d'informations classifiées, d'une part, et les autorités internationales, d'autre part.

Section 2. - Procédure d'approbation de produits cryptographiques

L'article 57 n'appelle aucun commentaire.

L'article 58 dispose que le produit cryptographique est évalué par l'Autorité nationale de Sécurité. A la demande de l'Autorité nationale de Sécurité, cette évaluation peut également être effectuée par le Service général du Renseignement et de la Sécurité des Forces Armées ou par un autre organisme (tel que l'Ecole Royale Militaire) conformément à la politique de sécurité de l'Autorité nationale de Sécurité, par analogie avec ce qui est prévu en matière de gestion et de partage de matériel cryptographique à l'article 3 de l'arrêté royal du 22 décembre 2023 relatif au fonctionnement et à l'organisation de l'Autorité nationale de Sécurité.

Compte tenu de la remarque formulée par le Conseil d'Etat au sujet de la nature " réglementaire " des directives du Conseil national de Sécurité, les auteurs du présent projet ont choisi de supprimer la référence à celles-ci. Les dispositions nécessaires seront prises entre les instances compétentes en ce qui concerne cette évaluation, conformément à la politique de sécurité établie par l'Autorité nationale de Sécurité.

De l'accord de la déléguée du Ministre, les mots " de niveau " RESTREINT " ou supérieur " seront omis.

S'agissant de la compétence donnée au Conseil national de Sécurité de prévoir les cas où l'Autorité nationale de Sécurité peut demander à un autre pays ou une autre instance de procéder à l'évaluation d'un produit cryptographique, la déléguée du Ministre a renvoyé à ses éléments de réponse reproduits dans l'observation générale n° III et a suggéré d'omettre, à l'article 60, les mots " Dans les cas prévus par le Conseil national de Sécurité ".

L'article 60 sera modifié en ce sens.

L'article 61 dispose que l'Autorité nationale de Sécurité notifie sa décision concernant l'approbation d'un produit cryptographique à l'autorité fonctionnelle du système de communication et d'information. Si l'Autorité nationale de Sécurité prend une décision de refus d'approbation d'un produit cryptographique, il s'agit d'une décision administrative contre laquelle un recours peut être introduit devant la section du contentieux administratif du Conseil d'Etat conformément à l'article 14 des lois coordonnées sur le Conseil d'Etat, à moins que le législateur ne décide à l'avenir de confier cette compétence à une juridiction administrative spécifique créée à cet effet, tel que l'Organe de recours en matière d'habilitations de sécurité, attestations de sécurité ou avis de sécurité.

Articles 63 et 63

Les articles 62 et 63 n'appellent aucun commentaire.

Section 3. - Gestion et distribution du matériel cryptographique

La section 3 traite de la gestion et de la distribution du matériel cryptographique.

L'Autorité nationale de Sécurité tient un registre des produits cryptographiques qu'elle a approuvés.

L'autorité fonctionnelle d'un système de communication et d'information procède au moins une fois par an à une analyse des menaces relatives aux éventuelles compromissions du produit cryptographique approuvé et la transmet à l'Autorité nationale de Sécurité.

Section 3. - Gestion et distribution du matériel cryptographique

Interrogée à propos du fondement légal de l'article 64, par lequel le Roi impose la possession d'une licence cryptographique, compte tenu de ce que si l'article 7, § 1er, alinéa 2, de la loi du 11 décembre 1998 prévoit certes que " [l]e Roi détermine, par arrêté délibéré en Conseil des ministres, les modalités concernant les procédures d'approbation visées à l'article 1bis, 11°, 12° et 13° ", aucun de ces points n'est relatif à une licence cryptographique, la déléguée du Ministre a précisé ce qui suit

" Het beheer en de verdeling van cryptografisch materiaal is een bevoegdheid van de Nationale Veiligheidsoverheid (artikel 1quater, 8° van de Classificatiewet). Opdat de Nationale Veiligheidsoverheid cryptografisch materiaal kan verdelen aan instanties die dit materiaal wensen te gebruiken voor het versturen van geclassificeerde informatie, is een door de Nationale Veiligheidsoverheid goedgekeurde crypto-licentie nodig. Zoniet zou de werking van de Nationale Veiligheidsoverheid met betrekking tot het beheer en de verdeling van het cryptografisch materiaal ernstig verstoord worden. De wetgever heeft in artikel 1ter van voormelde wet bepaald dat de Nationale Veiligheidsoverheid een veiligheidsoverheid is waarvan de werking en de organisatie bepaald worden door de Koning, bij een besluit vastgesteld in overleg in de Ministerraad. Artikel 64 van het ontwerpbesluit heeft hierop betrekking. Artikel 1ter van voormelde wet wordt ook vermeld in de rechtsgronden die worden opgesomd in de aanhef van het ontwerpbesluit.

Verder stelt artikel 7, § 1 van voormelde wet dat de Koning, bij een besluit vastgesteld na overleg in de Ministerraad, de nadere regels bepaalt van de bescherming en de declassificatie van geclassificeerde informatie. Het bezit van een door de Nationale Veiligheidsoverheid goedgekeurde crypto-licentie is vereist alvorens cryptografisch materiaal aan de bezitter ervan kan worden verdeeld voor het gebruik van geclassificeerde informatie ".

Ces éléments de réponse figureront dans le rapport au Roi dès lors qu'ils permettent de localiser les fondements légaux de la disposition en projet dans les articles 1ter et 7 de la loi du 11 décembre 1998.

Articles 67 et 68

S'agissant de déterminer ce qu'il y a lieu d'entendre par " circonstances exceptionnelles ", ainsi que l'indique la déléguée du Ministre, les hypothèses visées à l'article 67, (a) et (b), doivent être comprises comme étant exhaustives. En outre, elle précise que les hypothèses visées au (a) et (b) doivent être cumulativement réunies.

Compte tenu de ces précisions, à l'article 67, les mots " Dans des circonstances exceptionnelles, " seront omis et les mots " les circonstances exceptionnelles suivantes sont cumulativement réunies " seront insérés après le mot " si ".

Par ailleurs, à l'article 68, il y a lieu d'écrire " Dans les circonstances exceptionnelles visées à l'article 67 ".

Le possesseur d'un compte cryptographique tient un registre du matériel cryptographique qu'il gère.

L'Autorité nationale de Sécurité tient un registre du matériel cryptographique qu'elle a distribué.

Section 4. - Situations d'urgence

Les informations classifiées de niveau de classification " RESTREINT " ou " CONFIDENTIEL " peuvent être transmises au moyen d'un produit cryptographique approuvé pour un niveau de classification inférieur ou sans cryptage, lorsque les circonstances exceptionnelles suivantes se produisent simultanément

(a) une crise, un conflit ou une situation de guerre menace d'éclater ou a éclaté ; et

(b) il est d'une importance capitale de recevoir les informations rapidement, le cryptage n'est pas disponible et l'on estime que les informations classifiées concernées arriveront trop tardivement pour neutraliser la menace.

Dans des circonstances exceptionnelles, lorsqu'il est capital d'agir rapidement, que le cryptage est indisponible et que l'on estime que les informations classifiées concernées arriveront trop tardivement pour neutraliser la menace, les informations de niveau " RESTREINT " peuvent être transmises sans avoir été cryptées.

L'article 69 n'appelle aucun commentaire.

CHAPITRE 5. - Mesures de protection relatives aux personnes physiques et morales

Section 1re. - Habilitation de sécurité pour les personnes physiques

Sous-section 1re. - Généralités

Le chapitre 5 contient les mesures de protection relatives aux personnes physiques et morales et la section 1 traite de l'habilitation de sécurité pour les personnes physiques.

Le paragraphe 3 ne déroge qu'au paragraphe 2 du même article ; la disposition sera revue en conséquence.

Au paragraphe 1er, à défaut d'être en mesure d'en préciser la portée, le mot " précisément " sera omis.

Dans la version française de l'alinéa 1er, il y a lieu de se référer aux documents visés " à l'article 17, alinéa 3, de la loi ".

Dès la réception des documents visés à l'article 17, alinéa 3, de la loi dûment complétés, l'officier de sécurité dispose d'un délai de quinze jours pour les transmettre à l'Autorité nationale de Sécurité ou aux autorités de sécurité visées à l'article 1quinquies de la loi.

A la question de savoir si l'Autorité nationale de Sécurité doit également se prononcer sur la recevabilité d'une demande d'habilitation de sécurité dans un certain délai, compte tenu de ce que tant l'officier de sécurité (15 jours - article 73) que le service de renseignement et de sécurité (2 à 6 mois selon le niveau de confidentialité, le cas échéant prolongé de 3 mois - article 76) sont tenus par des délais, la déléguée du Ministre a indiqué ce qui suit

" Neen, een specifieke termijn is niet voorzien voor de controle van de aanvraag. De tekst spreekt van `onverwijld' dwz zo snel mogelijk (artikel 74 ontwerpbesluit). De beslissing gebeurt gelijktijdig met de overzending van het dossier naar de inlichtingen- en veiligheidsdiensten (de factuur voor de betaling van de retributie wordt dan ook automatisch verzonden). In de praktijk verloopt dit vrij snel, gezien dit normaliter digitaal gebeurt (via het platform HABIL+). Maar de opstellers van het ontwerpbesluit wilden de mogelijkheid behouden om, bijvoorbeeld bij een panne van HABIL+, de overzending manueel te laten verlopen. Er is geen bezwaar om de term `onverwijld' te vervangen door `een maand' zoals in artikel 25, tweede lid van het huidige koninklijk besluit van 24 maart 2000 ".

Ces explications gagneront à figurer dans le rapport au Roi dans la mesure où elles éclairent le choix de ne pas fixer un tel délai pour l'Autorité nationale de Sécurité.

Par sécurité juridique et à l'instar de ce que prévoit l'article 80, alinéa 2, du projet, il convient de se référer à l'article 71, § 2, alinéa 7, qui concerne précisément les cas où la demande est signée " par l'autorité directement concernée ou par la personne qui requiert une habilitation de sécurité ".

Interpellée sur le fait que les délais fixés n'apparaissent pas être cohérents avec ceux visés à l'annexe 2 - Note explicative, point 2. c. et interrogée dès lors sur la manière dont les délais de 6, 7 et 10 mois visés dans cette note explicative sont calculés, la déléguée du Ministre a apporté les éléments de réponse suivants

" Artikel 76 van het ontwerp spreekt over 2 maanden voor het onderzoek voor het niveau vertrouwelijk, 3 maanden voor het niveau geheim en 6 maanden voor het niveau zeer geheim. Deze termijn verwijst enkel naar de duurtijd van het veiligheidsonderzoek door de inlichtingen- en veiligheidsdiensten.

Het doel van de verklarende nota is aan betrokkene uitleg te geven over de aanvraagprocedure inzake de veiligheidsmachtigingen. De termijnen vermeld in de verklarende nota willen betrokkene informeren over de totale vermoedelijke wachttijd.

De aanvraagprocedure voorziet dat de veiligheidsofficier over 15 dagen beschikt om de documenten aan de NVO over te zenden. De NVO heeft ongeveer een maand (`onverwijld') om deze over te zenden naar de inlichtingen- en veiligheidsdiensten. De inlichtingen-en veiligheidsdiensten beschikken over 2, 3 of 6 maanden om hun onderzoek af te ronden. Zodra de Nationale Veiligheidsoverheid de resultaten van het veiligheidsonderzoek heeft ontvangen, heeft ze één maand de tijd om zich over de aanvraag om een veiligheidsmachtiging uit te spreken en haar beslissing aan de veiligheidsofficier over te zenden.

De betrokkene zal dus ongeveer 5 maanden moeten wachten voor een veiligheidsmachtiging van het niveau `vertrouwelijk', 6 maanden voor het niveau `geheim' en 9 maanden voor het niveau `zeer geheim'. De in de bijlage vermelde termijnen moeten bijgevolg aangepast worden door de opstellers van het ontwerp ".

Il convient toutefois de réitérer les observations suivantes, formulées dans l'avis 29.381/2 donné le 12 juillet 1999 sur un projet devenu l'arrêté royal du 24 mars 2000 `portant exécution de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité', sur les potentielles incohérences entre le dispositif envisagé et la note explicative en annexe

" 3. Quant au point 3, d., de la note explicative qui fixe certains délais à respecter, ceux-ci doivent être insérés dans le dispositif en projet plutôt que dans une annexe. A cet égard, le Conseil d'Etat s'interroge sur les délais prévus au point (2) qui se différencient de ceux fixés par l'article 9, point 3, du projet.

Une telle façon de faire peut engendrer la plus grande insécurité juridique, ces délais étant d'autant plus importants qu'ils sont déterminants pour la procédure de recours organisée devant le Comité permanent R en vertu de la loi du 11 décembre 1998 portant création d'un organe de recours en matière d'habilitations de sécurité.

Comme expliqué ci-dessus sous le point 1 les règles essentielles doivent se trouver dans le projet d'arrêté et non dans une note explicative ".

Le modèle des documents visés à l'article 17, alinéas 1er et 2, de la loi, est repris dans les annexes 2 à 5.

L'accord ou le retrait prévus à l'article 16 de la loi s'effectue par l'envoi électronique d'un formulaire d'accord à l'officier de sécurité.

S'il n'est pas possible de procéder via un envoi électronique, cet envoi se fait selon les modalités prévues à l'article 17, alinéa 2 de la loi.

Sous-section 5. - Décision concernant l'habilitation de sécurité

Dès la réception des résultats de l'enquête de sécurité, l'Autorité nationale de Sécurité ou les autorités de sécurité visées à l'article 1quinquies de la loi disposent d'un délai d'un mois pour statuer sur la demande d'habilitation de sécurité et transmettre la décision à l'officier de sécurité.

Les mots " à l'autorité directement concernée ou " seront insérés entre les mots " sa décision " et les mots " à la personne concernée ".

La sous-section 6 traite de la durée de validité de l'habilitation de sécurité et contient l'article 81, qui n'appelle pas de commentaire supplémentaire.

Sous-section 7. - Enquête de sécurité complémentaire

1. A l'alinéa 3, il y a lieu d'écrire " des éléments visés aux alinéas 1er et 2 [...] ".

2. Au même alinéa, la deuxième phrase, qui se borne à rappeler qu'une disposition de la loi du 11 décembre 1998 peut, le cas échéant, s'appliquer, sera omise.

Articles 83 et 84

L'article 83 prévoit que toute personne morale peut être autorisée à accéder à des informations classifiées pour autant que le besoin d'en connaître soit reconnu par l'autorité et que cette personne morale dispose d'une habilitation de sécurité pour les personnes morales.

Quant à l'article 84, alinéa 2, il prévoit que, pour ce qui concerne les marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées de niveau " restreint ", l'administrateur ICT doit être en possession d'une habilitation de sécurité du niveau fixé par une directive du Conseil national de Sécurité.

Or l'article 8, § 2, alinéa 3, de la loi du 11 décembre 1998 précise que, par dérogation à l'alinéa 1er de la même disposition, une personne ne doit pas être titulaire d'une habilitation de sécurité pour avoir accès aux informations classifiées de niveau restreint.

Dès lors, en ce qu'il vise l'ensemble des informations classifiées, sans prévoir d'exception concernant celles de niveau restreint, l'article 83 du projet n'est pas conforme à l'article 8, § 2, de la loi. Il en est de même en ce qui concerne l'article 84, alinéa 2, en ce qu'il contient l'exigence de détenir une habilitation de sécurité pour ce type d'informations.

Les deux dispositions seront revues à la lumière de cette observation.

L'article 83 du projet d'arrêté royal prévoit que " toute personne morale peut être autorisée à accéder à des informations classifiées pour autant que le besoin d'en connaître soit reconnu par l'autorité et que cette personne morale dispose d'une habilitation de sécurité pour les personnes morales ".

L'article 83 a été conçu comme une disposition introductive qui, par analogie avec l'article 8 de la loi, définit les conditions de base auxquelles une personne morale peut accéder à des informations classifiées. Par analogie avec les règles applicables aux personnes physiques, les personnes morales ne peuvent accéder aux informations classifiées que si elles disposent d'une habilitation de sécurité correspondante pour les personnes morales et si elles ont le besoin d'en connaître. Sur avis du Conseil d'Etat (p. 25), il est précisé que, conformément à l'article 8 § 2 de la loi, l'habilitation de sécurité n'est pas requise pour les informations classifiées de niveau " RESTREINT ". Les personnes physiques sont soumises à l'exigence supplémentaire de recevoir un briefing de sécurité. Etant donné qu'une personne morale ne peut pas recevoir de briefing, cette troisième condition n'a pas été retenue pour les personnes morales.

Le Comité permanent R a indiqué dans son avis (p. 5, § 9) qu'il n'était pas possible de déterminer si le terme " autorité " se référait au pouvoir adjudicateur ou à l'autorité de sécurité. Afin de préciser qu'il s'agit ici de l'autorité de sécurité, le texte du projet d'arrêté royal a été adapté en conséquence.

En outre, le Conseil d'Etat a indiqué dans son avis qu'une exception devrait être prévue pour le niveau RESTREINT (p. 25). Il convient ici de se référer au commentaire relatif à l'article 84, alinéa 2, du présent arrêté.

L'article 84, alinéa 1er, du projet d'arrêté royal prévoit que seules les personnes morales ayant leur siège en Belgique peuvent obtenir une habilitation de sécurité.

Les auteurs du projet d'arrêté estiment que l'exigence d'avoir le siège social en Belgique pour être éligible aux marchés publics classifiés ne s'oppose pas à la libre circulation des services car elle se justifie pour des raisons d'intérêt public, à savoir la sécurité nationale, et du fait que la mesure est proportionnée à l'objectif poursuivi.

En l'occurrence, il ne s'agit pas d'une exigence de nationalité. Les personnes morales étrangères peuvent également soumissionner à de tels marchés si elles ont leur siège social ou une unité d'établissement en Belgique. Les personnes morales titulaires d'une habilitation de sécurité étrangère reconnue par l'Autorité nationale de Sécurité en application d'un accord international peuvent également soumissionner à ces marchés.

Dans son avis (p. 8), le Conseil d'Etat considère que la possibilité de faire valoir une habilitation de sécurité délivrée à l'étranger ne s'applique qu'aux marchés publics dans le domaine de la défense et de la sécurité, et donc pas dans les domaines relevant en principe de la loi du 17 juin 2016.

Cela aurait pour conséquence que les personnes morales n'ayant pas de siège social en Belgique, mais qui satisfont à toutes les exigences de sécurité sur la base d'une attestation délivrée par une autorité étrangère et reconnue par l'Autorité nationale de Sécurité en vertu d'un accord international, ne pourraient pas soumissionner à des marchés publics. Le Conseil d'Etat estime que cette exclusion n'est pas proportionnée.

La loi du 13 août 2011 relative aux marchés publics dans les domaines de la défense et de la sécurité restera d'application lorsque l'utilisation d'informations classifiées s'avère nécessaire. Cela découle de la définition des équipements sensibles. Les équipements sensibles sont définis comme les " équipements, travaux et services destinés à des fins de sécurité qui font intervenir, nécessitent et/ou comportent des informations classifiées " (art. 3, 17°, de la loi précitée).

La situation décrite par le Conseil d'Etat ne peut pas se produire dans la réalité car les entreprises n'invoqueront les habilitations de sécurité étrangères que lorsqu'il s'agit d'informations classifiées et, par définition, la loi du 13 août 2011 est dès lors d'application.

Sur la base de ce qui précède, les auteurs estiment que la disposition du projet d'arrêté royal est conforme au droit européen.

A la demande du Comité permanent R (point 10 de l'avis), la possibilité de déroger à l'exigence de nationalité par un traité ou un accord de sécurité a été explicitement prévue dans un souci de clarté. Cette disposition est prévue à l'alinéa 2 du présent arrêté.

L'article 84, alinéa 3, du projet d'arrêté prévoit qu'en ce qui concerne les marchés publics impliquant des informations classifiées, l'administrateur ICT doit être titulaire d'une habilitation de sécurité du niveau fixé conformément à la politique de sécurité de l'Autorité nationale de Sécurité.

Le Conseil d'Etat (p. 25) et le Comité R (p. 6) ont noté dans leur avis que cette disposition serait incompatible avec l'art. 8, § 2, de la loi, qui dispose qu'une personne ne doit pas être titulaire d'une habilitation de sécurité pour accéder à des informations classifiées de niveau " RESTREINT " et, par conséquent, que cette disposition devait être révisée.

Pour ce qui concerne les marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées de niveau " RESTREINT ", l'Autorité nationale de Sécurité détermine la nécessité d'une habilitation de sécurité pour l'administrateur ICT et, le cas échéant, son niveau. Ainsi, une habilitation de sécurité peut être considérée comme nécessaire pour le niveau " RESTREINT " pour un administrateur ICT.

Les auteurs du projet d'arrêté royal sont d'avis que cette disposition est bel et bien conforme à l'article 8 de la loi. Les règles selon lesquelles une personne n'a pas besoin d'une habilitation de sécurité ne s'appliquent qu'à l'accès aux informations classifiées stricto sensu, c'est-à-dire au contenu d'un document. Il ne s'agit pas de l'accès privilégié au système de communication et d'information dans lequel les informations classifiées sont utilisées. Il s'agit ici de la protection de l'ICT.

L'obligation éventuelle imposée à l'administrateur ICT d'être titulaire d'une habilitation de sécurité supérieure au niveau de classification dans lequel l'ICT est utilisé découle des réglementations de l'UE et de l'OTAN. Si l'OTAN ou l'UE lançaient une adjudication publique du niveau " UE/OTAN RESTREINT ", l'UE et l'OTAN prévoiraient des règles stipulant que l'administrateur ICT doit être titulaire d'une habilitation de sécurité supérieure au niveau " UE/OTAN RESTREINT ", c'est-à-dire EU ou OTAN " CONFIDENTIEL ". L'équivalent au niveau " UE/OTAN CONFIDENTIEL " à l'échelle nationale est le niveau " CONFIDENTIEL ". Si cette règle n'est pas respectée, les entreprises ne peuvent pas soumissionner à de tels marchés publics.

Cette mesure trouve son origine dans la distinction entre l'accès à des informations classifiées dont dispose un utilisateur et l'accès privilégié dont dispose un administrateur ICT. L'accès des utilisateurs sera toujours limité sur la base du principe du " besoin d'en connaitre ". Par conséquent, un utilisateur n'a pas besoin d'une habilitation de sécurité pour accéder à des documents classifiés du niveau " RESTREINT ".

Toutefois, un administrateur ICT a accès à toutes les informations déployées au sein du réseau, ainsi qu'aux produits cryptographiques. Ses tâches comprennent la gestion (technique), l'exploitation et la configuration de l'environnement ICT. En d'autres termes, il a un accès total et peut avoir un impact sur l'intégrité du système.

En outre, souvent le caractère sensible ou classifié apparait du fait que différents éléments d'informations sont réunis.

Dès lors, la possession par l'administrateur ICT d'une habilitation de sécurité du niveau fixé par l'ANS est justifiée, y compris en ce qui concerne les marchés publics contenant des informations classifiées de niveau " RESTREINT ".

Le niveau de classification le plus élevé est " TRES SECRET ". Par conséquent, le gestionnaire du système ICT devra avoir une habilitation de sécurité " TRES SECRET " lorsque la personne morale détient une habilitation de sécurité de niveau " TRES SECRET ". Dans ce cas seulement, la personne concernée ne peut pas avoir une habilitation de sécurité plus élevée.

Sous-section 2. - Procédure de demande

L'article 85 du projet d'arrêté définit la procédure de demande d'habilitation de sécurité pour les personnes morales.

L'objectif était de créer une procédure qui soit, dans la mesure du possible, similaire à la procédure de demande d'habilitation de sécurité pour les personnes physiques.

L'article 85, § 1er, du projet d'arrêté énumère les éléments à remettre à l'autorité de sécurité compétente. Le dossier d'habilitation comprend notamment le questionnaire de base complété par l'ensemble des personnes physiques appartenant aux organes de la personne morale.

Toutes les personnes physiques appartenant aux organes de la personne morale doivent soumettre une demande d'habilitation, ce qui ne signifie pas que ces personnes doivent toutes faire l'objet d'une enquête de sécurité. Sur la base du questionnaire de base, l'Autorité nationale de Sécurité détermine le nombre de personnes physiques appartenant aux organes de la personne morale devant être titulaires d'une habilitation de sécurité, étant entendu qu'au moins la moitié d'entre elles doivent en disposer.

Suite à l'avis du Comité permanent R (p.6), la disposition selon laquelle l'Autorité nationale de Sécurité détermine quelles personnes physiques appartenant aux organes de la personne morale doivent être titulaires d'une habilitation de sécurité a été supprimée.

Pour les informations classifiées de l'UE ou de l'OTAN, l'exigence de nationalité belge pour l'un des membres de l'organe d'administration n'est pas imposée. Pour ce faire, il suffit d'être ressortissant d'un Etat membre de l'une de ces organisations vu qu'en l'occurrence, il s'agit - logiquement - de la protection de la " sécurité nationale " de l'UE ou de l'OTAN. Il serait disproportionné d'exiger qu'au moins un des membres de l'organe d'administration possède également la nationalité belge.

Cette disposition garantit que la procédure de demande d'habilitation de sécurité pour les personnes morales ne soit pas bloquée inutilement par l'exigence de nationalité belge pour l'un des membres de l'organe d'administration et que les informations classifiées bénéficient toujours de la protection nécessaire.

L'article 85, § 3, de l'arrêté prévoit que la personne chargée de la gestion journalière de la personne morale doit résider et être domiciliée en Belgique. En outre, cette personne doit pouvoir se soumettre à une enquête de sécurité menée par l'un des services de renseignement et de sécurité, conformément à la loi, au présent arrêté et à la directive du Conseil national de Sécurité, comme prévu à l'article 18, alinéa 5, de la loi.

Dans son rapport, le Comité R estime que cette disposition ajoute une condition à la loi et qu'elle devrait donc être supprimée (p. 7). Les auteurs du projet d'arrêté estiment en revanche qu'il ne s'agit pas d'une condition supplémentaire.

La loi dispose qu'une habilitation de sécurité ne peut être délivrée qu'après réalisation d'une enquête de sécurité (articles 16 et suivants de la loi). L'enquête doit être menée conformément aux règles énoncées dans la loi relative à la classification. Si l'enquête ne peut être menée conformément à ces règles, l'habilitation de sécurité ne peut être délivrée. Toute autre conclusion serait contra legem et saperait le système de sécurité. De plus, la Belgique est tenue, en vertu d'accords de sécurité, de s'assurer que les personnes titulaires d'une habilitation de sécurité sont correctement habilitées. Si tel n'était pas le cas, la coopération internationale serait mise en péril.

Si une personne ne réside pas en Belgique pendant une certaine période, l'enquête de sécurité ne peut être menée conformément aux règles susmentionnées, faute d'informations suffisantes.

Sous-section 3. - Appréciation de la recevabilité de la demande

L'article 86 dispose que l'Autorité nationale de Sécurité vérifie que toutes les données mentionnées à l'article 85, § 1er, ont été envoyées. Le Comité précise que le SGRS et la VSSE doivent également être ajoutés à cette disposition (p. 7). Les auteurs du projet d'arrêté royal estiment que cela n'est pas absolument nécessaire dans cette disposition vu que l'Autorité nationale de Sécurité est le point de contact pour les personnes morales. Le SGRS et la VSSE sont uniquement compétents pour mener l'enquête de sécurité. Dans un souci d'exhaustivité, les autorités visées à l'article 1quinquies ont été ajoutées.

L'alinéa 2 gagnera à débuter par les mots " En cas de demande recevable, [...] ".

L'article examiné dispose que les articles 76 à 78 sont applicables aux demandes d'habilitation de sécurité pour les personnes morales.

L'article 77, applicable aux demandes de personnes morales, renvoie aux annexes 2 à 5 pour ce qui concerne le modèle des documents visés à l'article 17, alinéas 1er et 2, de la loi du 11 décembre 1998. Or, ces annexes apparaissent rédigées spécifiquement pour les demandes d'habilitation de sécurité par des personnes physiques.

Interrogée quant à l'utilité d'établir des modèles spécifiques pour les personnes morales, la déléguée du Ministre a indiqué ce qui suit

" Vennootschappen vullen geen basisvragenlijst in, zij verstrekken wel bepaalde gegevens (naam, juridisch statuut, adres, kbo-nummer, aard van de activiteiten, aantal tewerkgestelde personen, omzetcijfer van laatste 5 jaar, aandeelhouders/ vennoten die minstens 20% van de aandelen bezitten) betreffende de rechtspersoon aan de Nationale Veiligheidsoverheid. Zij geven ook geen instemming omdat zij geen persoonsgegevens hebben. Art. 77 verwijst inderdaad naar die bijlagen. Dat moet aangepast worden ".

Le renvoi figurant à l'article 88 sera revu à la lumière de cette observation.

Cet article n'appelle pas de commentaire supplémentaire.

L'article examiné prévoit que la décision est notifiée " aux préposés mentionnés à l'article 85, § 1er, alinéa 1er, 3°, ". La déléguée du Ministre a été invitée à préciser si cette disposition a pour effet que des éléments relatifs à la vie privée de certains préposés, collectés lors de l'enquête et figurant, le cas échéant, dans la décision de refus ou d'octroi de l'habilitation de sécurité, seront portés à la connaissance de l'ensemble des préposés de la personne morale, tels que définis à l'article 1er, 10°, du projet, et, en cas de réponse positive, à justifier en quoi cette règle se concilie avec le principe de protection de la vie privée, en ce compris les données à caractère personnel, garanti notamment par l'article 22 de la Constitution. Elle a apporté les éléments de réponse suivants

" In artikel 90 van het ontwerpbesluit gaat het over de kennisgeving van de beslissing inzake de veiligheidsmachtiging van de rechtspersoon en niet over de veiligheidsmachtiging van de bestuurders. De kennisgeving dient gemotiveerd te zijn.

De kennisgeving zal aangeven of de rechtspersoon voldoet aan de voorwaarden geheimhouding, loyauteit en integriteit. Nooit zullen persoonsgegevens van een bepaalde bestuurder gedeeld worden met andere personen. Wanneer de NVO persoonsgegevens verwerkt in de uitoefening van de Classificatiewet is zij gebonden aan de regels vervat in titel 3, ondertitel 3 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Het delen van persoonsgegevens zou strijdig zijn met de fundamentele beginselen van gegevensverwerking, in casu de minimale verwerking en het beginsel van de doelbinding.

De gegevens van vennootschappen maken geen persoonsgegevens uit. Er worden nooit gegevens betreffende het privé-leven van de aangestelden meegedeeld in de beslissing betreffende de veiligheidsmachtiging van de rechtspersoon. Dit vormt een aparte beslissing ".

Ces éléments de réponse figureront dans le rapport au Roi.

Cet article n'appelle pas de commentaire supplémentaire.

Sous-section 7. - Autres tâches de l'officier de sécurité dans le cadre de la présente section

Invitée à indiquer pour quelle raison une enquête de sécurité complémentaire n'est pas prévue pour les personnes morales, à l'instar de ce qui est prévu pour les personnes physiques à l'article 82 du projet, d'autant plus que cette enquête complémentaire pourrait être justifiée par les éléments communiqués par l'officier de sécurité à l'Autorité nationale de Sécurité sur la base de l'article 92, la déléguée du Ministre a admis que " [d]ezelfde regeling kan inderdaad ook voorzien worden voor rechtspersonen ".

Le projet sera dès lors complété en ce sens.

La correspondance entre la version française et la version néerlandaise de l'alinéa 2 du projet sera assurée 18 .

L'habilitation de sécurité délivrée conformément à l'article 93 concerne exclusivement l'accès aux lieux où sont situés des organismes publics étrangers, en ce compris des installations militaires, des entreprises étrangères ou des institutions étrangères d'enseignement supérieur.

CHAPITRE 6. - Mesures de protection liées aux marchés publics qui impliquent, nécessitent et/ou contiennent des informations classifiées

Etant donné que l'Autorité nationale de Sécurité vérifie que toutes les mesures de protection nécessaires liées aux marchés publics ont été prises pour protéger les informations classifiées pendant la phase de prospection, la procédure d'attribution ainsi que lors de l'exécution d'un marché classifié, elle est également la mieux placée pour élaborer des règles supplémentaires de nature technique et administrative en connaissance de cause.

Articles 96 et 97

Le chapitre 6 définit les mesures de protection liées aux marchés publics qui impliquent ou nécessitent des informations classifiées. Les dispositions de ce chapitre complètent les règles énoncées dans la loi du 13 août 2011 relative aux marchés publics et à certains marchés de travaux, de fournitures et de services dans les domaines de la défense et de la sécurité ; elles ne portent pas préjudice à ces dispositions.

Les marchés impliquant ou nécessitant des informations classifiées relèvent toujours du champ d'application de la loi du 13 août 2011.

Dans le cadre des autres marchés publics (qu'ils soient attribués en vertu d'un accord-cadre ou non), aucun accès ne peut être accordé à des informations classifiées, sauf en cas de nécessité et à moins que les mesures de protection nécessaires ne soient prises à l'égard de l'adjudicataire et de tous les collaborateurs concernés de ce dernier, conformément à la loi, au présent arrêté et aux directives de l'Autorité nationale de Sécurité.

Un pouvoir adjudicateur peut passer des marchés pour des tâches qui impliquent ou nécessitent l'utilisation d'informations classifiées par des entités industrielles ou autres.

A cette fin, le pouvoir adjudicateur doit faire usage de la loi du 13 août 2011 relative aux marchés publics et à certains marchés de travaux, de fournitures et de services dans le domaine de la défense et de la sécurité.

Cet article n'appelle aucun commentaire.

Cet article n'appelle aucun commentaire.

Aux 1°, 3° et 4°, une virgule sera chaque fois insérée après le mot " précontractuel ".

Cet article n'appelle aucun commentaire.

Interrogée à propos de l'application de la règle prévue, soit la restitution des informations classifiées dans les 15 jours de la décision de non-sélection, en cas de recours contre cette décision de non-sélection, compte tenu de ce que pourrait s'avérer contraire au droit effectif au recours garanti par l'article 13 de la Convention européenne des droits de l'homme, le fait que le candidat non retenu n'a pas le droit de conserver ces informations classifiées dans le cadre de la procédure de recours qu'il introduit (pièces à l'appui de son recours, éléments d'appréciation du bien-fondé de celui-ci), la déléguée du Ministre a précisé ce qui suit

" De ter beschikking gestelde geclassificeerde informatie is enkel nodig om de overheidsopdracht te kunnen uitvoeren. Toegang tot geclassificeerde informatie is afhankelijk van twee voorwaarden die cumulatief vervuld dienen te zijn. Deze zijn het hebben van een overeenstemmende veiligheidsmachtiging en de vereiste `need to know' hebben. Indien de vennootschap niet geselecteerd werd, dan beschikt zij niet over de vereiste `need to know' om kennis te kunnen nemen van de geclassificeerde informatie.

Er zal echter door de opstellers van het ontwerpbesluit een bepaling toegevoegd worden die de niet weerhouden kandidaat in staat stelt om zijn rechten uit te oefenen in het kader van een beroepsprocedure ".

Le projet sera utilement complété de la manière suggérée par la déléguée.

L'Autorité nationale de Sécurité exerce le contrôle

1° afin de veiller à l'application (permanente) des mesures de protection minimales requises ;

2° afin de sensibiliser les fonctionnaires dirigeants, les dirigeants des personnes morales, les officiers de sécurité et les personnes de contact pour la sécurité à l'évolution de l'environnement en termes de risques et, au sens large, d'attirer l'attention de l'organisation sur l'importance des mesures de protection ;

3° afin de recommander des contre-mesures au cas où la confidentialité, l'intégrité, la disponibilité, l'authenticité et la non-répudiation des systèmes risquent de ne plus être garanties ;

4° afin de sensibiliser en permanence à la vigilance en matière de sécurité ;

5° dans le cadre de la procédure de demande d'habilitation de sécurité.

A l'alinéa 2, dans la version française, le mot " recommandation " sera remplacé par le mot " proposition " afin de mieux correspondre à la version néerlandaise.

Articles 112 à 114 (titre IV)

Interrogée à propos du fondement légal qui habilite le Roi à prévoir des dispositions relatives à des informations non classifiées et, le cas échéant, à y apposer la mention " SENSIBLE NON CLASSIFIE ", la déléguée du Ministre a indiqué ce qui suit

" Titel IV spreekt inderdaad over niet geclassificeerde gegevens. Deze bepalingen zijn echter een actualisatie van het artikel 20 van het huidige KB dat handelt over `beperkte verspreiding'. De opstellers wensen de markering `beperkte verspreiding' wel degelijk te behouden maar niet de benaming daar dit verwarrend wordt geacht met het classificatieniveau `BEPERKT'. De nieuwe benaming `gevoelig niet geclassificeerd' is overgenomen uit NAVO documenten. Voor de duidelijkheid en de continuïteit werd geopteerd om de behandeling van "gevoelig niet geclassificeerd" in dit ontwerpbesluit behouden.

`Gevoelig niet geclassificeerd' is geen classificatieniveau. De beginselen van openbaarheid van bestuur zijn van toepassing op de documenten die deze markering dragen ".

Si le titre IV contient en effet des dispositions actualisant l'article 20 de l'arrêté royal du 24 mars 2000 qui prévoit une possibilité de " diffusion restreinte " de documents non classifiés, la section de législation ne distingue pas, dans la loi du 11 décembre 1998, le fondement juridique de celles-ci.

L'auteur du projet précisera quel est ce fondement juridique au préambule de l'arrêté en projet. A défaut, ce titre IV sera omis.

L'Autorité nationale de Sécurité visite l'entité contrôlée, de façon annoncée ou non, en vue d'évaluer la mise en oeuvre des mesures de protection prévues par la loi, le présent arrêté et les directives de l'Autorité nationale de Sécurité.

L'Autorité nationale de Sécurité communique un contrôle annoncé au moins un mois à l'avance à l'officier de sécurité de l'entité contrôlée, afin de permettre à ce dernier de prendre les mesures administratives nécessaires pour faciliter le contrôle. En l'absence d'officier de sécurité ou son remplaçant, l'Autorité nationale de Sécurité annonce ce contrôle au fonctionnaire dirigeant, aux personnes assurant la direction de l'entité contrôlée ou à la personne de contact pour la sécurité.

Lors de l'exécution d'une enquête de terrain, qu'elle soit annoncée ou non, les membres de l'Autorité nationale de Sécurité et du Service général du Renseignement et de la Sécurité des Forces armées peuvent se prévaloir des compétences suivantes, notamment

1° s'entretenir avec toute personne potentiellement concernée par la protection des informations classifiées de l'entité contrôlée, en tenant compte des tâches de sécurité spécifiques dont elle est responsable ;

2° consulter toutes les pièces, tous les registres, documents et objets utiles au contrôle et liés à la protection des informations classifiées concernées ;

3° effectuer des contrôles ponctuels sur la manière de protéger les informations classifiées au sein de l'entité ;

4° visiter les différentes zones et implantations où des informations classifiées sont utilisées ;

5° consulter les informations pertinentes dans les systèmes de communication et d'information (en ce compris la sécurité du système, les données de configuration et les fichiers logs).

En cas de violation des mesures de protection, telles que prévues par la loi, le présent arrêté et les directives de l'Autorité nationale de Sécurité, l'Autorité nationale de Sécurité peut procéder à la suspension immédiate ou au retrait de l'approbation si la gravité de la situation le justifie.

Au plus tard deux mois à compter du premier jour ouvrable suivant le contrôle, l'Autorité nationale de Sécurité met le rapport avec ses constatations à la disposition de l'officier de sécurité de l'entité contrôlée.

Le rapport comprend

1° les constatations relatives à l'application des mesures de protection minimales par l'entité concernée ;

2° le cas échéant, les exigences obligatoires à mettre en oeuvre si les mesures de protection minimales ne sont pas respectées;

3° le cas échéant, des recommandations si les mesures de protection minimales ont été respectées mais que la sécurité peut être améliorée.

En l'absence d'un officier de sécurité ou de son remplaçant, l'officier de l'Autorité nationale de Sécurité met ce rapport à la disposition du fonctionnaire dirigeant, des personnes assurant la direction de l'entité contrôlée ou de la personne de contact pour la sécurité.

Au plus tard quinze jours ouvrables à dater de la prise de connaissance du rapport, l'entité contrôlée transmet, le cas échéant, une proposition de mesures correctives à l'Autorité nationale de Sécurité, en indiquant le délai de mise en oeuvre.

Le cas échéant, l'Autorité nationale de Sécurité indique sans délai à l'entité contrôlée si ces mesures correctives sont suffisantes ou si des mesures correctives supplémentaires s'imposent.

L'entité contrôlée prend les mesures correctives nécessaires, sous peine de suspension ou de retrait de l'habilitation de sécurité pour les personnes morales.

TITRE IV. - Dispositions transitoires et finales

L'article 112, alinéa 1er, est une disposition déjà mentionnée dans l'arrêté royal du 24 mars 2000. Cette disposition est nécessaire pour conférer la protection nécessaire aux documents d'archives, qui n'étaient pas classifiés conformément aux dispositions de la loi relative à la classification lors de son entrée en vigueur le 1er juin 2000. Cette disposition n'exclut pas que les documents qui ne sont pas classifiés, mais qui contiennent des éléments classifiés au niveau du contenu (par exemple en ce qui concerne les sources), puissent encore être classifiés conformément aux dispositions de la loi relative à la classification et du présent arrêté d'exécution (éventuellement en application de l'article 21 du présent arrêté). En effet, avant l'entrée en vigueur de la loi relative à la classification, le 1er juin 2000, il n'existait pas de règles univoques relatives à la classification des documents, mais il pouvait s'agir de documents " sensibles ", dont l'utilisation non appropriée pouvait porter atteinte à l'un des intérêts énumérés à l'article 3, § 1er de la loi.

L'article 112, alinéa 2, dispose que les pièces classifiées après l'entrée en vigueur de la loi relative à la classification le 1er juin 2000, mais avant l'entrée en vigueur du présent arrêté, revêtus de la mention " TRES SECRET ", " SECRET " ou " CONFIDENTIEL " et d'une référence à la loi qui ne respecte pas pleinement les exigences de forme énoncées à l'article 16, alinéa 2 ou 3, sont réputées porter le degré de classification correspondant prévu à l'article 4 de la loi. L'objectif est d'éviter que ces pièces ne soient considérées comme " non classifiées " conformément à l'article 16, alinéa 6, du présent arrêté.

Si cet article est maintenu 19 , dès lors que l'alinéa 3 prévoit l'hypothèse de documents rédigés en anglais, à l'alinéa 4, il convient de prévoir les hypothèses où les documents sont rédigés dans une autre langue que le français, le néerlandais, l'allemand ou l'anglais.

Dans la mesure où l'article examiné se borne à rappeler que des documents peuvent être soumis à des règles relatives au secret professionnel ou à une obligation de secret en vertu de la législation applicable, ou à des règles fixées par des dispositions contractuelles, il apparaît sans portée et sera omis.

Articles 115 à 119 (titre V)

Dès lors que le titre V contient des dispositions modificatives ou abrogatoires de l'arrêté royal du 24 mars 2000, ce titre sera intitulé " Modifications de l'arrêté royal du 24 mars 2000 portant exécution de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité ".

Par ailleurs, l'article 123 du projet, qui abroge la plupart des dispositions de cet arrêté royal et détermine lesquelles sont encore applicables, sera inséré dans ce titre V.

Ce faisant, dans un but de sécurité juridique, l'auteur du projet s'assurera de la bonne articulation entre l'article 117 du projet, qui abroge l'article 30quater de l'arrêté royal du 24 mars 2000, et l'article 123, lequel prévoit de manière contradictoire que l'arrêté royal du 24 mars 2000 est abrogé " à l'exception [...] du chapitre IIIbis qui comprend les articles 30bis à 30sexies [...] ", ce qui laisse entendre que l'article 30quater n'est pas abrogé.

L'arrêté royal du 24 mars 2000 portant exécution de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité est abrogé.

Nos Ministres sont chargés, chacun en ce qui le concerne, de l'exécution du présent arrêté.

ANNEXES.

Art. N1 .

(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5130)

Art. N2 .

(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5133)

Art. N3 .

(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5139)

Art. N4 .

(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 5143)

Art. N5.

(Image non reprise pour des raisons techniques, voir M.B. du 22-01-2025, p. 51345)

Signatures

Donné à Bruxelles, le 20 décembre 2024.

PHILIPPE

Par le Roi

Le Ministre de la Justice,

P. VAN TIGCHELT

La Ministre de la Défense,

L. DEDONDER

La Ministre de l'Intérieur,

A. VERLINDEN

Préambule

PHILIPPE, Roi des Belges,

A tous, présents et à venir, Salut.

Vu la Constitution, article 37 ;

Vu la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, aux avis de sécurité et au service public réglementé, l' article 1ter, modifié par la loi du 19 décembre 2023 ; l'article 1septies, alinéa 4, inséré par la loi du 7 avril 2023 ; l'article 1octies, § 2, inséré par la loi du 7 avril 2023 ; l'article 4, alinéa 6, modifié par la loi du 7 avril 2023 ; l'article 6, alinéa 2 ; l'article 7, § 1er, alinéas 1er et 2 et § 6, deuxième alinéa, modifié par la loi du 7 avril 2023 ; l'article 8, § 2, alinéa 2, modifié par la loi du 7 avril 2023 ; l'article 12, alinéa 2 ; l'article 17, alinéas 1er, 2 et 4, modifié par la loi du 23 février 2018 et l'article 22, alinéas 1er et 3 ;

Vu l'arrêté royal du 24 mars 2000 portant exécution de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité et avis de sécurité ;

Vu l'avis de l'Inspection des Finances émis le 17 mars 2024 ;

Vu l'accord du Secrétaire d'Etat au Budget du 27 mars 2024 ;

Vu l'avis n° 008/CPR-ACC/2024 du Comité permanent de contrôle des services de renseignement et de sécurité émis le 22 juillet 2024 ;

Vu l'avis positif du Conseil national de Sécurité du 24 avril 2024 ;

Vu la communication de l'Organe de contrôle de l'information policière du 4 juin 2024, à la demande d'avis du 16 mai 2024, selon laquelle il ne donne pas d'avis sur le projet d'arrêté royal pour défaut de compétence ;

Vu l'avis du Collège des procureurs généraux près les cours d'appel, émis le 31 juillet 2024 ;

Vu la dispense d'analyse d'impact sur la base de l'article 8, § 2, 1° de la loi du 15 décembre 2013 portant des dispositions diverses concernant la simplification administrative ;

Vu l'avis n° 76.465/2 du Conseil d'Etat émis le 9 juillet 2024, en application de l'article 84, § 1er, alinéa 1er, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973 ;

Considérant que cet arrêté royal relève des affaires courantes car il s'agit d'une affaire qui n'exige aucune initiative nouvelle de la part du Gouvernement et pour laquelle la continuité du pouvoir impose l'intervention du Pouvoir exécutif sous peine de créer une carence préjudiciable aux citoyens, telles que définies par la circulaire relative aux Affaires courantes du 27 mai 2024, adressée par le Premier Ministre aux Membres du Gouvernement ;

Sur la proposition de Notre Premier Ministre, du Ministre de la Justice, du Ministre de l'Intérieur, du Ministre de la Défense et de l'avis des ministres qui en ont délibéré en Conseil,

Nous avons arrêté et arrêtons

Rapport au Roi

RAPPORT AU ROI

Sire,

Le présent projet soumis à Votre Signature respecte la circulaire du 27 mai 2024 du Premier Ministre relative aux affaires courantes. La circulaire précitée prévoit notamment que " les affaires qui n'exigent aucune initiative nouvelle de la part du Gouvernement et pour lesquelles la continuité du pouvoir impose l'intervention du Pouvoir exécutif sous peine de créer une carence préjudiciable aux citoyens, doivent être traitées. Il est toujours possible, après avoir recueilli l'avis du Conseil d'Etat, de finaliser des textes réglementaires dont la préparation a été entamée bien avant la période critique, et qui ont fait l'objet, d'une part, d'une négociation sectorielle clôturée par la signature d'un protocole d'accord et, d'autre part, de l'accord des Ministres compétents, particulièrement dans le cadre du contrôle administratif, budgétaire et de gestion ".

Le projet a été approuvé par le Conseil des Ministres du 26 avril 2024 et a ensuite été soumis à l'avis du Conseil d'Etat.

La loi du 7 avril 2023 portant modification de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité et avis de sécurité (Moniteur belge du 9 juin 2023, éd. 1) a modifié la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité et avis de sécurité de manière fondamentale.

La loi du 7 avril 2023 est entrée en vigueur le 31 décembre 2023.

En exécution de la loi du 7 avril 2023, les modalités de protection des informations classifiées (y compris celles du nouveau niveau de classification " RESTREINT ") doivent être fixées par arrêté royal.

L'objectif de ces mesures de protection est de clarifier les règles relatives à l'utilisation des informations classifiées dans un monde où la dématérialisation est de plus en plus rapide et les besoins des acteurs privés et des partenaires étrangers en matière d'information sont accrus.

Le présent arrêté vise également à contrôler avec une rigueur accrue la manière dont la classification des informations est utilisée. La classification des informations s'applique uniquement si elle est strictement nécessaire à la protection de l'un des intérêts fondamentaux du pays, tels qu'énumérés de manière exhaustive à l'article 3, § 1er, de la loi du 11 décembre relative à la classification, aux habilitations de sécurité, avis de sécurité et au service public réglementé (ci-après dénommée " Loi relative à la classification "). Le gouvernement souhaite toutefois également trouver un équilibre entre la protection de ces intérêts fondamentaux et la nécessité d'une transparence (accrue).

Optimiser la classification (sans nécessairement étendre ce processus) offre une meilleure protection. Classifier requiert toutefois une attention particulière : il convient de choisir le niveau de classification correct et le marquage doit être appliqué de manière juste et complète à l'information. Tant la surclassification que la sous-classification comportent un risque pour la sécurité du pays : (1) en cas de surclassification, l'autorité n'est pas toujours en mesure de réagir de manière appropriée ; cette surclassification entraîne une dévalorisation du secret protégé et une érosion progressive du respect des mesures de protection ; (2) en cas de sous-classification, l'accès à l'information est facilité pour les acteurs étrangers ou hostiles qui souhaitent nuire aux intérêts protégés.

Les règles de marquage permettent de garantir que toute personne qui entre en contact avec les informations sache clairement qu'il s'agit d'informations classifiées, et donc protégées. Le caractère protégé doit être clair, étant donné que l'utilisation inappropriée de ces informations peut être sanctionnée pénalement.

Par conséquent, la classification et la déclassification ne sont pas une sinécure et exigent des règles claires.

La loi du 7 avril 2023 susmentionnée a introduit un nouveau niveau de classification " RESTREINT ", qui s'ajoute aux trois niveaux de classification existants : " CONFIDENTIEL ", " SECRET " et " TRES SECRET ".

La protection assurée par chacun de ces niveaux de classification consiste en un ensemble de mesures de protection minimales. Ces mesures sont réparties en cinq catégories : les mesures applicables à la gestion des informations classifiées, la sécurité des personnes (morales), les mesures de protection liées aux marchés publics, la sécurité physique et la sécurité des systèmes de communication et d'information (voir l'article 7 de la loi relative à la classification). Ces cinq catégories figurent également dans le cadre réglementaire de l'UE, de l'OTAN et de l'ESA, dont les auteurs du présent arrêté se sont inspirés.

Le présent arrêté régit également le contrôle de la mise en oeuvre de ces mesures de protection.

En outre, il clarifie les rôles et les responsabilités de chaque acteur impliqué dans la protection des informations classifiées. Lorsque tous les membres d'une organisation connaissent leurs tâches et responsabilités spécifiques en matière d'informations classifiées, le risque de malentendu et de négligence est considérablement réduit. Une structure dûment définie permet de réagir rapidement et efficacement aux éventuels incidents de sécurité et à la compromission d'informations classifiées. Les bonnes personnes sont mobilisées au bon moment.

Dans son avis, le Conseil d'Etat a émis la recommandation suivante : " Dans un souci de sécurité juridique et compte tenu de la matière sensible réglée par le projet, la publication au Moniteur belge de l'arrêté qui en résultera gagnerait à être accompagnée d'un rapport au Roi permettant d'en expliciter les dispositions ". Voici qui répond à cette recommandation.

De manière générale, le Conseil d'Etat a fait remarquer qu'en vertu des articles 4, 13, 22, 23, 29, 31, 39, 41, 49, 54, 58, 60, 64, 70, 84, alinéa 2, 95, 96 et 98 du projet initial, le Conseil national de Sécurité était chargé de prendre des mesures qualifiées de mesures complémentaires de nature administrative et technique ou de proposer des directives, mais que les mesures que le Conseil national de Sécurité pouvait prendre en vertu des articles précités du projet semblaient avoir un caractère réglementaire, ce qui n'était pas acceptable et devait dès lors faire l'objet d'une révision. Le Conseil d'Etat a ajouté que, selon une pratique consultative établie, les délégations telles que celles envisagées dans le projet ne pouvaient être acceptées que pour des raisons pratiques et dans la mesure où celles-ci avaient une portée très limitée ou principalement technique, et pour autant que l'on puisse partir du principe que les organismes chargés d'appliquer ou de contrôler la réglementation en question soient également les mieux placés pour l'élaborer en connaissance de cause. Chaque disposition mentionnant les directives du Conseil national de Sécurité a donc été examinée à la lumière de cet avis quant à (1) la nature et la nécessité des directives et (2) la question de savoir si la délégation prévue était effectivement fondée sur des raisons pratiques et avait une portée très limitée (par exemple, parce qu'elle ne s'adresse qu'à certaines entités qui utilisent des informations classifiées ou qu'elle ne s'adresse qu'aux officiers de sécurité) ou essentiellement technique, ce qui permet de partir du principe que seule l'Autorité nationale de Sécurité, qui exerce le contrôle sur le respect des mesures de protection, est la mieux placée pour se prononcer en connaissance de cause. Les projets des nouvelles directives feront préalablement l'objet de concertation avec les experts des services partenaires qui siègent dans le Comité de coordination pour le Renseignement et la Sécurité, compte tenu des coûts que la mise en oeuvre de telles directives peut entraîner. Cette concertation préalable a pour but d'expliquer et de clarifier les directives, si nécessaire.

A la suite de la remarque formulée par le Conseil d'Etat selon laquelle aucune base juridique n'autorisait le Roi à prendre des dispositions au sujet des informations non classifiées et, le cas échéant, à qualifier ces informations de " SENSIBLE NON CLASSIFIE ", le titre IV a été supprimé du projet d'arrêté. Par conséquent, le présent arrêté ne compte plus que cinq titres au lieu de six. Les dispositions transitoires et finales prévoient cependant une réglementation pour les informations portant la mention " DIFFUSION RESTREINTE " afin de pouvoir les distinguer des informations classifiées au niveau de protection " RESTREINT ". Cette disposition est indépendante des éventuelles autres législations ou réglementations visant la protection des informations non classifiées.

Discussion des articles.

TITRE I. - Définitions

1. Dans le texte français, à l'alinéa 2, il y a lieu d'écrire " mais avant l'entrée en vigueur du présent arrêté [...] ".

2. Au même alinéa, il conviendra de corriger la référence à " l'article 18, alinéa 2 ou 3 " dès lors que s'il s'agit bien d'une référence à l'article 18 de l'arrêté royal examiné, celui-ci ne comporte qu'un seul alinéa.

La déléguée du Ministre a justifié comme suit l'entrée en vigueur du projet prévue " le lendemain de sa publication au Moniteur belge "

" Het ontwerpbesluit dient zo snel mogelijk in werking te treden. Bepaalde bepalingen van de Classificatiewet -zoals de bepalingen inzake BEPERKT- kunnen heden nog niet toegepast worden omdat het ontwerpbesluit nog niet in werking is getreden. Dit zorgt voor praktische moeilijkheden bij de toepassing van de Classificatiewet. Tien bijkomende dagen wachten heeft geen zin ".

Il n'y a pas lieu de mentionner les mots " et secrétaires d'Etat " 20 .

Le greffier,

Béatrice DRAPIER

Le président,

Patrick RONVAUX

Notes

* Par un courriel du 17 mai 2024.

1 Le Comité permanent R agit, pour la matière concernée par le projet, en tant qu'Autorité de protection des données.

2 Voir, à ce propos, les extraits suivants du préambule de la directive 2009/81/CE

" (16) Le traité, à ses articles 30, 45, 46, 55 et 296, prévoit des exceptions spécifiques à l'application des principes qu'il édicte et, par conséquent, à l'application du droit qui en est dérivé. Il s'ensuit qu'aucune disposition de la présente directive ne devrait interdire d'imposer ou d'appliquer les mesures qui se révéleraient nécessaires à la sauvegarde des intérêts reconnus comme légitimes par ces dispositions du traité.

Cela signifie notamment que la passation de marchés qui relèvent du champ d'application de la présente directive peut en être exemptée si cela est justifié pour des raisons de sécurité publique ou nécessaire pour la protection des intérêts essentiels de la sécurité d'un Etat membre. Cela peut être le cas pour des marchés relevant à la fois de la défense et de la sécurité qui requièrent un tel niveau d'exigence en matière de sécurité d'approvisionnement ou dont la confidentialité et/ou l'importance pour la souveraineté nationale sont telles que même les dispositions spécifiques de la présente directive ne seraient pas suffisantes pour sauvegarder des intérêts essentiels de sécurité des Etats membres, dont la définition relève de la seule compétence des Etats membres.

(17) Toutefois, conformément à la jurisprudence de la Cour de justice des Communautés européennes, il convient d'interpréter la possibilité de recourir à de telles dérogations de manière à ne pas étendre leurs effets au-delà de ce qui est strictement nécessaire pour la protection des intérêts légitimes que ces articles permettent de sauvegarder. La non-application de la présente directive doit donc à la fois être proportionnée aux buts poursuivis et perturber le moins possible la libre circulation des marchandises et la libre prestation de services.

(18) [...] [D]ans le contexte spécifique des marchés de la défense et de la sécurité, les Etats membres conservent le pouvoir de décider si oui ou non leurs pouvoirs adjudicateurs ou entités adjudicatrices peuvent autoriser des agents économiques de pays tiers à participer aux procédures de passation des marchés [...].

(19) [...]

(20) Les marchés de défense et de sécurité contiennent souvent des informations classifiées que les dispositions législatives, réglementaires ou administratives en vigueur dans l'Etat membre concerné imposent, pour des raisons de sécurité, de protéger contre un accès non autorisé. Dans le domaine militaire, il existe dans les Etats membres des systèmes de classification de ces informations à des fins militaires. Cependant, dans le domaine de la sécurité non militaire, la pratique des Etats membres est plus variée lorsque d'autres informations doivent également être protégées. Il convient donc de recourir à un concept qui prenne en compte la diversité des pratiques des Etats membres et qui permette d'englober les domaines militaire et non militaire [...].

En outre, l'article 296, paragraphe 1, point a), du traité donne aux Etats membres la possibilité d'exempter des dispositions de la présente directive des marchés dans les domaines de la défense et de la sécurité si l'application de ces dispositions les obligeait à fournir des renseignements dont ils estimeraient la divulgation contraire aux intérêts essentiels de leur sécurité. Cela peut être notamment le cas lorsque les marchés sont à ce point sensibles que leur existence même doit être tenue secrète ".

3 C.J.U.E., 30 novembre 1995, C-55/94, Gebhard, point 37.

4 Note de bas de page n° 1 du courrier cité : Artikel 1bis, 3°, wet van 11 december 1998 betreffende de classificatie, de veiligheidsmachtigingen, veiligheidsattesten, veiligheidsadviezen en de publiek gereguleerde dienst (Classificatiewet).

5 Note de bas de page n° 2 du courrier cité : Deze worden opgesomd in Artikel 3, § 1, Classificatiewet.

6 Note de bas de page n° 3 du courrier cité : Geclassificeerde opdracht: een opdracht waarbij geclassificeerde informatie door een administratieve overheid aan de onderneming wordt verstrekt of onder wiens gezag of instructie geclassificeerde informatie wordt gegenereerd.

7 Note de bas de page n° 4 du courrier cité : Artikel 1bis, 10°, b), Classificatiewet.

8 Soit les articles 9, 63, § 2, 4° et 5°, et 76 de l'arrêté royal du 23 janvier 2012 `relatif à la passation des marchés publics et de certains marchés de travaux, de fournitures et de services dans les domaines de la défense et de la sécurité'.

9 Voir l'avis 76.172/2 donné le 30 mai 2024 sur un projet d'arrêté royal `relatif à la banque de données commune " Terrorisme, Extrémisme, processus de Radicalisation " (" T.E.R. ")' (obligation de communiquer des données à caractère personnel à l'autorité fédérale) et les nombreux avis dans le même sens cités à la note de bas de page n° 2 de cet avis ; voir aussi l'avis 75.110/2 donné le 27 février 2024 sur un avant-projet de loi `modifiant la loi relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé' (Doc. parl., Chambre, 2023-2024, n° 55-3938/001, pp. 65-90).

10 Lequel est composé conformément à l'article 2 de l'arrêté royal du 22 décembre 2020 `portant création du Conseil national de sécurité, du Comité stratégique du renseignement et de la sécurité et du Comité de coordination du renseignement et de la sécurité', qui dispose comme il suit

" Les membres du Conseil sont le Premier Ministre, qui préside le Conseil, les ministres ayant dans leurs attributions la Justice, la Défense nationale, l'Intérieur et les Affaires étrangères, et les vice Premiers Ministres qui n'ont pas ces matières dans leurs compétences.

Les Membres du Gouvernement qui ne sont pas membres du Conseil peuvent être invités par le Premier Ministre à y participer pour l'examen de dossiers qui les concernent particulièrement.

Le président du Comité de coordination du Renseignement et de la Sécurité (ci-après dénommé Comité de coordination) participe aux réunions du Conseil national de sécurité, avec voix consultative, sauf si le président du Conseil National de sécurité en décide autrement.

A la demande du président du Conseil national de sécurité ou sur initiative propre, le président du Comité de coordination peut être assisté par des membres du Comité de coordination, chaque fois que leur expertise est nécessaire pour l'examen de certains points de l'ordre du jour.

Les membres non permanents du Comité de coordination peuvent être invités par le Premier Ministre à participer au Conseil pour l'examen de dossiers qui les concernent particulièrement.

Des personnes qui, par leur fonction, peuvent fournir une contribution aux missions du Conseil, peuvent être invités par le Premier Ministre à participer à des réunions du Conseil, avec voix consultative ".

11 Note de bas de page n° 5 de l'avis cité : Voir l'arrêté royal du 22 décembre 2020 `portant création du Conseil national de sécurité, du Comité stratégique du renseignement et de la sécurité et du Comité de coordination du renseignement et de la sécurité'.

12 Avis 69.160/4 donné le 6 mai 2021 sur un avant-projet devenu la loi du 17 février 2022 `modifiant diverses dispositions en matière de communications électroniques en vue d'introduire des mesures de sécurité supplémentaires pour la fourniture de services mobiles 5G' (Doc. parl., Chambre, 2021-2022, n° 55-2317/001, pp. 46-59).

Voir également l'avis 25.704/2 donné le 21 mai 1997 sur un avant-projet devenu la loi du 11 décembre 1998 dans lequel la section de législation a observé ce qui suit

" Qui plus est, en confiant à un Comité ministériel,- qui, en règle générale, ne peut être qu'un organe d'avis et de préparation de la politique gouvernementale, et non d'exécution des lois - le soin de déterminer la nature des données et les modalités de leur recueillement, le texte en projet heurte l'article 22 de la Constitution, lequel exige que les principes essentiels relatifs à ces questions soient inscrits dans un texte de loi " (Doc. parl., Chambre, 1996-1997, nos 49-1193/1 et 49-1194/1, p. 38, observation formulée sous l'observation générale n° 1).

13 Voir en ce sens l'avis 63.663/VR/V donné le 17 juillet 2018 sur un projet devenu l'arrêté royal du 25 octobre 2018 `limitant les jeux de hasard dans les établissements de jeux de hasard de classe III' et l'avis 76.366/2 donné le 12 juin 2024 sur un projet d'arrêté royal `relatif au Conseil des bourgmestres'.

14 Ou, à tout le moins, la dernière modification en vigueur.

15 Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst-consetat.be, onglet " Technique législative ", recommandation n° 27.

16 Avis 61.551/2 donné le 14 juin 2017 sur un avant-projet devenu la loi du 23 février 2018 `portant modification de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité' (Doc. parl., Chambre, 2017-2018, n° 54-2767/001, p. 34, observation formulée sous l'article 2).

17 Comme la section de législation l'a observé dans son avis 75.117/2 du 15 février 2024,

" [i]l en va d'autant plus ainsi que le [RGPD] protège spécifiquement le traitement des données à caractère personnel `à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques' [...], et que cette protection relève en outre, en l'espèce, du droit fondamental d'accès à l'information détenue par les autorités publiques, tel qu'il est consacré par l'article 32 de la Constitution et par la Convention du Conseil de l'Europe `sur l'accès aux documents publics', signée à Tromso le 18 juin 2009 [...].

Ce droit fondamental se déduit également de l'article 10 de la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales [...] et est donc aussi visé par l'article 85 du RGPD.

Dans cette mesure, des données à caractère personnel triées et archivées peuvent être conservées sans limitation de durée [...] " (avis 75.117/2 donné le 15 février 2024 sur un avant-projet de décret `modifiant le décret du 4 décembre 2003 relatif à la création de l'Institut wallon de l'évaluation, de la prospective et de la statistique', Doc. parl., Parl. w., 2023-2024, n° 1656/1, pp. 27-30).

18 A l'instar de ce que prévoit l'article 27 de l'arrêté royal du 24 mars 2000.

19 Compte tenu de l'observation formulée sous le titre IV (articles 112 à 114).

20 Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst-consetat.be, onglet " Technique législative ", recommandation n° 167 et formule F-4-7-2.