L’article 20 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel

L’article 20 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel prévoit que l'autorité publique fédérale qui transfert des données à caractère personnel à toute autre autorité publique ou organisation privée, formalise cette transmission pour chaque type de traitement par un protocole entre l’instance qui communique et l’instance destinatrice.

Ce protocole peut prévoir notamment :
 

  • l'identification de l'autorité publique fédérale qui transfère les données à caractère personnel et celle du destinataire ;
  • l'identification du responsable du traitement au sein de l'autorité publique qui transfère les données et au sein du destinataire ;
  • les coordonnées des délégués à la protection des données concernés au sein de l'autorité publique qui transfère les données ainsi que du destinataire ;
  • les finalités pour lesquelles les données à caractère personnel sont transférées ;
  • les catégories de données à caractère personnel transférées et leur format ;
  • les catégories de destinataires ;
  • la base légale du transfert ;
  • les modalités de communication utilisée ;
  • toute mesure spécifique encadrant le transfert conformément au principe de proportionnalité et aux exigences de protection des données dès la conception et par défaut ;
  • les restrictions légales applicables aux droits de la personne concernée ;
  • les modalités des droits de la personne concernées auprès du destinataire ;
  • la périodicité du transfert ;
  • la durée du protocole ;
  • les sanctions applicables en cas de non-respect du protocole.

Le protocole est adopté après les avis respectifs du délégué à la protection des données de l’instance qui communique et de l’instance destinatrice. Ces avis sont annexés au protocole.

Lorsqu'au moins un de ces avis n'est pas suivi par les responsables du traitement, le protocole mentionne, en ses dispositions introductives, les raisons pour lesquelles cet ou ces avis n'ont pas été suivis. Le protocole est publié sur le site internet des responsables du traitement concernés.