Op 20 juli 2022 heeft de wetgever een wet goedgekeurd betreffende het verzamelen en het bewaren van de identificatiegegevens en van metagegevens in de sector van de elektronische communicatie en de verstrekking ervan aan de autoriteiten. Deze wet bevat een aantal wijzigingen en aanvullende informatie bij vorige wetgevingen in dat domein. Een rondje langs de wijzigingen.
Gebruik van versleuteling
De wet van 20 juli 2022 wijzigt de wet van 13 juni 2005 betreffende de elektronische communicatie. Ze regelt het gebruik van versleuteling – voordien volledig vrij – dat voortaan aan een aantal beperkingen is onderworpen: het gebruik van versleuteling mag de correcte uitvoering van noodcommunicatie niet verhinderen, meer bepaald de identificatie van de gegevens van de beller.
Het gebruik van versleuteling met als doel de veiligheid van de communicatie te waarborgen, mag een bevoegde autoriteit niet beletten om informatie te verkrijgen om de eindgebruiker te identificeren en de niet voor het publiek toegankelijke communicatie te lokaliseren.
De bevoegde autoriteit heeft het recht om informatie bij een buitenlandse operator te verkrijgen die gebruik maakt van versleuteling als de gebruiker en/of de abonnee op het Belgische grondgebied verblijft.
Een contractueel beding dat die beperkingen belemmert zal van rechtswege nietig zijn.
Opsporing van fraude en kwaadwillig gebruik van de netwerken
Voortaan mogen de operatoren geschikte maatregelen treffen om fraude en kwaadwillig gebruik van hun netwerken en diensten op te sporen zodat de eindgebruikers geen schade lijden. Ze mogen echter geen kennis nemen van de inhoud van de communicatie.
In voldoende ernstige omstandigheden mogen de operatoren maatregelen treffen, zoals het blokkeren van elementen ter identificatie van de elektronische communicatie (nummers, URLs, IP-adressen) of volledige/gedeeltelijke deactivering van bepaalde diensten of uitrustingen.
Geheimhouding van de communicatie, verwerking van de gegevens en bescherming van het privéleven
In principe moeten de operatoren de verkeersgegevens van hun abonnees of gebruikers wissen zodra ze niet langer nodig zijn voor de communicatie-overdracht. Voortaan mogen zij echter de verkeersgegevens bewaren en verwerken met het oog op facturering en interconnectiebetalingen.
Voor het aantonen van fraude en kwaadwillig gebruik van het netwerk en zo de dader ervan te identificeren, mag de operator:
| • | de noodzakelijke verkeersgegevens gedurende 4 maanden vanaf de datum van de communicatie bewaren. Het gaat dan om de identifiers van de bron en de bestemming van de communicatie, de datums en tijdstippen van het begin en het einde van de communicatie alsook om het lokaliseren van de eindapparatuur van de communicerende partijen. Om een geval van fraude of kwaadwillig gebruik van het netwerk op te lossen, mag die termijn van 4 maanden worden verlengd; |
| • | het telefoonnummer aan de bron van de communicatie, het IP-adres, het tijdstempel en de gebruikte poort, alsook de datums en tijdstippen van de binnenkomende communicatie gedurende 12 maanden vanaf de communicatie bewaren. Om een specifiek geval van kwaadwillig gebruik te behandelen, mag die termijn tot 12 maanden worden verlengd. |
Veiligheid en goede werking van de netwerken
De operatoren mogen ook de nodige verkeersgegevens bewaren en verwerken om de veiligheid en goede werking van hun elektronische communicatiediensten en -netwerken te garanderen. Op die manier mogen zij een eventuele schending van die veiligheid opsporen en de oorsprong ervan identificeren. Ze mogen die gegevens 12 maanden bewaren. Die termijn wordt verlengd in geval van een specifieke schending van de veiligheid van het netwerk. Bovendien mogen de operatoren die gegevens aan de bevoegde autoriteiten overmaken.
De operatoren van mobiele netwerken mogen voortaan de locatiegegevens van een abonnee of een gebruiker in sommige gevallen bewaren en verwerken, meer bepaald:
| • | wanneer dat noodzakelijk is voor de goede werking en de veiligheid van het netwerk of van de dienst. In dat geval mogen de gegevens maximaal 12 maanden worden bewaard, behalve bij een specifieke schending van de veiligheid van het netwerk; |
| • | wanneer dat noodzakelijk is om fraude of kwaadwillig gebruik van het netwerk op te sporen. In dat geval mogen de gegevens maximaal 4 maanden worden bewaard, behalve bij specifieke fraude of specifiek kwaadwillig gebruik; |
| • | wanneer de gegevens anoniem gemaakt zijn; |
| • | wanneer de verwerking past in het kader van de levering van een dienst die gebruik maakt van verkeers- of locatiegegevens; |
| • | wanneer dat noodzakelijk is om te voldoen aan een wettelijke verplichting. |
Regulator van de sector
Artikel 15 van de wet van 17 januari 2003 met betrekking tot het statuut van de regulator van de Belgische post- en telecommunicatiesector dat werd opgeheven door de wet van 16 maart 2015 werd gerehabiliteerd. Voortaan bepaalt het dat voor het goede verloop van de uitoefening van zijn functies, het Belgisch Instituut voor postdiensten en telecommunicatie van een operator kan eisen dat hij gevolg geeft aan een verzoek tot identificatie- of metagegevens. Dat verzoek moet vooraf worden toegestaan de GBA, tenzij in dringende voldoende gerechtvaardigde noodsituaties.
De metagegevens moeten worden geanonimiseerd of gepseudonimiseerd, behalve wanneer dat het Instituut verhindert het beoogde doel te bereiken.
Het Instituut kan voortaan eisen dat een operator hem toelaat om een database te raadplegen om na te gaan of de beoogde operator zijn wettelijke verplichtingen naleeft inzake geheimhouding van de communcatie, verwerking van de gegevens en bescherming van het privéleven.
Wetboek van strafvordering
Het Wetboek van strafvordering wordt aangevuld met een nieuw artikel 39quinquies. Wanneer er ernstige aanwijzingen zijn dat een misdrijf kan leiden tot een correctionele hoofdgevangenisstraf van een jaar of een zwaardere straf kan de Procureur des Konings voortaan gelasten om bepaalde verkeersgegevens van communicatiemiddelen te bewaren. Dat bevel zal worden gegeven aan een operator van een netwerk van elektronische communicatie en aan al wie binnen het Belgisch grondgebied een dienst beschikbaar stelt die bestaat in het overbrengen van signalen via elektronische communicatienetwerken. Die gegevens mogen maximaal 6 maanden worden bewaard, behoudens schriftelijke verlenging.
Verdwenen personen
De nieuwe wet wijzigt ook de wet van 5 augustus 1992 op het politieambt. Thans kan een officier van gerechtelijke politie van de Cel Vermiste Personen van de federale politie, in het kader van zijn opdracht tot het verlenen van hulp aan personen in nood en de opsporing van personen van wie de verdwijning onrustwekkend is en de fysieke integriteit in onmiddellijk gevaar verkeert, gegevens verkrijgen over de elektronische communicatie van de verdwenen persoon.
Deze vordering wordt via de officier van gerechtelijke politie gericht aan de operator van een elektronisch communicatienetwerk of iedereen die binnen het Belgisch grondgebied een dienst beschikbaar stelt die bestaat in het overbrengen van signalen via elektronische communicatienetwerken.
Inlichtingen- en veiligheidsdiensten
De organieke wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdiensten wordt gewijzigd door de wet van 20 juli 2022.
Voortaan kunnen de inlichtingen- en veiligheidsdiensten de medewerking vorderen van een operator van een elektronisch communicatienetwerk of een verstrekker van een elektronische communicatiedienst om over te gaan tot de bewaring van de verkeers- en locatiegegevens van elektronische communicatiemiddelen. De gegevens mogen worden slechts worden bewaard gedurende 6 maanden vanaf de vordering, met mogelijkheid tot verlenging.
De inlichtingen- en veiligheidsdiensten houden een register van alle vorderingen tot bewaring bij.
Wanneer er een actuele of voorzienbare ernstige dreiging tegen de nationale veiligheid bestaat, kunnen de inlichtingen- en veiligheidsdiensten de medewerking vorderen van de operatoren van een elektronisch communicatienetwerk en de verstrekkers van een elektronische communicatiedienst om over te gaan tot de algemene en ongedifferentieerde bewaring van de verkeers- en locatiegegevens van elektronische communicatiemiddelen.
Deze gegevens mogen maximaal 6 maanden worden bewaard vanaf de datum van de communicatie, maar die termijn kan worden verlengd.
Ten slotte kunnen de inlichtingen- en veiligheidsdiensten, in het belang van de uitoefening van hun opdrachten, overgaan tot de opsporing van verkeersgegevens van elektronische communicatiemiddelen en het lokaliseren van de oorsprong of de bestemming van elektronische communicaties.
Financiële sector
Ook de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten ondergaat enkele wijzigingen.
In geval van handel met voorwetenschap, wederrechtelijke mededeling van voorwetenschap of marktmanipulatie kan de auditor van de FSMA (autoriteit van de financiële diensten en markten) de operator van een netwerk van elektronische communicatie of al wie binnen het Belgische grondgebied een dienst beschikbaar stelt die bestaat in het overbrengen van signalen via elektronische communicatienetwerken gelasten om de gegevens die gewist of geanonimiseerd zouden kunnen worden, te bewaren.
Dat geldt voor de verkeersgegevens van elektronische communicatiemiddelen van waaruit of waarnaar de elektronisch communicaties werd gedaan alsook het lokaliseren van de oorsprong of de bestemming van die elektronische communicatie.
Openbare veiligheid
De wet van 7 april 2019 tot vaststelling van een kader voor de beveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid wordt gewijzigd door de nieuwe wet.
Voortaan kan het CSIRT (Computer Security Incident Response Team), wanneer dat strikt noodzakelijk is voor de uitvoering van zijn taken, bij de operator identificatiegegevens opvragen die zijn gegenereerd door het gebruik van een elektronische communicatiedienst. De redenen die dat verzoek door het nationale CSIRT kunnen rechtvaardigen zijn, meer bepaald, het voorkomen van ernstige bedreigingen voor de openbare veiligheid, het onderzoeken van beveiligingsproblemen van de netwerken alsook het voorkomen, onderzoeken en opsporen van misdrijven die online worden gepleegd.
Wanneer het CSIRT metagegevens van elektronische communicaties opvraagt, voert de GBA (Gegevensbeschermingsautoriteit) eerst een controle uit. Die controle zal achteraf gebeuren in voldoende gerechtvaardigde situaties.
Het CSIRT informeert de betrokken natuurlijke personen over de toegang tot hun elektronische communicatiegegevens zodra de goede uitvoering van zijn taken hierdoor niet meer in het gedrang kan komen.
Voedingsmiddelen en andere producten
De laatste wijziging betreft de wet van 24 januari 1977 betreffende de bescherming van de gezondheid van de verbruikers op het stuk van de voedingsmiddelen en andere producten.
Voortaan mogen de personeelsleden van de FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu de natuurlijke/rechtspersonen identificeren op basis van hun telefoonnummer of IP-adres dat aan de bron van de elektronische communicatie ligt.
Hiertoe mogen zij, op met redenen omkleed verzoek en na goedkeuring van het diensthoofd van de Inspectiedienst Consumptieproducten, de verstrekking van de identificatiedocumenten en -gegevens vorderen bij de operator van een elektronisch communicatienetwerk en iedereen die binnen het Belgische grondgebied een dienst beschikbaar stelt die bestaat in het overbrengen van signalen via elektronische communicatienetwerken. Hieronder wordt inzonderheid de verstrekker van een elektronische communicatiedienst begrepen.
