Amendement portant modification de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité ‘Amendements Voir: GO Projet de oi. 002: Amendements. N° 20 de M. Vandenput et consorts Art. 4 Remplacer l'article 1bis proposé par ce qui suit: “Art. 1bis. Pour l'application de la présente loi et de ses arrêtés d'exécution, l'on entend par: 1° “la classification”: l'attribution d'un degré de protection par ou en vertu de la loi ou par ou en vertu des traités ou conventions liant la Belgique:

Amendements de Belgique 14 décembre 2022 Voir: Doc 55 2443/ (2022/2023): 001: Projet de loi. 002: Amendements. portant modification de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité PROJET DE LOI

N° 20 de M. Vandenput et consorts

Art. 4

Remplacer l’article 1bis proposé par ce qui suit: “Art. 1bis. Pour l’application de la présente loi et de ses arrêtés d’exécution, l’on entend par:

1° “la classification”: l’attribution d’un degré de protection par ou en vertu de la loi ou par ou en vertu des traités ou conventions liant la Belgique;

2° “la déclassification”: la suppression totale de tout degré de protection;

3° “les informations classifiées”: les informations, le matériel, les matériaux ou matières, quels qu’en soient la forme, la nature ou le mode de transmission, auxquels une classification a été attribuée en application de la présente loi et qui, dans l’intérêt de la sécurité nationale, nécessitent une protection contre tout accès non autorisé, toute utilisation et divulgation inappropriée;

4° “l’utilisation des informations classifiées”: toutes opérations dont des informations classifiées sont susceptibles de faire l’objet, comme la production, la prise de connaissance, le traitement, la finalisation, la reproduction, la conservation, le transport, la transmission, la diffusion, la déclassification, la modification du niveau de classification et la destruction;

5° “l’autorité d’origine”: l’autorité administrative, titulaire d’une habilitation de sécurité, sous l’autorité ou l’instruction de laquelle des informations classifiées sont générées; ou introduites dans les structures ou l’organisation de l’État belge; une habilitation de sécurité n’est pas requise pour un classification de niveau “RESTREINT”;

6° “l’installation physique”: l’environnement, le terrain, le bâtiment, les bureaux, les espaces et toutes les autres zones où des informations classifiées sont utilisées;

7° “le système de communication et d’information”: un système permettant d’utiliser des informations classifiées sous forme électronique;

8° “le matériel cryptographique”: les algorithmes cryptographiques, les modules matériels et logiciels cryptographiques, les produits comprenant les modalités de mise en œuvre et la documentation y relative, ainsi que le matériel de mise à la clé;

9° “l’enquête de sécurité”: l’enquête effectuée par un service de renseignement et de sécurité qui vise à établir que toutes les conditions nécessaires à la délivrance d’une habilitation de sécurité sont réunies, en tenant compte du niveau et de l’objet de l’habilitation de sécurité;

10° “l’habilitation de sécurité”: la décision officielle, établie après une enquête de sécurité, selon laquelle, pour accéder à des données auxquelles une classification de niveau CONFIDENTIEL ou supérieur, au sens de la présente loi, a été attribuée: a) une personne physique présente des garanties suffisantes quant à la discrétion, la loyauté et l’intégrité; b) une personne morale présente des garanties suffisantes quant à la discrétion, la loyauté et l’intégrité de ses organes et préposés susceptibles d’avoir accès à ces données;

11° “l’approbation d’un système de communication et d’information”: l’autorisation officielle d’utiliser un système de communication et d’information pour l’utilisation d’informations classifiées après que ce système ait été soumis à une procédure d’approbation;

12° “l’approbation d’une installation physique”: l’autorisation officielle d’utiliser une installation physique pour l’utilisation d’informations classifiées de niveau confidentiel ou supérieur, après que l’installation physique ait été soumise à une procédure d’approbation;

13° “l’approbation d’un produit cryptographique”: l’autorisation officielle d’utiliser un produit cryptographique pour la protection des informations classifiées, après que ce produit ait été soumis à une procédure d’approbation;

14° “l’autorité de sécurité”: a) l’Autorité nationale de sécurité; b) la Sûreté de l’État; c) le Service Général du Renseignement et de la Sécurité des Forces armées;

15° “l’officier de sécurité”: a) le fonctionnaire, titulaire d’une habilitation de sécurité, qui, dans une administration publique, un organisme d’intérêt public ou une entreprise publique autonome utilisant des informations classifiées, est désigné par le ministre ou son délégué ou, à défaut de tutelle d’un ministre, le chef de cette administration, de cet organisme d’intérêt public ou de cette entreprise publique autonome, pour veiller à l’observation des règles de sécurité; b) le membre du personnel, titulaire d’une habilitation de sécurité, qui au sein d’une personne morale titulaire d’une habilitation de sécurité, est désigné par la direction de la personne morale pour veiller à l’observation des règles de sécurité; c) le fonctionnaire, titulaire d’une habilitation de autonome, est désigné par le ministre ou son délégué ou, à défaut de tutelle d’un ministre, le chef de cette administration, de cet organisme d’intérêt public ou de cette entreprise publique autonome, pour veiller à l’observation des règles de sécurité dans le cadre d’un avis de sécurité ou d’une attestation de sécurité, ou le membre du personnel, titulaire d’une habilitation de sécurité, qui est désigné par la direction de la personne morale pour veiller à l’observation des règles de

sécurité dans le cadre d’un avis de sécurité ou d’une attestation de sécurité; d) le magistrat du ministère public, titulaire d’une habilitation de sécurité, qui est désigné par le chef de corps ci-dessous pour veiller à l’observation des règles de sécurité: — le procureur fédéral en ce qui concerne le parquet fédéral; — le procureur général concerné en ce qui concerne les parquets, les auditorats du travail, le parquet général et l’auditorat général de son ressort; — le président du Collège des procureurs généraux en ce qui concerne le service d’appui du ministère public;

16° “un service de renseignement et de sécurité”: la Sûreté de l’État ou le Service Général du Renseignement et de la Sécurité des Forces armées;

17° “la Décision 1104/2011/UE”: la Décision 1104/2011/UE du Parlement européen et du Conseil du 25 octobre 2011 relative aux modalités d’accès au service public réglementé offert par le système mondial de radionavigation par satellite issu du programme Galileo;

18° “le service public réglementé”: le service public réglementé issu du système mondial de radionavigation par satellite Galileo, visé par la Décision 1104/2011/UE;

19° “l’accès au service public réglementé”: l’utilisation du service public réglementé et le fait de disposer d’équipement et des technologies destinés au service public réglementé, y compris la mise en service d’équipements et les actions destinées à tester, perturber ou falsifier le service public réglementé;

20° “la communauté d’utilisateurs”: un ensemble d’utilisateurs du service public réglementé, résidant ou

établis sur le territoire belge et dont l’organisation et le fonctionnement sont conformes aux normes minimales communes adoptées en application de l’article 8 de la Décision 1104/2011/UE, qui par l’intermédiaire d’un point de contact commun, interagissent avec l’autorité compétente pour le service public réglementé;

21° “l’équipement”: les modules de sécurité et les récepteurs destinés au service public réglementé, ainsi que les instruments destinés à tester, approuver et faire fonctionner ces modules de sécurité et récepteurs;

22° “les technologies”: les logiciels, matériels informatiques et les informations, y compris les clés, requis pour la recherche et le développement, la conception, l’approbation, la production ou l’utilisation d’équipements destinés au service public réglementé.”

JUSTIFICATION

Après le dépôt à la Chambre du projet de loi susmentionné, la “proposition de loi introduisant un régime général de déclassification des documents classifiés” (cf. DOC 55 2739/001) a été approuvé par le Parlement. Cependant, la proposition de loi ne tenait pas compte du projet de loi et vice versa. Ces modifications prévoient les adaptations nécessaires au projet de loi afin de maintenir les modifications introduites par la loi du 11 septembre 2022 visant à introduire des règles générales de déclassification des pièces classifiées et de les intégrer de manière cohérente dans le projet de loi.

Toutes les définitions sont incluses dans l’article 1bis. Les définitions du 1° “la classification”, du 2° “la déclassification” et du 5° “l’autorité d’origine” sont ajoutées à la liste. Les définitions de “classification” et de “déclassification” ont été reprises de l’article 2 de la loi du 11 décembre 1998, remplacée par la loi du 11 septembre 2022 visant à introduire des règles générales de déclassification des pièces classifiées.

L’article 7, § 2, de la loi du 11 décembre 1998 stipule que le délai de classification est compté à partir de la finalisation de la pièce. Par conséquent, il convient d’inclure la notion “finalisation” à l’article 1bis, 4°, en tant qu’acte auquel peuvent être soumises les informations classifiées. En outre, la notion de

“diffusion” est également incluse comme acte auquel peuvent être soumises les informations classifiées, étant donné qu’il s’agit également d’une notion mentionnée dans le projet de loi (article 21), mais qui n’avait pas encore été reprise dans la définition des opérations dont des informations classifiées sont susceptibles de faire l’objet. La notion actuelle d’“autorité d’origine” a suscité la confusion après son introduction par la loi du 11 septembre 2022 visant à introduire des règles générales de déclassification des pièces classifiées.

Par exemple, il n’était pas clair si les les personnes morales privées sont incluses et donc également tombent sous le régime de la déclassification. Par conséquent, la définition d’ “autorité d’origine” devait être révisée, car les décisions de déclassification et de modification des niveaux de classification appartiennent exclusivement à un gouvernement public. Les entreprises peuvent toutefois rédiger et posséder elles-mêmes des informations classifiées.

Plus précisément, le personnel d’une autorité administrative et les contractants avec lesquels un service public coopère dans le cadre de marchés publics établissent des informations classifiées. Ces informations sont produites sous l’autorité ou l’instruction de l’autorité administrative, ce qui signifie que cette autorité détermine également les règles relatives à leur utilisation tout au long de leur cycle de vie (voir C-M(2002)49-REV1, “Security within the North Atlantic Treaty Organization (NATO), 20 novembre 2020, page B-2 (“originator control”) et Décision du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne, pp.

22 en 42 (“autorité d’origine”). Ainsi, même si ces informations ont été générées par une personne morale de droit privé, elles ne seront déclassifiées que par décision expresse de l’autorité d’origine, conformément à l’article 7, § 2, de la loi du 11 décembre 1998. Il est donc clair que les personnes morales privées – avec lesquelles une autorité administrative passe des contrats – ne peuvent être considérées comme une “autorité d’origine”, même si elles produisent des pièces classifiées au profit et sous l’autorité d’une autorité administrative.

Les règles de déclassification, telles que définies à l’article 7 de la loi précitée, leur sont applicables en ce sens que c’est l’autorité administrative qui prendra la décision explicite de déclassification à l’égard de la pièce en question (établi par la personne morale de droit privé) et sera également tenue de tenir le registre (de déclassification, de modification ou de maintien des informations classifiées) visé à l’article 7, § 3, alinéas 8 et 9, de la loi du 11 décembre 1998.

C’est l’autorité administrative qui détermine qui est autorisé à classifier sous son autorité. En principe, une autorité administrative (contrairement aux personnes morales privées) n’est pas titulaire d’une habilitation de sécurité. Mais une autorité administrative est dirigée par un chef de service ou son adjoint et est nécessairement composée de personnes qui peuvent classifier. Ces personnes doivent détenir une habilitation de sécurité afin de pouvoir classifier, modifier une niveau de classification ou déclassifier conformément au niveau d’habilitation de sécurité qu’elles détiennent.

Une habilitation de sécurité n’est pas requise pour le niveau “RESTREINT”. Conformément à l’article 4, dernier alinéa de la loi du 11 décembre 1998, le Roi détermine en outre, par un arrêté délibéré en Conseil des ministres, les autorités et personnes qui peuvent accorder, réviser et supprimer un niveau de classification.

N° 21 de M. Vandenput et consorts

Art. 12/1 (nouveau)

Insérer un article 12/1, rédigé comme suit: “Art. 12/1. L’article 2 de la même loi, remplacé par la loi de 11 septembre 2022, est abrogé.” L’article 2 est complètement abrogé, les dispositions ayant été soit déplacées, soit supprimées:

1° la définition de “pièce” n’est plus nécessaire avec l’introduction de la définition 3° “information classifiée” à l’article 1bis et son utilisation dans toute la loi;

2° les dispositions relatives aux classification, déclassification et autorité d’origine sont supprimées en raison d’un déplacement vers les définitions de l’article 1bis.

N° 22 de M. Vandenput et consorts

Art. 17

Remplacer l’article 7 proposé par ce qui suit: “Art. 7. §  1er. Le Roi fixe, par arrêté délibéré en Conseil des ministres, les modalités de la protection et de la déclassification des informations classifiées. La protection des informations classifiées comprend au moins les mesures de protection portant sur les cinq catégories suivantes:

1° les mesures de protection applicables lors de la classification et de la gestion d’informations classifiées;

2° les mesures de protection physiques;

3° les mesures de protection des systèmes d’information et de communication;

4° les mesures de protection relatives aux personnes;

5° les mesures de protection liées aux marchés publics. Le Roi détermine, par arrêté délibéré en Conseil des ministres, les modalités concernant les procédures d’approbation visées à l’article 1bis, 11°, 12° et 13°. § 2. Sauf dans les cas visés au paragraphe 3, alinéas 4 et 6, et au paragraphe 5, la classification expire après que l’autorité d’origine prend, conformément au paragraphe 3, la décision explicite de la déclassifier, au plus tard à l’issue du délai suivant, à compter de la finalisation de l’information classifiée:

1° après vingt ans pour une classification de niveau CONFIDENTIEL;

2° après trente ans pour une classification de niveau SECRET;

3° après cinquante ans pour une classification de niveau TRÈS SECRET. L’autorité d’origine peut à tout moment décider de déclassifier ou de modifier la classification avant l’expiration du délai de déclassification. Le fait qu’une pièce est déclassifiée est marqué clairement sur cette pièce. En cas d’abaissement du degré de classification, le délai après lequel la décision visée à l’alinéa 1er doit intervenir est celui prévu pour le nouveau degré de classification.

Ce délai commence à courir à partir de la finalisation de l’information classifiée. Si l’ancienneté de l’information classifiée est supérieure à la durée du délai du nouveau niveau de classification visé dans l’alinéa 1er, l’autorité d’origine motive le maintien d’un niveau de classification en application du paragraphe 3, alinéas 1er, 2 et 9, 3°. L’autorité d’origine ne peut attribuer un niveau de classification plus élevé que si de nouveaux éléments sont ajoutés à l’information classifiée ou que si le contexte a profondément changé.

Dans ce cas, le délai de classification est prolongé, mais son point de départ reste la finalisation de l’information classifiée originelle. § 3. Au plus tard au terme du délai prévu au paragraphe 2 et au plus tôt six mois avant son expiration, l’autorité d’origine décide si l’information classifiée peut être déclassifiée. En vue de protéger les intérêts énumérés à l’article 3, § 1er, l’autorité d’origine peut décider de maintenir la classification et le cas échéant d’abaisser le degré de classification selon les modalités prévues au paragraphe 2, alinéa 4.

Une évaluation de la décision de maintien d’une classification a lieu au plus tard dix ans après cette décision.

Les alinéas 9 et 10 s’appliquent à cette évaluation et aux évaluations suivantes, qui ont lieu chaque fois après dix ans au maximum et ce, jusqu’à la déclassification. La classification expire automatiquement au-delà de cent ans. En l’absence d’évaluation dans les dix ans, l’organe de contrôle compétent peut ordonner par écrit à l’autorité d’origine d’évaluer la classification dans les trois mois conformément aux alinéas 1er à 3 et 8 à 10.

Si l’évaluation n’a pas lieu dans les trois mois après cet ordre écrit, la classification expire. Les organes de contrôle compétents de l’autorité d’origine sont déterminés par le Roi. L’autorité d’origine tient un ou plusieurs registres classifiés concernant les décisions visées à l’alinéa 1er, 2 et au paragraphe 2, alinéa 5. Chaque registre mentionne:

1° le numéro de référence de l’information classifiée;

2° la nature (déclassification, maintien ou modification de la classification) et la date de la décision;

3° le cas échéant, la raison pour laquelle l’information classifiée n’a pas été déclassifiée, avec une référence explicite à un ou plusieurs intérêts énumérés à l’article 3, § 1er, ainsi qu’une motivation succincte;

4° le degré de classification initial et éventuellement le nouveau degré de classification. Les registres sont à la disposition de l’organe de contrôle compétent de l’autorité d’origine. §  4. Même après l’expiration du délai prévu au

paragraphe 2, les destinataires considèrent l’information classifiée en leur possession comme classifiée à moins que l’autorité d’origine ne leur en notifie la déclassification de sa propre initiative ou en réponse à une demande formulée par le destinataire. §  5. Les informations classifiées émanant d’une autorité d’origine étrangère ou supranationale et les informations classifiées mixtes, qui sont d’origine partiellement étrangère ou supranationale, sont exonérées des règles de déclassification énoncées aux paragraphes 2 et 3.

Elles ne peuvent être déclassifiées que moyennant l’autorisation de l’autorité étrangère ou supranationale précitée. En ce qui concerne les informations classifiées mixtes, l’autorité d’origine vérifie, au terme du délai de classification prévu au paragraphe 2, si les éléments d’origine étrangère ou supranationale peuvent être expurgés distinctement et si l’information classifiée restante peut être déclassifiée.

Le niveau de classification RESTREINT est exempté des règles contenues dans les paragraphes 2 et 3. ministres, les règles détaillées de déclassification des informations classifiées du niveau RESTREINT.” Le nouvel article 7, inséré par l’article 17 du projet de loi, est complété par les dispositions relatives à la déclassification introduites par la loi du 11 septembre 2022. Le premier paragraphe de l’article 7, tel qu’introduit par la loi du 11 septembre 2022, est supprimé, étant donné que l’article 14 du projet de loi prévoit que le Roi, par un arrêté délibéré en Conseil des ministres, déterminera les autorités qui peuvent accorder, réviser et supprimer un niveau de classification.

Le sixième paragraphe est également supprimé, car il est déjà couvert par l’article 17 du projet de loi. Pour des raisons d’uniformité avec le projet de loi, les mots “pièce” ou “documents” sont remplacés par “informations classifiées” ou sont supprimés.

Dans paragraphe  2, alinéa  4, le mot “ouder” dans le texte néerlandaise est remplacé par les mots “al langer is geclassificeerd”. L’alignement du texte néerlandais sur le texte français (“si l’ancienneté de l’information classifiée est supérieure”) améliore la compréhensibilité. Le troisième paragraphe ne s’applique pas au niveau de classification “RESTREINT”. Au paragraphe 5, il est indiqué que la déclassification de “RESTREINT” est régie par le Roi.

Les coûts de mise en œuvre menacent la compétitivité de l’industrie belge dans des projets classifiés. On peut s’attendre à une large utilisation et à une forte dissémination du niveau RESTREINT parmi les gouvernements et l’industrie. Le coût financier et économique du maintien de la déclassification des documents RESTREINT gérable sera très élevé, d’autant plus qu’il ne sera pas nécessaire de les inscrire dans un registre (voir, entre autres, l’article 9, paragraphe 2, de la Décision du Conseil du 23 septembre 2013 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne).

De plus, l’accès à ces documents ne nécessite pas une habilitation de sécurité (mais un besoin d’en connaître à ceux-ci), de sorte qu’ils peuvent être consultés dans les conditions prévues pour la divulgation ordinaire d’autres documents gouvernementaux (non classifiés).

N° 23 de M. Vandenput et consorts

Art. 12

Dans l’article  1octies proposé, paragraphe  3, alinéa 1er, remplacer les mots “article 1bis, 12°” par les mots “article 1bis, 15°”. En renumérotant les définitions figurant à l’article 1bis, il convient de corriger ces deux références.

N° 24 de M. Vandenput et consorts

Art. 36

Dans le 2°, remplacer les mots “article 1bis, 12°” par les mots “article 1bis, 15°”.