Autorité de protection des données : quelles priorités pour 2023 ?

A l’occasion de sa demande de budget pour l’année 2023, le nouveau comité de direction de l’APD a communiqué à la Chambre des Représentants ses grandes priorités pour l’année à venir. L’essentiel de ses efforts sera concentré sur les cookies et les délégués à la protection des données (DPO). Sous réserve de moyens adéquats, l’APD pourra explorer l’articulation des règles de protection des données personnelles dans le contexte de la « smart city ». Le Service d’Inspection et la Chambre Contentieuse continueront par ailleurs leurs actions de contrôle dans les dossiers de « data brokers ».

Priorités transversales principales

Pour mener à bien ses missions, l’APD se doit de trouver un équilibre entre, d’une part, bien informer sur les règles en vigueur (prévention/sensibilisation), et d’autre part, les faire appliquer (contrôles/sanctions). Les différentes priorités 2023 se déclineront par conséquent de manière transversale au travers des différentes missions et services de l’APD.

Sous réserve de moyens humains suffisants, les axes suivants constitueront les principales priorités de l’APD en 2023 :

• les cookies : un point de vue harmonisé au niveau européen faisant actuellement encore défaut pour le sujet, l’APD s’attellera à expliciter encore davantage son point de vue en matière de cookies ;
• les DPO : le DPO étant l’allié de l’APD sur le terrain, celle-ci va continuer à soutenir cette fonction cruciale, tant au niveau des activités de prévention (notamment via la mise en avant du rôle du DPO dans l’exercice des droits des plaignants), qu’au niveau du contrôle (le Service d’Inspection s’intéressera par exemple à la place du DPO dans les organisations faisant l’objet d’une enquête) ;
• les smart cities : l’APD souhaiterait également développer des actions de prévention et de dialogue avec les acteurs de terrain en matière de « Smart Cities » (ex le transport intelligent).

Une attention particulière pour la sensibilisation des jeunes et les data brokers

De surcroît, si les moyens mis à sa disposition le lui permettent, l’APD souhaiterait également maintenir à jour son projet de sensibilisation et de proximité « Je décide » dédié d’une part aux jeunes, et d’autre part aux parents et enseignants.

En parallèle de ces points d’attention communs, les différents directeurs pourront également définir des priorités propres à leurs services pour l’année à venir, en fonction notamment des demandes d’information ou plaintes récurrentes. Ainsi, par exemple, le Service d’Inspection et la Chambre Contentieuse continueront à investiguer et, au besoin, sanctionner les « data brokers » ou « revendeurs de données », dont les traitements de données personnelles ont bien souvent lieu à très grande échelle.

Des priorités à articuler en fonction des moyens disponibles

Ces différentes ambitions de l’APD sont nécessairement exprimées de manière prudente, sous réserve de la décision de la Chambre des Représentants d’allouer de nouveaux moyens à l’APD en 2023.

D’une part, l’APD a demandé à celle-ci de lui accorder des moyens supplémentaires afin de pouvoir mener à bien ses missions légales. A titre d’exemple, la diminution de moitié des délais d’avis du Centre de Connaissances (prévue par la nouvelle loi APD) nécessitera des agents supplémentaires en nombre afin de pouvoir prendre en charge l’évaluation des projets de textes normatifs de manière qualitative dans les nouveaux délais impartis.

D’autre part, l’APD souhaite également (si la marge budgétaire disponible le permet) recevoir les moyens nécessaires pour répondre à des défis urgents auxquels elle doit faire face, comme la coopération à des actions d’ « enforcement » internationales, l’accompagnement proactif des responsables du traitement, et la digitalisation de ses services.

L’APD a également attiré l’attention sur les différentes initiatives européennes en termes de « digital package », comme le Data Governance Act (DGA), Digital Services Act (DSA) et l’Artificial Intelligence Act, qui auront nécessairement un impact sur l’APD. En effet, quelle que soit la répartition des compétences futures prévue par le législateur belge en cette matière, les services visés par ce « Digital package » impliquent souvent l’existence d’un traitement de données personnelles.

Hielke Hijmans, Président de la Chambre Contentieuse : « Nous observons une augmentation constante des plaintes auprès de l’APD (1.928 plaintes reçues en 2021), ainsi que la nécessité toujours plus marquée de participer à des dossiers internationaux en coopération avec nos homologues européens. Afin de traiter ces dossiers de manière la plus efficace et rapide possible, il est nécessaire que nos ressources s’alignent avec ces besoins croissants. »

Peter Van Den Eynde, Inspecteur Général : « L’APD va être confrontée à des dossiers de plus en plus complexes, notamment à cause des évolutions techniques liées à la protection des données. Il est essentiel de renforcer notre organisation afin de pouvoir accompagner les secteurs et individus au cœur de ces évolutions, et de pouvoir contrôler que celles-ci se fassent dans le respect du droit à la vie privée. »

Cédrine Morlière, Présidente de l’APD, conclut : « Une approche transversale et bien coordonnée entre les différents instruments de prévention et de contrôle à notre disposition permettra de contribuer à la protection des données personnelles autour des nouveaux thèmes prioritaires annoncés (cookies, DPOs et « smart cities »), dans un esprit de dialogue et de concertation. L’APD veillera à recueillir autant que possible les points de vue des acteurs du terrain à travers des rencontres ponctuelles, sous réserve de moyens suffisants à cet effet. Nous nous réjouissons de travailler dans un esprit de dialogue aux priorités que nous avons définies pour l’année 2023. »