Protection des données: la Commission met la Belgique au pied du mur

La Commission a envoyé à la Belgique une lettre de mise en demeure exigeant qu'elle se conforme au Règlement général sur la protection des données (RGPD). Elle estime que la Belgique pourrait violer son article 52, qui exige que l'autorité de supervision de la protection des données exerce sa tâche de manière indépendante.

"L'indépendance des autorités de protection des données requiert qu'elles restent libres de toute influence extérieure, directe ou indirecte, qui pourrait potentiellement affecter leurs décisions", indique la Commission.

Robben se défend

Sa décision fait suite à l'envoi, en mars, par le commissaire à la Justice Didier Reynders (MR) d'une lettre aux autorités belges exprimant ses inquiétudes quant au fait que l'Autorité de protection des données (APD) ne serait pas indépendante. "Certains de ses membres ne peuvent être considérés comme libres d'influence extérieure, soit parce qu'ils réfèrent à un comité de direction qui dépend du gouvernement belge, soit parce qu'ils prennent part à des projets gouvernementaux sur le traçage des contacts Covid-19, soit parce qu'ils sont membres du Comité de sécurité de l'information (CSI)", considère la Commission.

Ces considérations visent notamment Frank Robben, qui siège à l'ADP tout en dirigeant la Banque Carrefour de la Sécurité sociale, la plateforme eHealth et en étant le principal rédacteur des décisions du CSI. "C'est dommage que certains me prêtent à tort d'autres intentions" (que de faire son travail de manière indépendante), a réagi l'intéressé selon des propos relayés par l'agence Belga. Pour lui, le fait d'exercer une activité professionnelle extérieure à l'APD n'est que normal, une nécessité pour y apporter de l'expertise.

Lire aussi | Frank Robben noie le poisson en commission Justice

La balle au Parlement

La réponse donnée en avril par la Belgique n'a cependant "pas apaisé" les inquiétudes de la Commission. La Belgique a désormais deux mois pour clarifier les mesures prises pour assurer l'indépendance de l'Autorité de protection des données. Si la Commission n'est pas convaincue, elle pourrait, ensuite, lui envoyer un "avis motivé", c'est-à-dire une demande formelle de se conforter au droit de l'Union. Si la Belgique ne le fait pas, l'exécutif communautaire pourrait alors saisir la Cour de justice de l'Union.

Mathieu Michel (MR), le secrétaire d'État en charge de la Protection de la vie privée, a renvoyé mercredi la balle au Parlement fédéral. "Il me semble urgent d'inviter le Parlement à prendre ses responsabilités et à clarifier une situation que j'estime hautement problématique", a-t-il dit devant la commission Justice de la Chambre. Il a également indiqué se tenir prêt à proposer "des mesures structurelles" pour revoir la loi qui encadre l'application du RGPD en Belgique, pour que cette situation ne puisse plus se reproduire à l'avenir.

L'Agence de protection de la vie privée dépend directement du Parlement. Après que deux des directrices de l'APD ont alerté sur les conflits d'intérêts au sein de l'agence, les députés ont entendu à huis clos les cinq membres de son comité de direction. À leur demande, la Cour des comptes a, depuis, remis son analyse de la question: elle considère que l'ADP "répond globalement aux exigences d'indépendance", tout en reconnaissant que la présence de membres qui ont leur activité principale en dehors de l'agence est "en porte-à-faux avec la vision européenne d'une autorité totalement indépendante". La question devrait revenir sur la table de la commission Justice de la Chambre la semaine prochaine.