Alexandra Jaspar, l’une des cinq personnes qui dirigent l’APD, l’Autorité de Protection des données belge, a choisi de démissionner, après avoir tiré la sonnette d’alarme et dénoncé une APD qui ne serait pas en mesure de remplir ses objectifs légaux, relate la RTBF.

Elle avait déjà, à plusieurs reprises, attiré l’attention de la Chambre, l’autorité de contrôle de l’APD, sur le fait qu’un autre directeur, qui préside aussi l’APD, ainsi que des conseillers sont en conflit d’intérêts, à la fois juge et partie.

A chaque fois, il s’agissait de dénoncer de « graves dysfonctionnement » dont serait affectée l’Autorité de Protection des Données. Selon elle, l’APD « était infiltrée par des personnes qui dépendent du gouvernement. Comment voulez-vous contrôler les organes du gouvernement et des institutions publiques si vous êtes vous-même infiltrés par des membres du gouvernement ou des gens qui travaillent pour le gouvernement ? », interroge Alexandra Jaspar.

« Quand il s’agit d’agir contre des entreprises, l’APD est fonctionnelle. On est même assez sévères », explique Alexandra Jaspar. « Par contre, quand il s’agit de contrôler le respect du RGPD par des institutions publiques, il n’y a plus personne ». (...)

Lire aussi :

Dysfonctionnements systémiques des autorités de protection des données : le cas belge

Nous dénonçons depuis un bon moment le fonctionnement de la CNIL française et son manque de volonté politique de protéger nos libertés. Depuis 2018 et le dépôt de nos plaintes collectives contre les GAFAM nous avons aussi pu constater l’incurie des autorités irlandaise et luxembourgeoise : cela fait 3 ans que nous avons déposé avec plusieurs milliers de personnes des plaintes, sans aucune nouvelle depuis. Mais ce ne sont pas les seules en Europe à connaître des dysfonctionnements. Petite analyse des soucis que rencontre l’Autorité de protection des données (APD) en Belgique.

En mai 2016 était voté le RGPD, règlement européen visant à protéger les données personnelles contre leur utilisation abusive, tant par les entreprises privées que par les États. Applicable depuis mai 2018, ce texte ordonne par son article 51 la mise en place d’« autorités nationales indépendantes […] chargées de surveiller l’application du présent règlement ». Il est prévu qu’elles coopèrent entre elles, sous une forme de fédération. L’article 52 exige l’indépendance de ces autorités.

Nous avons régulièrement critiqué le fonctionnement de la CNIL en France, tout comme l’autorité irlandaise ou luxembourgeoise, pour la faible qualité de la prise en charge des plaintes et les retards pris dans le traitement de ces dernières.

La commission LIBE1du parlement européen elle-même confirmait en février notre analyse (voir ici, § « Exécution »), préoccupée par l’insuffisante mise en œuvre du RGPD, la trop longue durée des instructions, et les déclarations par les autorités elles-même sur les manque de moyens, humains et financiers, pour mener à bien leur mission.

Nous avions un a-priori plutôt positif sur l’autorité belge, l’APD (Autorité de protection des données). (...)

Malheureusement, les dysfonctionnements dépassaient en réalité ce que nous imaginions. Sa mise en place courant 2019, soit avec un an de retard par rapport à l’entrée en application du RGPD et trois ans après le vote du texte, était un premier signal. L’APD est composée, entre autres organes, d’un Centre de Connaissances qui émet des avis sur des avant-projets de lois, de décrets ou d’arrêtés du gouvernement belge. Cette mission implique naturellement qu’il soit hautement protégé de toute influence de l’État et que ses membres ne soient pas en situation de conflit d’intérêts.

Las : le Centre de Connaissances a vu la nomination d’ « experts » ayant un ou plusieurs mandats publics, mais aussi l’ingérence du président de l’APD dans son travail. (...)

Cette situation a été maintes fois dénoncée, en particulier par deux co-directrices de l’APD, Alexandra Jaspar et Charlotte Dereppe. (...)

La Ligue des Droits Humains s’en était aussi émue en juin 2020 dans un courrier à la Chambre des représentants, pointant nommément les violations flagrantes de la loi belge et du RGPD par le président de l’autorité, mais aussi par la présence d’experts en situation de conflit d’intérêts.

Suite à ces diverses alertes, l’ensemble de l’équipe de co-direction de l’APD avait été auditionnée le 21 octobre 2020 par la commission Justice de la Chambre des représentants. La conséquence ? L’envoi d’un courrier aux co-directrices demandant à ce que les « conflits interpersonnels ne produisent pas d’effets négatifs sur le fonctionnement et le rayonnement de l’APD » : pas de vagues, pas de problèmes.

Il aura fallu que soit saisie la Commission européenne en février 2021, puis que cette dernière finisse par lancer en juin 2021 une procédure d’infraction à l’encontre de la Belgique pour son non-respect du RGPD. L’affaire n’est donc pas terminée, et le fait que la Commission soit obligée d’agir contre un État membre comme la Belgique pour obtenir qu’une autorité indépendante le soit réellement n’est pas pour nous rassurer sur la bonne santé des institutions européennes.

De nouveau, l’équipe de co-direction sera auditionnée ce vendredi par la Chambre des représentants. Cette fois, l’objectif semble être la levée des mandats de certains directeurs, y compris les lanceuses d’alerte. Une tactique de la terre brûlée plutôt qu’une remise en question. (...)

La situation au sein de l’APD belge s’ajoute aux précédents dysfonctionnements que nous avions relevé. Une remise à plat générale du fonctionnement des APD européennes nous semble essentielle pour que le droit soit enfin appliqué et que le RGPD joue pleinement son rôle de protecteur des données personnelles de la population. (...)