Question écrite n° 7-287

de Peter Van Rompuy (CD&V) du 17 janvier 2020

au ministre de l'Agenda numérique, des Télécommunications et de la Poste, chargé de la Simplification administrative, de la Lutte contre la fraude sociale, de la Protection de la vie privée et de la Mer du Nord

Règlement général sur la protection des données (RGPD) - Contrôle, par l'Autorité de protection des données, du respect du règlement

Autorité de protection des données
statistique officielle
protection de la vie privée

Chronologie

Question n° 7-287 du 17 janvier 2020 : (Question posée en néerlandais)

Justification du caractère transversal de la présente question écrite : le contrôle du respect du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou «RGPD») est une compétence partagée.

L'Autorité de protection des données est un organe indépendant qui est chargé, entre autres, de veiller au respect du règlement général sur la protection des données (RGPD), entré en vigueur le 25 mai 2018.

Je souhaiterais dès lors poser au ministre les questions suivantes:

1) Combien d'enquêtes l'Autorité de protection des données a-t-elle déjà lancées sur d'éventuelles violations du RGPD? Je souhaiterais obtenir:

- un relevé mensuel;

- un relevé par province;

- des précisions sur les entités concernées (personnes physiques, autorités publiques, ASBL, SA, etc.);

- des précisions sur l'origine des enquêtes (initiative personnelle, plainte reçue, etc.).

2) Combien d'enquêtes sur d'éventuelles violations du RGPD l'Autorité de protection des données a-t-elle clôturées ? Quelles furent les conclusions des enquêtes clôturées et quelle suite leur a-t-on donnée?

3) Comment le ministre évalue-t-il ces chiffres dans la perspective d'un meilleur contrôle du respect du RGPD à l'avenir?

Réponse reçue le 19 février 2020 :

1) De manière générale, l'Autorité de protection des données souhaite souligner que les chiffres pour 2019 et 2020 ne sont pas encore définitifs. Certains dossiers n'ont pas encore été finalisés ou sont encore soumis au mécanisme de contrôle final. Des modifications par rapport au rapport annuel sont donc toujours possibles.

- Une liste mensuelle;

À cette fin, une distinction est faite entre trois types de dossiers différents. D'une part, il y a les dossiers d'information, qui sont généralement basés sur les questions des citoyens auxquelles nous répondons. D'autre part, il existe des dossiers de médiation et des plaintes, où l'autorité de protection des données intervient dans un litige entre plusieurs parties, à la demande d'une des parties. Enfin, il y a les dossiers d'audit, qui sont des contrôles effectués par le service d'inspection.

Dossiers d’informations

1) Médiations et plaintes

2) Inspections

– une liste par province;

L'autorité de protection des données ne dispose pas de tels chiffres.

- quelles sont les entités concernées (personnes physiques, gouvernement, organisation à but non lucratif, NV, etc.)

L'autorité de protection des données ne dispose pas de tels chiffres.

- Des enquêtes ont été ouvertes sur quelles bases? (initiative propre, plainte reçue, etc.).

Les enquêtes peuvent être lancées de différentes manières. En principe, les dossiers d'information et les médiations et plaintes partent toujours d'une demande d'un citoyen ou d'une entreprise. Toutefois, il y a l'exception des lettres de contrôle, c'est-à-dire des lettres envoyées à l'initiative de l'autorité de protection des données en réponse à des informations qui lui ont été fournies par d'autres canaux (par exemple la presse). À ce jour, 13 dossiers de ce type ont été ouverts.

Les inspections peuvent être lancées de différentes manières, comme le décrit l'article 63 de la loi du 3 décembre 2017 instituant l'autorité de protection des données. Les inspections peuvent faire partie d'un dossier de plainte ou être effectuées de leur propre initiative.

2) Des chiffres précis ne sont actuellement disponibles que pour les dossiers d'information, les médiations et les plaintes:

Dossiers d’information

Les médiations et les plaintes

3) Ces chiffres illustrent clairement que les différentes parties savent trouver le chemin vers l’Autorité de protection des données en vue de faire valoir leurs droits. Toutefois, les 18 premiers mois de mise en œuvre du Règlement général de protection des données ne sont peut-être pas entièrement représentatifs du fait que d’une part, l’Autorité de protection des données se trouvait dans une période de transition jusqu’au moment de la désignation d’un nouveau Comité de direction par la Chambre et d’autre part, le Comité de direction n’a adopté que récemment son plan stratégique. Cela a donc pris un petit moment mais je suis convaincu que l’Autorité de protection des données arrive maintenant à une vitesse de croisière et qu’elle exercera pleinement et de manière rigoureuse ses nouvelles compétences.