Introduction de la Présidente

« En 2023, l’APD a intensifié la coordination de ses actions avec ses homologues européens du Comité européen de la Protection des données. L’accent a également été mis sur la mise en œuvre d’une approche coordonnée au sein de ses divers services, dans l’attente d’une nouvelle loi organique, votée fin 2023, laquelle doit permettre d’affiner les processus de priorisation internes.  La venue à bord de nouveaux collègues au Comité de direction et l’engagement de nouveaux agents ont permis de donner une nouvelle impulsion à des projets qui me tenaient à cœur : nos actions de sensibilisation envers le secteur de l’éducation, et le renouvellement de l’infrastructure informatique de l’APD. »

En 2023, l’APD, avec à sa tête un Comité de direction complet depuis juillet 2023, a poursuivi ses missions en vue de renforcer la protection de la vie privée de tous dans un environnement digital en constante évolution.

Je me réjouis de la montée à bord de notre Comité de Direction de deux nouveaux collègues.

Bienvenue au directeur du Secrétariat Général, Koen Gorissen, en charge notamment du pôle RH, ICT, budget, marchés publics, avis préalables « DPIA », transferts internationaux, et premier tri des brèches de données. Il est au gouvernail de plusieurs projets majeurs dont le renouvellement de l’infrastructure informatique de l’APD. Je souhaite également la bienvenue et salue les initiatives de notre directrice du Service de Première Ligne, Anne-Charlotte Recker, en charge notamment du tri des plaintes (recevabilité), et de la médiation. Avec son équipe, Anne-Charlotte redonne souffle à nos actions de sensibilisation, à l’attention notamment du secteur de l’éducation et de la jeunesse. Ainsi,  j’ai signé en décembre 2023 un contrat majeur visant à déployer des modules éducatifs EDUbox en collaboration avec un grand média télévisuel belge. J’espère que cette initiative fera des émules à travers l’ensemble du pays.

Je remercie également l’Inspecteur-Général, Peter Van den Eynde, pour avoir assumé avec moi la direction opérationnelle de ces services entre juillet 2022 et juillet 2023, tandis que notre Président de la Chambre Contentieuse, Hielke Hijmans, poursuivait l’importante mission de notre organe de sanction. Nonobstant cette contrainte organisationnelle, tous les services de l’APD, y compris le Centre de Connaissances dont j’assure la direction, ont rendu d’importants et nombreux avis et décisions en 2023, qui sont reflétés dans le rapport.

Notre Président de la Chambre Contentieuse est particulièrement fier des décisions rendues en 2023 : « Je suis très heureux que la Chambre Contentieuse ait rendu des décisions importantes et stratégiques en 2023. Ainsi par exemple,  la décision FATCA en matière de transferts internationaux et la décision relative aux registres de baptêmes sur le droit à l’oubli. Vous en lirez plus dans ce rapport annuel ».

Il me plait de refléter ci-dessous également une décision de sanction marquante prise en collaboration avec nos homologues européens du Comité européen de Protection des Données (EDPB, ou CEPD en français) avec à la clé un renforcement de la protection du citoyen, en particulier des mineurs. Ces actions européennes ont pris de l’ampleur en 2023 avec des résultats tangibles tels qu’une décision contraignante prise le 2 août 2023 à l’encontre de Tiktok, assortie d’une amende de 345 millions d’euros imposée par l’Autorité de protection des données irlandaise à cette plateforme. Dans le viseur, une technique de lay-out trompeur (deceptive design) utilisée à cette fin au détriment de la protection de la vie privée et de la protection tout court des plus jeunes parmi nous. Il s’agissait de contraindre Tiktok à cesser d’encourager les mineurs à publier leurs données personnelles sur la partie publique du site.

Parallèlement, et à titre d’action de prévention, l’APD a rappelé les règles en matière de transparence de l’information, en ce compris les techniques de mise en page trompeuse « deceptive design » à prohiber, faisant le lien entre les lignes directrices de l’EDPB en la matière et actions de contrôle de l’APD.

Comme l’illustre cet exemple, en complément de ces nécessaires actions de contrôle, il nous importe  de favoriser - autant que possible - un bel équilibre entre nos actions de coercition et de prévention. Nous nous y sommes engagés à 3 dans notre plan de gestion 2023, et avons poursuivi l’accomplissement de cette vision idéale à 5. Le pli est pris avec, à titre d’exemple, la publication fin 2023 d’une checklist « cookies et autres techniques de traçage » en complément des décisions rendues dans cette matière, ou encore nos clarifications coordonnées en matière de publicité électorale fin 2023/début 2024.

Après les premières années de mise en œuvre du RGPD marquées par une mise en valeur toute naturelle des nouvelles tâches de sanction de l’APD, la nouvelle ambition transversale du Comité de direction de l’APD, à trois depuis juillet 2022, et poursuivie à 5 en 2023, ont été : 

• identifier et prioriser rapidement les thématiques récurrentes en termes de plaintes afin de permettre aux services en charge des actions de prévention d’anticiper ces questions et opérer un rappel des règles en temps utiles ;  offrir au citoyen et à toutes les parties prenantes, une vision coordonnée des règles applicables dans les domaines identifiés comme prioritaires dans notre plan de gestion 2023 (« cookies », « élections ») ;
• après engagement de ressources humaines suffisantes pour assumer les missions de base de l’APD, inclure autant que possible les citoyens et parties prenantes dans les débats liés à la protection des données au stade d’un dialogue constructif avec l’APD dans les priorités transversales définies par l’APD (préparation en 2023 et organisation en mars 2024 d’un colloque « smart cities »).
• réserver à la Chambre Contentieuse les litiges qui méritent le plus son attention : en plus des travaux menés à cet égard au sein de la Chambre Contentieuse elle-même, il m’importe de souligner le renforcement du rôle du Service d’Inspection et du Service de Première Ligne en amont de toute décision contentieuse.

Ce dernier point d’action sera selon toutes attentes et en toute hypothèse, facilité grâce au vote fin décembre 2023 par le Parlement fédéral, d’une nouvelle loi modifiant la loi organisant l’APD, objet de toute notre attention et énergie en vue de son entrée en vigueur ce 1ier juin 2024. Il s’agit notamment de  permettre à l’APD de définir des modes d’organisation encore plus efficaces et coordonnés. Instrument-clé à cet effet, le nouveau Règlement d’ordre intérieur de l’APD vient d’être publié début juin 2024.

• 2023 : renforcement des ressources humaines de l’APD

Du point de vue de ses ressources humaines, 2023 est l’année où l’APD a pu engager les effectifs nouveaux accordés par la Chambre fin 2022, en vue de renforcer l’APD dans ses capacités à remplir ses missions de base : contrôler mais aussi accompagner les citoyens, responsables de traitement et autorités publiques dans la mise en œuvre des règles de protection de la vie privée et des données à caractère personnel.

Cette extension de cadre était bienvenue et fort attendue vu l’augmentation du nombre de plaintes, et d’avis législatifs à traiter par le Centre de Connaissances  en 2023 : augmentation du nombre de plaintes de 15% par rapport à l’année précédente, et un nombre de demandes d’avis législatifs en explosion dans le contexte de la fin de la législature (+ 89% càd près de 610 contre 250/300 avis soumis au Centre de Connaissances en 2022-2023).

Ces nouveaux agents engagés fin 2023 pourront renforcer l’APD en 2024 dans ses capacités à remplir ses missions de base : contrôler mais aussi accompagner les citoyens, responsables de traitement et autorités publiques dans la mise en œuvre des règles de protection de la vie privée et des données à caractère personnel, dans un contexte de plus en plus complexe, avec le développement de questions liées à l’intelligence artificielle et un nouveau cadre juridique européen visant à encadrer l’espace digital en complément du RGPD.

Fin 2023, l’APD a de nouveau pu bénéficier d’une extension de cadre en vue notamment de (i) faire face à l’augmentation des dossiers entrants et remplir les nouvelles missions de l’APD telles que le traitement de signalements intégrité par le Service d’Inspection et la Chambre Contentieuse, (ii) poursuivre ses thèmes prioritaires (e.g. « smart cities », « DPO »), et enfin, (iii) répondre et anticiper, autant que possible, les besoins de coordination entre l’APD et diverses autorités en charge de la mise en œuvre des nouvelles règles européennes de régulation de l’univers digital y compris l’intelligence artificielle.  L’APD collabore par ailleurs avec l’EDPB pour évaluer l’impact de ces législations et leur interaction avec le RGPD.

Je remercie l’ensemble du personnel de l’APD pour leur extrême motivation et dévouement, soutien indispensable  à mon action et à celle du Comité de direction. Ensemble, nous avons traversé tous les obstacles afin de faire croître notre organisation et délivrer le meilleur service au citoyen à l’ensemble des parties prenantes.

Ce rapport annuel présente donc, sous la plume de leurs directeurs respectifs, les réalisations de chacune des directions et du Comité de Direction à 3 depuis juillet 2022 et à 5 depuis juillet 2023.

 

Cédrine Morlière

Présidente et Directrice du Centre de Connaissances

Au nom du Comité de Direction