Quand une autorité de contrôle dysfonctionne, et que les instances nationales se montrent inopérantes, l’Europe reste le dernier recours pour débloquer la situation et imposer le respect du RGPD. En cause la dépendance de membres de l’Autorité de protection des données (ADP), la Cnil belge, à l’égard des pouvoirs publics. Après un an et demi de dénonciations par deux ex-directrices et l’ouverture d’une procédure d’infraction contre la Belgique par la Commission européenne au sujet de l’indépendance de son autorité chargée de la protection des données, suivie d’un avis motivé, le Parlement belge a finalement réagi. Chargé du contrôle de l’ADP, il a lancé une procédure de levée des mandats et s’apprête à adopter une réforme législative destinée à modifier la composition des membres de l’autorité. Mais les directrices qui ont dénoncé les dérives de l’Autorité ont beaucoup perdu dans ce combat : l’une a fini par démissionner et l’autre subit une procédure de révocation.
En application du RGPD, la loi du 3 décembre 2017 avait créé l’Autorité de protection des données (ADP), une autorité de contrôle et de sanction, remplaçant la Commission Vie privée, qui était un organe consultatif. Cette instance est composée de cinq co-directeurs ou co-directrices, qui peuvent être révoqués par le seul Parlement. Par ailleurs, elle comporte un Centre de connaissances qui émet des avis sur des avant-projets de lois, de décrets ou d’arrêtés. Cette mission implique une indépendance à l’égard du pouvoir et une absence de conflits d’intérêts.

Un peu moins d’un an après la création de l’Autorité par la loi, cinq personnes ont finalement été nommées au comité directeur pour six ans : David Stevens (DPO européen chez The Nielsen Company) qui assure pendant trois ans la présidence, Charlotte Dereppe (conseillère au cabinet du secrétaire d’Etat au respect de la vie privée), Alexandra Jaspar (DPO et responsable conformité chez Bpost), Peter Van den Eynde (ex conseiller juridique à la Commission Vie privée) et Hielke Hijmans (experte indépendante droit de la confidentialité européen).

« Monsieur données »
de l’État belge à l’APD

Dès septembre 2020, soit peu de temps après leur prise de fonction, Charlotte Dereppe et Alexandra Jaspar ont envoyé un courrier au Parlement pour dénoncer le manque d’indépendance de l’institution, sa composition en contradiction avec le RGPD et son inopérance. Elles mettaient notamment en cause David Stevens, l’un des directeurs et président de l’Autorité qui « a des contacts rapprochés avec des membres du gouvernement, des ministres, des directeurs d’administration ». Il a en effet participé à la Task Force « Data against corona » pour le compte du gouvernement. Alexandra Jaspar a expliqué à la RTBF que David Stevens « fait blocage au sein du Comité de direction pour que l’APD se taise et n’agisse pas contre l’autorité publique (…). Nous sommes une autorité qui ne protège pas les données (…) une autorité qui ne mord pas quand le secteur public est en face de nous ».

Les deux co-directrices ont également visé d’autres membres de l’ADP dont Franck Robben du Centre de connaissances. Ce dernier est le « Monsieur données » de l’État belge qui s’est vu discerner en 2021 le prix « Big Brother de l’année » par Ministry of Privacy notamment pour « l’absence de toute forme de transparence dans de nombreuses fonctions ». Il est responsable de la plupart des projets gouvernementaux en matière de vie privée en Belgique : il est administrateur de la banque Carrefour de la sécurité sociale, de la plateforme eHealth, dirigeant de Smals (prestataire informatique du secteur public) et principal rédacteur des décisions du Comité de sécurité de l’information (CSI).
Face à l’inaction du Parlement, les deux lanceuses d’alerte ont dénoncé ces faits au quotidien le Soir. Puis elles se sont de nouveau adressées au Parlement qui les auditionnera mais ne prendra aucune décision de révocation. Deux membres de l’ADP démissionneront cependant mais David Stevens et Franck Robben se maintiendront.

Devant un tel blocage, la Commission européenne a été amenée à intervenir. Dans un premier temps, le commissaire en charge de la Justice, Didier Reynders, a envoyé, en mars 2021, une lettre aux autorités belges dans laquelle il faisait part de son inquiétude quant au fait que l’APD n’était pas indépendante. « Certains de ses membres ne peuvent être considérés comme étant à l’abri de toute influence extérieure parce qu’ils rendent compte à un comité de gestion dépendant du gouvernement belge, participent à des projets gouvernementaux sur la recherche des contacts dans le cadre de la COVID-19 ou sont membres du Comité de la sécurité de l’information. Les informations fournies dans la réponse apportée par les autorités belges n’ont pas dissipé ces préoccupations ».

Cette lettre laissée sans effet a obligé la Commission européenne à ouvrir, le 9 juin 2021, une procédure d’infraction contre la Belgique et à envoyer une lettre de mise en demeure pour violation de l’article 52 du RGPD, qui dispose que l’autorité de contrôle de la protection des données exerce en toute indépendance les missions et les pouvoirs dont elle est investie. Bruxelles avait laissé deux mois pour garantir la pleine indépendance de l’Autorité. Comme rien n’a bougé, la Commission a adressé, le 12 novembre 2021, un avis motivé à la Belgique pour les mêmes motifs. La Belgique disposait d’un délai de deux mois pour prendre les mesures qui s’imposent, faute de quoi la Commission pourrait décider de saisir la Cour de justice de l’Union européenne.

Frank Robben a finalement remis sa démission le 7 février 2022, évitant ainsi à la Belgique de faire l’objet de poursuites. Il s’était défendu en invoquant le fait que tous les membres externes de l’APD ont d’autres activités professionnelles, ce qui permet précisément de fournir une expertise externe.

Par ailleurs, le 20 avril 2022, le président du comité de direction de l’APD, David Stevens, et la directrice du service de première ligne, Charlotte Dereppe, ont été auditionnés par la commission Justice de la Chambre des représentants. Dans la lettre de convocation du 17 mars, il était reproché à David Stevens sa participation à la Task Force Corona et à la co-directrice lanceuse d’alerte Charlotte Dereppe ses absences aux réunions au Comité de direction. « L’intéressée n’assisterait plus aux réunions du comité de direction depuis le 24 mars 2020, ni physiquement ni par visioconférence. Elle justifierait ce choix en évoquant des violences verbales qu’elle aurait subies lors de réunions du comité de direction, et ajouterait qu’il lui semble inutile d’assister aux réunions vu le peu de cas qui est fait de ses avis. En lieu et place, l’intéressée fournit une note écrite dans laquelle elle commente les points de l’ordre du jour. Cette façon de procéder empêche toutefois que l’on discute du contenu de cette note ». Elle s’est défendue en invoquant un congé de maternité, pour une partie de la période, et une campagne de dénigrement qu’elle aurait subie lors de ces réunions. Tous deux font l’objet d’une procédure en révocation à la suite de dysfonctionnements et de conflits d’intérêts au sein de l’organe de contrôle.
Des lanceurs d’alerte
non protégés

Alexandra Jaspar a, de son côté, annoncé sa démission de son mandat au sein de l’APD, le 9 décembre dernier. Dans une vidéo, elle explique que « ce qu’on vous demande de faire en y siégeant, c’est de vous taire, c’est de laisser passer, de fermer les yeux, de cautionner (…). Et surtout de ne pas faire le travail d’une autorité de protection des données. »
De son côté, le secrétaire d’Etat à la Digitalisation, Mathieu Michel, a proposé un avant-projet de loi destiné à réformer l’APD, qui a été approuvé fin janvier par le conseil des ministres. Des garde-fous ont été mis en place pour l’indépendance de l’APD et des critères de révocation d’un membre du comité de direction ont été établis, notamment s’il a entravé le bon fonctionnement de l’APD « par ses actions ou ses inactions, ou s’il n’a pas respecté le fonctionnement collégial du comité de direction ».
La situation est en cours de normalisation et l’APD devrait rejoindre les standards imposés par l’article 52 du RGPD. En attendant, celles par qui le scandale a éclaté n’ont pas été épargnées. L’une a jeté l’éponge en démissionnant, l’autre se retrouve confrontée à une procédure de révocation, alors même qu’elle a œuvré pour une APD qui joue son rôle. Décidément, on prend toujours beaucoup de risque à être lanceur d’alerte. D’autant plus dans un pays qui n’a pas de législation protectrice. La Belgique n’a toujours pas transposé la directive européenne du 23 octobre 2019.