APD (Autorité de protection des données) : audit

Date : 2026-03-29 Statut : ⚠️ Réformé Catégorie : Régulateurs et organes de contrôle fédéraux

Phase 1 : recherche approfondie

1A. De quoi s'agit-il exactement ?

L'Autorité de protection des données (APD), en néerlandais Gegevensbeschermingsautoriteit (GBA), est l'organe de contrôle indépendant belge pour la protection des données à caractère personnel. Elle succède à l'ancienne Commission de la protection de la vie privée (Commission vie privée).

Base juridique : Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, modifiée par la loi du 7 septembre 2023 et la loi du 25 décembre 2023. L'APD est l'autorité de contrôle nationale exigée par l'article 51 du règlement général sur la protection des données (RGPD/GDPR, règlement (UE) 2016/679).

Date de création : 25 mai 2018 (opérationnelle, date d'entrée en vigueur du RGPD). Son prédécesseur, la Commission vie privée, existait depuis 1992.

Niveau de pouvoir : Fédéral. L'APD relève du contrôle de la Chambre des représentants (et non du pouvoir exécutif), afin de garantir son indépendance.

Budget (2023) : 13.274.000 euros de crédits de fonctionnement (hausse de 32,8 % par rapport à 2022 : 9.993.740 euros).

Personnel (fin 2023) : 68 collaborateurs (fin 2022 : 66). En 2023, le cadre du personnel a été élargi de 20 ETP après une décision de la Chambre. Malgré cela, l'APD signale à plusieurs reprises dans son plan stratégique que ses moyens sont insuffisants. Elle ne disposait que de 45,9 gestionnaires de dossiers pour 21 missions légales.

Structure. Cinq directions :

1. Secrétariat général RH, budget, ICT, affaires juridiques
2. Service de Première Ligne réception des plaintes, médiation, information aux citoyens
3. Centre de Connaissances avis, recommandations (6 membres externes)
4. Service d'Inspection enquêtes et inspections
5. Chambre Contentieuse décisions quasi juridictionnelles et sanctions (6 membres externes)

Le comité de direction se compose des 5 chefs de direction et s'est réuni 29 fois en 2023.

1B. Que fait-il en pratique ?

Missions principales (conformément à l'art. 57 du RGPD) :

• Contrôle du respect du RGPD et de la législation belge sur la vie privée
• Traitement des plaintes des citoyens
• Réalisation d'inspections et d'enquêtes
• Émission d'avis au législateur et aux pouvoirs publics
• Imposition de sanctions (amendes, avertissements, injonctions)
• Notification et suivi des fuites de données
• Coopération internationale au sein de l'European Data Protection Board (EDPB)

Activités en 2024 :

• 3.051 demandes d'information + 933 appels téléphoniques
• 837 plaintes introduites
• 243 dossiers de médiation (77 réussis, 26 convertis en plainte)
• 1.455 notifications de violations de données (fuites de données)
• 157 enquêtes d'inspection (hausse de 83 % par rapport à 2023 : 86)
• 173 décisions de la Chambre Contentieuse
• 310 avis (118 spécifiques, 192 standard)

Problème majeur : L'APD n'a pas le pouvoir d'infliger des amendes au secteur public. C'est une lacune fondamentale du contrôle. Ce sont précisément les pouvoirs publics qui traitent le plus de données à caractère personnel (eHealth, BCSS, impôts, police) qui échappent aux sanctions financières.

Indicateurs de performance : L'APD publie chaque année un rapport annuel et un plan de gestion. Des KPI existent, mais le délai de traitement des plaintes est long et il n'y a pas de contrat de résultats structurel avec des benchmarks.

1C. Comparaison internationale

Analyse :

• Sur le plan du budget par habitant, la Belgique se situe dans la moyenne, mais elle est absolument en sous-effectif au vu du volume de plaintes et de la complexité des missions.
• Les Pays-Bas investissent nettement plus par habitant et disposent de près de 3 fois plus de personnel pour une population 1,5 fois plus grande. Et même cela, KPMG le juge insuffisant.
• L'Allemagne fonctionne avec une structure fédérale répartie : le BfDI traite l'autorité fédérale et les télécoms, chaque autorité de Land s'occupe du secteur privé. Cela évite la concentration et augmente la capacité.
• L'Irlande a le budget par habitant le plus élevé, mais cela s'explique par la présence de sièges de sociétés technologiques (Meta, Google, Apple, TikTok).

Qu'est-ce qui fonctionne manifestement mieux ?

Le modèle allemand de compétence répartie est une source d'inspiration pour la structure belge en entités fédérées. Chaque autorité de Land traite les plaintes du secteur privé sur son territoire, le BfDI s'occupe de l'autorité fédérale et des télécoms et de la poste. Cela crée de la concurrence et de la spécialisation.

Le modèle néerlandais est pertinent pour la taille : une seule autorité pour un pays plus petit, mais avec beaucoup plus de moyens et une attitude d'application plus active.

1D. Problèmes et critiques

1. La crise Frank Robben (2020-2022) Le plus grave problème d'indépendance : Frank Robben siégeait comme membre externe du Centre de Connaissances de l'APD tout en étant administrateur général de la Banque Carrefour de la Sécurité sociale (BCSS) et de la plateforme eHealth. Il évaluait donc la politique de vie privée de systèmes qu'il concevait et gérait lui-même. La Commission européenne a ouvert en juin 2021 une procédure d'infraction contre la Belgique pour violation de l'article 52 du RGPD (indépendance de l'autorité de contrôle). Après sa démission en février 2022, la Commission a mis fin à la procédure.

2. Lanceurs d'alerte et chaos interne La directrice Alexandra Jaspar (Centre de Connaissances) a démissionné en accusant l'APD d'« enterrer des dossiers » et de partialité. Plusieurs collaborateurs sont partis. L'organisation La Quadrature du Net a publié un rapport sur les « dysfonctionnements systémiques » de l'APD.

3. Réforme légale sous pression L'APD elle-même a averti que le projet de loi modifiant la loi APD (2022-2023) menaçait son indépendance : le parlement aurait son mot à dire dans l'organisation interne et la fixation des priorités, et la reconduction des directeurs dépendrait d'une évaluation parlementaire sans critères objectifs.

4. Manque chronique de moyens Avec 68 collaborateurs pour 21 missions RGPD et des milliers de plaintes et notifications par an, l'APD est structurellement en sous-effectif. Le gel des recrutements a rendu tout renforcement impossible. Ce n'est qu'en 2023 que 20 ETP supplémentaires sont arrivés. Mais l'APD indique elle-même que cela ne suffit pas.

5. Pas de pouvoir de sanction pécuniaire pour le secteur public Un problème typiquement belge : l'APD ne peut pas infliger d'amendes aux pouvoirs publics. Ce sont précisément les plus grands responsables de traitement. L'ONSS, le SPF Finances, la police, eHealth. Qui sont hors d'atteinte des sanctions financières. Cela mine fondamentalement la crédibilité du contrôle.

Phase 2 : évaluation au regard des neuf principes

Synthèse : 0 ✅ · 5 ⚠️ · 4 ❌

L'APD échoue sur la taille critique (beaucoup trop petite), les compétences concurrentes (tout est centralisé), la responsabilité = financement (pas d'amendes pour les pouvoirs publics, trop peu de budget) et l'éprouvé à l'étranger (elle s'écarte des modèles qui réussissent). Le gain le plus important se situe dans : (1) une montée en puissance substantielle, (2) une répartition entre entités fédérées sur le modèle allemand, et (3) un plein pouvoir de sanction, secteur public compris.

Phase 3 : la proposition de HART

3A. Classification

🟠 Réformé L'APD subsiste comme autorité fédérale, mais elle est fondamentalement renforcée et complétée par des autorités de contrôle de la vie privée au niveau des entités fédérées.

3B. Proposition concrète

Ce qui change :

1. Triplement du personnel : De ±70 à 200 ETP au minimum (fédéral + entités fédérées ensemble). Budget porté à 30 millions d'euros au minimum (comparable aux Pays-Bas par habitant).

2. Des autorités de contrôle de la vie privée par entité fédérée sur le modèle allemand :

   • Chaque entité fédérée (Flandre, Wallonie, Bruxelles, Ostbelgien) reçoit sa propre autorité de contrôle de la vie privée pour les plaintes concernant les pouvoirs publics régionaux et locaux et le secteur privé sur son territoire.
   • L'APD fédérale contrôle les services publics fédéraux, les télécoms, les dossiers transfrontaliers, et coordonne la coopération internationale (EDPB).

3. Plein pouvoir de sanction : L'APD (et les autorités des entités fédérées) reçoivent le pouvoir d'infliger des amendes au secteur public. Aucune exception. Qui traite des données à caractère personnel est soumis au contrôle. Les pouvoirs publics compris.

4. Contrat de résultats : L'APD fait rapport chaque année à la Chambre avec des KPI contraignants : délai de traitement des plaintes, pourcentage de dossiers clôturés, indice de conformité, benchmarking avec les autres autorités de protection des données de l'UE.

5. Indépendance ancrée : Aucun membre de l'APD ou des autorités des entités fédérées ne peut exercer une autre fonction publique. Les nominations passent par l'Organe de nomination indépendant (proposition de HART), sur la base de la compétence et non de la couleur politique.

Modèle international de référence : L'Allemagne (BfDI + autorités des Länder) pour la structure, les Pays-Bas (AP) pour l'ambition en matière de moyens et d'application.

Impact estimé :

• Économie : sans objet. Il s'agit d'un investissement, pas d'une économie.
• Rendement : une application plus forte génère davantage de recettes d'amendes (réinjectées dans le budget des autorités), un meilleur respect du RGPD et la protection des droits des citoyens.
• Gain d'efficience : des délais de traitement plus courts grâce à la répartition entre entités fédérées, une spécialisation régionale.

Trajet de mise en œuvre :

• Phase 1 (0-2 ans) : hausse du budget de l'APD à 25 M€, extension du pouvoir de sanction pécuniaire au secteur public, levée du gel des recrutements.
• Phase 2 (2-4 ans) : création des autorités des entités fédérées lors de la réforme de l'État, transfert des dossiers régionaux.
• Phase 3 (4-6 ans) : opérationnalisation complète, contrats de résultats actifs, premier benchmarking.

Modifications légales requises : Modification de la loi APD (3 décembre 2017), nouveaux décrets des entités fédérées, éventuellement une loi spéciale en cas de transfert de compétences.

Phase 4 : point du programme (texte prêt pour le site)

Partie A : le point du programme

APD (Autorité de protection des données) : réforme

Le gendarme belge de la vie privée compte 68 collaborateurs pour 11,6 millions d'habitants, ne peut pas infliger d'amendes aux pouvoirs publics, et a été rappelé à l'ordre par l'Europe pour conflits d'intérêts. HART en fait une autorité de contrôle dotée d'une réelle capacité d'action, avec des sections par entité fédérée sur le modèle allemand et un plein pouvoir de sanction.

Partie B : l'explication

Comment cela fonctionne aujourd'hui

L'Autorité de protection des données (APD) est le gendarme belge de la vie privée. Créée en 2018 pour succéder à l'ancienne Commission vie privée, elle veille au respect du RGPD. Le règlement européen sur la vie privée. L'APD traite les plaintes des citoyens, mène des inspections, rend des avis et peut infliger des amendes. En 2024, elle a reçu 837 plaintes et 1.455 fuites de données, et la Chambre Contentieuse a pris 173 décisions. Elle travaille avec un budget de 13,3 millions d'euros et 68 collaborateurs.

Ce qui ne va pas

Trois problèmes fondamentaux.

Premièrement : l'APD est structurellement en sous-effectif. Avec 68 collaborateurs, elle doit exécuter 21 missions légales pour 11,6 millions de Belges. À titre de comparaison : les Pays-Bas ont 180 collaborateurs pour 17,8 millions d'habitants. Et même cela représente, selon une analyse de KPMG, moins de la moitié de ce qui est nécessaire. Proportionnellement, la Belgique devrait compter au moins 120 personnes.

Deuxièmement : l'APD ne peut pas infliger d'amendes aux pouvoirs publics. Ce sont précisément les instances qui traitent le plus de données à caractère personnel. L'administration fiscale, la sécurité sociale, la police, la plateforme eHealth. Qui sont hors d'atteinte des sanctions financières. C'est comme si la police de la route ne pouvait pas verbaliser les camions.

Troisièmement : l'indépendance a été une fiction pendant des années. Le haut fonctionnaire Frank Robben siégeait à l'APD tout en dirigeant la Banque Carrefour de la Sécurité sociale et la plateforme eHealth. Il évaluait donc la politique de vie privée de ses propres systèmes. La Commission européenne a ouvert une procédure d'infraction contre la Belgique. Elle n'y a mis fin qu'après sa démission en 2022. La modification légale de décembre 2023 a renforcé l'indépendance, mais le problème structurel. Trop peu de moyens, trop peu de dents. Demeure.

Comment cela fonctionne ailleurs

L'Allemagne a une structure fédérale répartie dont la Belgique peut tirer des leçons. Le Bundesbeauftragte für den Datenschutz (BfDI) contrôle l'autorité fédérale ainsi que les télécoms et la poste, avec environ 350 collaborateurs. À côté de cela, chaque Land dispose de sa propre autorité de contrôle de la vie privée, qui traite les plaintes concernant les pouvoirs publics régionaux et le secteur privé. Ensemble, cela représente plus de 1.100 professionnels de la vie privée pour 84 millions d'habitants. Ce système crée de la spécialisation, de la rapidité et de la concurrence entre les Länder.

Les Pays-Bas investissent nettement plus par habitant : 37 millions d'euros de budget en 2024 pour l'Autoriteit Persoonsgegevens (180 ETP), soit presque trois fois le budget belge. Et même cela, le parlement néerlandais le juge insuffisant.

Dans les deux pays, l'autorité de contrôle dispose bel et bien d'un plein pouvoir de sanction à l'égard du secteur public.

Ce que HART propose

Une réforme en trois volets :

1. Plus de moyens. Le budget de l'APD passe à 25 à 30 millions d'euros au minimum, et son effectif à 200 ETP au minimum. Cela amène la Belgique au niveau des pays comparables. Le gel des recrutements est levé immédiatement.

2. Des sections par entité fédérée. Lors de la réforme de l'État, chaque entité fédérée reçoit sa propre autorité de contrôle de la vie privée, qui traite les plaintes concernant les pouvoirs publics régionaux et les entreprises locales. Sur le modèle allemand éprouvé. L'APD fédérale conserve le contrôle des services fédéraux, des télécoms et des dossiers transfrontaliers, et coordonne la coopération européenne.

3. Plein pouvoir de sanction. L'exclusion du secteur public est supprimée. Toute institution qui traite des données à caractère personnel. Privée ou publique. Est soumise au même contrôle et aux mêmes sanctions. Aucune exception.

En outre, les nominations se feront désormais exclusivement sur la base de la compétence, via l'Organe de nomination indépendant. Aucun membre de l'APD ne pourra exercer une autre fonction publique. L'APD fera rapport chaque année avec des KPI mesurables : délai de traitement des plaintes, taux de conformité, benchmarking avec les autres autorités de contrôle européennes.

Ce que cela rapporte

Il ne s'agit pas d'une histoire d'économies, mais d'un investissement dans les droits des citoyens. Concrètement, cela donne : un traitement des plaintes plus rapide grâce à la répartition régionale, des pouvoirs publics qui doivent eux aussi respecter les règles de la vie privée (sous peine d'amendes), plus de confiance des citoyens dans l'administration numérique, et une Belgique qui ne traîne plus derrière l'Europe en matière de protection de la vie privée.

Une application plus forte génère en outre des recettes d'amendes qui reviennent au budget des autorités de contrôle. Un modèle qui fonctionne déjà en Irlande et aux Pays-Bas.

Phase 5 : sources