En Belgique, l’Autorité de protection des données (APD) est l’autorité générale indépendante chargée de contrôler le respect du RGPD. Elle informe, reçoit les plaintes, enquête et peut sanctionner les manquements. Des autorités spécialisées interviennent toutefois dans certains domaines, tandis que les dossiers européens peuvent mobiliser plusieurs autorités nationales. Le bon interlocuteur dépend donc du traitement concerné et de votre démarche.
L’APD, le principal repère pour protéger vos données
L’Autorité de protection des données, appelée Gegevensbeschermingsautoriteit en néerlandais, veille au respect des règles relatives aux données à caractère personnel. Instituée par la loi belge du 3 décembre 2017, elle a succédé à la Commission de la protection de la vie privée le 25 mai 2018. L’ancienne « Commission vie privée » n’est donc plus l’interlocuteur à rechercher.
Testez vos connaissances sur la protection des données en Belgique
Répondez aux six questions, puis validez vos réponses pour découvrir votre résultat.
Une donnée personnelle est une information permettant d’identifier une personne, directement ou indirectement : nom, adresse électronique nominative, numéro d’identification, photographie ou données de localisation. Leur collecte, leur consultation, leur transmission et leur suppression constituent notamment des traitements.
Le contrôle concerne aussi bien les entreprises que les organismes publics, dans les limites des compétences de l’APD. Il porte notamment sur la licéité du traitement, la transparence, la minimisation des informations collectées, leur durée de conservation et leur sécurité. Une collecte n’est pas nécessairement illégale parce qu’elle intervient sans consentement : d’autres bases juridiques peuvent l’autoriser.
Pour contacter l’institution, recherchez son site officiel sous son nom complet et utilisez les rubriques destinées aux citoyens ou aux professionnels. Son siège est situé 35, rue de la Presse, 1000 Bruxelles. Les modalités et formulaires actualisés du site officiel restent à privilégier pour engager une démarche.
Les autres interlocuteurs : ne pas confondre contrôle et gestion interne
Un organisme qui publie une politique de confidentialité n’est pas, pour autant, une autorité de contrôle. Il explique généralement comment il utilise lui-même les données. Cette distinction évite notamment de confondre l’APD avec l’Autorité belge de la Concurrence.
| Interlocuteur | Rôle | Quand le contacter |
|---|---|---|
| APD | Autorité générale de contrôle de la protection des données en Belgique | Information, médiation ou plainte relevant de sa compétence |
| Organisme et son DPO | Gestion du traitement et accompagnement de la conformité | Demande d’accès, rectification ou explication sur l’utilisation des données |
| Autorité belge de la Concurrence | Application du droit de la concurrence | Questions relatives à ses missions ou aux données qu’elle traite elle-même |
| Autorités spécialisées | Contrôle dans un périmètre légal particulier | Traitements relevant notamment de certains services de police ou de renseignement |
| Autorités européennes | Coopération ou contrôle selon leur mandat | Dossiers transfrontaliers ou traitements des institutions de l’Union européenne |
Le délégué à la protection des données, ou DPO, est un contact utile au sein d’une entreprise, d’une école, d’un hôpital ou d’une administration. Il conseille l’organisme et facilite l’exercice des droits, mais ne dispose pas des pouvoirs de sanction d’une autorité indépendante.
Certains traitements obéissent à des règles de compétence spécifiques. L’Organe de contrôle de l’information policière intervient pour les traitements policiers relevant de son mandat ; le Comité permanent R exerce un contrôle dans le domaine du renseignement. Pour une administration flamande, la Commission flamande de surveillance peut également être pertinente selon le traitement. Il faut donc identifier précisément l’organisme et la finalité en cause, plutôt que se fier au seul caractère public du service.
Exercer ses droits ou porter plainte : choisir la bonne démarche
Commencer par une demande précise à l’organisme
Si vous souhaitez savoir quelles informations sont conservées sur vous, adressez une demande d’accès au responsable du traitement, éventuellement par l’intermédiaire de son DPO. Selon votre situation, vous pouvez aussi demander une rectification, un effacement, une limitation ou exercer un droit d’opposition. Ces droits ne sont pas absolus : une obligation légale de conservation peut, par exemple, empêcher un effacement.
Pensez à votre démarche comme à une échelle de résolution : chaque barreau doit correspondre à un résultat attendu. Obtenir la copie d’un dossier, faire corriger une adresse et demander une sanction sont trois objectifs distincts. Les séparer dans votre courrier permet à l’organisme de répondre concrètement et à l’autorité, si vous la saisissez ensuite, de repérer ce qui reste réellement contesté.
Constituer un dossier exploitable pour l’APD
Lorsque la réponse est insatisfaisante ou que le problème persiste, une demande de médiation ou une plainte auprès de l’APD peut être appropriée. Une demande d’information sert plutôt à comprendre les règles ou à identifier votre interlocuteur ; elle ne remplace pas automatiquement une plainte.
- Identifiez l’organisme concerné et décrivez le traitement contesté.
- Présentez les faits chronologiquement, avec les dates et les démarches déjà effectuées.
- Joignez les pièces utiles : courriels, captures d’écran, demande initiale et réponse reçue.
- Précisez le problème et le résultat recherché, sans transmettre de données sensibles inutiles.
- Utilisez la procédure officielle et vérifiez les conditions de recevabilité indiquées par l’APD.
Un salarié contestant une surveillance, un client confronté à une prospection persistante ou un patient rencontrant un problème d’accès à ses données peuvent ainsi documenter leur situation. Une plainte doit toutefois porter sur la protection des données : l’APD ne tranche pas l’ensemble du litige professionnel, commercial ou médical.
Violation de données : distinguer la victime de l’organisme responsable
Une violation de données est un incident de sécurité entraînant notamment une perte, une destruction, une modification, une divulgation ou un accès non autorisé à des données personnelles. Elle ne se limite pas au piratage : un dossier envoyé au mauvais destinataire peut aussi constituer une violation.
Pour une personne concernée, la priorité est de conserver les preuves et de contacter l’organisme afin de connaître les informations touchées et les mesures prises. Si vous soupçonnez un manquement, vous pouvez vous adresser à l’autorité compétente. En présence d’une fraude ou d’une usurpation d’identité, une démarche auprès de la police peut également être nécessaire.
Pour le responsable du traitement, la notification d’une violation constitue une obligation distincte d’une plainte citoyenne. Il doit documenter l’incident, évaluer les risques et, lorsque le RGPD l’exige, notifier l’autorité compétente, si possible dans les 72 heures après en avoir pris connaissance. Un risque élevé pour les personnes peut aussi imposer de les informer.
L’APD dispose de fonctions distinctes : accueil et orientation des demandes, médiation, enquête et traitement du contentieux administratif. Le service d’inspection mène les investigations ; la chambre contentieuse peut adopter des mesures correctrices ou des sanctions. Une plainte ne conduit donc pas automatiquement à une amende. L’indemnisation d’un dommage relève, quant à elle, des juridictions compétentes.
Entreprise étrangère ou institution européenne : les règles changent
Lorsqu’un traitement concerne plusieurs pays de l’Espace économique européen, le mécanisme du guichet unique peut s’appliquer. Une autorité chef de file coordonne alors le dossier, généralement en fonction de l’établissement principal du responsable du traitement. Ce lieu ne correspond pas nécessairement à l’adresse commerciale visible sur le site de l’entreprise.
Par exemple, une personne résidant en Belgique peut se plaindre auprès de l’APD d’un traitement transfrontalier effectué par une plateforme dont l’établissement principal se trouve dans un autre État membre. L’APD peut coopérer avec l’autorité chef de file : le caractère étranger de l’entreprise n’oblige pas à chercher seul l’autorité compétente à l’étranger.
Le Comité européen de la protection des données (CEPD) favorise l’application cohérente du RGPD et intervient notamment dans certains désaccords entre autorités. Il n’est pas le guichet ordinaire des plaintes individuelles. Pour les traitements réalisés par les institutions et organes de l’Union européenne, le Contrôleur européen de la protection des données constitue l’interlocuteur de contrôle pertinent.
Le réflexe pratique reste donc simple : identifiez qui traite vos données, pour quelle finalité et ce que vous souhaitez obtenir. Pour un traitement ordinaire relevant du RGPD en Belgique, l’organisme puis l’APD constituent les principaux points d’entrée, sous réserve des compétences spécialisées.
