Service d'Inspection

La reprise des audits Schengen

Dans le cadre du mécanisme d'évaluation et de surveillance pour le contrôle de l'application de l'acquis Schengen, l'APD, et en particulier le Service d'Inspection, réalise des "audits".

Ces audits se composent d'un volet national et d'un volet européen. Le volet national porte sur l'audit d'un certain nombre d'acteurs au niveau de la protection des données. Ainsi, le Service d'Inspection contrôle actuellement le SPF Affaires Étrangères et l'Office des Étrangers. Ceci principalement via un programme d'audit. Dans ce cadre, il réalise des audits sur le territoire belge, mais aussi dans les ambassades belges à l'étranger.

Ceci a déjà été mentionné à plusieurs reprises. Bien que cette mission d'audit ne se retrouve pas dans la loi APD, elle génère une charge de travail assez conséquente pour un service de 9 inspecteurs. Étant donné que cette mission nécessite un accès à des documents classifiés, seuls 3 inspecteurs (ainsi que l'Inspecteur général) sont actuellement chargés de ces audits.

Un audit implique tout un processus : premièrement, l'élaboration et l'envoi d'un questionnaire détaillé au responsable du traitement, suivi de la prise de connaissance des réponses, et ce en préparation d'une visite sur place. Ensuite la visite sur place proprement dite (s'il s'agit d'une ambassade, cela implique d'emblée un déplacement à l'étranger de plusieurs jours) et enfin l'envoi d'un rapport (intermédiaire) et le traitement des réponses à ce rapport. Si ce responsable du traitement travaille avec un sous-traitant, un audit s'impose également auprès de ce dernier afin d'obtenir une compréhension globale du traitement dans son intégralité.

Dans ces audits, les visites sur place sont effectivement importantes - un questionnaire donne déjà un certain aperçu, mais la visite sur place permet au Service d'Inspection d'obtenir un aperçu encore plus détaillé des différents traitements ainsi que de mieux contextualiser et compléter les réponses au questionnaire.

Pendant la période Covid, ces audits ont été mis sur pause car les visites sur place n'étaient plus possibles, alors qu'elles en constituent justement un aspect essentiel. En 2022, les visites sur place ont pu reprendre et l'aspect ICT des traitements spécifiques du SPF Affaires Étrangères a également fait l'objet d'un examen approfondi. L'ambassade de Londres (ainsi que son sous-traitant - le dénommé ESP pour "external service provider") a également été auditée.

La mission d'audit est en soi complexe : un expert doit maîtriser à la fois le RGPD et les règlements européens SIS II et VIS. Il doit avoir une maîtrise suffisante de l'anglais et disposer des connaissances juridiques et techniques, ainsi que des compétences en matière d'audit pour mener à bien l'évaluation sur place en respectant une méthodologie et un calendrier strictement définis. Jusqu'à présent, aucune formation spécifique n'est prévue (donc 'sur le terrain').

La charge de travail liée au travail d'audit ne fera que s'accroître, vu les nouveaux systèmes IT européens au sein de cet acquis Schengen (par ex. ETIAS, EES, ...) et ce que l'on appelle le règlement "interopérabilité".

Par ailleurs, il convient de souligner la collaboration volontaire avec les audités qui est jusqu'à présent remarquable, ainsi que les résultats concrets produits par les audits. Cela vaut à la fois pendant l'audit proprement dit et ultérieurement, lorsque le responsable du traitement s'efforce de se conformer aux recommandations formulées et les prend effectivement en considération.

Dans le cadre de cet acquis Schengen et de la participation aux groupes de travail européens, le Service d'Inspection a déjà pu obtenir que des brochures/dépliants puissent également être distribués aux "frontières externes" afin d'informer les personnes concernées à propos de la prise de leurs empreintes digitales

Le phénomène du "web scraping" (capture de données en ligne) d'informations sur les sites Internet publics

De manière générale, on observe ces dernières années une tendance manifeste vers un monde plus axé sur les données. Dans de nombreux domaines, la collecte et la possession (le “traitement”) de données (“données à caractère personnel”) afin de les analyser et de les coupler à d'autres données ou algorithmes ne cessent de prendre de l'importance.

L'une des techniques à l'origine de cette croissance et dont on observe une utilisation croissante est celle que l'on appelle le "web scraping" d'informations sur des sites Internet accessibles au public.

Le "web scraping" est en résumé l'extraction (= "scraping") de données des sites Internet susmentionnés. La technique utilise des logiciels spécifiques pour extraire ces informations (souvent donc des données à caractère personnel) et ensuite, le cas échéant, les stocker et les analyser. Internet recèle en effet souvent de nombreuses données pouvant être intéressantes pour l'une ou l'autre partie. Traiter manuellement ces informations prend trop de temps et en outre, celles-ci changent régulièrement. Le "scraping" permet donc grâce à un processus relativement automatisé de traiter (ultérieurement) des données à caractère personnel à grande échelle.

Cependant, croire que des informations publiques peuvent être librement utilisées (ultérieurement) reste un malentendu très répandu (parfois délibérément entretenu). Le RGPD contient en effet plusieurs règles qui brident, à juste titre, le "scraping" à tout va.

Un premier problème consiste souvent à trouver un fondement légitime pour le traitement ultérieur des données à caractère personnel concernées. Dans la pratique, le consentement est souvent très problématique et sans la réalisation d'une analyse des risques, même l'invocation de ce que l'on appelle l' "intérêt légitime" n'est pas une option évidente et il ne suffit pas non plus d'invoquer cet "intérêt légitime" pour considérer le traitement comme étant justifié et légitime à la lumière du RGPD.

Un autre problème est également la transparence défaillante et le fait, par exemple, que l'on ne sait pas toujours clairement quelle est la source des informations obtenues, qui se trouve précisément derrière le "scraping" et quel est le but exact de ce traitement concret, et si les données obtenues sont couplées à un algorithme afin de poursuivre un nouveau traitement (une nouvelle finalité concrète).

Ce qui interpelle de plus en plus le Service d'Inspection, c'est qu'il n'est pas toujours clairement établi qui est le responsable du traitement et surtout où celui-ci se situe physiquement en termes de localisation.  Pour les responsables du traitement belges ou européens, il existe généralement suffisamment de possibilités de procéder à l'identification de cette entité, puis d'effectuer une enquête approfondie et d'obtenir des résultats par eux-mêmes ou avec l'aide d'autres contrôleurs européens afin d'identifier correctement ce responsable du traitement.

Ce qui frappe toutefois le Service d'Inspection, c'est que ces responsables du traitement ou leurs sous-traitants se situent de plus en plus dans ce que l'on peut appeler des destinations "exotiques", à savoir en dehors de l'Union européenne et dans des pays où il n'existe pas d'autorité de protection des données plus ou moins comparable (à l'autorité européenne à la lumière du RGPD).

Ceci complique les possibilités d'enquête du Service d'Inspection (et naturellement ensuite l'application ultérieure éventuelle des dispositions légales). Le Service d'Inspection s'efforce de toujours trouver une piste concrète mais ce n'est pas toujours évident et cela engendre parfois une charge de travail supplémentaire. Dans certains cas, on parvient à trouver une adresse e-mail et à obtenir effectivement une réponse concernant par exemple l'effacement effectif des données à caractère personnel du plaignant, mais il est plus compliqué de s'attaquer au système de scraping même. Dans d'autres cas, il peut être possible de contacter une autorité publique, mais cela n'est pas non plus toujours une garantie de succès si l'autorité n'est pas établie dans un pays présentant une protection des données adéquate.

Ce constat amène le Service d'Inspection à devoir modifier son approche standard dans ce type de dossiers, en suivant l'exemple d'autres contrôleurs qui l'ont déjà précédé à cet égard. Ce phénomène est regrettable car il se produit chaque fois à grande échelle et implique toujours un traitement massif de données à caractère personnel.

Miser sur davantage de classements sans suite

Dans des rapports annuels précédents, la charge de travail non négligeable, non seulement au sein de l'APD mais aussi au sein du Service d'Inspection, a déjà été soulignée. Bien que le RGPD vise un traitement plus accessible des dossiers liés à la protection des données et que l'APD ne soit pas défavorable à cette idée, il convient toutefois de trouver des mécanismes pour garder la charge de travail sous contrôle et ne pas laisser des dossiers en attente trop longtemps. Ceci vaut non seulement pour les personnes concernées mais aussi pour l'APD en général et pour le Service d'Inspection en particulier.

En tenant compte du plan stratégique ainsi que des différentes priorités et des problèmes récurrents détectés par l'APD et son prédécesseur au fil des années, le Service d'Inspection a obtenu du législateur un pouvoir discrétionnaire pour maintenir sa charge de travail à un niveau acceptable.

L'une des possibilités dont dispose le Service d'Inspection est en effet de classer un dossier sans suite, comme prévu dans la loi APD.

Le Service d'Inspection a déjà eu recours à cette option par le passé, par exemple s'il n'obtenait pas d'informations détaillées complémentaires du plaignant pour pouvoir traiter correctement le dossier, si le plaignant déclarait lui-même au cours de l'enquête que la plainte pouvait être clôturée (si par ex. le plaignant avait déjà obtenu une solution satisfaisante de la partie adverse) ou s'il s'avérait (après enquête complémentaire ou non) que l'APD n'était pas compétente.

En 2022, le Service d'Inspection a décidé d'utiliser également le classement sans suite comme une sorte d'outil stratégique, pour maîtriser la charge de travail croissante générée par les dossiers basés sur une plainte d'une part, et pour pouvoir gérer lui‑même certains dossiers de manière plus spécifique en démarrant une enquête d'initiative d'autre part.

À cette fin, le Service d'Inspection utilise la politique de classement sans suite de la Chambre Contentieuse, publiée sur le site Internet de l'APD. Il souhaite d'une part, en fonction par exemple du plan stratégique et de ses priorités, faire davantage la différence entre les dossiers dont l'ampleur est limitée et qui ne servent qu'un intérêt purement individuel d'une part et les dossiers impliquant un intérêt sociétal plus large d'autre part. Le Service d'Inspection n'examine toutefois pas uniquement si un traitement peut avoir un impact sur un public plus large ou être bénéfique à la société (par ex. son enquête d'initiative sur la proportionnalité discutable des mesures COVID scan dans les aéroports wallons comparée à l'enquête analogue effectuée sur demande à l'aéroport de Zaventem). Il souhaite aussi accorder une plus grande attention à la réception de plusieurs signaux indiquant que des décisions antérieures de la Chambre Contentieuse ne sont pas suivies par le responsable du traitement ou sur le caractère récurrent d'un certain type de plaintes contre un responsable du traitement déterminé, ce qui indique un problème de protection de la vie privée sous-jacent.”

Le but de l'intervention est en effet tout d'abord de veiller à l'application du RGPD, sans que l'amende ou toute autre sanction ne soit nécessairement un but en soi. L'APD ambitionne toujours d' "être un guide vers un monde numérique où la vie privée est une réalité pour tous". Dans ce cadre, on a déjà pu constater que l'intervention d'initiative du Service d'Inspection aboutit souvent à des résultats concrets et donc à une plus grande conformité au RGPD dès la phase d'enquête. Ceci démontre que les enquêtes spécifiques d'initiative apportent effectivement une plus-value.

Si des résultats sont enregistrés dès la phase d'inspection, il n'est pas toujours nécessaire dans des dossiers bien définis que l'examen du dossier se poursuive encore, par exemple par un traitement ultérieur par la Chambre Contentieuse. Un classement sans suite par le Service d'Inspection constitue dès lors une option.

Sans utiliser les termes "mise en demeure", une approche proactive de l'enquête "d'initiative" pour un groupe de personnes concernées qui signalent parfois systématiquement le même problème à l'APD vis-à-vis du même responsable du traitement peut s'avérer être une utilisation utile et proportionnée des mesures d'enquête limitées. En effet, des enquêtes plus ciblées ont plus de chances d'aboutir à un résultat concret, ce qui augmente la probabilité de respect du RGPD pendant l'enquête et permet d'éviter des années de procédures pour la Chambre Contentieuse et la Cour des marchés. Cette méthode de travail permet donc d'économiser du temps et des moyens par rapport à une approche plus réactive où des plaintes de ce genre ne sont pas regroupées.

Une telle approche n'est évidemment pas possible pour chaque dossier et devra donc être envisagée au cas par cas. Une évaluation de l'augmentation des classements sans suite pour laisser de la place à davantage d'enquêtes proactives spécifiques est prévue pour fin 2023.

Réalisations en chiffres

Le Service d'Inspection réalise des inspections de sa propre initiative, sur demande de la Chambre Contentieuse ou du Comité de direction. Certaines inspections nécessitent un long délai d'exécution. En 2022, 101 inspections ont été clôturées. Dans 26 cas, le Service d'Inspection a décidé de procéder à un classement sans suite. Le Service d'Inspection a également imposé une mesure provisoire dans un cas en 2022.

En 2022 :

• 87  nouveaux dossiers ont été soumis au Service d’Inspection par la Chambre Contentieuse. Ces dossiers découlent de plaintes entrantes. Parmi ces plaintes, on relève plusieurs groupes de thèmes d'inspection récurrents :
  • Plusieurs dossiers traitent des caméras de surveillance et de la législation relative aux caméras en Belgique. Afin de limiter la charge de travail et de permettre un déroulement plus efficace de l'enquête, il a systématiquement été fait appel de la même manière aux services de police locaux afin de procéder aux constatations. Ceci permet une répartition de la propre charge de travail et s'explique aussi par le fait que les services de police locaux sont mieux informés de la situation locale concrète. Le Service d'Inspection constate également que les constatations de la police locale sur le terrain ont également une incidence et un impact évidents et permettent une protection plus effective que lorsque la situation est abordée "à distance". Bien que les dossiers concernaient souvent d'autres zones de police (locale), la coopération avec la police locale dans les dossiers caméras s'est toujours parfaitement déroulée ;
  • Vu qu'un site Internet représente souvent une carte de visite pour le responsable du traitement et constitue un premier accès à ce même responsable du traitement, le Service d'Inspection continue à se montrer attentif à une déclaration de confidentialité suffisamment qualitative ainsi qu'à la politique de protection des données qui en découle. Parallèlement, il demeure également prioritaire de vérifier la gestion des cookies et du traçage. Le Service d'Inspection observe à cet égard que les responsables du traitement doivent encore régulièrement procéder à des ajustements et que le placement de ces cookies n'est pas toujours effectué d'une manière qui respecte la vie privée. Dans ce contexte, une attention particulière a également été consacrée en 2022 à Google Analytics. Plusieurs contrôleurs européens se sont prononcés sur ce sujet en 2022 et le Service d'Inspection a déjà transmis plusieurs dossiers à la Chambre Contentieuse dans ce contexte afin qu'elle prenne aussi effectivement une décision à ce sujet, conformément aux décisions prises dans d'autres États membres ;
  • Le thème du marketing direct continue également à requérir une attention particulière. Ces traitements peuvent être comparés à un iceberg dont l'impact de la partie émergée ne semble pas toujours causer de gros problèmes, mais dont la partie immergée, moins transparente, continue après analyse à requérir l'attention particulière du Service d'Inspection. Dans ce contexte, la problématique des "data brokers" en particulier occupe une position centrale, où non seulement le fondement correct mais aussi la transparence nécessaire requièrent une attention particulière.
• 9 nouveaux dossiers ont été soumis au Service d’Inspection par le Comité de Direction. Ces dossiers concernent principalement le traitement (l'escalade) des fuites de données.
• 5 nouveaux dossiers ont été ouverts d’initiative par le Service d’Inspection.
• 1 mesure provisoire a de nouveau été imposée en 2022, cette fois à une ville ayant mis en place un projet sur les nuisances sonores dans un certain quartier, impliquant un traitement massif de données à caractère personnel. Cette mesure a été prolongée, mais le responsable du traitement a finalement décidé de stopper le projet. Aucun recours n'a été introduit contre l'imposition de la mesure provisoire.

Plus de chiffres peuvent être retrouvés dans le tableau ci-dessous.  Il est à noter que le Service d'Inspection a traité moins de dossiers qu'en 2021.

Pour l'équipe actuelle de 9 personnes (2022), il s'est avéré que 150 dossiers représentent une charge de travail difficile à tenir (également en termes de bien-être au travail), et ce à plusieurs niveaux :

• Le nombre de dossier mentionnés concerne uniquement le "travail d'inspection". Comme déjà indiqué précédemment, le Service d'Inspection effectue également des audits, dont l'importance ne cesse de croître, ce qui exerce également une pression sur le nombre de dossiers d'inspection pouvant être traités. En effet, 3 inspecteurs doivent partager leur temps entre ce travail d'audit et les missions d'inspection - une baisse des chiffres permet donc de consacrer plus de temps à ces audits (en effet, le Service d'Inspection constate également au niveau européen que la nouvelle législation nécessite une telle attention accrue) ;
• En 2022, le Service d'Inspection comptait 9 inspecteurs, dont 2 possèdent un profil spécifique ICT. Les deux profils soutiennent essentiellement les 7 autres collègues, car il est courant que la plupart des enquêtes comportent à la fois une composante juridique et une composante technique. Ces enquêtes techniques spécifiques prennent un certain temps ;
• La diminution du nombre de dossiers a également permis un examen approfondi des dossiers les plus importants - non seulement les problématiques deviennent plus complexes en termes de contenu mais également en termes de divers éléments de procédure, le Service d'Inspection note que certains dossiers nécessitent une attention plus soutenue.
• Le travail en profondeur permet au Service d'Inspection de fournir des rapports de plus grande qualité à la Chambre Contentieuse et au responsable du traitement, ce qui engendre une diminution des litiges évitables devant la Cour des marchés. Des confrontations plus ciblées du responsable du traitement au cours de l'enquête avec les conclusions des rapports techniques ou des rapports sur les sites Internet permettent d'obtenir des décisions mieux motivées et moins contestables devant la Chambre Contentieuse et la Cour des marchés. Le fait de se concentrer davantage sur la qualité des enquêtes plutôt que sur leur quantité permet également un gain de temps et de ressources.
• En 2021, le Service d'Inspection comptait 75 % de dossiers clôturés, un pourcentage qui est passé globalement à 83 %. Bien qu'une période de traitement (plus) longue ne puisse être exclue pour diverses raisons, il est préférable, dans la mesure du possible, de ne pas laisser traîner les dossiers trop longtemps. En raison d'une diminution du nombre de dossiers à traiter, grâce à l'expérience / au professionnalisme et à une plus grande efficacité, par exemple par le biais de classements sans suite, ce pourcentage a pu être augmenté.
• Le ratio entre les dossiers néerlandophones et francophones reste globalement plus ou moins égal en ce sens qu'il y a de plus en plus de dossiers néerlandophones, ce qui fait parfois fluctuer la différence.
• Il est également particulièrement important que le délai d'exécution et l'arriéré n'augmentent pas.
• Le pourcentage de cas dont le Service d'Inspection se saisit lui-même reste toutefois encore (trop) faible.  Une constatation récurrente est faite à cet égard, à savoir que le Service d'Inspection dispose de peu de marge de manœuvre pour intervenir de façon proactive et ouvrir des dossiers d'initiative. Ce dernier point est un élément qui continue de préoccuper à la fois l'Inspecteur général et les inspecteurs.

Cependant, le Service d'Inspection indique encore plus clairement qu'auparavant qu'il y a des inconvénients à être principalement réactif et à fonctionner à "haut volume" et que l'intention de travailler de façon plus "proactive" en ayant recours à davantage de pouvoirs d'enquête est jusqu'à présent restée reléguée au second plan, vu la pression, et est donc encore (trop) limitée.

Un taux de classement sans suite encore plus élevé pourrait y remédier si la tendance de classement sans suite se poursuit, ainsi que l'approbation, fin 2022, par la Chambre des représentants d'une extension de cadre pour l'APD. Cette extension du cadre du cadre ne prendra pleinement effet que fin 2023, lorsque les personnes auront été effectivement recrutées et qu'elles auront pu accomplir une période d'adaptation nécessaire.

La ligne rouge reste que les inspecteurs voient la plus-value de l'ouverture de dossiers plus ciblés de leur propre initiative par rapport à l'approche plus réactive visant principalement à traiter un volume élevé de plaintes, telle qu'elle a été appliquée lors du lancement du Service d'Inspection en 2019.

Par ailleurs, plusieurs missions ad hoc ont également été menées en 2022 concernant la participation à des groupes de travail internationaux relatifs à des traitements pour VIS et Eurodac et l'élaboration de méthodologies d'audit et d'inspection. Ces missions spécifiques n’ont pas été ajoutées au tableau ci‑dessous :

(Rem. Les données des années précédentes ont encore été légèrement adaptées. Certains dossiers sont soumis en fin d'année et peuvent dès lors être comptabilisés différemment, d'où la nécessité de légères corrections dans les statistiques pour ajuster l'aperçu).

Au terme de l’enquête, l’inspecteur concerné établit en concertation avec l’Inspecteur général un rapport qui est joint au dossier. Outre les possibilités d’enquête utilisées, le rapport mentionne les constatations du Service d’Inspection et la décision de l’Inspecteur général.

Compte tenu des constatations mentionnées, l’Inspecteur général peut prendre une des décisions suivantes :

• transmettre le dossier au président de la Chambre Contentieuse ;
• transmettre le dossier au procureur du Roi lorsque les faits peuvent constituer une infraction pénale ;
• classer le dossier sans suite ;
• transmettre le dossier à une autorité de protection des données d'un autre État.

Sur le plan technique, plusieurs dossiers d’enquête ont été finalisés en 2022 et transmis à la Chambre Contentieuse pour suite utile. On peut retrouver le résultat de ces enquêtes dans les informations sur le fonctionnement de la Chambre Contentieuse et sur le site Internet de l’APD. Durant la phase d'inspection, le secret de l'enquête s'applique, ce qui explique donc pourquoi de manière générale, le Service d'Inspection a peu ou n'a pas la possibilité de communiquer à propos des dossiers en cours.

Pendant son enquête, le Service d'Inspection continue à recevoir diverses questions des parties concernées (plaignants et avocats). Ces questions concernent le statut et/ou le déroulement d'une enquête, une demande de concertation pendant la durée de l'enquête, la remise en question de la possibilité - pourtant prévue dans la LCA - pour le Service d'Inspection d'approfondir l'enquête au-delà du cadre de la plainte.

En réponse à ces diverses questions, le Service d'Inspection a dû se référer à plusieurs reprises à l'article 64 de la LCA qui prévoit que l'enquête d'inspection est secrète jusqu'au moment où l'Inspecteur général dépose son rapport auprès de la Chambre Contentieuse.

Afin de répondre à certaines de ces questions courantes de façon transparente et cohérente, celles-ci ont été traitées dans la charte publique du Service d'Inspection. Le Service d'Inspection invite à parcourir ce document car il explique de manière concise et non technique ce que l'on peut/doit attendre d'une inspection (enquête) et ce que l'on ne peut/doit pas en attendre.

À cet égard, il convient toutefois de tenir compte du fait que l'explication apportée par le Service d'Inspection dans sa Charte ne confère pas de droits subjectifs à la personne interrogée, tels qu'un "droit de classement sans suite", et n'implique pas non plus que le Service d'Inspection doive discuter avec le responsable du traitement de la façon dont l'enquête est menée. En effet, le législateur a donné au Service d'Inspection un pouvoir discrétionnaire pour accomplir ses missions d'enquête comme il l'entend, et dès lors il n'appartient a priori pas aux personnes interrogées de remettre la méthode d'enquête en question.

Toutefois, toute préoccupation éventuelle concernant la méthode d'enquête peut être communiquée à la Chambre Contentieuse pendant la phase contradictoire. La Chambre Contentieuse reste en effet totalement indépendante de l'enquête menée, ce qui offre une garantie suffisante au responsable du traitement qui aurait éventuellement des objections quant aux modalités de l'enquête.