L’action en justice, une première européenne, fait suite à deux plaintes visant le manque d’indépendance de l’APD et l’illégalité du CSI. Frank Robben est dans le viseur.
Les instances européennes devaient l’annoncer ce mercredi midi. L’info circule néanmoins déjà à la vitesse de la lumière suite à sa divulgation par le site d’information Politico . Comme on pouvait s’y attendre, la Commission va bel et bien intenter une action en justice
à l’encontre de la Belgique pour infraction grave au RGPD, le règlement qui protège nos données à caractère personnel. La Belgique est donc le premier Etat à faire l’objet d’une telle procédure depuis la mise en place de ce texte. Même la Hongrie n’y avait pas encore eu droit.
Cette procédure fait suite au dépôt de deux plaintes, anonymes, auprès de Didier Reynders, le commissaire en charge de l’application du RGPD. L’une concerne l’Autorité de protection des données (APD). Les plaignants entendaient dénoncer la nomination, au sein de la gardienne de la vie privée, de quatre membres extérieurs. Compte tenu de leurs mandats publics, ils posaient un souci grave d’incompatibilité légale et se retrouvaient en porte-à-faux par rapport aux exigences d’indépendance imposées tant par le RGPD que par la loi organique créant l’APD. Un rapport des services juridiques de la Chambre, dévoilé lundi par Le Soir , confirmait d’ailleurs sans ambiguïté cette thèse, soulignant les risques de conflits d’intérêts induits
par leur présence. Ne pas lever leur mandat constitue même « une faute civile, susceptible à ce titre d’engager la responsabilité civile extracontractuelle de l’État », tranchaient les juristes de la Chambre.
Bart Preneel et Frank Robben
Deux de ces membres ont déjà démissionné. Il s’agit de Séverine Waterbley et Nicolas Waeyaert, tous les deux chefs d’administration (SPF Economie et Bosa). Sous l’autorité directe d’un ministre, ils ne pouvaient légalement pas siéger, dès le départ, dans cette instance. Il en reste deux, et non des moindres : Bart Preneel, le cryptologue de la KULeuven, « Monsieur Coronalert », qui siège également au Comité de sécurité de l’information (CSI), instance qui autorise certains partages de données sensibles entre institutions publiques.
Le quatrième n’est autre que Frank Robben, administrateur général de la Banque Carrefour de la Sécurité sociale, de la plateforme eHealth, patron de la Smals, et principal rédacteur des décisions du CSI. En se retrouvant donc à tous les postes, il est à la fois concepteur, réalisateur, législateur et contrôleur des dispositifs mettant en jeu des volumes massifs de données personnelles (santé, sécurité sociale…). Or, le RGPD est on ne peut plus clair : tout membre d’une autorité de protection des données doit rester à l’abri de toute influence extérieure.
Décisions litigieuses
La deuxième plainte concerne précisément le CSI. Cet ovni institutionnel, créé contre l’avis de la Commission, de l’APD et du Conseil d’Etat, a déjà été épinglé plusieurs fois pour ses décisions, prises sans débat parlementaire et sans prise en compte de l’avis de l’autorité de contrôle. Le Soir révélait par ailleurs que seuls 5 des 16 membres étaient encore convoqués aux réunions, ce qui rendait ses décisions plus litigieuses encore.
Pour engager formellement la procédure, la Commission enverra à la Belgique
une lettre de mise en demeure demandant des informations complémentaires auxquelles le pays devra répondre dans un délai déterminé, généralement de deux mois. L’affaire pourrait éventuellement aboutir devant la Cour de justice de l’Union européenne, « bien que la majorité des affaires se règlent avant cette étape », indique Politico . Reste à savoir comment le gouvernement et surtout le Parlement (qui nomme et récuse les membres de l’APD) vont, politiquement, se dépatouiller de cette affaire. La mise à l’écart de Frank Robben, souvent qualifié d’un des hommes les plus puissants du pays, a, semble-t-il, un prix politique particulièrement élevé.