En Belgique, quatre autorités fédérales assurent la protection des données personnelles : l’Autorité de protection des données (APD) pour la plupart des traitements, l’Organe de contrôle de l’information policière (COC) pour les données policières, le Comité permanent R pour les services de renseignement et le Comité permanent P pour certains traitements de l’OCAM, conjointement avec le Comité R. L’APD est l’autorité principale chargée de veiller au respect du RGPD en Belgique, dans les secteurs public et privé.
Si votre recherche part d’un problème concret, comme un site qui conserve vos informations malgré votre demande de suppression, chaque autorité possède un domaine d’intervention bien précis.
L’essentiel
- APD : entreprises, sites internet et administrations. Pour signaler une utilisation abusive de vos données ou un refus d’exercer vos droits.
- COC : services de police. Pour demander une vérification des informations policières vous concernant.
- Comité R : services de renseignement et sécurité nationale. Pour déposer une plainte concernant un traitement de données relevant de ce domaine.
- Comité P : certains traitements de l’OCAM. Il exerce ce contrôle conjointement avec le Comité R.
Sommaire 5 parties
Les quatre autorités belges et leurs compétences
L’APD recense quatre autorités fédérales de contrôle. Chacune couvre un type de traitement, selon qui détient vos informations.
L’APD, l’autorité principale pour les particuliers
L’Autorité de protection des données est l’interlocuteur de référence lorsqu’une entreprise, une association ou une administration ne respecte pas les règles de protection des données. Elle contrôle l’application du RGPD, examine les plaintes et dispose d’un pouvoir de sanction administrative.
Créée par la loi du 3 décembre 2017, elle a succédé à l’ancienne Commission de la protection de la vie privée, souvent appelée « Commission vie privée ». Ses pouvoirs sont désormais plus étendus. Elle représente également les quatre autorités fédérales belges au niveau international.
Son siège se trouve Rue de la Presse 35, à 1000 Bruxelles. Vous pouvez la joindre à l’adresse contact@apd-gba.be ou au +32 (0)2 274 48 00. Les dossiers sont en principe traités par écrit.
Le COC, pour les informations détenues par la police
Imaginez que vous souhaitiez savoir ce que la police a enregistré à votre sujet. La démarche diffère d’une demande adressée à un réseau social : les données policières obéissent à des règles particulières.
Le COC contrôle les traitements effectués par la police intégrée et l’inspection générale de la police fédérale et locale. Vous pouvez exercer vos droits au moyen de son formulaire en ligne « Demande d’accès indirect ».
Le COC vérifie notamment la légalité du traitement, la durée de conservation et la nécessité de corriger ou d’effacer certaines informations. En revanche, sa réponse se limite à confirmer que les vérifications nécessaires ont été effectuées, sans révéler le contenu des données contrôlées.
Le Comité R, pour les services de renseignement
Le Comité permanent R surveille notamment la Sûreté de l’État et le Service général du renseignement et de la sécurité. Il intervient comme autorité de protection des données dans le domaine spécifique de la sécurité nationale.
Pour contester un traitement de données relevant de ce domaine, on dépose une plainte avec le formulaire du site du Comité R.
Le Comité P, pour certains traitements de l’OCAM
Le Comité permanent P participe, avec le Comité R, au contrôle des traitements de données de l’Organe de coordination pour l’analyse de la menace (OCAM).
L’OCAM n’est donc pas une cinquième autorité de protection des données : c’est un organisme dont certains traitements sont soumis au contrôle de ces deux comités.
Les quatre autorités coopèrent depuis 2020 dans le cadre d’un protocole. Si vous adressez votre dossier à la mauvaise autorité, celui-ci est transmis à l’organisme compétent.
Comment faire respecter vos droits sur vos données ?
Le RGPD, applicable en Belgique depuis le 25 mai 2018 et complété par la loi belge du 30 juillet 2018, encadre l’utilisation des informations personnelles. Il vous donne notamment le droit de connaître les données détenues sur vous, de demander leur rectification, de vous opposer à certains traitements et d’obtenir leur effacement dans les cas prévus.
Le droit à l’effacement ne signifie toutefois pas que toute information doit disparaître sur simple demande. Un organisme peut être tenu de conserver certaines données lorsqu’une obligation légale le justifie.
Premier réflexe : écrire à l’organisme concerné
Adressez votre demande au responsable du traitement, de préférence par écrit. Décrivez les données concernées et le droit que vous souhaitez exercer. L’APD met à disposition des modèles de lettres pour faciliter cette démarche.
L’organisme doit répondre dans les meilleurs délais et, en principe, dans un délai d’un mois. Une prolongation de deux mois est possible selon la complexité ou le nombre de demandes, à condition de vous en informer dans le premier mois.
Exemple : une boutique en ligne refuse de supprimer un compte
Un habitant de Bruxelles souhaite fermer un ancien compte client. Il contacte la boutique en ligne, mais celle-ci conserve ses informations sans lui fournir d’explication satisfaisante.
Il commence par envoyer une demande d’effacement écrite, en utilisant éventuellement le modèle de l’APD. Il conserve une copie de sa lettre et une preuve d’envoi recommandé. Ces documents pourront servir si le désaccord persiste.
Après un mois sans réponse satisfaisante, il choisit entre une médiation et la procédure de plainte de l’APD. La médiation vise une solution amiable et prend environ trois mois. Une plainte demande plusieurs mois avant son traitement. Il devra conserver ses échanges, ses preuves d’envoi et des captures d’écran complètes du site.
Vous pouvez faire ces démarches vous-même, mais elles demandent de la méthode, des preuves bien rangées et du suivi sur plusieurs mois. Si vous cherchez aussi à faire supprimer vos données personnelles qui circulent sur des annuaires, d’anciens comptes ou des pages accessibles en ligne, Les Nouveaux Dissidents proposent un diagnostic gratuit pour faire le point sur votre situation.
Médiation ou plainte : deux démarches différentes
La médiation cherche à rapprocher les parties sans trancher juridiquement le différend. Si elle échoue, elle peut être transformée en plainte avec votre accord.
La plainte ouvre une procédure plus formelle. Elle doit être datée, signée, exposer les faits et comporter les preuves disponibles. La chambre contentieuse peut ordonner l’effacement de données, prononcer un avertissement ou infliger une amende. Elle classe parfois le dossier sans suite, et elle n’accorde aucune indemnité au plaignant.
Quand les données continuent de circuler sur Internet
Une demande d’effacement auprès d’une entreprise ne règle pas nécessairement toute votre présence numérique. Une ancienne fiche d’annuaire reste parfois accessible, un compte oublié garde des informations et un résultat Google continue d’afficher une page vous concernant.
Chaque situation demande d’identifier l’origine des informations et le bon interlocuteur. Pour un résultat de recherche, la démarche de déréférencement Google se distingue de la suppression des données sur le site d’origine. Si vos informations ont été exposées lors d’une fuite de données, les vérifications et les actions à envisager sont encore différentes.
Reprendre la main sur vos informations personnelles
Pour une difficulté relevant du RGPD, l’APD constitue généralement le premier repère en Belgique. Les autres autorités interviennent lorsque les données concernent la police, le renseignement ou certains traitements de l’OCAM.
Et si votre préoccupation concerne surtout les informations sur vous qui restent visibles sur Internet ? Les Nouveaux Dissidents peuvent vous aider à faire le point sur vos fiches d’annuaires, vos anciens comptes et les résultats de Google grâce à un diagnostic gratuit. Une première étape pour savoir où concentrer vos efforts et reprendre la main sur ce qu’Internet sait de vous.
Questions fréquentes
Quel est l’équivalent de la CNIL en Belgique ?
L’équivalent belge de la CNIL est l’Autorité de protection des données (APD). Elle a remplacé la Commission de la protection de la vie privée et contrôle le respect du RGPD pour la plupart des traitements.
Quelle différence entre l’APD et le RGPD ?
Le RGPD est le règlement européen qui définit les règles de protection des données personnelles et les droits des citoyens. L’APD est l’organisme belge chargé de contrôler son application dans les domaines relevant de sa compétence.
Peut-on porter plainte si une entreprise refuse d’effacer ses données ?
Oui, lorsque votre demande d’effacement est fondée et que l’entreprise refuse d’y donner suite ou ne répond pas. Après avoir exercé vos droits, vous devez normalement attendre un mois avant de déposer plainte auprès de l’APD, qui recommande également d’envisager une médiation.
L’APD peut-elle sanctionner une entreprise ?
Oui. Sa chambre contentieuse peut notamment prononcer des avertissements, ordonner la mise en conformité ou l’effacement de données et infliger des amendes administratives pouvant atteindre, pour les infractions les plus graves, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial d’une entreprise, selon le montant le plus élevé.
Qui contrôle les données de la police ?
C’est l’Organe de contrôle de l’information policière (COC). Il vérifie la légalité des traitements policiers et permet aux particuliers d’exercer leurs droits par une procédure d’accès indirect, sans communication du détail des données vérifiées.