APD (Autorité de protection des données) : audit

Date : 2026-03-29 Statut : ⚠️ Réformé Catégorie : Régulateurs et organes de contrôle fédéraux

Phase 1 : recherche approfondie

1A. De quoi s'agit-il exactement ?

L'Autorité de protection des données (APD), en néerlandais Gegevensbeschermingsautoriteit (GBA), est l'organe de contrôle indépendant belge pour la protection des données à caractère personnel. Elle succède à l'ancienne Commission de la protection de la vie privée (Commission vie privée).

Base juridique : loi du 3 décembre 2017 portant création de l'Autorité de protection des données, modifiée par la loi du 7 septembre 2023 et la loi du 25 décembre 2023 (en vigueur depuis le 1er juin 2024). L'APD est l'autorité de contrôle nationale exigée par l'article 51 du règlement général sur la protection des données (RGPD/GDPR, règlement (UE) 2016/679).

Date de création : 25 mai 2018 (entrée en vigueur de la loi de création, en même temps que le RGPD). Le premier comité de direction n'a été nommé qu'en 2019. Son prédécesseur, la Commission vie privée, existait depuis 1992.

Niveau de pouvoir : fédéral. L'APD relève du contrôle de la Chambre des représentants (et non du pouvoir exécutif), afin de garantir son indépendance. Elle ne contrôle pas la police (il existe pour cela l'Organe de contrôle de l'information policière) ni les services de renseignement (Comité R). La Flandre a désigné en 2018 la Vlaamse Toezichtcommissie (VTC) comme autorité de contrôle des instances administratives flamandes, mais ce statut reste juridiquement contesté : la Cour constitutionnelle a jugé en 2023 que la VTC ne pouvait alors pas être considérée comme autorité de contrôle compétente au sens du RGPD.

Budget (2025) : 15.299.846 euros de crédits de fonctionnement (2024 : 15.112.565 euros ; 2023 : 13.274.000 euros), financés surtout par la dotation de la Chambre (12.669.000 euros en 2025, contre 14.002.000 euros en 2024) et par des réserves reportées.

Personnel (fin 2025) : 96 collaborateurs (fin 2024 : 84 ; fin 2023 : 68). Pourtant, l'APD souffre depuis des années d'un manque de moyens : en 2022, elle ne disposait, selon ses propres dires, que de 45,9 gestionnaires de dossiers pour 21 missions légales. En 2025, la commission de la Comptabilité de la Chambre a décidé que les crédits pour du personnel supplémentaire seraient en principe refusés jusqu'en 2029 (gel des recrutements), alors que de nouvelles règles européennes (AI Act, Data Act, NIS2) lui confient des missions supplémentaires.

Structure. Cinq directions :

1. Secrétariat général : RH, budget, ICT, affaires juridiques, notifications de fuites de données
2. Service de Première Ligne : réception des plaintes, médiation, information aux citoyens
3. Service d'Autorisation et d'Avis (jusqu'en juin 2024, le Centre de Connaissances) : avis, recommandations, autorisations
4. Service d'Inspection : enquêtes et inspections (16 inspecteurs fin 2025)
5. Chambre Contentieuse : décisions quasi juridictionnelles et sanctions

Depuis mai 2025, l'APD peut faire appel à une liste permanente d'experts externes (dix-huit selon le plan stratégique 2026-2028). Le comité de direction se compose des 5 chefs de direction et s'est réuni 40 fois en 2025.

1B. Que fait-il en pratique ?

Missions principales (conformément à l'art. 57 du RGPD) :

• Contrôle du respect du RGPD et de la législation belge sur la vie privée
• Traitement des plaintes des citoyens
• Réalisation d'inspections et d'enquêtes
• Émission d'avis au législateur et aux pouvoirs publics
• Imposition de sanctions (amendes, avertissements, injonctions)
• Notification et suivi des fuites de données
• Coopération internationale au sein de l'European Data Protection Board (EDPB)

Activités en 2025 :

• 3.034 demandes d'information + 748 appels téléphoniques
• 1.394 plaintes (837 en 2024, +67 %)
• 263 dossiers de médiation (243 en 2024)
• 1.216 notifications de violations de données (fuites de données ; 1.455 en 2024)
• 117 dossiers d'inspection (157 en 2024)
• 214 décisions de la Chambre Contentieuse (173 en 2024)
• 169 avis sur des projets de réglementation, dont 28 avis standard
• 4 amendes, ensemble 75.700 euros (après recours 59.700 euros)

Problème majeur : l'APD n'a pas le pouvoir d'infliger des amendes au secteur public (article 221, § 2 de la loi du 30 juillet 2018, avec pour seule exception les autorités publiques qui offrent des biens ou des services sur un marché ; le RGPD laisse ce choix aux États membres à l'article 83.7, et la Cour constitutionnelle a accepté l'exception en 2021). Elle peut en revanche avertir les pouvoirs publics, leur adresser des réprimandes et leur imposer des injonctions. Mais ce sont précisément les pouvoirs publics qui traitent le plus de données à caractère personnel (eHealth, BCSS, impôts) qui échappent à la danse des sanctions financières.

Indicateurs de performance : l'APD publie chaque année un rapport annuel et un plan de gestion. Des KPI existent, mais le délai de traitement des plaintes est long et il n'y a pas de contrat de résultats structurel avec des benchmarks.

1C. Comparaison internationale

Analyse :

• Sur le plan du budget par habitant, la Belgique se situe dans la moyenne, mais elle est en sous-effectif au vu du volume de plaintes et de la complexité des missions : le nombre de plaintes a augmenté de 67 % en 2025, alors que la Chambre imposait la même année un gel des recrutements.
• Les Pays-Bas investissent par habitant près de 2,5 fois plus. En chiffres absolus, ils ont plus de 3,5 fois plus de personnel (349 ETP contre 96 collaborateurs, 2025) pour une population seulement 1,5 fois plus grande.
• L'Allemagne fonctionne avec une structure fédérale répartie : le BfDI contrôle l'autorité fédérale ainsi que les télécoms et la poste, les autorités de contrôle des entités fédérées s'occupent du secteur privé et de leurs propres pouvoirs publics. Cela évite la concentration et augmente la capacité.
• L'Irlande a le budget par habitant le plus élevé, mais cela s'explique par la présence de sièges de sociétés technologiques (Meta, Google, Apple, TikTok).

Qu'est-ce qui fonctionne manifestement mieux ?

Le modèle allemand de compétence répartie est une source d'inspiration pour la structure belge en entités fédérées. Chaque autorité de Land traite les plaintes du secteur privé sur son territoire, le BfDI s'occupe de l'autorité fédérale et des télécoms et de la poste. Cela crée de la concurrence et de la spécialisation.

Le modèle néerlandais est pertinent pour la taille et l'application : une seule autorité avec beaucoup plus de moyens, qui peut aussi sanctionner les pouvoirs publics. Ainsi, la Belastingdienst a reçu des amendes de 2,75 millions d'euros (2021) et de 3,7 millions d'euros (2022).

1D. Problèmes et critiques

1. La crise Frank Robben (2020-2022) Le plus grave problème d'indépendance : Frank Robben siégeait comme membre externe du Centre de Connaissances de l'APD tout en étant administrateur général de la Banque Carrefour de la Sécurité sociale (BCSS) et de la plateforme eHealth. Il évaluait donc la politique de vie privée de systèmes qu'il concevait et gérait lui-même. La Commission européenne a ouvert en juin 2021 une procédure d'infraction contre la Belgique pour violation de l'article 52 du RGPD (indépendance de l'autorité de contrôle) et a envoyé en novembre 2021 un avis motivé. Après sa démission en février 2022, la Commission a renoncé à saisir la Cour de justice.

2. Lanceurs d'alerte et crise interne En février 2021, deux membres externes du Centre de Connaissances de l'APD ont démissionné, parce que leur fonction de fonctionnaire dirigeant sous l'autorité d'un ministre était incompatible avec cette qualité de membre. Deux directeurs de l'APD ont dénoncé à plusieurs reprises les atteintes à l'indépendance auprès du parlement, qui a ensuite prévu des auditions sur la révocation possible de certains directeurs, dont ces lanceurs d'alerte. L'organisation La Quadrature du Net a publié une analyse sur les « dysfonctionnements systémiques » de l'APD.

3. Réforme légale sous pression L'APD elle-même a averti en mars 2022 que le projet de loi modifiant la loi APD menaçait son indépendance : le parlement aurait son mot à dire dans l'organisation interne et la fixation des priorités, et la reconduction des directeurs dépendrait d'une évaluation parlementaire sans critères objectifs. La loi finalement adoptée le 25 décembre 2023 (en vigueur depuis le 1er juin 2024) a surtout renforcé l'indépendance, avec des règles plus strictes sur les conflits d'intérêts et les incompatibilités.

4. Manque chronique de moyens Avec 96 collaborateurs (fin 2025) pour 21 missions légales, 1.394 plaintes et 1.216 notifications de fuites de données par an, l'APD est structurellement en sous-effectif. Le personnel est passé de 66 (fin 2022) à 96 (fin 2025), mais le gel des recrutements imposé par la Chambre en 2025 rend tout renforcement supplémentaire en principe impossible jusqu'en 2029. L'APD écrit elle-même qu'elle devra de ce fait exécuter certaines missions obligatoires « d'une autre manière ».

5. Pas de pouvoir de sanction pécuniaire pour le secteur public L'APD ne peut pas infliger d'amendes aux pouvoirs publics. Ce sont précisément les plus grands responsables de traitement, comme l'ONSS, le SPF Finances et la plateforme eHealth, qui sont hors d'atteinte des sanctions financières. C'est un choix du législateur belge : le RGPD laisse cette liberté aux États membres. L'Allemagne fait le même choix (§ 43 de la loi fédérale sur la protection des données, BDSG), les Pays-Bas non. Cela mine fondamentalement la crédibilité du contrôle.

Phase 2 : évaluation au regard des neuf principes

Synthèse : 0 ✅ · 5 ⚠️ · 4 ❌

L'APD échoue sur la taille critique (beaucoup trop petite), les compétences concurrentes (presque tout est centralisé), la responsabilité = financement (pas d'amendes pour les pouvoirs publics, trop peu de budget) et l'éprouvé à l'étranger (elle s'écarte des modèles qui réussissent). Le gain le plus important se situe dans : (1) une montée en puissance substantielle, (2) une répartition entre entités fédérées sur le modèle allemand et (3) un plein pouvoir de sanction, secteur public compris.

Phase 3 : la proposition de HART

3A. Classification

🟠 Réformé L'APD subsiste comme autorité fédérale, mais elle est fondamentalement renforcée et dotée de sections par entité fédérée.

3B. Proposition concrète

Ce qui change :

1. Doublement du personnel : de 96 collaborateurs (fin 2025) à 200 ETP au minimum (services centraux et sections par entité fédérée ensemble), proche de la proportion néerlandaise. Budget porté à 25 à 30 millions d'euros par an (contre 15,3 millions d'euros en 2025). Tant que cette norme de personnel n'est pas atteinte, aucun gel des recrutements ne s'applique au contrôle de la vie privée.

2. Sections par entité fédérée sur le modèle allemand :

   • L'APD reste une seule autorité de contrôle fédérale, comme tous les organes de contrôle indépendants (art. 27 de la Constitution HART), et reçoit des sections par entité fédérée pour les plaintes concernant les pouvoirs publics régionaux et locaux et le secteur privé sur leur territoire. Les sections pour les entités fédérées flamandes s'appuient sur la Vlaamse Toezichtcommissie existante, qui est intégrée à l'APD et obtient ainsi un statut incontesté d'autorité de contrôle au sens du RGPD.
   • Les services centraux de l'APD contrôlent les services publics fédéraux, les télécoms, les dossiers transfrontaliers, et coordonnent la coopération internationale (EDPB).

3. Plein pouvoir de sanction : l'APD reçoit le pouvoir d'infliger des amendes au secteur public. Aucune exception. Qui traite des données à caractère personnel est soumis au contrôle. Les pouvoirs publics compris.

4. Contrat de résultats : l'APD fait rapport chaque année à la Chambre avec des KPI contraignants : délai de traitement des plaintes, pourcentage de dossiers clôturés, indice de conformité, benchmarking avec les autres autorités de protection des données de l'UE.

5. Indépendance ancrée : aucun membre de l'APD ne peut exercer une autre fonction publique. Les nominations passent par l'Organe de nomination indépendant (proposition de HART), sur la base de la compétence et non de la couleur politique.

Modèle international de référence : l'Allemagne (BfDI + autorités des Länder) pour la répartition, les Pays-Bas (AP) pour l'ambition en matière de moyens et d'application.

Impact estimé :

• Économie : sans objet. Il s'agit d'un investissement, pas d'une économie : environ 10 à 15 millions d'euros par an en plus (de 15,3 millions d'euros en 2025 à 25 à 30 millions d'euros).
• Rendement : un meilleur respect du RGPD et la protection des droits des citoyens. Les amendes ne sont pas une source de financement : en 2025, l'APD a infligé ensemble 75.700 euros d'amendes, et les amendes aux pouvoirs publics ne font que déplacer de l'argent entre caisses publiques.
• Gain d'efficience : des délais de traitement plus courts grâce à la répartition entre entités fédérées, une spécialisation régionale.

Trajet de mise en œuvre :

• Phase 1 (0-2 ans) : hausse du budget de l'APD à 25 M€, extension du pouvoir de sanction pécuniaire au secteur public, recrutement libre jusqu'à la norme de personnel.
• Phase 2 (2-4 ans) : création des sections par entité fédérée de l'APD lors de la réforme de l'État (pour les entités fédérées flamandes, sur la base de la Vlaamse Toezichtcommissie), transfert des dossiers régionaux.
• Phase 3 (4-6 ans) : opérationnalisation complète, contrats de résultats actifs, premier benchmarking.

Modifications légales requises : modification de la loi APD (3 décembre 2017), y compris pour les sections par entité fédérée, suppression de l'article 221, § 2 de la loi du 30 juillet 2018 (pas d'amendes pour les pouvoirs publics). Le contrôle reste fédéral (art. 27 de la Constitution HART), donc pas de transfert de compétences.

Phase 4 : point du programme (texte prêt pour le site)

Partie A : le point du programme

APD (Autorité de protection des données) : réforme

Le gendarme belge de la vie privée compte 96 collaborateurs (fin 2025) pour 11,9 millions d'habitants, ne peut pas infliger d'amendes aux pouvoirs publics, et a été rappelé à l'ordre par l'Europe pour conflits d'intérêts. HART en fait une autorité de contrôle dotée d'une réelle capacité d'action, avec des sections par entité fédérée sur le modèle allemand et un plein pouvoir de sanction.

Partie B : l'explication

Comment cela fonctionne aujourd'hui

L'Autorité de protection des données (APD) est le gendarme belge de la vie privée. Créée en 2018 pour succéder à l'ancienne Commission vie privée, elle veille au respect du RGPD, le règlement européen sur la vie privée. L'APD traite les plaintes des citoyens, mène des inspections, rend des avis et peut infliger des amendes. En 2025, elle a reçu 1.394 plaintes et 1.216 notifications de fuites de données, et la Chambre Contentieuse a pris 214 décisions. Elle a travaillé en 2025 avec un budget de 15,3 millions d'euros et comptait 96 collaborateurs à la fin de cette année.

Ce qui ne va pas

Trois problèmes fondamentaux.

Premièrement : l'APD est structurellement en sous-effectif. Avec 96 collaborateurs, elle doit exécuter 21 missions légales pour 11,9 millions de Belges, alors que le nombre de plaintes a augmenté de deux tiers en 2025 et que le gel des recrutements de la Chambre (2025) bloque toute croissance supplémentaire. À titre de comparaison : les Pays-Bas avaient en 2025 349 équivalents temps plein pour 18,1 millions d'habitants. Proportionnellement, la Belgique aurait environ 230 personnes.

Deuxièmement : l'APD ne peut pas infliger d'amendes aux pouvoirs publics. Ce sont précisément les instances qui traitent le plus de données à caractère personnel, comme l'administration fiscale, la sécurité sociale et la plateforme eHealth, qui sont hors d'atteinte des sanctions financières. C'est comme si la police de la route ne pouvait pas verbaliser les camions.

Troisièmement : l'indépendance a été une fiction pendant des années. Le haut fonctionnaire Frank Robben siégeait à l'APD tout en dirigeant la Banque Carrefour de la Sécurité sociale et la plateforme eHealth. Il évaluait donc la politique de vie privée de ses propres systèmes. La Commission européenne a ouvert une procédure d'infraction contre la Belgique. Ce n'est qu'après sa démission en 2022 qu'elle a renoncé à saisir la Cour de justice de l'Union européenne. La modification légale de décembre 2023 a renforcé l'indépendance, mais le problème structurel demeure : trop peu de moyens, trop peu de dents.

Comment cela fonctionne ailleurs

L'Allemagne a une structure fédérale répartie dont la Belgique peut tirer des leçons. Le Bundesbeauftragte für den Datenschutz (BfDI) contrôle l'autorité fédérale ainsi que les télécoms et la poste, avec 386 collaborateurs (fin 2025) et un budget de 47,4 millions d'euros (2025). À côté de cela, chaque entité fédérée dispose de sa propre autorité de contrôle de la vie privée, qui traite les plaintes concernant les pouvoirs publics régionaux et le secteur privé. Ce système crée de la spécialisation, de la rapidité et de la concurrence entre les entités fédérées.

Les Pays-Bas investissent nettement plus par habitant : l'Autoriteit Persoonsgegevens disposait en 2025 de 57,4 millions d'euros et de 349 équivalents temps plein, soit près de quatre fois le budget belge pour une population seulement une fois et demie plus grande.

Et aux Pays-Bas, l'autorité de contrôle peut aussi sanctionner les pouvoirs publics : la Belastingdienst a reçu des amendes de 2,75 millions d'euros (2021) et de 3,7 millions d'euros (2022). L'Allemagne exclut, comme la Belgique, les amendes pour les pouvoirs publics ; HART n'y reprend donc que la répartition.

Ce que HART propose

Une réforme en trois volets :

1. Plus de moyens. Le budget du contrôle de la vie privée passe à 25 à 30 millions d'euros par an, et l'effectif à 200 équivalents temps plein au minimum (services centraux et sections par entité fédérée ensemble). Cela amène la Belgique proche de la proportion néerlandaise. Tant que cette norme n'est pas atteinte, aucun gel des recrutements ne s'applique.

2. Des sections par entité fédérée. L'APD reste une seule autorité de contrôle fédérale, comme tous les organes de contrôle indépendants (art. 27 de la Constitution HART), mais reçoit des sections par entité fédérée qui traitent les plaintes concernant les pouvoirs publics régionaux et les entreprises locales, sur le modèle allemand éprouvé de la répartition. Les sections pour les entités fédérées flamandes s'appuient sur la Vlaamse Toezichtcommissie existante. Les services centraux de l'APD conservent le contrôle des services fédéraux, des télécoms et des dossiers transfrontaliers, et coordonnent la coopération européenne.

3. Plein pouvoir de sanction. L'exclusion du secteur public est supprimée. Toute institution qui traite des données à caractère personnel, privée ou publique, est soumise au même contrôle et aux mêmes sanctions. Aucune exception.

En outre, les nominations se feront désormais exclusivement sur la base de la compétence, via l'Organe de nomination indépendant. Aucun membre de l'APD ne pourra exercer une autre fonction publique. L'APD fera rapport chaque année avec des KPI mesurables : délai de traitement des plaintes, taux de conformité, benchmarking avec les autres autorités de contrôle européennes.

Ce que cela rapporte

Il ne s'agit pas d'une histoire d'économies, mais d'un investissement dans les droits des citoyens : environ 10 à 15 millions d'euros par an en plus. Concrètement, cela donne : un traitement des plaintes plus rapide grâce à la répartition régionale, des pouvoirs publics qui doivent eux aussi respecter les règles de la vie privée (sous peine d'amendes), plus de confiance des citoyens dans l'administration numérique, et une Belgique qui ne traîne plus derrière l'Europe en matière de protection de la vie privée.

Le gain ne se trouve pas dans les recettes d'amendes : en 2025, l'APD a infligé ensemble à peine 75.700 euros d'amendes. Le gain se trouve dans une autorité de contrôle que l'on craint, y compris les pouvoirs publics, de sorte que les règles soient respectées en amont plutôt que sanctionnées après coup.

Phase 5 : sources

• Révisé : 2026-09-27 (factcheck : chiffres, sources, formulation intemporelle)