Le Règlement Général sur la Protection des Données (RGPD) est officiellement entré en vigueur en Belgique il y a sept ans. Depuis la mise en place de cette réglementation européenne qui encadre le traitement des données, moins de 50 amendes ont été infligées, selon le cabinet d'avocats bruxellois CMS. Ce nombre ne devrait d'ailleurs probablement pas augmenter dans les prochains mois puisqu'il n'y aurait plus qu'un seul juge en charge du traitement de ces dossiers. L'Autorité de protection des données (APD), qui est derrière les démarches judiciaires, vise en priorité le secteur de la tech et les entreprises travaillant largement avec des données. Une amende a récemment été infligée à un hôpital qui n'avait pas pris suffisamment de mesures pour se protéger des cyberattaques. Le cabinet d'avocats constate également de grandes variations dans l'application de la réglementation entre les pays européens, alors que l'ambition était justement d'avoir une politique harmonisée entre les différents États membres. Toujours selon leur analyse, le montant moyen des amendes infligées par les tribunaux belges est de 50.000 euros, la plus élevée s'élevait à 250.000 euros. En moyenne, on est en dessous des 0,5 % du chiffre d'affaires. Très loin des 4 % de chiffre d'affaires applicables, redoutés par plus d'une PME. 1. Confirmez-vous les chiffres avancés par le cabinet bruxellois CMS au sujet des amendes liées au RGPD? Que vous inspirent-ils? 2. Comment ce chiffre est-il amené à évoluer ces prochaines années selon vous?
B019
1. Jusqu'à présent, la Chambre contentieuse de l'Autorité de protection des données (APD) a infligé 59 amendes. Il est utile, dans ce cadre, de disposer de la vue complète du travail de contrôle et de relever certains aspects du travail de l'APD qui complètent ce travail contentieux: - une partie considérable de ce travail porte sur le secteur public, secteur dans lequel des amendes ne peuvent pas être imposées (voir l'article 221, § 2, de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel); - certains dossiers de contrôle de l'application des règles sont transférés à d'autres régulateurs européens dans le cadre du mécanisme de guichet unique. Il arrive donc que, dans un dossier dans lequel l'APD était impliquée, une amende soit imposée en fin de compte dans un autre pays; - outre l'imposition de sanctions, l'APD poursuit également d'autres voies pour parvenir à une plus grande conformité au RGPD. En 2024, p. ex., l'APD a traité plus de 200 dossiers de médiation. Si le responsable du traitement se met en règle pendant le traitement d'un dossier de médiation, l'affaire est généralement classée sans suite; - l'APD inflige également des astreintes ou des transactions lorsque le paiement d'une somme d'argent fait partie des conditions de transaction (11 cas); - le pourcentage de 4 % renvoie aux montants maximaux qui peuvent être imposés pour des infractions à certaines dispositions du RGPD. Il va de soi que toutes les infractions ne sont pas sanctionnées par le montant maximal. 2. Il est difficile de le prédire. Cela dépendra dans une large mesure de l'évolution des moyens de l'APD et du type d'affaires dont elle sera saisie.