Des enquêtes menées récemment par L'Echo, Le Monde, BNR et Netzpolitik.org ont révélé que des marchands de données proposaient à la vente des milliards de données de localisation de smartphones en Belgique. Bien qu'officiellement présentées comme "anonymes", ces données peuvent être associées facilement à des personnes. Cela constitue une menace grave pour les bases militaires belges (notamment Kleine-Brogel) et les sites de l'OTAN. Les centrales nucléaires (Doel et Tihange) sont également exposées à un risque accru. Compte tenu des tensions géopolitiques actuelles, il s'agit d'un problème de sécurité critique, qui nécessite des mesures immédiates. L'exposition à laquelle sont soumis les infrastructures vitales et les fonctionnaires européens par le biais des données de localisation de smartphones enfreint les normes fondamentales du Règlement général sur la protection des données (RGPD) et de la législation belge en matière de sécurité et de protection de la vie privée. Les courtiers en données opèrent dans une zone grise, tandis qu'un mouchard caché est intégré dans plus de 756 applications Android. 1. a) Les pratiques actuelles des courtiers en données sont-elles conformes au RGPD ou des adaptations sont-elles nécessaires selon vous? b) Quelles sanctions l'Autorité de protection des données inflige-t-elle aux marchands de données qui vendent de telles données? c) Une enquête a-t-elle été ouverte contre les développeurs d'applications qui collectent des données de localisation sans l'indiquer correctement dans leur politique de confidentialité? d) Un groupe de travail interdépartemental a-t-il été créé afin de traiter les risques de sécurité et dans quel délai des mesures de sécurisation concrètes seront-elles appliquées? 2. a) Quelles directives les fonctionnaires snt-ils tenus d'observer dans le cadre de l'utilisation d'applications dotées d'un système de géolocalisation? b) Les employeurs d'organismes critiques sont-ils tenus d'informer leur personnel de ces risques?
B038
Je souhaite rappeler que le Règlement général sur la protection des données (RGPD), en tant que tel, n'interdit pas le courtage de données. Il vise à favoriser le développement d'une économie numérique fondée sur les données à caractère personnel, tout en établissant simultanément des balises claires afin d'assurer un niveau élevé de protection de ces données. À cette fin, il encadre l'exploitation des données personnelles avec une série de principes tels que le principe de minimisation des données, de transparence, de limitation des finalités et l'obligation de protéger les données par défaut et dès la conception. Ces principes sont toutefois loin d'être parfaitement respectés par les différents acteurs du secteur. Il appartient à l'Autorité de protection des données (APD) de constater si ces pratiques sont contraires au RGPD. J'ai demandé à l'APD dans quelle mesure la sensibilisation, entre autres, des collaborateurs du secteur public peut être renforcée quant à ces risques. Vu leur ampleur, les traitements effectués par les courtiers en données peuvent en effet présenter un risque élevé pour les droits et libertés des personnes. Ils figurent au rang des priorités fixées par l'APD dans son plan stratégique 2026-2028. L'APD reçoit régulièrement des plaintes sur ce type de pratiques. Toutefois, compte tenu de la nécessaire confidentialité entourant les enquêtes en cours, il ne m'est pas possible de fournir des informations détaillées sur les dossiers ouverts. Je peux néanmoins indiquer que l'APD a déjà sanctionné des courtiers en données. L'entreprise Black Tiger Belgium (anciennement Bisnode Belgium) s'est vu imposer plusieurs amendes pour un montant total de 174.640 euros. Fin novembre, un autre courtier en données belge s'est vu imposer une amende de 40.000 euros pour la revente de données, obtenues auprès d'un opérateur de télécommunication, à des fins de marketing sans le consentement valable de la personne concernée. Afin de mieux comprendre cet écosystème complexe, l'APD a en outre commandé une étude externe visant à dresser un premier état des lieux du phénomène des courtiers en données en Belgique. Elle est réalisée dans le cadre du Support Pool of Experts du Comité européen de la protection des données (EDPB). Lorsqu'elle sera finalisée, elle sera publiée sur le site de l'EDPB. En ce qui concerne les développeurs d'applications, je rappelle que la plupart d'entre eux ne sont pas établis en Belgique. Lorsqu'ils disposent d'un établissement fixe dans un État membre, le mécanisme européen dit "guichet unique" pourrait s'appliquer. Dans ce cas, l'une des autorités européennes homologues prend alors la conduite d'une éventuelle enquête. Enfin, les aspects visés au point 1. d) et au point 2 qui ont trait à la sécurité nationale, ne relèvent pas de ma compétence. À cet égard, j'invite le député à adresser sa question au premier ministre, compétent pour la cybersécurité.