L’APD veut des autorités publiques exemplaires !

Le 28 mai 2019, l’Autorité de protection des données (APD) a prononcé sa première sanction financière depuis l’entrée en vigueur du RGPD.

De manière générale, nombreux sont ceux qui appréhendaient que soit épinglé un géant du numérique, dont les procédés peu respectueux de nos données ont déjà été maintes fois dénoncés ; et les esprits s’affolaient sur les montants colossaux des amendes administratives que le RGPD autorise d’infliger.

Toutes ces conjectures ont été renversées par l’introduction de deux plaintes par de simples citoyens n’ayant pas apprécié de recevoir de la publicité électorale de la part de leur bourgmestre en réponse au mail lui ayant été adressé par leur architecte dans le cadre d’une demande de modification de lotissement. Le simple « reply » effectué par le Bourgmestre a été considéré, avec raison, par l’APD comme une violation manifeste du principe de finalité, principe fondamental de la protection des données personnelles.

Le montant de l’amende prononcée s’élève à 2000 euros. Ce montant modéré s’explique par le dommage limité qu’ont subi les plaignants.

Toutefois, si l’amende est modeste, le message revêt une portée essentielle et s’adresse directement au monde public afin de leur rappeler que nul n’est au-dessus des lois :

« Cela vaut pour chaque responsable de traitement et certainement pour les titulaires d’un mandat public comme un Bourgmestre. Le citoyen doit pouvoir avoir confiance dans le fait que les données qu’il ou elle confie dans le cadre de l’exécution d’une telle fonction ne soient pas utilisées pour d’autres fins, en contradiction avec la loi. À cela s’ajoute qu’il s’agit d’un usage à des fins personnelles du titulaire de ce mandat. Il peut être attendu de la part d’un Bourgmestre qu’il ait connaissance des obligations qu’impose le RGPD ou qu’il ait pris le soin de s’en informer. Par ailleurs, une attention particulière a été accordée par les médias publics à l’application du RGPD. La chambre contentieuse considère que le Bourgmestre a une fonction d’exemplarité pour ce qui concerne l’observation de la loi.

La chambre du contentieux conclut que ceci constitue une atteinte sérieuse au RGPD » (traduction libre).

La tendance (lourde) du RGPD de considérer que le secteur public doit faire figure de modèle se voit de la sorte amplement confirmée. Non seulement le principe d’exemplarité est explicitement cité, mais, hasard ou prémonition, à peine constituée, c’est bien à ce secteur que l’APD a entendu s’adresser en premier lieu.

Outre l’amende administrative et la réprimande infligée au Bourgmestre visé, la chambre du contentieux a également ordonné la publication sur son site de sa décision, moyennant anonymisation de celle-ci.