Pour une société numérique respectueuse et équilibrée

Suite à la critique émise par quelques personnalités académiques quant à l’indépendance de l’autorité de protection des données, son président David Stevens nous écrit pour nous faire part de sa réaction. Il accepte la mise en garde, mais souhaite nuancer la critique.

Il y a quelques jours, 13 éminents académiciens ont publié dans Le Soir un virulent plaidoyer, une carte blanche intitulée “Pour une Autorité de protection des données indépendante et forte”. Ils relèvent trois problèmes (“clignotants”) et avertissent qu’ils resteront attentifs au respect de notre indépendance. Je suis entièrement d’accord avec l’essence de leur argumentation. Il découle directement de nos obligations en vertu du droit européen mais aussi du bon sens que le “contrôleur” doit être suffisamment indépendant des contrôlés. L’APD n’est pas un cache-misère. Nous ne pouvons dès lors qu’applaudir leur appel à la vigilance. La vigilance est utile non seulement pour le traitement de données (à caractère personnel), mais aussi pour la surveillance du contrôleur. Ou même du parlement. Les citoyens et les responsables doivent être bien informés et, sur cette base, pouvoir faire des choix. Et lorsque certains veulent aller plus loin et se préoccuper également de notre composition et de nos (futures) priorités, les bons démocrates que nous sommes ne peuvent qu’applaudir.

À quoi bon crier dans le désert ?

Nous souhaitons néanmoins remettre certaines choses en perspective. Tout d’abord, leur opinion se concentre fortement sur notre rôle à l’égard du secteur public. Comme l’exige la législation européenne, nous sommes consultés au sujet de projets de loi ou de réglementation. Notre Centre de Connaissances émet des avis en la matière, alors que pour un grand nombre d’autres activités de traitement (du secteur privé aussi), nous ne sommes pas en mesure d’émettre d’aussi bons avis “sur mesure”.

De plus, depuis notre réforme de 2019, l’émission d’avis relatifs à la législation n’est plus la manière principale d’assurer la protection des citoyens. Comme les auteurs l’évoquent à juste titre, nous avons été dotés de vraies “armes” (lisez : des pouvoirs de sanction). Même s’il y avait un problème de conflits d’intérêts (perçu ?) dans la phase d’avis sur la législation, il serait plus correct, pour une évaluation équilibrée de notre Autorité, de tenir compte également de cette nouvelle activité. Et à ce sujet, je peux affirmer la main sur le coeur (et avec les témoignages directs des collègues concernés) qu’il n’y a jamais eu la moindre influence irrégulière. Nous sommes pourtant intervenus à l’encontre de toutes sortes d’autorités publiques (bourgmestres, provinces, services publics régionaux et fédéraux, instances de santé, …), comme il incombe à un contrôleur fort et indépendant. C’est là que “se méprend” la critique à l’égard de la phase d’avis, ou qu’il y a même tout simplement un anachronisme. Nous faisons en effet tellement plus qu’auparavant …

Un train peut en cacher un autre

Il y a une deuxième réflexion plus fondamentale, qui pose aussi la question de ce qu’on entend précisément par indépendance. Même si des préoccupations légitimes pouvaient être prouvées (ce dont je doute car cela fait plus de 2 ans que l’on s’y efforce par tous les moyens), il est important de comprendre que l’indépendance est assurément cruciale, mais ne constitue pas un but en soi. Il s’agit d’une garantie pour (pouvoir) réaliser notre tâche et notre mission correctement. L’indépendance sert donc un objectif supérieur, à savoir l’efficacité de l’intervention de notre Autorité : la protection des citoyens. La question qui se pose n’est dès lors pas uniquement de savoir si nous sommes suffisamment indépendants, mais si nous protégeons suffisamment la vie privée des citoyens.

Mais à côté de ça se pose aussi la question de l’indépendance, dans le sens que nous ne pourrions pas collaborer avec d’autres. Y a-t-il quelqu’un pour croire que nous protégerions mieux les citoyens si nous étions tous des ermites (totalement coupés du monde) témoignant de l’indépendance “ultime” ? Ne confond-on pas alors indépendance avec insignifiance ? Ce qui est valable pour tous les droits fondamentaux l’est aussi pour la vie privée : les droits des uns s’arrêtent là où commencent ceux des autres (qu’il s’agisse des mêmes droits ou non). Là aussi, le point de vue doit donc être beaucoup plus large. Dans son Plan Stratégique 2020-2025, l’APD a d’ailleurs avancé que la manière d’aborder une meilleure protection s’articulait autour de deux pistes (au moins). Outre l’application effective des règles et l’imposition de sanctions (une nouvelle tâche depuis 2019 que nous assumons de manière très convaincante, à en rendre presque jaloux les collègues européens), nous souhaitons également informer et sensibiliser les citoyens, les entreprises et les associations et leur permettre d’évaluer les risques réels et sur cette base, de prendre des mesures ou des décisions éclairées.

Nous entendons mettre toutes sortes de nouveaux instruments en oeuvre pour notre mission. Malgré les difficultés auxquelles il fait face, le petit contrôleur que nous sommes a quand même approuvé récemment le premier code de conduite européen (sur les services cloud). Belgium leading in Europe… Mais il est tout à fait illusoire de penser que l’APD pourra y arriver seule. Pour cette tâche en particulier, des partenariats et une collaboration sont des éléments essentiels. Et oui, cela peut aussi se faire avec des collègues contrôleurs ou des services publics, mais tout autant avec des associations (sectorielles ou autres). Bien entendu, nous ne pouvons jamais les laisser influencer nos avis ou décisions, mais s’enfermer dans une “tour d’ivoire” n’est résolument pas une option. Ce serait renier notre mission …

Ironie

Bien entendu, je ne souhaite pas adopter une attitude naïve ou simpliste, ou réduire injustement le débat. Tout académicien qui se respecte ne perd certainement jamais son sens de la nuance… Mon propos n’est donc pas d’affirmer que le fonctionnement, l’indépendance ou l’efficacité de l’APD ne sont pas menacés. Selon moi, les menaces sont davantage liées à des structures et des processus (sclérosés) qu’à des personnes individuelles. À un manque de créativité ou de flexibilité, plutôt qu’à un excès. Je pense notamment à cet égard 1° au manque structurel criant de personnel (dans la classe européenne, nous prenons de plus en plus de retard – plusieurs auteurs devraient pouvoir en témoigner depuis le premier rang) et aux initiatives en cours visant à “partager” le personnel de soutien avec d’autres institutions, 2° au manque d’unité au sein de l’Autorité (l’idée absolument inefficace de “5 silos” comme soi-disant garantie d'(une plus grande) indépendance, alors qu’elle n’a généré en pratique que de l’inefficacité), 3° à la fragmentation des compétences entre (de trop nombreux) contrôleurs fédéraux et régionaux de la protection de la vie privée (en respectant les compétences de chacun, nous pourrions collaborer et même parfois rationnaliser), 4° au contrôle excessif exercé à certains niveaux (par exemple pour le budget ainsi que pour le fonctionnement ou l’organisation internes) par la Chambre des représentants, qui est d’ailleurs elle-même un de nos “contrôlés”, 5° à la complexité inutile des règles et à la nécessité de les simplifier ou de les rendre plus accessibles (par exemple des pictogrammes au lieu de politiques de confidentialité illisibles, ce qui n’est certes pas un simple exercice juridique et requiert des connaissances pratiques), 6° au développement d’expertise et de disciplines supplémentaires au sein de l’Autorité (les défis de demain – ou d’aujourd’hui – sont intrinsèquement interdisciplinaires). Ironie du sort, il s’agit pour la plupart de facteurs de limitation d’indépendance connus que j’ai passés en revue à l’époque dans ma thèse de doctorat …

Invitation

Pour conclure : un débat nuancé, loyal, informé et transparent est essentiel dans une démocratie. Coronavirus oblige, le rôle crucial de l’APD au niveau de la (future ?) numérisation de notre société s’est précisé beaucoup plus vite que je ne l’avais prévu (ou : que je ne pouvais l’espérer …). Être un guide de confiance pour la société numérique et les données, telle doit être notre mission ou notre pierre de touche. C’est pourquoi, malgré les difficultés et les restrictions, nous avons récemment quand même plaidé – entre-temps avec succès – pour des compétences supplémentaires au niveau de la vie privée en ligne (“cookies”). Mais faisons en sorte de mener ce débat de manière scientifiquement correcte : en organisant un dialogue de manière libre, répétée et contradictoire. Je prends dès lors la liberté de répondre à l’ “avertissement” des auteurs par un appel au débat et je leur transmettrai prochainement une invitation. Le sujet est trop important que pour être mené par voie de presse !