APD: ‘La plupart des fuites de données sont dues à une erreur humaine’

L’année dernière, l’Autorité de Protection des Données (APD) belge a examiné 1.420 notifications de fuite de données. Le nombre de plaintes reçues par le service a diminué en 2022, et l’APD constate que les pouvoirs publics francophones sollicitent plus souvent des conseils en la matière que leurs pendants néerlandophones.

Dans son rapport annuel, l’APD révèle un certain nombre de chiffres relatifs à son fonctionnement en 2022. C’est ainsi que l’année dernière, le nombre de notifications liées à des fuites de données s’est élevé à 1.420, plus ou moins autant qu’en 2021 (1.435). En 2020, ce nombre en était encore à 1.054.

Une grande partie d’entre elles n’a rien à voir avec de la malveillance. La plupart des infractions, 47 pour cent, sont en effet à mettre au compte d’une erreur humaine. 25 pour cent sont la conséquence d’un piratage, d’un hameçonnage ou d’un malware, alors que dans 9 pour cent des cas, il est question d’une utilisation inappropriée des droits d’accès.

Plaintes

Outre ces notifications, l’APD a aussi reçu 604 plaintes et 177 dossiers de médiation. Ce qui frappe surtout ici, c’est que le nombre de plaintes a fortement régressé, puisqu’il était encore de 1.928 en 2021, mais l’APD apporte elle-même la nuance, selon laquelle cela était dû aux nombreuses plaintes dénonçant la fuite de données chez Facebook, 1.120 pour être précis, où l’autorité avait elle-même demandé aux victimes de déposer une plainte. Il n’empêche que même sans ces plaintes, la tendance est à la baisse. Ce dossier à l’encontre de Facebook a du reste été récemment clôturé suite à une condamnation prononcée en Irlande.

Pouvoirs publics

Des pouvoirs publics et des instances ont également pris contact avec l’APD pour recevoir des avis et des recommandations. Selon le régulateur de la confidentialité, cela s’est passé à 321 reprises l’année dernière. On observe ici surtout que le nombre de demandes émanant d’instances francophones (198) a été deux fois plus élevé que celui provenant des instances flamandes (109). Quant au nombre de demandes d’instances germanophones, il s’est établi à 14. La Région Wallonne a sollicité 74 fois un avis auprès de l’APD, contre 2 fois pour la Région Flamande.

On apprend en outre que dans notre pays, 7.818 organisations ont enregistré un délégué à la protection des données (DPO). Et que le nombre de demandes d’informations – 2.985 en tout – diminue. Il s’agit là d’une tendance qui se manifeste depuis quelques années déjà. 22 pour cent de ces demandes portent sur le traitement de l’image, 20 pour cent sur des pratiques commerciales, comme le direct marketing, et 16 pour cent sur le respect de la vie privée dans la loi sur le travail.

Réguler et collaborer davantage

Dans le rapport annuel, la présidente Cédrine Morlière indique que son service se prépare actuellement à jouer davantage le rôle de régulateur et ce, en raison de l’European Data Governance Act qui s’appliquera aux échanges de données à partir de fin septembre.

Le Digital Services Act qui entrera en vigueur à partir de février 2024, fera lui aussi en sorte que l’APD serve plus souvent de régulateur ou d’arbitre. Parallèlement, Morlière fait observer que la législation européenne en matière d’intelligence artificielle (l’AI Act comme on l’appelle) jouera également un rôle dans le fonctionnement du service.

Dans le prolongement de ce qui précède, Morlière évoque la nécessité de faire collaborer les divers pouvoirs publics et régulateurs: ‘Il faudra amplifier la collaboration entre ces pouvoirs publics et l’APD, plus précisément dans le cadre de la gestion des plaintes que les citoyens pourront introduire sur base de ces nouvelles règles.’ Et d’ajouter qu’au niveau européen, les autorités en charge de la confidentialité de certains pays collaborent depuis assez longtemps déjà.