Fumée blanche au parlement pour le comité de direction de APD

Le 22 décembre dernier la BAM s’était exprimé sur sa préoccupation du retard considérable pris dans la nomination de la nouvelle direction de l’APD mettant les entreprises membres de la BAM dans une situation intenable. Avec une APD toujours pas nommée alors que les amendes prévues en cas de non-respect de la GDPR sont énormes les entreprises buttaient sur de nombreuses inconnues. Les entreprises attendent un accompagnement par l’APD dont les membres de la direction sont finalement nommés ce 29 Mars 2019.

Le 25 Mai 2018, la GDPR est entrée en application pour mettre la législation européenne en phase avec la société moderne, poussée par les nouvelles technologies du secteur digital. C’est dans ce cadre que le législateur a créé une nouvelle APD, par la loi du 3 décembre 2017.

L’ancien organe consultatif, la Commission Vie Privée, devient une autorité de contrôle et de sanction chargée de contrôler le traitement des données des personnes avec la rigueur nécessaire en tenant compte des aspects juridiques, économiques, éthiques et technologiques de la société numérique moderne. Pour ce faire on y prévoit un comité de gestion, un secrétariat général, un centre de connaissances, un service d’inspection et une chambre de règlement des litiges.

Le comité de gestion est composé des responsables des quatre autres organes et d'un médiateur chargé de la protection des données nommé par la Chambre des représentants pour un mandat de six ans renouvelable une fois. Le comité de la Commission Vie Privée se composait de 16 mandataires, dont 2 seulement à temps plein, se transforme en un organe doté de 5 mandats à temps plein.

Les pouvoirs de l'APD peuvent être regroupés en quatre catégories, avec l'ordre de priorité suivant:

Fournir des informations et des conseils aux particuliers, aux responsables de traitement (et à leurs sous-traitants) et aux décideurs politiques pour qu'ils respectent ou appliquent la législation sur la protection des données.
Orienter les responsables du traitement (et de leurs sous-traitants) en utilisant au maximum les instruments de prévention prévus dans le GDPR tels que la certification, le respect des codes de conduite, la désignation d’un DPO ...
Contrôler les contrôleurs de données (et de leurs sous-traitants) par un service d'inspection spécialement formé.
Appliquer des sanctions allant des avertissements aux sanctions financières permettant une approche cas par cas prévoyant un traitement équilibré et proportionnel en fonction de la gravité de la situation.

Ses membres auraient dû idéalement être nommés par le parlement pour le jour de l’entrée en vigueur de la GDPR, c’est-à-dire le 25 mai 2018 qui était la date-butoir où toutes les entreprises avaient l’obligation de se mettre en ordre par rapport à la GDPR. Les nominations ont pris du temps. La désignation par le parlement en séance plénière était prévue pour ce 28 mars. Ce 29 mars à 1h15 du matin le vote relatif à la nomination du Comité de direction de l’APD s’achève à la Chambre. A 1h37, les résultats sont annoncés :

Directeur du secrétariat général : M. David Stevens
Directeur du service de première ligne : Mme Charlotte Dereppe
Directeur du centre de connaissances : Mme Alexandra Jaspar
Inspecteur général : M. Peter Van den Eynde
Président de la chambre contentieuse : M. Hielke Hijmans

David Stevens est juriste d'entreprise et DPO européen à The Nielsen Company. Charlotte Dereppe est conseillère au cabinet du secrétaire d'État à la protection de la vie privée (Philippe De Backer). Alexandra Jaspar est responsable DPO et Compliance chez bpost. Peter Van den Eynde est conseiller juridique auprès de la Commission de la protection de la vie privée et Hielke Hijmans est un expert indépendant du droit européen de la protection de la vie privée.

Mais ce n'est pas encore terminé. Six membres sont également à désigner pour le centre de connaissances, de même que six membres pour la chambre contentieuse.