Si l'APD veille au respect de la protection des données, son président semble pourtant assister les autorités flamandes qui ne respectent pas le RGPD...

Autorité de protection des données: le rapport (accablant) de la Cour des comptes qui n’est toujours pas rendu public

Franklin Dehousse
Franklin Dehousse Professeur à l'ULiège

Accusée de non-transparence, l’Autorité de protection des données a aussi vu sa gestion mise en cause dans un rapport accablant de la Cour des comptes. Pourtant, le dossier n’a toujours pas été rendu public par le Parlement. Un huis clos qui interpelle.

Depuis des années, l’Autorité de protection des données (APD) se voit reprocher son manque d’indépendance et ses erreurs de gestion. Des accusations essentiellement fondées sur des plaintes déposées par ses codirectrices, Charlotte Dereppe et Alexandra Jaspar. Les deux lanceuses d’alerte ont largement obtenu gain de cause.

Sur l’indépendance, l’APD avait des relations interdites avec l’exécutif. Finalement, Bart Preneel (cryptologue à la KULeuven, membre externe de l’APD mais aussi du comité de sécurité de l’information) et Frank Robben (le monsieur « data » du gouvernement), tous deux en conflit d’intérêts, ont démissionné. Sur les fautes de gestion, la Cour des comptes a validé les plaintes des deux directrices. Or, depuis 2019, le Parlement maintient le huis clos sur ce dossier, dont les documents sont tenus secrets.

En ce qui concerne le volet « gestion » du dossier, bouclé fin 2021, la Cour pointe une série de manoeuvres mises en place pour se soustraire à tout contrôle réel. D’abord, le comité de direction, organe de décision central, « ne tient pas suffisamment compte des bonnes pratiques qu’un tel organe se doit d’appliquer dans le cadre de ses réunions: les notes et points sont ajoutés tardivement à l’ordre du jour, le contenu des procès-verbaux fait l’objet de discussions, etc. Lors des réunions du comité de direction, les informations échangées au sujet du fonctionnement des différentes directions sont insuffisantes. En outre, des décisions stratégiques importantes sont parfois prises sur la base d’un vote à la majorité et non par consensus. » La Cour souligne aussi des délais non respectés, des procès-verbaux qui ne sont pas fiables…

La logique voudrait que les autoritu0026#xE9;s u0026#xE9;vacuent les fautifs et remercient les lanceuses d’alerte, l’Etat semble ici avoir fait l’inverse.

Fort curieusement, « l’APD se situe au-dessus de la médiane [européenne] en ce qui concerne le budget de fonctionnement, mais en dessous de celle-ci pour ce qui est du personnel ». En d’autres termes, elle a moins de personnel, mais qui est nettement plus cher. C’est d’autant plus étrange qu’elle compte sensiblement moins de juristes et d’informaticiens, pourtant essentiels à son activité – une mauvaise gestion évidente des ressources humaines.

Un épisode trahit les comportements qui pourraient expliquer ce fort budget pour un faible personnel. « Bien que plusieurs directeurs aient indiqué qu’ils n’estimaient pas approprié de consacrer le budget de l’APD à l’acquisition d’un véhicule de fonction, le président de l’APD a décidé d’acheter une voiture de fonction. » Le statut pécuniaire ne le prévoyait pas. Le budget non plus. Le processus budgétaire ultérieur n’a pas été respecté. Mais pourquoi s’en soucier? « Dans la pratique, le véhicule est également utilisé pour effectuer des déplacements entre le domicile et le lieu de travail, voire des déplacements purement privés. D’après le président, le choix du véhicule a notamment été dicté par la taille de son ménage. »

La responsabilité du président engagée

Pour les marchés publics, la Cour relève que « l’organe qui possède la compétence de décision dans le cadre des dossiers d’achat n’est pas suffisamment identifiable à l’heure actuelle ». Plus problématique encore: le comité de direction n’est pas informé de manière systématique des contrats stratégiques et importants, même si le directeur en charge prétend le contraire. Les autres directions subissent ainsi les conséquences de choix auxquels elles ne sont pas associées. Les exclusions de soumissionnaires ne sont pas correctement justifiées. De plus, ledit directeur est « en mesure tant de passer des commandes, que de les approuver et de payer la facture » – une aberration en matière de contrôle. Concernant le même responsable, la Cour note aussi que le secrétariat général bénéficie de ressources disproportionnées qui affaiblissent les autres directions. Or, cela ne l’empêche pas de ne pas remplir ses missions statutaires.

La mauvaise gestion se manifeste également sur le plan de l’absentéisme. Selon le rapport, « les absences pour maladie au sein de l’ APD ont atteint 5,5% en 2019 et 9% en 2020 ». Ainsi, même en période de télétravail, l’ APD compte quasiment un dixième du personnel inactif. De façon générale, « le comité de direction n’analyse pas suffisamment ses missions essentielles… pour fixer sur cette base des priorités et objectifs clairs et y consacrer ensuite les moyens nécessaires ». A de multiples égards, la responsabilité du président, David Stevens, est clairement engagée.

Le rapport relève aussi, comme les deux directrices, que les autorités flamandes ne respectent pas le RGDP (règlement général sur la protection des données) et que le président de l’APD, soutenu par deux directeurs, les assiste et leur transfère des plaintes de manière illégale. En réalité, l’APD exécute déjà une régionalisation des matières fédérales, conformément au voeu de certains partis. Mais elle est contraire à la loi belge et au règlement européen.

« Pressions et menaces »

La logique voudrait que, quand une Cour des comptes valide l’essentiel des critiques d’illégalité et de mauvaise gestion de deux lanceuses d’alerte, les autorités évacuent les responsables fautifs et remercient les lanceuses d’alerte (qu’il devrait même protéger, comme le précise une directive européenne). Cependant, l’Etat semble ici avoir fait l’inverse.

Aussi, Mme Jaspar a fini par démissionner, en invoquant les « pressions, pièges, menaces, actes d’intimidation et de rétorsion » (Le Soir du 8 décembre 2021) auxquels les directrices sont régulièrement confrontées. Mme Dereppe, elle, reste menacée d’un limogeage pour ne pas avoir assisté pendant six mois au comité de direction à la suite d’une plainte pour harcèlement, et avoir transmis ses observations par écrit. Les autres directeurs n’ont pas été inquiétés, quoiqu’ils aient validé les pratiques dénoncées par la Cour des comptes. Enfin, le président Stevens est, en théorie, lui aussi menacé de limogeage, mais un accord politique semble déjà avoir été conclu pour le maintenir.

Il y a eu des commissions d’enquête sur le Kazakhgate, Publifin en Wallonie, les pollutions en Flandre. Ici, le Parlement n’a toujours pas expliqué pourquoi ce dossier bénéficiait d’un secret réservé, par exemple, à la sécurité des centrales nucléaires. L’avenir dira si ses membres veillent vraiment à la bonne gestion et au bon usage de l’argent public.

Droit de réponse

L’APD a pris connaissance d’un article (aux allures de tribune) de M. Dehousse publié dans Le Vif/l’Express du 17 mars 2022. Celui-ci est rempli de sous-entendus qui pointent du doigt l’APD ou ses membres et leur attribue des faits, soit non fondés, soit hors de leur contrôle (on semble insinuer par exemple que l’APD tenterait de cacher des « secrets », alors qu’elle ne décide pas de si le rapport de la Cour des comptes la concernant peut être rendu public ou non, et qu’il revient au parlement de décider s’il se réunit à huis clos ou non).

L’APD regrette d’ailleurs que l’auteur, agissant ici en qualité de journaliste, n’ait contacté ni l’Autorité ni les membres de l’Autorité qu’il vise pour vérifier ces faits, ou tout du moins recueillir leur point de vue. L’article cite abondamment un rapport de la Cour des comptes sur l’organisation et le fonctionnement de l’APD.

L’auteur se plaint, comme déjà mentionné, que celui-ci n’ait pas été rendu public. Toutefois, on peut attendre d’un ancien juge qu’il comprenne que même les fonctionnaires publiques ont droit à un procès équitable, et que la polarisation dans les médias n’y contribue certainement pas.

Il est encore plus problématique de voir que l’auteur attribue à la Cour des comptes des positions qui ne ressortent pas de son rapport. A titre d’exemple : la Cour des comptes ne dit pas que les procès-verbaux des réunions de l’APD ne sont pas fiables, mais seulement qu’il existe là-dessus un désaccord entre les directeurs. De même, la thèse de l’auteur selon laquelle la majorité du comité de direction de l’APD « transfère des plaintes de manière illégale » aux autorités régionales n’est pas du tout correcte. L’APD n’a en effet tout simplement jamais transféré de plainte à l’autorité flamande. La désinformation ne contribue pas à un débat serein et équitable, que nous sommes à l’APD toujours prêts à engager en tant qu’autorité constructive et indépendante.

Vous avez repéré une erreur ou disposez de plus d’infos? Signalez-le ici

Contenu partenaire