LE PLAN DE GESTION 2027 DE L’APD : LES COURTIERS EN DONNÉES ET LES JEUX VIDÉO DANS LE VISEUR D’UN RÉGULATEUR PLUS PROACTIF

Pour définir ses priorités concrètes, l’APD applique ce qu’elle appelle une approche circulaire : les activités de ses différents services sont conçues pour s’aligner les unes sur les autres et se renforcer mutuellement. Les priorités annuelles se répartissent en deux volets complémentaires : l’information et la sensibilisation, d’une part, et les actions de contrôle et d’application de la réglementation, d’autre part. En principe, un thème prioritaire en matière de sensibilisation au cours d’une année donnée est appelé à devenir, deux ans plus tard, un thème prioritaire en matière de contrôle. Parallèlement, les enseignements tirés des actions de contrôle alimentent les futurs thèmes de sensibilisation, créant ainsi un cycle continu.

Pour 2027, les efforts de l’APD en matière d’information et de sensibilisation porteront sur :

• le profilage et la réutilisation des données dans le secteur bancaire ;
• le traitement des données de santé, notamment par l’intermédiaire d’applications de santé ; et
• les données de réservation dans le secteur de l’hôtellerie et de la restauration (Horeca).

En outre, l’APD travaillera à la mise à jour de ses lignes directrices relatives aux mesures techniques et organisationnelles de sécurité, ainsi qu’à de nouvelles lignes directrices au niveau de le CEPD et du Coordinated Enforcement Framework.

En matière de contrôle et d’application de la réglementation, l’APD ciblera de manière proactive deux thèmes :

• le traitement des données par les courtiers en données (data brokers) ; et
• le traitement des données dans le contexte des jeux vidéo.

2.1 Le comité de direction

L’APD est dirigée par son Comité de Direction et comprend cinq services, dont les activités peuvent être regroupées autour de cinq piliers complémentaires : informer, sensibiliser, conseiller, autoriser et sanctionner. Ceux-ci se renforcent mutuellement selon la même logique circulaire décrite ci-dessus.

Le Comité de Direction, composé des directeurs des cinq services, définit la politique stratégique de l’APD, assure la coordination et représente l’APD à l’extérieur.

En 2027, il se concentrera notamment sur le suivi du Plan stratégique, sur une prise de décision plus collégiale concernant les dossiers dans le cadre de la réforme attendue de la loi organique de l’APD, ainsi que sur le renforcement de la coopération externe avec le CEPD, les organismes internationaux et les autres régulateurs.

2.2 Le secrétariat Général

Le Secrétariat Général assure des fonctions de soutien transversal, notamment en matière de ressources humaines, de budget, d’informatique, de communication et de questions juridiques, ainsi que des missions de fond telles que la certification, les codes de conduite et les notifications de violations de données et de DPO. Parmi ses priorités pour 2027 figurent l’utilisation d’outils d’efficacité basés sur l’intelligence artificielle et la modernisation de la politique RH.

2.3 Le Service de Première Ligne

Le Service de Première Ligne, point d’entrée de l’APD pour les citoyens, les responsables du traitement et les sous-traitants, traite les demandes d’information, évalue la recevabilité des plaintes et cherche à favoriser leur résolution à un stade précoce.

Le plan de gestion indique que le Service de Première Ligne ne répondra plus systématiquement à chaque demande individuelle d’information. Il privilégiera plutôt la mise à disposition d’informations générales facilement accessibles. Dans l’attente de la réforme législative, le Service de Première Ligne se verra également attribuer de nouvelles compétences lui permettant de classer des dossiers sans suite et de gérer les signalements.

2.4 Le Service d'Autorisation et d'Avis

Le Service d’Autorisation et d’Avis rend des avis sur des projets de législation, formule des recommandations et délivre certaines autorisations prévues par la loi, par exemple en matière d’accès aux métadonnées de communications ou de dispositifs organisant des flux transfrontaliers de données.

2.5 Le Service d'Inspection

La loi organique de l’APD décrit le Service d’Inspection comme « l’organe d’enquête » de l’APD.

En vertu de la loi organique de l’APD, le Service d’Inspection dispose d’un large éventail de pouvoirs d’enquête, allant de questionnaires écrits aux enquêtes sur place, en passant par les auditions, la consultation de systèmes informatiques ainsi que la saisie et la mise sous scellés de biens et de systèmes. Il est composé d’inspecteurs aux profils variés, notamment des juristes, des auditeurs ainsi que des experts en TIC et en sécurité de l’information, placés sous la direction de l’Inspecteur général. Cette diversité permet une approche multidisciplinaire qui ne se limite pas à une perspective purement juridique.

Au-delà de sa mission générale d’inspection, le Service exerce également une fonction spécifique d’audit. Ces deux fonctions sont fondamentalement différentes : un audit est un contrôle plus souple et coopératif, associé à un accompagnement et mené en concertation avec le responsable du traitement afin de mettre en évidence les faiblesses des processus, tandis qu’une inspection constitue un exercice d’enquête plus formel. Les audits génèrent une charge de travail importante et devraient continuer à gagner en importance à mesure que de nouvelles bases de données européennes interopérables à grande échelle seront développées.

Le travail du Service d’Inspection s’inscrit dans l’approche équilibrée, proportionnée et efficace définie par le Plan stratégique 2026-2028, qui tient compte de la nature, de la gravité et de l’impact de chaque violation. Les mesures de contrôle visent en priorité à mettre fin aux violations présentant un intérêt sociétal significatif.

Par ailleurs, le Service d’Inspection évolue vers une approche plus proactive : les contrôles seront de plus en plus initiés par l’APD elle-même, plutôt que principalement à la suite de plaintes, et davantage de ressources seront consacrées aux dossiers stratégiques à fort impact. Cette évolution intervient dans un contexte où plusieurs défis ont été explicitement identifiés, notamment l’augmentation du nombre et de la complexité des dossiers ainsi qu’un gel des recrutements annoncé par le Parlement. En réponse, le Plan Stratégique met l’accent sur une réforme de la chaîne interne de traitement des plaintes afin de répartir les dossiers de manière plus rationnelle entre le Service de Première Ligne, le Service d’Inspection et la Chambre Contentieuse.

Le Service d’Inspection reste convaincu que la phase d’inspection constitue elle-même un outil d’orientation et d’accompagnement : les mesures d’enquête telles que les questionnaires, auditions, visites sur place ou audits entraînent souvent une amélioration de la conformité alors même que l’enquête est toujours en cours. Afin de limiter la charge de travail croissante du Service, il est de plus en plus recouru au classement sans suite lorsque la situation a été régularisée au cours de l’enquête. Cette approche peut bénéficier tant au plaignant qu’au responsable du traitement et à l’APD, et évite à la Chambre Contentieuse de devoir rendre une décision finale. La voie traditionnelle, consistant à transmettre à la Chambre Contentieuse un rapport d’enquête complet, reste toutefois disponible pour les dossiers qui le justifient.

Le Service d’Inspection entend examiner la possibilité de transformer ce classement sans suite au stade de l’inspection en une forme de mise en demeure formelle, par le biais d’une modification législative. Il prépare également la possibilité de conclure des transactions dans le cadre de dossiers d’inspection. Ces deux évolutions dépendront du calendrier de la réforme prévue de la loi organique de l’APD.

Enfin, le Service d’Inspection continuera d’accorder une attention constante à plusieurs thématiques, telles que le rôle du DPO (toujours considéré comme un acteur essentiel, mais pour lequel des améliorations restent possibles en matière de désignation, de positionnement et de ressources), les courtiers en données (compte tenu de la complexité et de l’opacité de leurs traitements, soulignées dans le Plan stratégique) ainsi que les traitements de données à grande échelle effectués par les autorités publiques, qui peuvent s’avérer particulièrement sensibles.

2.6 La Chambre Contentieuse

La Chambre Contentieuse veille à l’application des règles relatives à la protection des données dans les affaires qui lui sont soumises, que ce soit sur la base d’une plainte introduite par un citoyen, à la suite d’une inspection ou dans le cadre du mécanisme de guichet unique du RGPD pour les affaires transmises par d’autres autorités de contrôle européennes. Elle exerce un rôle autonome au sein de l’APD, sans pour autant fonctionner de manière isolée : ses priorités et son approche sont discutées avec les autres services de l’APD, notamment avec le Comité de Direction.

Ses outils comprennent des mesures correctrices et des amendes administratives. Elle applique une « procédure abrégée » pour les affaires les plus simples et accorde une attention particulière à la procédure du système d’information du marché intérieur (IMI) pour les affaires transfrontalières ayant un impact significatif.

La Chambre Contentieuse n’agissant pas de sa propre initiative, mais sur la base des dossiers qui lui sont soumis, elle fonde son appréciation sur les priorités définies dans le Plan Stratégique et dans les autres documents stratégiques de l’APD. Sa politique de classement sans suite comprend des priorités négatives, mais elle applique également des priorités positives, dans le cadre desquelles l’impact sociétal d’un dossier joue un rôle déterminant, avec une attention particulière accordée aux deux thèmes prioritaires du Plan Stratégique.

Afin de faire face à un afflux important de plaintes, un processus de changement lancé par l’APD se poursuivra en 2027 : le traitement des plaintes à un stade plus précoce par le Service de Première Ligne, combiné à une rationalisation de la chaîne interne de traitement des contentieux, devrait réduire considérablement le nombre de dossiers parvenant à la Chambre Contentieuse.

Parmi les autres priorités pour 2027 figurent un traitement plus efficace des dossiers, notamment au moyen de décisions plus courtes et d’un recours accru aux amendes administratives lorsque cela est approprié, la mise à jour des notes stratégiques concernant le classement sans suite, la publication, les astreintes, les amendes et l’intervention de tiers, le développement d’un vade-mecum et d’une base de connaissances, ainsi que la coopération avec les autres autorités de contrôle européennes et le CEPD concernant le mécanisme de guichet unique et les affaires transfrontalières relevant des articles 60 et 65 du RGPD.

Agir dès la phase de sensibilisation, avant que les contrôles ne suivent : Compte tenu de l’approche circulaire de l’APD, prendre dès aujourd’hui en considération ses lignes directrices, recommandations et initiatives sectorielles de sensibilisation constitue le moyen le plus efficace de réduire le risque de faire ultérieurement l’objet d’une enquête proactive lorsqu’un thème passe du volet « information et sensibilisation » au volet « contrôle et application de la réglementation ».

Nous encourageons les responsables du traitement à suivre attentivement les recommandations de l’APD et les lignes directrices du CEPD, à documenter leurs efforts de mise en conformité et à remédier aux éventuelles lacunes identifiées avant qu’une inspection ne soit déclenchée.

Nos équipes Information & Communication Technology (ICT) et Information Governance and Data Protection (Privacy) de Lydian se tiennent à votre disposition pour répondre à toute question concernant les dernières évolutions en matière de protection des données. N’hésitez pas à nous contacter pour toute assistance complémentaire.