Protection des données personnelles en Belgique : l’APD, mais pas toujours elle
En Belgique, l’Autorité de protection des données (APD) est l’autorité générale de contrôle du RGPD. Elle informe les citoyens, reçoit les plaintes, enquête et peut imposer des mesures correctrices ou des sanctions. Certaines matières relèvent toutefois d’autorités spécialisées, tandis que les dossiers européens peuvent mobiliser plusieurs autorités nationales. Le bon interlocuteur dépend donc du traitement concerné et de votre démarche.
L’APD, le point de référence pour la protection des données
L’Autorité de protection des données est une institution indépendante créée par la loi belge du 3 décembre 2017. Elle a succédé à la Commission de la protection de la vie privée le 25 mai 2018, lors de l’entrée en application du Règlement général sur la protection des données. Son nom néerlandais est Gegevensbeschermingsautoriteit.
Une donnée personnelle est une information concernant une personne physique identifiée ou identifiable : nom, adresse électronique nominative, photographie, numéro de client ou donnée de localisation, par exemple. Leur collecte, leur consultation, leur transmission et leur suppression constituent des traitements soumis à des règles.
L’APD veille notamment à la licéité des traitements, à leur transparence, à la limitation des données collectées et à leur sécurité. Une entreprise ne peut donc pas justifier n’importe quel usage de vos informations par le seul fait qu’elle les possède.
Pour consulter les démarches officielles, rendez-vous sur le site citoyen de l’Autorité de protection des données. Son siège se trouve 35, rue de la Presse, 1000 Bruxelles. Avant un envoi postal, vérifiez les modalités correspondant à votre demande : un simple courrier ne remplace pas nécessairement le formulaire requis.
Identifier le bon interlocuteur selon le traitement concerné
Une administration qui publie une politique de confidentialité ne devient pas, pour autant, une autorité de contrôle. Il faut distinguer l’organisme qui utilise les données, son éventuel délégué à la protection des données et l’institution chargée de le contrôler.
| Interlocuteur | Rôle | Quand le contacter |
|---|---|---|
| APD | Autorité générale belge de contrôle de la protection des données | Information, médiation ou plainte relevant de sa compétence |
| Organisme et délégué à la protection des données (DPO) | Traitement de votre demande et suivi interne de la conformité | Accès, rectification, opposition ou difficulté concernant vos données |
| Autorité belge de la Concurrence | Application du droit de la concurrence | Questions sur ses propres traitements, sans la confondre avec l’APD |
| Autorité spécialisée | Contrôle dans un périmètre légal particulier | Traitements soumis à un régime spécifique, notamment policiers |
| Contrôleur européen de la protection des données | Contrôle des institutions et organes de l’Union européenne | Traitement effectué par une institution européenne |
Les traitements policiers relèvent notamment de l’Organe de contrôle de l’information policière, dans les limites de ses compétences. La Commission flamande de surveillance intervient également dans son périmètre propre concernant des autorités publiques flamandes. Pour ces situations particulières, vérifiez la compétence indiquée par l’institution concernée plutôt que de présumer que toute plainte relève de l’APD.
Le DPO n’est ni un juge ni une autorité indépendante de sanction. Il constitue néanmoins un interlocuteur utile pour comprendre un traitement et faire corriger une difficulté. Ses coordonnées figurent généralement dans la politique de confidentialité de l’organisme.
Ce que l’APD peut faire, de l’information à la sanction
L’intervention de l’APD ne se limite pas aux amendes. Elle peut expliquer les obligations applicables, faciliter une résolution du différend et contrôler les pratiques d’un organisme. L’issue dépend des faits, des preuves et de la procédure suivie.
Des fonctions distinctes pour informer et enquêter
Le service de première ligne informe les personnes, reçoit les demandes et les plaintes et intervient dans la médiation. Le centre de connaissances exerce une fonction d’expertise et de conseil, notamment sur les questions réglementaires. Le service d’inspection constitue l’organe d’enquête : il peut examiner les faits et recueillir les éléments nécessaires au contrôle.
La chambre contentieuse et les mesures correctrices
La chambre contentieuse intervient dans le contentieux administratif. Selon le dossier, elle peut notamment ordonner la mise en conformité d’un traitement, la satisfaction d’une demande d’exercice de droits ou imposer une sanction. Déposer plainte ne garantit donc ni une amende ni une décision dans un délai déterminé.
Il faut aussi distinguer sanction et indemnisation. Une amende administrative ne constitue pas une somme versée au plaignant. Si vous demandez réparation d’un dommage matériel ou moral, une démarche devant la juridiction compétente peut être nécessaire.
Agir concrètement : demande de droits, plainte ou violation
Pour un citoyen : constituer un dossier précis
Si un employeur, un commerce ou une plateforme utilise vos données de manière contestable, commencez généralement par lui adresser une demande écrite. Vous pouvez invoquer, selon les conditions applicables, vos droits d’accès, de rectification, d’effacement, de limitation ou d’opposition. Ces droits ne sont pas absolus : une obligation légale peut, par exemple, imposer la conservation de certaines informations.
- Identifiez l’organisme et le traitement contesté : prospection, publication, conservation ou transmission.
- Formulez votre demande auprès de l’organisme ou de son DPO et conservez une copie datée.
- Rassemblez les preuves : réponses, captures d’écran, courriels et documents utiles.
- Choisissez la démarche auprès de l’APD : information, médiation ou plainte, en suivant les conditions du formulaire officiel.
Pour préparer votre dossier, utilisez une jauge simple : un lecteur extérieur peut-il comprendre qui a fait quoi, avec quelles données, à quelle date et malgré quelle demande ? Si un élément manque, complétez la chronologie. Cette grille permet de remplacer un récit général d’inquiétude par des faits vérifiables, sans transmettre inutilement davantage de données sensibles.
Pour un organisme : notifier une violation de données
Une violation peut être un accès non autorisé, mais aussi une perte, une destruction ou une divulgation accidentelle de données. La notification réglementaire incombe au responsable du traitement lorsque les conditions légales sont réunies ; elle se distingue d’une plainte déposée par une personne concernée.
L’organisme doit évaluer les risques, documenter l’incident et utiliser le canal de notification de l’autorité compétente si nécessaire. Un particulier qui reçoit les données d’autrui peut avertir l’organisme sans les diffuser davantage, puis contacter l’autorité si la situation le justifie.
Entreprise étrangère : la coopération européenne prend le relais
Lorsqu’un traitement concerne plusieurs États européens, l’autorité compétente ne dépend pas uniquement du lieu de résidence du client ou de la langue du site. Pour les traitements transfrontaliers concernés par le mécanisme de guichet unique, l’établissement principal du responsable du traitement joue un rôle déterminant dans l’identification de l’autorité chef de file.
Une personne résidant en Belgique peut néanmoins déposer une plainte auprès de l’APD dans les conditions prévues par le RGPD. Elle n’a pas à résoudre seule toute la répartition européenne des compétences. L’APD peut coopérer avec l’autorité chef de file et les autres autorités concernées.
Par exemple, une réclamation belge contre une plateforme dont l’établissement principal européen se trouve dans un autre État peut être traitée dans ce cadre de coopération. Le Comité européen de la protection des données (CEPD) contribue à l’application cohérente du RGPD et peut intervenir pour régler certains désaccords entre autorités. Il ne remplace pas l’autorité nationale comme guichet ordinaire de plainte.
Le réflexe utile reste donc d’identifier l’organisme, le traitement et votre objectif : obtenir une réponse sur vos droits, résoudre un différend ou faire contrôler une pratique. Cette distinction vous orientera vers la procédure adaptée, en Belgique comme dans un dossier transfrontalier.
- Fuite de données Colis Privé : pas de coordonnées bancaires exposées, mais gare aux faux SMS - 1 novembre 2026
- Effacer les données de navigation : ce qui part, ce qui reste et les réflexes avant de prêter son appareil - 31 octobre 2026
- Clé PGP : ce que la clé privée protège vraiment, et l’erreur qui la rend inutile - 30 octobre 2026
Partager cet article
Articles qui pourraient vous intéresser :
Téléphone PGP : distinguer e-mails, appels et promesses de sécurité
Have I Been Pwned repère les fuites connues, mais ne certifie pas la sécurité de vos comptes
Caméra de surveillance chez un particulier : la réglementation s’arrête aux limites de votre propriété
Quelles autorités assurent la protection des données personnelles au Maroc ? CNDP, cybersécurité et justice