Plan de Gestion 2027 de l’APD : sur quoi portera le contrôle ?

D’abord sensibiliser, ensuite contrôler.

L’APD dispose de services chargés d’informer et de conseiller, et d’autres chargés de contrôler et de sanctionner. Elle entend désormais coordonner davantage leurs activités en les faisant travailler successivement sur les mêmes thématiques.  Ainsi, chaque année, certaines thématiques font l’objet d’actions d’information et de sensibilisation, tandis que d’autres sont ciblées par des contrôles.

Le lien entre les deux est simple : ce que l’APD explique en 2027 devient en principe une priorité de contrôle en 2028. Comparez cela à une campagne de sécurité routière : d’abord les messages de prévention, ensuite les radars. Cela fonctionne aussi dans l’autre sens : ce que l’APD constate lors de ses contrôles inspire de nouvelles lignes directrices et campagnes de sensibilisation. C’est ce qu’elle appelle elle-même une « approche circulaire » (p. 4).

En 2027, l’APD place ces thèmes au centre de ses actions :

• Le profilage et les autres réutilisations de données dans le secteur bancaire ;
• Le traitement de données de santé, notamment par des applications de santé ;
• Les données de réservation dans l’horeca.

Vous travaillez dans l’un de ces secteurs ? Vous avez alors environ un an pour examiner vos traitements et les mettre en ordre. L’APD ne décidera que dans son Plan de Gestion 2028 si ces thèmes deviennent effectivement des priorités de contrôle en 2028. Il vaut pourtant la peine de s’y mettre dès maintenant, car la direction est claire. Vous pouvez par exemple déjà prendre les mesures suivantes :

• Banque: vérifiez si vous faites du profilage et quels modèles de profilage vous utilisez, par exemple pour le scoring de crédit, la détection de fraude ou les offres de produits ciblées. Vérifiez également si certaines décisions fondées sur ces scores relèvent de l’article 22 du RGPD.
• Application de santé: vérifiez sur quelle exception de l’article 9 du RGPD vous vous fondez pour traiter des données de santé, et si cela est clairement documenté. Les données sont-elles uniquement utilisées pour la finalité pour laquelle l’utilisateur les a fournies, ou aussi pour la recherche, le développement de produits ou la publicité ? Une analyse d’impact (AIPD ou DPIA) s’impose presque toujours ici.
• Horeca: vérifiez les durées de conservation des données de réservation et justifiez-les au regard des finalités poursuivies. Limitez également la collecte aux données nécessaires : avez-vous réellement besoin de demander une date de naissance ou une adresse pour effectuer une réservation ?

Indépendamment de ces trois thèmes, l’APD met aussi à jour ses lignes directrices générales sur la sécurité. Elle y décrit comment les organisations doivent protéger les données à caractère personnel sur le plan technique et organisationnel, notamment en matière de gestion des accès. Ces lignes directrices s’appliquent à tous, quel que soit votre secteur.

Contrôles en 2027 : courtiers en données et jeux vidéo.

Pour ces deux autres thèmes, l’APD n’attend pas 2028. Elle prévoit de lancer des contrôles proactifs dès 2027.

• Les traitements de données par des courtiers en données, ainsi que ceux liés aux échanges de données avec les parties qui leur en fournissent ou leur en achètent.
• Les traitements de données effectués dans le cadre des jeux vidéo.

Cette approche, et le fait que l’APD contrôle déjà ces thèmes aujourd’hui, n’est pas un hasard. Elle a déjà donné des explications sur ces deux sujets. Pour le marketing direct, elle a publié une recommandation. Pour le secteur des jeux vidéo, elle a établi en 2026, avec son homologue espagnole, un guide de bonnes pratiques pour la protection des données. Les organisations savent donc déjà, dans les grandes lignes, ce que l’APD attend d’elles. L’autorité passe désormais à l’étape suivante : vérifier dans quelle mesure ces attentes sont respectées en pratique.

Ce sont surtout les courtiers en données qui méritent l’attention. L’APD continue de recevoir de nombreuses plaintes sur le marketing direct. Derrière un simple e-mail ou courrier publicitaire se cache parfois toute une chaîne de partenaires, parfois établis à l’étranger. La personne qui reçoit un tel message n’a généralement aucune idée de la manière dont ses données sont arrivées jusque-là. C’est pourquoi l’APD pourrait se concentrer un peu moins sur la publicité elle-même et davantage sur les courtiers en données qui transmettent ces données. Il s’agit d’entreprises qui achètent et vendent des données à caractère personnel à grande échelle, et qui souvent les analysent et les complètent avec des informations supplémentaires.

L’APD regarde d’ailleurs plus loin que les courtiers en données eux-mêmes.

Vous achetez des fichiers d’adresses ou des listes marketing, ou vous revendez des données ? Votre organisation peut alors, elle aussi, se retrouver dans le viseur. Cartographiez donc bien ce processus, afin de savoir avec quels courtiers vous travaillez et vérifiez que vous posez les bonnes questions avant de conclure de tels partenariats. Une APD plus rapide et plus accessible.

Les thèmes changent, et la manière de travailler de l’APD aussi. Un projet de loi est en cours d’examen pour modifier la loi du 3 décembre 2017 portant création de l’Autorité de protection des données (ci-après « la LCA » ou « loi organique »), qui détermine l’organisation de l’APD. Cette modification réforme notamment la manière dont ses services traitent les plaintes et les dossiers. Si tout se passe comme prévu, les nouvelles règles entreront en vigueur le 1er janvier 2027. Combinée au Plan Stratégique, cela entraîne quelques changements notables.

• Tout le monde peut signaler une infraction. Selon les termes de l’APD, « toute personne pourra signaler une infraction à l’APD, sans qu’une procédure de plainte formelle soit lancée ». C’est une conséquence directe de l’élargissement des compétences du Service de Première Ligne de l’APD. Celui-ci pourra également décider de classer des affaires sans suite et gérer les signalements reçus par l’APD. Cela doit permettre de traiter les demandes d’un plus grand nombre de citoyens et de décharger les autres services de l’APD. Les plaintes simples ne devront donc plus nécessairement passer par le Service d’Inspection et la Chambre Contentieuse.
• Des décisions plus rapides. La Chambre Contentieuse veut réagir plus vite. Dans les affaires simples, elle peut rapidement imposer une mesure ou adresser un avertissement, et ses décisions deviennent plus courtes. Elle travaille aussi à une politique d’amendes, prévoyant des montants fixes pour les amendes de faible montant. Elle actualise en outre sa politique en matière de classement sans suite, de publication des décisions et d’astreintes.
• Plus de contrôles d’initiative. Les contrôles se fondent moins sur des plaintes et davantage sur l’initiative propre de l’APD. L’accent est mis sur les dossiers à fort impact sociétal, les traitements à grande échelle et les données de mineurs.
• Davantage de sensibilisation à grande échelle. L’APD ne répond plus systématiquement aux demandes d’information et mise sur des outils, des fiches d’information et des FAQ pour rendre les informations relatives à la protection des données plus accessibles au grand public. Sachez toutefois qu’une telle demande pourra (i) influencer la politique générale de sensibilisation de l’APD et (ii) contenir des indices d’une éventuelle infraction, que l’APD peut alors transmettre au Service d’Inspection.

Qu’est-ce que cela signifie en pratique ? Un seuil plus bas pour signaler et un traitement plus rapide des dossiers peuvent permettre de détecter plus rapidement même de petites négligences. Vos processus internes de traitement des plaintes et des demandes revêtent donc une importance accrue : ce que vous réglez correctement en interne a moins de choisir d’aboutir sur le bureau de l’APD.

Le DPO reste sous la loupe.

Pour les DPO, le Plan de Gestion contient à la fois une reconnaissance et un avertissement. L’APD répète qu’elle considère les DPO, « vu leur rôle clé », comme un public cible prioritaire.

Cette attention accrue se traduit aussi par des contrôles. En 2027, le Service d’Inspection continuera de vérifier trois points :

• Si le DPO est correctement désigné ;
• Quelle position le DPO occupe au sein de l’organisation ;
• Si le DPO dispose en pratique de suffisamment de temps et de moyens pour bien remplir son rôle.

Selon l’APD, il existe encore « (beaucoup) de marge d’amélioration », un constat également posé au niveau européen. Vous êtes DPO et vous voulez entendre de première main ce que l’APD attend de vous ? Au printemps 2027, elle organise une journée d’étude pour les DPO.

Ce que cela signifie pour vous.

Considérez le Plan de Gestion 2027 comme une feuille de route pour les deux prochaines années. Il peut vous aider à fixer vos priorités :

• Vous êtes actif dans le secteur bancaire ou l’horeca, ou vous traitez des données de santé (par ex. via une application) ? Profitez de 2027 pour passer vos traitements au crible, avant que les contrôles ne commencent en 2028.
• Vous achetez des données à caractère personnel ou les partagez avec des tiers à des fins de marketing ? Cartographiez d’où viennent vos données et à qui elles sont transmises.
• Vous développez ou distribuez des jeux vidéo ? Comparez vos pratiques au guide de bonnes pratiques de l’APD.
• Vous êtes DPO ? Vérifiez de manière critique si votre position, votre temps et vos moyens correspondent en pratique à ce qui figure sur papier.
• Pour tous : suivez les lignes directrices actualisées sur les mesures de sécurité techniques et organisationnelles dès leur publication.