GDPR : privé ou public, pas de différence !

En matière de GDPR, il n’y a pas égalité de traitement entre le secteur public et le secteur privé, dénonce la FEB… qui dépose une requête en annulation auprès de la Cour constitutionnelle

Pourquoi le secteur public devrait-il être exonéré des sanctions administratives en cas de non-respect des dispositions du GDPR, questionne la FEB (Fédération des Entreprises de Belgique). En Belgique, ces sanctions ne sont applicables qu’au secteur privé. Le secteur public en est exonéré… malgré un avis défavorable tant du Conseil d’État que de la Commission de la protection de la vie privée. Pour l’organisation patronale, cela constitue une discrimination et viole le principe d’égalité de traitement entre le secteur privé et le secteur public. C’est pourquoi la FEB vient de déposer auprès de la Cour constitutionnelle une requête en annulation de cette disposition.

Le poids des sanctions, on le sait, est lourd : les amendes administratives peuvent, en effet, s’élever jusqu’à 20.000.000 EUR ou jusqu’à 4% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. La loi belge du 30 juillet 2018 mettant en œuvre les clauses dites ouvertes du GDPR, c’est-à-dire les dispositions à régler par le législateur national, détermine les sanctions à appliquer en cas de non-respect. Sauf que cette loi prévoit que les sanctions administratives ne s’appliquent pas aux autorités publiques et leurs préposés à l’exception des cas où ces personnes morales de droit public offrent des biens ou des services sur un marché.

Deux avis négatifs, restés sans suite

Cette exception vise des entités du gouvernement qui entrent en concurrence avec des acteurs privés sur le marché. Il s’agit par exemple des autorités publiques qui sont actives sur le marché du transport, de la poste et de la livraison de colis ou encore de la téléphonie. Dans tous les autres cas, le secteur public est exonéré de sanctions en cas de violation du GDPR.

L’Autorité de protection des données, rappelle la FEB, avait émis un avis négatif sur cet article de la loi lorsqu’il était en projet au Parlement. Pour l’Autorité, il ne peut y avoir de différence de traitement entre le secteur public et le secteur privé. Même avis du Conseil d’État pour qui cette différence de traitement entre le secteur public et les entreprises est injustifiable et viole le principe d’égalité.

Discrimination

«Les organisations qui exercent essentiellement les mêmes activités doivent être traitées de la même manière, qu’elles appartiennent au secteur privé ou au secteur public, commente Philippe Lambrecht, secrétaire général de la FEB. Il n’est dès lors pas normal que les entreprises ayant fait les efforts nécessaires pour se mettre en conformité avec le GDPR soient moins bien traitées que les autorités publiques, soient discriminées par rapport à celles-ci sans raison pertinente et soient considérées de facto comme moins fiables puisqu’elles seules peuvent être sanctionnées.»

La FEB, après avoir consulté les différentes fédérations membres, a décidé de déposer une requête en annulation auprès de la Cour constitutionnelle de cette disposition qui exonère le secteur public de sanctions administratives.