En Belgique, la politique de régulation des données personnelles prend un tournant plus stratégique. L’Autorité de protection des données annonce une priorisation sectorielle et thématique qui aura des conséquences directes pour certains acteurs économiques, en particulier les PME, le secteur public, les télécoms, les médias et les acteurs du marketing.
Selon un rapport publié par l’expert belge en droit de la vie privée et de la protection des données de CMS Law, une organisation de cabinets d’avocats indépendants ayant des bureaux dans plus de 47 pays, le plan stratégique 2020-2025 de l’Autorité de protection des données (APD) montre a choisi de concentrer ses ressources sur cinq secteurs : les télécommunications, les médias, les administrations publiques, l’enseignement et les petites et moyennes entreprises (PME). Cette approche ciblée vise à renforcer l’efficacité du contrôle, mais elle signifie aussi que les entreprises actives dans ces domaines seront davantage exposées à des contrôles et à d’éventuelles sanctions.
Pour les PME en particulier, souvent moins outillées en matière de conformité RGPD, cette attention accrue peut représenter un risque juridique et financier important, même si les sanctions sont en théorie proportionnées à la taille des entreprises.
Un coût croissant de la non-conformité
Les sanctions infligées par l’APD touchent des profils variés d’acteurs : entreprises, pouvoirs publics, ASBL, voire personnes physiques. Elles concernent principalement des manquements à la base légale du traitement, un défaut de transparence, la mauvaise gestion des droits des personnes ou encore des mesures de sécurité insuffisantes.
Le montant des amendes peut atteindre jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, bien que la plupart des sanctions restent bien inférieures à ce plafond. L’amende record de 600.000 euros imposée à Google Belgium en 2020 pour non-respect du droit à l’oubli illustre néanmoins le potentiel financier de ce risque. Cette sanction a toutefois été annulée en appel, faute d’une justification suffisante du lien entre Google Belgium et Google LLC, juridiquement responsable.
Une tendance vers une gestion plus souple des litiges
La perspective d’un renforcement de la répression pourrait cependant être nuancée. À partir d’avril 2025, la Chambre contentieuse de l’APD passera d’un organe collégial à une structure unipersonnelle. Ce changement, combiné à une stratégie de gestion des cas plus sélective, devrait mécaniquement réduire le nombre d’affaires instruites chaque année. L’APD prévoit également de recourir davantage aux règlements amiables et aux procédures allégées.
Cela pourrait constituer une opportunité pour les entreprises belges de privilégier une approche collaborative avec l’autorité, en amont des litiges, à condition de démontrer leur volonté d’alignement sur les exigences du RGPD.
Des obligations persistantes pour les acteurs économiques
Malgré un encadrement moins répressif, la pression réglementaire demeure réelle. L’absence de méthodologie officielle pour le calcul des amendes en Belgique crée une incertitude juridique pour les entreprises, qui doivent évaluer le risque de manière qualitative. L’APD se base sur les lignes directrices européennes (EDPB 04/2022), tout en imposant des amendes au cas par cas, selon le principe de proportionnalité.
À noter : les autorités publiques, sauf lorsqu’elles offrent des services sur le marché libre, ne sont pas exposées à des amendes administratives — ce qui introduit une forme d’asymétrie réglementaire vis-à-vis des opérateurs privés.
Quel impact économique à moyen terme ?
À ce jour, les amendes administratives restent l’outil le plus mobilisé en Belgique pour faire respecter le RGPD, tandis que les actions privées en justice, notamment pour obtenir des dommages et intérêts, demeurent marginales en raison de leur coût élevé. Toutefois, le cadre légal belge autorise les recours collectifs, y compris pour les PME, et des organisations comme NOYB ont été reconnues comme représentantes habilitées. Une augmentation progressive des contentieux privés, en parallèle des actions de l’APD, n’est donc pas à exclure à moyen terme.