L’Autorité néerlandaise de protection des données : missions, pouvoirs et réclamations

L'Autoriteit Persoonsgegevens (AP) est l'autorité néerlandaise de protection des données : l'autorité de contrôle indépendante chargée de l'application du RGPD aux Pays-Bas. Elle a été créée par la loi d'application du RGPD (Uitvoeringswet AVG), qui la désigne comme l'autorité de contrôle visée à l'article 51 du RGPD et lui confère la personnalité juridique. L'AP supervise les organisations des secteurs public et privé, traite les plaintes des particuliers, reçoit les notifications de violation de données et peut prononcer des injonctions et des amendes.

L'Autorité de surveillance (AS) n'est pas un tribunal. Elle ne règle pas les litiges entre particuliers et entreprises et ne peut accorder de dommages et intérêts ; ces procédures relèvent des tribunaux civils et sont soumises à leurs propres délais. Cet article présente les missions et les pouvoirs de l'AS, la procédure de dépôt d'une plainte, les conséquences d'une enquête menée par l'AS au sein de votre organisation et le lien entre la supervision exercée par l'AS et les procédures judiciaires.

Qu’est-ce que l’AP et d’où proviennent ses pouvoirs ?

L'Autorité de protection des données (AP) est un organisme administratif indépendant. Son indépendance est exigée par le RGPD et précisée dans la loi de mise en œuvre : le gouvernement ne peut lui donner d'instructions sur des cas particuliers et ses membres sont nommés pour un mandat fixe. Parallèlement, elle constitue une autorité administrative au sens néerlandais du terme, ce qui signifie que la loi générale sur le droit administratif encadre la préparation et la prise de ses décisions, ainsi que les modalités de recours contre celles-ci.

Son champ d'action dépasse le cadre du seul RGPD. Outre le RGPD et la loi de transposition, l'Autorité de surveillance (AP) supervise la législation spécifique en matière de protection des données, notamment les règles relatives aux données policières et judiciaires, et délivre les autorisations nécessaires aux entités privées pour certaines listes d'alerte et certains registres contenant des données de droit pénal. Elle joue également un rôle de coordination dans la supervision des algorithmes, et d'autres missions dans le domaine de l'intelligence artificielle découlent de la désignation des autorités nationales de surveillance en vertu du règlement européen sur l'IA, tel que défini dans la loi de transposition.

Sur le plan territorial, l’Autorité de protection des données (AP) supervise les traitements effectués par des organisations établies aux Pays-Bas, ainsi que les traitements visant des personnes résidant aux Pays-Bas par des organisations établies hors de l’Union européenne. Lorsque ces dernières proposent des biens ou des services à des personnes résidant dans l’Union, ou surveillent leur comportement, elles doivent désigner un représentant au sein de l’Union. L’absence d’un tel représentant constitue, en pratique, un motif indépendant de sanction par l’AP.

Rôle de l'AP : supervision, orientation et délivrance de licences

L’article 57 du RGPD énumère les missions de chaque autorité de contrôle, et l’AP s’y conforme scrupuleusement. Elle veille à l’application du RGPD, sensibilise le public, conseille le gouvernement et le Parlement sur la législation relative aux données personnelles, traite les réclamations, coopère avec les autres autorités européennes et publie des lignes directrices sur la mise en œuvre pratique des règles. Ces lignes directrices n’ont pas force de loi, mais elles illustrent la démarche de l’autorité de contrôle face à un cas précis ; il est donc conseillé de les consulter avant toute opération de traitement, et non après.

Deux fonctions spécifiques méritent d'être mentionnées car elles impliquent de consulter l'autorité de protection des données (APD) en amont plutôt que d'être mis en cause a posteriori. La première est la consultation préalable : lorsqu'une analyse d'impact relative à la protection des données révèle un risque résiduel élevé que le responsable du traitement ne peut atténuer, l'article 36 du RGPD exige que ce dernier consulte l'APD avant le début du traitement. La seconde est le régime d'agrément applicable à certaines listes d'alerte, en vertu duquel les entités privées ne peuvent partager des informations, par exemple sur la fraude, que si l'AP a autorisé ce partage.

Les pouvoirs de l'AP : enquête et correction

L'article 58 du RGPD répartit les pouvoirs de l'autorité de contrôle en deux groupes, et cette distinction est importante pour votre réponse. Les pouvoirs d'enquête permettent à l'autorité de contrôle d'exiger d'un responsable du traitement ou d'un sous-traitant qu'il fournisse des informations, de réaliser des audits et des contrôles, d'obtenir l'accès aux données personnelles ainsi qu'aux locaux et aux équipements. La coopération est obligatoire et, aux Pays-Bas, les règles générales de surveillance prévues par la loi administrative générale (General Administrative Law Act) précisent les modalités d'exercice de ces pouvoirs par les inspecteurs.

Les pouvoirs correctifs de l'autorité de protection des données (AP) varient. Elle peut émettre un avertissement indiquant qu'un traitement envisagé est susceptible d'enfreindre les règles, ou un blâme en cas d'infraction avérée. Elle peut enjoindre au responsable du traitement de se conformer à la demande d'une personne concernée, de mettre le traitement en conformité avec le RGPD dans un délai déterminé, ou d'informer les personnes concernées d'une violation de données. Elle peut imposer une limitation temporaire ou définitive du traitement, y compris une interdiction, et ordonner la suspension des transferts de données vers un pays hors de l'Union. Enfin, elle peut infliger une amende administrative, seule ou en complément des mesures précédentes.

Deux particularités de la pratique néerlandaise méritent d'être connues. Une injonction est généralement assortie du paiement d'une pénalité périodique, de sorte que le non-respect continu des règles entraîne automatiquement des sanctions financières, sans qu'une nouvelle décision soit nécessaire. Par ailleurs, le montant de l'amende n'est pas arbitraire : le RGPD fixe le plafond légal et l'Autorité néerlandaise de la protection des données (AP) a publié des règles de tarification des amendes qui classent les infractions dans une catégorie et définissent une fourchette de sanctions, en tenant compte de la gravité, de la durée, de l'intentionnalité, du nombre de personnes concernées et de la coopération à l'enquête. Une amende étant une sanction punitive, les garanties décrites ci-dessous s'appliquent dès le début de l'enquête menée par l'AP. Notre article sur l'amende administrative aux Pays-Bas explique ce régime de manière générale.

Déposer une plainte auprès de l'AP

L’article 77 du RGPD confère à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle estime que le traitement de ses données personnelles enfreint la réglementation. Aux Pays-Bas, cette autorité est l’AP (Autorité néerlandaise de protection des données), et les réclamations doivent être déposées via son canal de réclamation dédié.

La procédure à suivre est simple. Adressez votre demande ou objection directement à l'organisme concerné, par écrit, en précisant le droit invoqué. L'organisme est tenu de répondre sans délai excessif et, en principe, dans un délai d'un mois. Conservez tous les documents : la demande, la réponse, les dates, la notice d'information relative à la protection des données en vigueur à l'époque et toute capture d'écran. Déposez ensuite votre plainte en décrivant qui a traité quelles données, quand, quel droit a été enfreint et quelles en ont été les conséquences pour vous. Une plainte étayée par des documents et des dates est traitée beaucoup plus rapidement qu'une plainte se contentant de décrire un simple sentiment de malaise.

Soyez réaliste quant à la suite des événements. L'Autorité de protection des données (AP) reçoit beaucoup plus de plaintes qu'elle ne peut en traiter individuellement et effectue sa sélection en fonction de priorités publiées. Par conséquent, une plainte peut être enregistrée comme un signal d'alarme plutôt que de donner lieu à une enquête. L'AP ne peut pas contraindre l'organisation à vous verser une indemnisation et n'agit pas en votre nom. Elle peut toutefois exiger de l'organisation qu'elle se conforme à la réglementation. Une plainte bien documentée portant sur un problème structurel est le type de cas qui peut entraîner un contrôle. Conformément à l'article 78 du RGPD, vous avez le droit d'être informé de l'avancement ou de l'issue du traitement de votre plainte dans un délai de trois mois. Si l'AP ne donne pas suite à sa plainte, vous pouvez saisir les tribunaux.

Signaler une violation de données à l'AP

Toute violation de données à caractère personnel doit être notifiée à l'autorité de protection des données (AP) sans délai indu et, si possible, dans les soixante-douze heures suivant sa découverte par le responsable du traitement, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes concernées (article 33 du RGPD). Si la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent également en être informées, de manière claire et sans délai indu (article 34). Toute violation doit être consignée en interne, qu'elle soit notifiée ou non, et ce registre est la première chose que l'AP demande.

Trois points pratiques déterminent le déroulement de ces affaires. Le délai de soixante-douze heures court à compter de la prise de connaissance du problème, et non de la fin de l'enquête ; une notification incomplète, complétée ultérieurement, est préférable à une notification tardive. L'évaluation des risques doit être documentée, car toute décision de ne pas notifier devra être justifiée a posteriori. Si l'organisation possède un établissement principal ailleurs dans l'Union, la notification est adressée à l'autorité chef de file de ce pays et non à l'autorité de protection des données. Le sous-traitant qui découvre une violation de données doit en informer le responsable du traitement sans délai indu ; c'est pourquoi l' accord de traitement des données doit prévoir un délai interne plus court que le délai légal.

Si l'AP ouvre une enquête sur votre organisation

Une enquête débute généralement par une demande d'informations écrite plutôt que par une inspection à domicile. Répondez-y avec précision et dans les délais impartis, en veillant à la cohérence de votre réponse avec votre documentation ; toute contradiction entre vos écrits et vos enregistrements est plus préjudiciable que le manquement initial. Désignez une personne chargée de la coordination, généralement le délégué à la protection des données, et tenez un registre des informations fournies et de leur date d'envoi.

Les garanties applicables sont celles du droit administratif néerlandais. Avant de prendre une décision qui vous est défavorable, l'autorité compétente doit vous donner la possibilité d'être entendu et de consulter le rapport sur lequel elle fonde ses conclusions. Si l'autorité compétente envisage une sanction punitive telle qu'une amende, la personne interrogée n'est pas tenue de faire de déclarations concernant l'infraction alléguée et doit en être avertie ; ce droit appartient également à l'organisation faisant l'objet de l'enquête. La charge de la preuve de l'infraction incombe à l'autorité compétente.

Une fois la décision prise, le délai commence à courir. Vous disposez de six semaines pour former un recours auprès de l'Autorité de la protection des données (AP), puis de six semaines supplémentaires pour interjeter appel de la décision relative à ce recours devant le tribunal de district, avec un dernier recours devant la Division de la compétence administrative du Conseil d'État. En cas d'urgence, par exemple lorsqu'une interdiction de traitement entraînerait l'arrêt des opérations, une mesure provisoire peut être demandée au tribunal parallèlement au recours. La publication est un élément distinct : l'AP publie ses décisions d'exécution, et le délai de cette publication peut lui-même être contesté.

L'Associated Press et les tribunaux : deux voies distinctes

La supervision par l'AP et les procédures devant un tribunal sont des voies parallèles, et non des étapes d'un même processus ; choisir la mauvaise voie entraîne une perte de temps et parfois même la perte de la demande elle-même.

Lorsqu'une organisation privée refuse ou ignore une demande d'exercice de vos droits, la loi de mise en œuvre du RGPD prévoit une procédure spécifique : la personne concernée peut saisir le tribunal de grande instance par voie de requête et doit le faire dans un délai de six semaines à compter de la réception de la réponse du responsable du traitement. Ce délai est court et peut facilement être dépassé pendant l'examen d'une plainte auprès de la Cour de l'appel, car cette dernière ne le prolonge pas. Si l'organisation est un organisme administratif, sa décision relative à une demande d'exercice des droits est une décision administrative ; dès lors, c'est la voie de recours prévue par la loi générale sur le droit administratif qui s'applique.

L'indemnisation relève exclusivement de la compétence des tribunaux. L'article 82 du RGPD confère un droit à indemnisation pour les préjudices matériels et moraux causés par une violation, et ces demandes sont portées devant les juridictions civiles. Les tribunaux néerlandais accordent des indemnités modestes pour les préjudices moraux et exigent du demandeur qu'il démontre des conséquences concrètes et préjudiciables, et non un simple désagrément. L'Autorité néerlandaise de protection des données (AP) n'intervient pas dans ce type de procédure, même si ses conclusions peuvent être utilisées comme preuve. En revanche, une décision de l'AP relative à votre plainte, y compris une décision de non-lieu, constitue une décision administrative susceptible de recours.

Affaires transfrontalières et guichet unique

Lorsque le traitement de données concerne des personnes résidant dans plusieurs États membres, le RGPD attribue un rôle prépondérant à l'autorité de contrôle du pays où l'organisation a son principal établissement. Si cet établissement est situé aux Pays-Bas, l'autorité compétente agit en tant qu'autorité chef de file et coordonne ses actions avec les autres autorités concernées ; si cet établissement est situé ailleurs, l'autorité compétente participe en tant qu'autorité concernée et peut exiger que ses objections soient prises en compte. Les désaccords entre autorités sont résolus par le Comité européen de la protection des données, dont les décisions contraignantes ont tranché plusieurs affaires retentissantes.

Pour les organisations, les conséquences sont concrètes. Il est essentiel d'identifier l'autorité de tutelle principale avant tout incident et de consigner les motifs de ce choix, car l'établissement principal est celui où sont prises les décisions relatives aux finalités et aux moyens du traitement, et non celui où le groupe est enregistré. Toute violation de données doit être notifiée à cette autorité. Enfin, il ne faut pas croire que le fait de désigner une autre autorité de tutelle principale dispense l'autorité de tutelle principale de toute responsabilité : cette dernière conserve ses compétences pour les traitements non transfrontaliers et pour les établissements situés aux Pays-Bas.

Se préparer à attirer l'attention de l'AP

La plupart des procédures de contrôle suivent un schéma précis : une plainte ou une notification de violation attire l’attention sur une organisation, et les questions qui s’ensuivent portent sur la responsabilité plutôt que sur l’incident lui-même. Le dossier qui y répond est celui que vous devriez de toute façon posséder. Il consigne les finalités et les bases juridiques de chaque traitement, les durées de conservation et leur application, les informations relatives à la protection des données effectivement communiquées aux personnes concernées, les mesures de sécurité techniques et organisationnelles et les personnes ayant accès à quelles données, les analyses d’impact réalisées pour les traitements à haut risque, les accords de traitement conclus avec les fournisseurs, les garanties mises en œuvre pour les transferts hors de l’Union européenne, ainsi que le registre des violations et des demandes d’exercice des droits, avec les dates auxquelles il a été répondu.

Deux éléments font toute la différence en pratique. Premièrement, il est essentiel de mettre en place une procédure de traitement des demandes d'exercice des droits, avec un registre et une réponse type, car l'absence de réponse dans un délai d'un mois est le motif de plainte le plus fréquent. Deuxièmement, il est crucial de disposer d'une déclaration de confidentialité conforme aux pratiques réelles de l'organisation. Les autorités de régulation n'ont pas besoin d'enquêter pour constater une incohérence entre une déclaration publiée et une bannière de cookies ou une autorisation d'application ; c'est sur ce point qu'elles se basent en premier. Vous trouverez des informations complémentaires sur ce sujet dans nos guides juridiques relatifs au droit des technologies de l'information , et l'AP publie ses propres recommandations et formulaires sur son site web.

Law & More Ce cabinet conseille les organisations et les particuliers sur leurs relations avec l'Autoriteit Persoonsgegevens (Autorité de protection des données personnelles) : plaintes, notifications de violation de données, demandes d'information, contestations et recours contre les décisions et amendes, ainsi que les procédures parallèles devant les juridictions civiles et administratives. Si l'AP vous a contacté ou si vous souhaitez savoir si une plainte est la voie appropriée dans votre cas, les avocats spécialisés en protection des données de [Nom du cabinet] sont à votre disposition. Law & More sont heureux de vous conseiller.

Comment Law & More Nous pouvons vous aider. Tout est expliqué sur notre site web. avocat en technologies de l'information .