Bien que le Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement GDPR) ne doive faire l’objet d’une transposition nationale, les articles 51 et 54 imposent aux Etats membres l’adoption d’une loi instituant une autorité de protection des données conforme au GDPR.

C’est dans ce cadre que le projet de loi n°2648/001 portant création de l’Autorité de protection des données a été déposé auprès de la Chambre le 23 août 2017.

La future autorité remplacera l’actuelle Commission pour la protection de la vie privée et deviendra l’autorité responsable de la bonne exécution du GDPR sur le territoire belge. Ce projet de loi est actuellement débattu au sein de la Chambre. Les dispositions de ladite loi entreront en vigueur le 25 mai 2018.

L’actuel projet de loi ne porte que sur la création et l’organisation de l’Autorité de protection des données. Il ne contient donc pas de disposition de droit matériel.

La nouvelle DPA sera composée de six nouveaux organes : le comité de direction, le secrétariat général, le service de première ligne, le centre de connaissance, le service d’inspection et la chambre contentieuse.

La DPA se voit investie de pouvoirs d’investigation et de contrôle. Elle pourra auditionner des témoins, mener des enquêtes, procéder à des examens, consulter et obtenir des copies de systèmes informatiques litigieux et des données qu’ils contiennent, saisir des biens ou des systèmes informatiques ou prendre des mesures provisoires telles que la suspension, la limitation ou le gel temporaire du traitement de données.

Elle pourra également saisir n’importe quel tribunal d’une violation d’une des dispositions du GDPR et, le cas échéant, pourra être amenée à se prononcer devant un tribunal sur la question de l’application de ces dispositions.

Si une personne physique ou morale dépose une plainte auprès de la DPA, ce sera le service de première ligne qui traitera la plainte en premier lieu afin d’en apprécier sa recevabilité.

La plainte pourra ensuite être transférée à la chambre contentieuse.

Parallèlement, le service d’investigation pourra être saisi dans divers cas. Suite aux éventuelles mesures d’inspection et de contrôle prises, le service d’investigation pourra décider de rejeter la plainte, la renvoyer à la chambre contentieuse, la transférer au Ministère public ou à une DPA d’un autre Etat membre.

Une fois saisie, soit par le service de première ligne, soit par le service d’inspection, la chambre contentieuse pourra prendre diverses mesures telles que classement sans suite, non-lieu, avertissement, ordre de mise en conformité, amende, astreinte, etc.