La semaine dernière, la Fédération des entreprises de Belgique (FEB) a entrepris un recours en annulation auprès de la Cour constitutionnelle de Belgique relativement à une disposition de la loi belge mettant en œuvre le Règlement européen sur la protection des données personnelles (RGPD).

Le RGPD est entré en vigueur le 24 mai 2016 et est d’application depuis le 25 mai 2018. Malgré l’article 99de ce règlement qui prévoit que ce dernier est directement applicable dans tout État membre, plusieurs de ces États ont adopté une loi de mise en œuvre. Cela s’explique par le fait que plusieurs dispositions du RGPD contiennent des «clauses d’ouverture», soit des clauses accordant une certaine marge de manœuvre aux États membres afin que ceux-ci puissent fixer des règles nationales spécifiques relativement aux sujets visés. 

L’article 83(7) du RGPD constitue l’une de ces clauses. Il prévoit que

«chaque État membre peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics établis sur son territoire».

Ainsi, selon cette disposition, les États membres ont une discrétion leur permettant de déterminer si des sanctions administratives peuvent ou non s’appliquer aux autorités publiques et dans quelle mesure. 

La Belgique a publié le 5 septembre 2018 la Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel(loi belge). L’article 221 alinéa 2 de cette loi prévoit que le RGPD ne s’applique pas aux autorités publiques ainsi qu’à leurs préposés ou mandataires, sauf s’il s’agit de personnes morales de droit public qui offrent des biens ou des services sur un marché. Ainsi, le législateur belge a fait le choix d’exclure le secteur public  de la portée de la disposition du RGPD visant l’imposition de sanctions administratives. Cette distinction n’est toutefois pas faite en ce qui concerne l’imposition de sanctions pénales. 

C’est sur cette disposition précise que porte le recours de la FEB. Ainsi, selon cette dernière, l’article 221 alinéa 2 de la loi belge est discriminatoire: alors que les entreprises belges peuvent être lourdement sanctionnées pour une infraction au RGPD, les amendes administratives pouvant s’élever jusqu’à 4% du chiffre d’affaires annuel mondial total (plafonné à 20 millions d’euros), les organisations publiques qui exercent essentiellement les mêmes activités ne sont pas sujettes à l’imposition de ces amendes. Toujours selon la FEB, cela viole le principe d’égalité inscrit dans la Constitution de la Belgique, ce principe s’appliquant autant aux personnes physiques qu’aux personnes morales. 

À ce sujet, un conseiller au département juridique de la FEB explique qu’alors que la volonté du législateur européen avait été qu’on traite de la même manière le secteur public et le secteur privé, le législateur belge a décrété que les amendes administratives ne s’appliqueraient pas au secteur public, et qu’il y a donc là discrimination.

Bien qu’il existe certainement des arguments juridiques appuyant la prétention de la FEB, cette affirmation fait sourciller. En effet, la référence à la volonté du législateur européen laisse songeur, considérant que le RGPD permet expressément aux législations nationales de prévoir la non application des sanctions administratives aux autorités publiques. Il est donc difficile de croire que l’article 221 alinéa 2 de la loi belge enfreint véritablement la volonté du législateur européen. 

Par ailleurs, il est rapporté qu’au cours des travaux entourant la publication de la loi belge, l’Autorité de protection des données (APD) ainsi que le Conseil d’État se sont exprimés négativementquant à la possibilité de ne pas appliquer de sanctions administratives au secteur public. Notamment, l’APD s’est questionnée sur la sanction réelle qui pourra être imposée aux autorités publiques en cas d’infraction à la loi. Bien sûr, une sanction pénale reste possible en cas d’atteinte aux articles 222 à 230 de la loi belge. Cette sanction pourrait, notamment, être une amende atteignant trente mille euros. Celle-ci,  toutefois, reste bien peu élevée en comparaison de l’amende administrative de 20 millions d’euros pouvant être imposée à une entreprise. Pour la FEB, cette distinction est choquante et non justifiée. Le fait que l’amende imposée à l’autorité publique reviendrait de toute façon dans les coffres de l’État ne réussit pas à convaincre la FEB du bien-fondé de cette disposition, car les sommes recueillies pourraient servir à une autre entité étatique. 

Ainsi, considérant le fait que la plupart des États membres de l’Union européenne doivent respecter le principe d’égalité ou de non-discrimination prévu dans leur propre droit interne, la situation fait réfléchir : la discrétion laissée par le législateur européen constitue-t-elle finalement un piège que certains n’auront pas su éviter?