Autorité de protection des données: le rapport (accablant) de la Cour des comptes qui n’est toujours pas rendu public

Accusée de non-transparence, l’Autorité de protection des données a aussi vu sa gestion mise en cause dans un rapport accablant de la Cour des comptes. Pourtant, le dossier n’a toujours pas été rendu public par le Parlement. Un huis clos qui interpelle.

Depuis des années, l’Autorité de protection des données (APD) se voit reprocher son manque d’indépendance et ses erreurs de gestion. Des accusations essentiellement fondées sur des plaintes déposées par ses codirectrices, Charlotte Dereppe et Alexandra Jaspar. Les deux lanceuses d’alerte ont largement obtenu gain de cause.

Sur l’indépendance, l’APD avait des relations interdites avec l’exécutif. Finalement, Bart Preneel (cryptologue à la KULeuven, membre externe de l’APD mais aussi du comité de sécurité de l’information) et Frank Robben (le monsieur « data » du gouvernement), tous deux en conflit d’intérêts, ont démissionné. Sur les fautes de gestion, la Cour des comptes a validé les plaintes des deux directrices. Or, depuis 2019, le Parlement maintient le huis clos sur ce dossier, dont les documents sont tenus secrets.

En ce qui concerne le volet « gestion » du dossier, bouclé fin 2021, la Cour pointe une série de manoeuvres mises en place pour se soustraire à tout contrôle réel. D’abord, le comité de direction, organe de décision central, « ne tient pas suffisamment compte des bonnes pratiques qu’un tel organe se doit d’appliquer dans le cadre de ses réunions: les notes et points sont ajoutés tardivement à l’ordre du jour, le contenu des procès-verbaux fait l’objet de discussions, etc. Lors des réunions du comité de direction, les informations échangées au sujet du fonctionnement des différentes directions sont insuffisantes. En outre, des décisions stratégiques importantes sont parfois prises sur la base d’un vote à la majorité et non par consensus. » La Cour souligne aussi des délais non respectés, des procès-verbaux qui ne sont pas fiables…

Fort curieusement, « l’APD se situe au-dessus de la médiane [européenne] en ce qui concerne le budget de fonctionnement, mais en dessous de celle-ci pour ce qui est du personnel ». En d’autres termes, elle a moins de personnel, mais qui est nettement plus cher. C’est d’autant plus étrange qu’elle compte sensiblement moins de juristes et d’informaticiens, pourtant essentiels à son activité – une mauvaise gestion évidente des ressources humaines.

Un épisode trahit les comportements qui pourraient expliquer ce fort budget pour un faible personnel. « Bien que plusieurs directeurs aient indiqué qu’ils n’estimaient pas approprié de consacrer le budget de l’APD à l’acquisition d’un véhicule de fonction, le président de l’APD a décidé d’acheter une voiture de fonction. » Le statut pécuniaire ne le prévoyait pas. Le budget non plus. Le processus budgétaire ultérieur n’a pas été respecté. Mais pourquoi s’en soucier? « Dans la pratique, le véhicule est également utilisé pour effectuer des déplacements entre le domicile et le lieu de travail, voire des déplacements purement privés. D’après le président, le choix du véhicule a notamment été dicté par la taille de son ménage. »

La responsabilité du président engagée

Pour les marchés publics, la Cour relève que « l’organe qui possède la compétence de décision dans le cadre des dossiers d’achat n’est pas suffisamment identifiable à l’heure actuelle ». Plus problématique encore: le comité de direction n’est pas informé de manière systématique des contrats stratégiques et importants, même si le directeur en charge prétend le contraire. Les autres directions subissent ainsi les conséquences de choix auxquels elles ne sont pas associées. Les exclusions de soumissionnaires ne sont pas correctement justifiées. De plus, ledit directeur est « en mesure tant de passer des commandes, que de les approuver et de payer la facture » – une aberration en matière de contrôle. Concernant le même responsable, la Cour note aussi que le secrétariat général bénéficie de ressources disproportionnées qui affaiblissent les autres directions. Or, cela ne l’empêche pas de ne pas remplir ses missions statutaires.

La mauvaise gestion se manifeste également sur le plan de l’absentéisme. Selon le rapport, « les absences pour maladie au sein de l’ APD ont atteint 5,5% en 2019 et 9% en 2020 ». Ainsi, même en période de télétravail, l’ APD compte quasiment un dixième du personnel inactif. De façon générale, « le comité de direction n’analyse pas suffisamment ses missions essentielles… pour fixer sur cette base des priorités et objectifs clairs et y consacrer ensuite les moyens nécessaires ». A de multiples égards, la responsabilité du président, David Stevens, est clairement engagée.

Le rapport relève aussi, comme les deux directrices, que les autorités flamandes ne respectent pas le RGDP (règlement général sur la protection des données) et que le président de l’APD, soutenu par deux directeurs, les assiste et leur transfère des plaintes de manière illégale. En réalité, l’APD exécute déjà une régionalisation des matières fédérales, conformément au voeu de certains partis. Mais elle est contraire à la loi belge et au règlement européen.

« Pressions et menaces »

La logique voudrait que, quand une Cour des comptes valide l’essentiel des critiques d’illégalité et de mauvaise gestion de deux lanceuses d’alerte, les autorités évacuent les responsables fautifs et remercient les lanceuses d’alerte (qu’il devrait même protéger, comme le précise une directive européenne). Cependant, l’Etat semble ici avoir fait l’inverse.

Aussi, Mme Jaspar a fini par démissionner, en invoquant les « pressions, pièges, menaces, actes d’intimidation et de rétorsion » (Le Soir du 8 décembre 2021) auxquels les directrices sont régulièrement confrontées. Mme Dereppe, elle, reste menacée d’un limogeage pour ne pas avoir assisté pendant six mois au comité de direction à la suite d’une plainte pour harcèlement, et avoir transmis ses observations par écrit. Les autres directeurs n’ont pas été inquiétés, quoiqu’ils aient validé les pratiques dénoncées par la Cour des comptes. Enfin, le président Stevens est, en théorie, lui aussi menacé de limogeage, mais un accord politique semble déjà avoir été conclu pour le maintenir.

Il y a eu des commissions d’enquête sur le Kazakhgate, Publifin en Wallonie, les pollutions en Flandre. Ici, le Parlement n’a toujours pas expliqué pourquoi ce dossier bénéficiait d’un secret réservé, par exemple, à la sécurité des centrales nucléaires. L’avenir dira si ses membres veillent vraiment à la bonne gestion et au bon usage de l’argent public.