Les sites web .be peuvent être bloqués en cas d'infraction au RGPD

L'Autorité belge de protection des données (APD) et DNS Belgique, responsable de l'enregistrement et de la gestion de tous les noms de domaine .be (ainsi que des noms de domaine .vlaanderen et .brussels), ont conclu un protocole de coopération qui permet de mettre hors ligne les sites web .be en cas d'infraction au RGPD. 

Le protocole de coopération est disponible en français et en néerlandais.

La coopération dans deux domaines

1. Collaboration avec les enquêtes de l'inspection de l'APD

Le protocole de coopération stipule que DNS Belgique doit se soumettre à l'Inspection de l’APD :

• Elle fournira toutes les informations à sa disposition, chaque fois que l'Inspection de l'APD jugera ces informations utiles pour sa mission d'enquête telle que définie dans la loi du 3 décembre 2017 instituant l’APD,
• Elle soumettra tout support d'information à l'inspection et en fournira des copies sous quelque forme que ce soit, si l'Inspection de l'APD le juge utile, comme défini dans la loi du 3 décembre 2017.

Si ces informations s'inscrivent dans le cadre d'une enquête ou d'une instruction judiciaire en cours, le protocole de coopération stipule que ces informations ne seront fournies que sous réserve de l'autorisation préalable du procureur du Roi ou du juge d'instruction.

2. Procédure de notification et d'action

Collaborations existantes 

DNS Belgique a déjà des collaborations existantes et similaires, par exemple avec le SPF Economie. En conséquence, les sites web frauduleux, tels que les fausses boutiques en ligne, les fausses agences de recouvrement ou les sites de phishing, peuvent être bloqués très rapidement. Selon DNS Belgique, pas moins de 5 733 noms de domaine ont été bloqués en 2019.

La procédure de notification et d’action (procédure N&A) simplifiée, qui complète d'autres procédures de DNS Belgique, permet de bloquer les sites web frauduleux dont les données d'identification sont correctes (ou dont la fausseté n'a pas pu être prouvée) sans qu'il soit nécessaire d'en faire la demande au ministère public. Cela permet de gagner quelques semaines. 

L'intention est que cette procédure de N&A ne soit appliquée qu'aux crimes graves. Le déclarant dispose également d'un délai de deux semaines pour répondre. Le nom de domaine bloqué n'expirera qu'après six mois. 

APD rejoint maintenant

Enraison du protocole de coopération entre DNS Belgique et l’APD qui est d'application depuis le 1er décembre 2020, l’APD peut également faire usage d'une procédure N&A similaire en cas de violations du RGPD. 

Toutefois, le champ d'application de la procédure N&A est limité aux infractions graves, c'est-à-dire : « le champ d'application de cette procédure se limite aux infractions qui causent le plus grand préjudice aux intérêts à protéger, commises par des organisations ou des personnes qui enfreignent délibérément cette législation et qui poursuivent leur traitement de données à caractère personnel malgré l'injonction antérieure du Service d'Inspection ou de la Chambre Contentieuse de le suspendre, le limiter, le geler (temporairement) ou d'y mettre fin. »(propre soulignement)

Il doit donc s'agir d'une infraction :

• lourde (c'est-à-dire sur les principes fondamentaux de la protection de la vie privée),
• engagée en connaissance de cause, et 
• continue malgré un ordre de suspendre, limiter, geler ou interrompre (temporairement) l'APD.

Selon le protocole de coopération, une limitation du champ d'application de la procédure N&A est nécessaire afin de maintenir un juste équilibre entre les deux :

• d'une part, l'objectif de mettre fin aux violations des principes fondamentaux de la protection de la vie privée dans l'intérêt des citoyens, et
• d'autre part, l'utilisation des moyens techniques nécessaires par DNS Belgique pour atteindre cet objectif.

Procédure

L’APD peut envoyer une demande par e-mail à DNS Belgique pour faire bloquer un certain nom de domaine. DNS Belgique avertira alors le titulaire et redirigera le nom de domaine vers une page d'avertissement APD. 

Le déclarant dispose alors de deux semaines pour répondre et prendre des mesures correctives. Dans le cadre de la collaboration du Service Public Fédéral Economie, les registrants ne font presque jamais usage de cette possibilité, selon DNS Belgique. Cela indiquerait qu'il s'agit en fait surtout de fraudeurs. 

Questions ouvertes

La procédure N&A est un outil supplémentaire permettant à l'APD de mettre rapidement un terme aux lourdes infractions à la GDPR. Toutefois, elle n'affecte pas le traitement des données personnelles déjà collectées par le biais du site web. 

Il y a également un certain nombre de questions ouvertes :

• Quelles sont les infractions suffisamment graves pour l'application de la procédure N&A ?
• Les sites web qui enfreignent les règles relatives aux cookies seront-ils également bloqués ?
• Le blocage a-t-il également un impact sur une éventuelle amende administrative ?
• Qu'en est-il du manque à gagner en cas de blocage injustifié (le protocole de coopération stipule que l'APD - et non DNS Belgique - sera responsable de toute qualification erronée de l'infraction) ?
• Devrait-il y avoir un lien direct entre le site web et l'infraction au RGPD (par exemple, un site web peut-il être bloqué pour une infraction à la législation sur les caméras) ?
• Que contiendra la page d'avertissement de l'APD ?

Le protocole de coopération comprend également l'engagement d'étendre à l'avenir la coopération aux zones de noms de domaine .vlaanderen et .brussels.

Nous vous tiendrons informés de l'évolution de la situation. 

Le site web de votre organisation a-t-il été (injustement) bloqué ? Vous avez d'autres questions sur la protection des données ou les cookies ? Veuillez nous contacter. Vous pouvez également nous suivre sur LinkedIn