Oui, les autorités flamandes doivent consulter l’Autorité de Protection des Données avant l’adoption de toute norme ou réglementation

La question qui se posait était la suivante : est-ce que le législateur flamand devait, en vertu des règles de répartition de compétences, consulter l’Autorité de Protection des Données (APD) préalablement à l’adoption du décret? 

La réponse est claire : Oui. La Cour estime que la Commission flamande de contrôle de traitement des données à caractère personnel, seule, ne pouvait être considérée comme une autorité de contrôle compétente au sens du RGPD (Règlement Général de Protection des Données). Et donc, que son avis ne peut être considéré comme une consultation réglementaire. En effet, c’est l’APD qui représente les différentes autorités belges au Comité européen de protection des données.

Comme le législateur flamand s’est passé de la consultation de l’APD en l’espèce et a sollicité le seul avis de la Commission flamande, la Cour a fort justement considéré que le décret était inconstitutionnel (violation de l’article 22 de la Constitution relatif à la protection de la vie privée) et contraire au RGPD.

DéFI précise que cet arrêt obtenu grâce à la détermination de l’Association de Promotion des Droits Humains et des Minorités, a une importance certaine car il permet d’éviter que la Flandre puisse indûment snober l’avis de l’Autorité de Protection des Données dans le cadre de la préparation de projets de décret et autres réglementations, et porter ainsi atteinte au principe de loyauté fédérale. N’en déplaise à certains, nous vivons dans un État fédéral.