Selon le journal NRC, la police néerlandaise écumerait l'internet à la recherche d'éléments et discussions suspects sur des plateformes telles que Facebook et Twitter. Elle procède à ce que l'on appelle une " analyse de sentiment " qui vise à classer et à étudier les données recueillies. Grâce à des messages connotés de manière positive, négative ou neutre, on établit le profil de personnes et/ou leur profil de risque. Dans le langage technique, pour ce genre d'enquête, on parle de " surveillance des médias sociaux ".

L'étude de la Rand Corporation indique que ces enquêtes sont non seulement inefficaces mais également injustes. Selon moi, il importe d'encadrer clairement celles-ci et d'offrir, entre autres, de la transparence en ce qui concerne les algorithmes utilisés en la matière.

Quant au caractère transversal de la question : les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2016-2019 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. Cette question concerne dès lors une compétence régionale transversale, les Régions intervenant surtout dans le volet préventif.

Je souhaiterais poser les questions suivantes à cet égard :

1) Des projets concrets ont-ils déjà été élaborés, dans notre pays, en ce qui concerne la surveillance des médias sociaux au sein de certaines zones ou au niveau national ? Dans l'affirmative, quels médias sociaux la surveillance concerne-t-elle, quel est son but, où a-t-elle été déployée et quel en est le résultat ? Dans la négative, pourquoi ? Êtes-vous disposé à mettre en œuvre, à l'avenir, des projets de surveillance des médias sociaux ? Dans l'affirmative, sur quel plan, dans quelle zone, et pouvez-vous me communiquer le budget et le calendrier prévus ?

2) Pouvez-vous expliquer en détail quel potentiel la mise en œuvre d'une surveillance des médias sociaux offre à vos yeux ? Pourrait-elle jouer un rôle, comme aux Pays-Bas, dans le cadre du terrorisme et en matière de lutte contre les loverboys et la pédophilie ? Pouvez-vous fournir des explications détaillées ?

3) La surveillance des médias sociaux comporte également des risques, notamment en ce qui concerne les atteintes à la vie privée et le profilage ethnique réalisé à l'aide de logarithmes. Êtes-vous disposé à vous concerter avec le secrétaire d'État à la Protection de la vie privée en vue de mettre au point un cadre régulateur qui fonctionnerait, entre autres, sur la base du principe juridique de la limitation des finalités, et d'élaborer un protocole ? Dans la négative, pourquoi ?

4) Vous paraît-il indiqué que la Commission de la protection de la vie privée (CPVP) se penche sur la question de la surveillance des médias sociaux ? Dans la négative, pourquoi ? Pouvez-vous expliciter votre réponse ?

5) Comment évaluez-vous la collaboration néerlandaise avec des entreprises comme Coosto et HowaboutYou ? Des projets similaires avec ces entreprises sont-ils en cours dans notre pays ? Pouvez-vous expliciter votre réponse ? Avec quels partenaires externes la surveillance des médias sociaux est-elle mise en œuvre ?

1) & 2) Mes collègues Koen Geens, ministre de la Justice, et Jan Jambon, ministre de l’Intérieur et de la Sécurité, seront mieux à même de répondre à vos première et deuxième questions relatives à des projets concrets de surveillance des média sociaux dans le cadre du Plan national de sécurité.

3) Il est un fait que de tels systèmes de surveillance des médias sociaux, lesquels procèdent à une analyse par algorithmes afin de déterminer des profils de risques, sont l’application du profilage. Le profilage est défini dans le règlement général sur la protection des données (RGPD) comme étant toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique.

Le RGPD prévoit le principe de l’interdiction d’une décision fondée exclusivement sur un traitement automatisé. En effet, la personne concernée devrait avoir le droit :

a) d'obtenir une intervention humaine ;

b) d'exprimer son point de vue et de contester la décision.

Dans certains cas, le profilage est autorisé : lorsque c’est prévu par une loi, nécessaire à la conclusion ou l’exécution d’un contrat, ou même fondé sur le consentement.

Le responsable de traitement devra en tout état de cause mettre en œuvre des mesures appropriées pour la sauvegarde des droits, libertés et intérêts légitimes.

Dans le cas de données sensibles (comme par exemple les données relatives à la santé, les données relatives à la religion, aux affiliations syndicales, aux préférence sexuelles, etc.), le principe est qu’aucune décision automatisées ne peut être fondée sur ce type de données. Le considérant 71 précise qu’il s’agit d’éviter et de prévenir les effets discriminatoires liés au traitement de ce type de données. Néanmoins, il sera possible de prendre une décision automatisée, en ce compris le profilage, fondée sur des données sensibles si l’on est dans le cas d’un traitement basé sur une disposition légale, le consentement explicite ou la nécessité pour des motifs d’intérêts public important et que des mesures appropriées pour la sauvegarde des droits, libertés et intérêts légitimes aient été mises en place.

4) L’Autorité de protection des données qui succède à la Commission de la protection de la vie privée en vertu de la loi du 3 décembre 2017, s’est vue attribuée de nouvelles compétences, notamment une compétence d’enquête sur demande ou d’initiative, de même qu’une compétence de sanctions notamment. Il s’agit en effet d’une exigence du RGPD qui élargit les compétences des autorités de contrôle.

En tant qu’autorité indépendante, l’Autorité de protection des données peut donc d’initiative enquêter sur ces systèmes de contrôle des médias sociaux, établir des lignes directrices pour un cadre général, et éventuellement attribuer des sanctions si les conditions du RGPD ne sont pas respectées.