Avis, Autorité de protection des données, 2026-03-17

Avis n° 47/2026 du 17 mars 2026
Objet : Avis sur l’avant-projet de loi modifiant la loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers en vue de la mise en œuvre du Pacte sur la migration et l’asile de l’Union européenne (CO-A-2025-219)
Mots-clés : Principe de légalité formelle et substantielle - Filtrage des ressortissants de pays tiers à l’UE – Autorités ayant accès à Eurodac – Autorités répressives – Autorité de contrôle des autorités répressives – infractions terroristes – infractions pénales graves – extension par une loi nationale d’éléments essentiels de traitement de données prévus par un règlement européen – Centralisation par l’Office des étrangers pendant 10 ans des données biométriques des ressortissants étrangers – enregistrement des entretiens – vidéoconférence
Version originale
Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »),
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA ») ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD ») ;
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ;
Vu la demande d'avis de Madame Anneleen Van Bossuyt, Ministre de l’Asile et de la Migration, et de l’Intégration sociale, chargée de la Politique des Grandes villes, reçue de manière recevable le 5 janvier 2026 ;
Vu les informations complémentaires sollicitées le 6 février 2026 et reçues le 16 février 2026 ;
Vu l’avis de complétude envoyé par l’Autorité le 23 février 2026 ;
Émet, le 17 mars 2026, l'avis suivant :
I. Objet de la demande
1. La Ministre qui a l’Asile et la Migration dans ses attributions sollicite l’avis de l’Autorité sur les articles 7, 10, 11, 25, 35, 58, 59 et 72 de l’avant-projet de loi modifiant la loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers en vue de la mise en œuvre du Pacte sur la migration et l’asile de l’Union européenne approuvé en mai 2024 (ci-après, dénommé « l’avant-projet de loi »).
II. Examen
a. Désignation des autorités compétentes pour effectuer le filtrage des ressortissants des pays tiers au sens du règlement (UE) 2024/1356 (art. 7 de l’avant-projet de loi – art. 8 quater en projet)
2. L’article 7 de l’avant-projet de loi insère un article 8quater dans la loi précitée du 15 décembre 1980 pour mettre en œuvre l’article 8.9 du règlement (UE)2024/13561 (ci-après dénommé, le « règlement Filtrage ») qui impose aux Etats membres de désigner les autorités tenues de réaliser le filtrage2 prévu et organisé par ce règlement et de veiller à ce que leur personnel chargé du filtrage dispose des connaissances adéquates et de la formation nécessaire et que, parmi ce personnel, seul le personnel dûment autorisé en charge de l’identification et de la vérification de l’identité et du contrôle de sécurité, ait accès aux données, systèmes et base de données visées 3 aux articles 14 et 15 du règlement Filtrage.
3. L’article 8quater en projet désigne comme autorités belges de filtrage l’Office des étrangers et « les services de police tels que visés à l’article 2, 2° de la loi du 7 décembre 1998 organisant un service de police intégrés, structuré à deux niveaux ».
4. En vertu du principe général de droit de l’attribution des compétences administratives, consacré par l’article 105 de la Constitution et l’article 78 de la loi spéciale du 8 août 1980 de réformes institutionnelles, les autorités administratives n’ont d’autres pouvoirs que ceux que leur attribuent formellement la Constitution et les lois et décrets portés en vertu de celle-ci4. De plus, en vertu de l’article 6.1.e du RGPD, une administration ne peut légitimement réaliser que les traitements de données à caractère personnel nécessaires à l’exercice de la ou des missions de service public dont elle est investie.
5. En raison de la désignation de plusieurs administrations/autorités comme autorité de filtrage, l’identification de l’autorité nationale qui sera concrètement chargée, pour une personne déterminée, de la réalisation des traitements de données imposés par le règlement Filtrage dépendra de sa compétence et donc des circonstances de l’interpellation/prise en charge5 des personnes concernées.
Tant pour la qualité et l’effectivité de la réalisation du filtrage que pour la prévisibilité desdits traitements de données pour les personnes concernées, l’Autorité recommande donc d’améliorer la désignation faite, par l’article 8quater en projet, soit en la complétant par une délégation au Roi l’habilitant à déterminer quelle autorité réalisera le filtrage à propos de quelles catégories de personnes et dans quelles circonstances, soit en intégrant les explications figurant, à ce sujet, dans l’exposé des motifs (et les complétant si nécessaire) dans le dispositif de l’avant-projet de loi.
6. Cette précision s’impose d’autant plus que le règlement Filtrage prévoit des délais très courts pour la réalisation de ce filtrage, allant de maximum 3 jours à maximum 7 jours à partir de l’interpellation de la personne concernée (ou de son débarquement sur le territoire de la Belgique ou de sa présentation à la frontière belge). Si le législateur désigne deux autorités différentes pour la réalisation de ce filtrage en Belgique à propos de mêmes catégories de personnes qui se trouvent dans les mêmes circonstances (ce qui semble ressortir de l’exposé des motifs 6), s’en suit, outre l’absence de prévisibilité pour les personnes concernées quant à l’autorité qui va effectivement réaliser leur « filtrage », un risque de non-réalisation du filtrage (une autorité considérant que l’autre va agir) ou de non-respect des délais requis pour la réalisation de ce filtrage ; ce qu’il appartient à l’auteur de l’avant-projet de loi d’éviter.
7. De plus, étant donné que l’article 8.9 du règlement Filtrage prévoit que « les Etat membres veillent également à ce que seul le personnel dûment autorisé des autorités de filtrage chargées de l’identification ou de la vérification de l’identité et du contrôle de sécurité ait accès aux données, systèmes et bases de données prévues aux articles 14 et 15 » du règlement filtrage, l’Autorité recommande de déléguer explicitement au Roi la tâche de déterminer de manière limitative les types de fonctions qui peuvent être exercées par le personnel qui doit être explicitement habilité à cet effet, et ce en fonction des bases de données concernées (sauf si cela est déjà prévu par ailleurs, auquel cas il convient de faire référence auxdites normes dans l’exposé des motifs).
Vu le caractère sensible des données qui peuvent être consultées dans lesdites bases de données, il importe également de limiter ce personnel au strict minimum et de le soumettre à des obligations strictes de confidentialité.
8. Par souci d’exhaustivité, l’Autorité relève que si le règlement Filtrage ou les autres règlements européens auxquels il se réfère ne détermine pas clairement les éléments essentiels7 des traitements de données à caractère personnel que les autorités en charge du filtrage seront amenées à réaliser pour exécuter ce filtrage (ce qu’il appartient à l’auteur de l’avant-projet de loi de vérifier), en ce compris les circonstances dans lesquelles il est effectué, cette lacune doit être comblée par le législateur national dans le respect du principe de légalité consacré à l’article 22 de la Constitution, tel qu’interprété par la Cour Constitutionnelle.
9. Pour rappel, lorsqu’ils instaurent des obligations légales de traitement de données à caractère personnel (6.1.c du RGPD) ou lorsqu’ils introduisent des dispositions spécifiques relatives aux traitements de données à caractère personnel réalisés par les autorités publiques dans l’exercice de leurs missions de service public (6.1.e du RGPD), les Etats membres doivent respecter leur Constitution. En Belgique, le principe de légalité, consacré par l’article 22 de la Constitution, confère au pouvoir législatif le monopole de la détermination des ingérences des pouvoirs publics dans les droits au respect de vie privée et à la protection des données à caractère personnel. Ce principe, tel qu’interprété par la Cour Constitutionnelle et le Conseil d’Etat8, implique que les éléments essentiels des traitements de données des autorités publiques soient déterminés par une norme de rang de loi (légalité matérielle), que ces ingérences reposent sur une justification raisonnable et respectent les principes de nécessité et de proportionnalité9 et que cette détermination soit faite en des termes clairs et suffisamment précis afin d’assurer à l’ingérence toute la prévisibilité requise; ce qui nécessite aussi de prévoir de manière suffisamment précise dans quelles circonstances les traitements de données à caractère personnel encadrés seront réalisés (légalité substantielle)10.
b. Désignation des autorités belges ayant accès à Eurodac pour des finalités non répressives et extension des finalités d’utilisation d’Eurodac (art. 10 de l’avant-projet de loi – art. 8septies, § 1 en projet)
10. Le règlement Eurodac révisé dans le cadre du Pacte migratoire européen a été publié au journal officiel le 22 mai 2024 et entrera pleinement en application à partir du 12 juin 2026. Ne seront plus uniquement enregistrées dans Eurodac les empreintes digitales des demandeurs de protection internationale de plus de 14 ans mais des données d’identification supplémentaires les concernant (telles que, notamment, leurs nom, prénoms, date de naissance, nationalité, image faciale et types de documents de voyage).
Tous les demandeurs...