Avis, Autorité de protection des données, 2026-08-17

Avis n° 179/2026 du 17 août 2026
Objet : Avis concernant un avant-projet de décret relatif au soutien de la recherche, du développement et de l’innovation en Wallonie (ADV-2026-00027).
Mots-clés : subventionnement – recherches et innovations - finalités des traitements de données à caractère personnel
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier ses articles 23 et 26 (ci-après « LCA ») ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD ») ;
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ;
Vu la demande d'avis de Monsieur Pierres-Yves Jeholet, Vice-Président et Ministre de l'Economie, de l'Industrie, de l'Emploi, de la Formation, de la Recherche et du Numérique, reçue le 22 mai 2026 ;
Vu la demande d’informations complémentaires transmise le 18 juin 2026 ;
Vu les informations complémentaires reçues le 6 juillet 2026 ;
Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité ») émet, le 17 août 2026, l'avis suivant :
I. OBJET ET CONTEXTE DE LA DEMANDE D’AVIS
1. En date du 22 mai 2026, le demandeur a introduit une demande d’avis concernant un avant-projet de décret relatif au soutien de la recherche, du développement et de l’innovation en Wallonie (ci-après « l’avant-projet »).
2. La politique wallonne de soutien à la recherche et au développement est actuellement régie par le décret du 3 juillet 2008. Ce cadre normatif n’est désormais plus adapté suite aux évolutions technologiques, sociales, légales et industrielles intervenues ces quinze dernières années.
3. L’avant-projet vise dès lors à réformer ce décret afin de « moderniser le cadre légal de la R&D pour le rendre plus simple, plus cohérent, plus transparent et plus efficace ». Dans cette perspective, l’avant-projet encadre les procédures relatives à l’octroi d’aides1. Ces aides sont « destinées à soutenir ou promouvoir des activités en lien avec la recherche, le développement et l’innovation qui contribuent au développement économique sur le territoire de la région ».2
4. La demande d’avis porte sur les articles suivants de l’avant-projet :
- Les articles 28 à 35 relatifs à la collecte et à la gestion des données à caractère personnel dans le cadre des procédures de demandes d’aides prévues par l’avant-projet ;
- L’article 6 relatif à l’évaluation de la politique de recherche, développement et innovation mis en place par l’avant-projet ;
- L’article 8 relatif à l’accompagnement au pilotage de la politique de recherche, développement et innovation ;
- L’article 26 relatif à l’utilisation de secrets d’affaires ;
- L’article 1er alinéa 1er 24°, l’article 46, 6°, l’article 50, 3° et l’article 89, 1° c) relatifs à la protection des intérêts stratégiques de la Région.
5. Le présent avis formule des commentaires sur les dispositions de l’avant-projet dans la mesure où elles appellent des remarques en matière de protection des données à caractère personnel, de légalité et de prévisibilité des normes.
II. EXAMEN DU PROJET
II.1. Finalités des traitements de données à caractère personnel
6. Conformément à l'article 5.1.b) du RGPD, le traitement de données à caractère personnel ne peut être effectué que pour des finalités déterminées, explicites et légitimes.
7. L’article 30 de l’avant-projet prévoit les finalités de traitements de données à caractère personnel suivantes :
« Art 30.
1° pour la gestion des procédures relatives aux demandes d’aide, la communication avec les bénéficiaires, le suivi administratif et financier, pour les catégories de personnes visées3 à l’article 28 alinéa 2, 1° et 2° ;
2° pour l’instruction, l’évaluation, le suivi et le contrôle des demandes d’aide, y compris la vérification de l’éligibilité des bénéficiaires ;
3° pour la gestion administrative et financière des aides, les audits, la prévention et la gestion des irrégularités et fraudes ;
4° pour la production de statistiques, d’analyses, d’études et de rapports ;
5° les données nécessaires à l’élaboration de statistiques agrégées. »
8. Les finalités sont formulées de manière insuffisamment claire et précise. Elles sont présentées sous forme d’une succession d’éléments sans que leur articulation ne soit clairement établie, de sorte qu’il n’est pas possible de déterminer si ces éléments constituent des finalités distinctes, des sous-finalités ou des précisions par rapport à d’autres finalités. Cette construction rend difficile la compréhension de la portée réelle de chacun des traitements de données à caractère personnel effectués.
9. En outre, la distinction entre les deux premières finalités est floue. En effet, les termes « gestion » (employé dans la première finalité) et « instruction » (employé dans la seconde) sont similaires et risquent de se chevaucher et de couvrir, l’un comme l’autre, l’intégralité du cycle de vie d’une demande d’aide (de sa réception jusqu’à son octroi), ce qui peut prêter à confusion. Ensuite, la première finalité est décrite en mentionnant le terme de « communication avec les bénéficiaires ». Or, des communications avec les bénéficiaires sont, a priori, également nécessaires pour accomplir les autres finalités, comme l’instruction, l’évaluation, le suivi et le contrôle des demandes d’aide ou la gestion administrative et financière des aides. Par ailleurs, « la communication avec les bénéficiaires » constitue un moyen de mettre en œuvre une finalité et non une finalité en tant que telle. Enfin, le terme « suivi » figure dans la description des deux premières finalités, ce qui contribue également à brouiller la distinction entre celles-ci.
10. Il conviendrait ainsi, soit de reformuler ces finalités de manière à ce que leur distinction apparaisse clairement si elles sont effectivement distinctes, soit à défaut, de les regrouper en une seule finalité comme suggéré au considérant 13.
11. La troisième finalité donne également lieu à plusieurs observations. Elle regroupe en effet des objectifs distincts (la gestion administrative et financière des aides, la conduite d’audits et la prévention et détection de fraudes) qu’il conviendrait dès lors de séparer et non de regrouper sous un même point.
Comme relevé au considérant 9, « la conduite d’audits » constitue par ailleurs un moyen permettant d’atteindre une finalité (celle de prévenir, détecter et gérer les irrégularités et les fraudes) et non une finalité propre en tant que telle.
12. Enfin, le point 5° (« les données nécessaires à l’élaboration de statistiques agrégées ») semble viser une catégorie de données traitées dans le cadre de la finalité 4° (« pour la production de statistiques, d’analyses, d’études et de rapports ») et non une finalité distincte. Toutefois, l’article 31 de l’avant-projet relatif à la durée de conservation des données distingue bien les points 4 et 5° comme deux finalités séparées. Interrogée à ce sujet, la déléguée du demandeur a indiqué que : « Il ne s’agit pas de deux finalités distinctes. La référence à l’article 30, § 1er, 5°, dans l’article 31 résulte d’une erreur de structuration. Le point 5° sera intégré au point 4°, e). Les renvois de l’article 31 seront adaptés en conséquence ». L’Autorité en prend acte.
13. À titre illustratif, les finalités des traitements de données visés pourraient être reformulées (et regroupées) comme suit :
1° l’instruction et l’octroi des demandes d’aides ;
2° la gestion financière et administrative des aides ;
3° la prévention, la détection et la gestion des irrégularités et des fraudes ;
4° la production de statistiques, d’analyses, d’études et de rapports.
II.2. Catégories de données à caractère personnel traitées
14. Premièrement, l’Autorité accueille favorablement l’effort du législateur d’avoir relié dans l’article 30 de l’avant-projet, la finalité de chaque traitement de données à caractère personnel aux catégories de données traitées et aux catégories de personnes concernées.
15. Toutefois, l’article 30 de l’avant-projet ne précise la composition de certaines catégories de données que pour la première finalité. L’Autorité suppose dès lors que cette composition demeure identique pour les autres finalités (par exemple, que les données d’identification énumérées sous la première finalité (noms, prénoms, etc.) sont également celles utilisées pour atteindre les autres finalités). Or, l’Autorité constate que ces catégories de données à caractère personnel ne sont pas présentées de manière constante d’une finalité à l’autre, ce qui empêche le lecteur de discerner clairement quelles données sont traitées pour chaque finalité. Par exemple, la première finalité distingue les données d’identification et le numéro de registre national comme deux catégories de données distinctes, tandis que pour la troisième finalité, le numéro de registre national est intégré aux données d’identification.
Or, le numéro de registre national constitue une donnée d’identification et devrait être mentionné comme tel. De même, les coordonnées bancaires sont présentées comme une catégorie distincte dans la troisième finalité alors qu’elles relèvent, dans la première finalité, de la catégorie des « données administratives et financières ». Il conviendrait dès lors d’harmoniser la description des catégories de données utilisées pour chaque finalité déterminée.
16. En outre, l’Autorité constate que les catégories de données à caractère personnel qui s(er)ont traitées ne sont pas toutes précisées. À cet égard, l’Autorité relève que l’article 30 §1, alinéa 7 de l’avant-projet prévoit une délégation au Gouvernement permettant à ce dernier de préciser les catégories de données à caractère personnel visées par l’avant-projet de...