L’Autorité de protection des données (APD) annonce aujourd’hui avoir imposé une amende aux aéroports de Zaventem – 200.000 euros – et Charleroi – 100.000 euros – pour des contrôles de température réalisés sur des passagers dans le cadre de la lutte contre le Covid-19.
L’APD fait ici référence à des contrôles de température des passagers réalisés dans le cadre de la pandémie de Covid-19 entre le mois de juin 2020 et le mois de janvier 2021 à Zaventem et jusqu’en mars 2021 à Charleroi.
La nécessité d'une base légale pour traiter les données de santé
Les caméras thermiques permettaient de filtrer les personnes ayant plus de 38°C. A l’aéroport national explique l’APD : "ces personnes se voyaient ensuite soumettre un questionnaire sur de possibles symptômes liés au coronavirus. Ce second contrôle était effectué par l’entreprise Ambuce Rescue Team", cette dernière écope également d’une amende de 200.000 euros.
Hervé Fransens, secrétaire général de l’aéroport de Charleroi, nous explique que ces mesures avaient été prises au début de la crise sanitaire et étaient uniquement destinées à prendre la température des passagers et éviter la propagation du coronavirus. Et donc "l’APD considère que le fait, non pas de capter les données, mais simplement de mesurer la température d’une personne à l’aide d’un dispositif technique constitue une violation du Règlement général sur la protection des données (RGPD)". Il précise aussi que dès qu’un passager entrait dans le terminal, le visage et la température étaient affichés automatiquement sur un moniteur, mais il n’y avait aucun stockage de données.
Brussels Airport, quant à lui s'est dit "particulièrement déçu" par l'amende "terriblement élevée" que l'APD lui a imposée. "Nous avons appliqué ce que le Service public fédéral (SPF) Mobilité et Transports nous imposait et nous sommes à présent mis à l'amende par un autre service public", déplore l'entreprise exploitant l'aéroport de Zaventem. Ce dernier explique aussi avoir instauré les contrôles de température à la mi-juin 2020, lorsque les voyages non-essentiels ont repris. "Des mesures ont dû être prises dans l'intérêt de la santé publique dans un court laps de temps. Brussels Airport a pris les précautions nécessaires en toute bonne foi sur la base des informations et des directives disponibles à ce moment-là", ajoute l'aéroport.
L’APD a également observé des manquements en termes d’information fournie aux voyageurs.
Selon l’APD, les deux aéroports ont réalisé ces contrôles de température alors qu’ils ne disposaient pas d’une base légale valable pour traiter ces données de santé des voyageurs. L’organisme rappelle que les "données de ce type étant des données sensibles, elles ne peuvent en principe pas être traitées, sauf dans un nombre très limité d’exceptions". Autrement dit, dans ce cas-ci les aéroports "auraient dû se reposer sur une norme de droit qui leur permettait de traiter ces données", explique Aurélie Waeterinckx, conseillère communication et porte-parole de l’APD.
Pour Brussels Airoport, il existait bien une base légale valable pour les contrôles de température, à savoir un protocole contraignant qui avait été envoyé aux aéroports par le SPF Mobilité et Transports. "Celui-ci stipulait qu'un contrôle de température devait être effectué là où la distance sociale ne pouvait être garantie." Ce dernier affirme par ailleurs qu'il a procédé aux contrôles de température "avec une extrême prudence". Les passagers ont été clairement informés, les données ne sont apparues que quelques secondes à l'écran et ont été immédiatement effacées, les images n'ont été visionnées que par le personnel autorisé et les données n'ont pas été associées à d'autres éléments, poursuit l'exploitant.
David Stevens, Président de l’APD précise que : "Cette décision met en exergue l’importance de réaliser une analyse d’impact de manière rigoureuse et complète, et ce avant de mettre en place un traitement de données susceptible d’engendrer un risque pour les individus. Mieux vaut prévenir que guérir est un principe qui a également toute son importance dans le domaine de la protection des données."
Un recours ?
À ce stade, ces entreprises peuvent encore déposer un recours contre cette décision auprès de la Cour des marchés. Du côté de l’aéroport de Charleroi, Hervé Fransens précise que la question d’un recours doit encore être posée lors du prochain Conseil d’administration de l’entreprise "et il devrait probablement y répondre de manière favorable". Et le secrétaire général de l’aéroport de Charleroi d’ajouter : "ce qu’on regrette, c’est qu’on avait suggéré à l’APD, lors de son premier courrier, de nous rencontrer afin de voir s’il y avait des choses à corriger ou pas. Et malheureusement on a eu une fin de non-recevoir qui se solde au final par une amende de 100.000 euros, c’est un peu regrettable".
Brussels Airport assure lui aussi avoir demandé à plusieurs reprises à l'APD de collaborer, "mais cette coopération a toujours été refusée". "Brussels Airport est donc particulièrement déçu, car le contrôle de température a été introduit en toute bonne foi et la vie privée a toujours été préservée". L'aéroport envisage de déposer un recours contre cette amende.
Les contrôles de température ont pris fin en janvier 2021 à l'aéroport de Zaventem.
