L'autorité estonienne de protection des données (AKI) a clôturé une procédure de surveillance à l'encontre du Ministère du Climat concernant la gestion du registre national des bâtiments. La décision de clôture, sans sanction, a été motivée par la présentation et le début de mise en œuvre d'un plan d'action concret par le ministère pour remédier aux problèmes de protection des données identifiés.

Faits et contexte

L'autorité estonienne (AKI) a publié le 19 octobre 2026 une décision de clôture d'une procédure de surveillance à l'encontre du Ministère du Climat, concernant plusieurs problèmes de conformité liés au registre national des bâtiments.

L'affaire trouve son origine dans une procédure de surveillance initiée par l'autorité au printemps 2026, qui avait identifié plusieurs problèmes de protection des données dans le fonctionnement du registre et avait demandé au ministère de proposer un plan d'action pour y remédier.

Motifs de la décision

L'autorité a estimé que le Ministère du Climat avait pris des mesures concrètes et suffisantes pour commencer à résoudre les problèmes identifiés. En réponse à la demande de l'autorité, le ministère a présenté un plan d'action en mai 2026, puis un rapport d'étape en octobre 2026. Ce rapport montrait que des actions correctives avaient déjà été engagées, notamment par l'entrée en vigueur en août d'une modification du code de la construction régissant la publication des données personnelles dans le registre, par des développements techniques du registre et par le lancement d'un examen des documents précédemment publiés. Les problèmes soulevés par l'autorité concernaient notamment :

• La publication de données à caractère personnel.
• La conservation des données.
• La mise en œuvre des restrictions d'accès.
• Les instructions fournies aux municipalités locales pour le traitement des données à caractère personnel.

Décision de l'autorité

En conséquence, l'autorité a décidé de clore la procédure de surveillance à l'encontre du Ministère du Climat.

En outre, l'autorité a précisé qu'elle s'attendait à ce que le plan d'action soit mené à son terme et que la clôture de la procédure ne l'empêchait pas de contrôler sa mise en œuvre future ou d'ouvrir une nouvelle procédure si nécessaire.

Enseignements

Cette décision rappelle que :

• La coopération active avec une autorité de contrôle et la présentation d'un plan d'action crédible et détaillé pour remédier à des manquements peuvent conduire à la clôture d'une procédure de surveillance sans sanction.
• La conformité d'un registre public doit être assurée à plusieurs niveaux : la base juridique de la publication des données, les mesures techniques de restriction d'accès et les politiques de durée de conservation.
• Lorsqu'un traitement implique plusieurs acteurs (comme des administrations centrales et des municipalités locales), le responsable du traitement doit fournir des instructions claires et conformes aux exigences de la protection des données à toutes les parties prenantes.