1/21
Chambre Contentieuse
Décision quant au fond 01/2026 du 6 janvier 2026
Numéro de dossier : DOS-2022-01908
Objet : le maintien de deux adresses e-mail personnalisées après la reprise d'une société
La Chambre Contentieuse de l'Autorité de protection des données (ci-après "l'APD") ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après le "RGPD" ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après la
"LCA"1 ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier, les conclusions des parties, l'audition du 6 mai 2025 ; les conclusions
complémentaires des parties et les réactions des parties à ces conclusions ;
A pris la décision suivante concernant :
Le plaignant : X, représenté par Me Robbie Tas, ci-après le "plaignant" ;
Le défendeur : Y, représenté par Me Edwin Jacobs et Me Jolien Clemens, ci-après le
"défendeur".
1
L'APD rappelle que la loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l'Autorité de
protection des données (LCA) et le nouveau règlement d'ordre intérieur de l'APD sont entrés en vigueur le 1 er juin 2024.
Les nouvelles dispositions s’appliquent aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux
procédures devant la Chambre Contentieuse qui débutent à partir de cette date. La nouvelle LCA est disponible via le lien
suivant : https://www.ejustice.just.fgov.be/eli/loi/2017/12/03/2017031916/justel et le règlement d’ordre intérieur via le lien
suivant : https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-
des-donnees.pdf. Les dossiers initiés avant le 1er juin 2024, comme en l’espèce, sont en revanche soumis aux dispositions de
la LCA et du règlement d'ordre intérieur tels qu'ils existaient avant cette date.
Décision quant au fond 01/2026 — 2/21
I. Faits et procédure
1. Le 25 avril 2022, le plaignant a introduit une plainte auprès de l'Autorité de protection des
données contre le défendeur car ses deux adresses e-mail professionnelles étaient toujours
actives au sein du défendeur alors qu'il avait quitté l'entreprise depuis déjà plus de deux ans.
2. Le 5 juillet 2023, la plainte a été déclarée recevable par le Service de Première Ligne sur la
base des articles 58 et 60 de la LCA et a été transmise à la Chambre Contentieuse en vertu
de l'article 62, § 1er de la LCA.
3. Le 8 février 2024, la Chambre Contentieuse a décidé, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier pouvait être traité sur le fond. Le même jour, les parties
concernées ont été informées par envoi recommandé des dispositions telles que reprises à
l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles ont également été informées, en vertu
de l'article 99 de la LCA, des délais pour transmettre leurs conclusions.
Les parties ont été priées de formuler leurs conclusions concernant les violations
présumées suivantes :
• Violation de l'article 5.1.a) juncto l'article 6 du RGPD en raison de l'absence de licéité
et de l'absence de fondement du traitement jusqu'à 2 ans après le départ du
plaignant de l'entreprise
• Violation de l'article 5.1.b) du RGPD en raison de l'absence de finalité du traitement
après le départ du plaignant de l'entreprise
• Violation de l'article 5.1.c) du RGPD pour non-respect de la minimisation des
données du traitement après le départ du plaignant de l'entreprise
• Violation de l'article 5.1.e) du RGPD en raison de la non-limitation ou du non-respect
du délai de conservation des données à caractère personnel après le départ du
plaignant de l'entreprise
• Violation de l'article 15 du RGPD pour ne pas avoir donné suite à la demande d'accès
aux données à caractère personnel des 2 boîtes de réception du plaignant
• Violation de l’article 17.1 du RGPD pour ne pas avoir suffisamment donné suite à la
demande d'effacement du plaignant.
4. Après l'audition du 6 mai 2025, les parties ont été priées, le 8 mai 2025, de formuler leurs
conclusions complémentaires concernant le moment de l'activation, par le défendeur,
d'une mesure technique spécifique pour les deux adresses e-mail du plaignant.
Décision quant au fond 01/2026 — 3/21
II. Motivation
II.1. La plainte
5. Le 13 avril 2019, la collaboration professionnelle entre le plaignant et le défendeur a pris fin
et le défendeur a repris la gestion des boîtes de réception du plaignant. Dans le cadre d'un
e-mail privé du 9 février 20212, le plaignant a découvert que son adresse e-mail auprès du
défendeur était toujours active. Le défendeur a confirmé le maintien des deux adresses
e-mail du plaignant mais a affirmé que ce choix était nécessaire pour le fonctionnement
technique de l'infrastructure de messagerie et que des mesures techniques suffisantes
avaient été prises afin d'éviter toute violation de la protection des données à caractère
personnel du plaignant.
6. Le plaignant a précisé que le maintien de ses deux adresses e-mail constituait une violation
de la protection de ses données à caractère personnel et qu'il n'avait pas eu accès à ces
boîtes de réception, en dépit de ses demandes répétées.
II.2. Objections procédurales
7. Le défendeur argumente dans plusieurs conclusions que la plainte est irrecevable. Ainsi, le
droit à une bonne administration et le principe d'exactitude auraient été violés vu que le
délai raisonnable pour le traitement du dossier aurait été dépassé. Le traitement tardif
aurait également porté atteinte aux droits de la défense de manière irrévocable. En outre,
la Chambre Contentieuse n'aurait pas examiné au préalable s'il était question d'un abus de
droit vu que les véritables motivations du plaignant auraient été dictées par le
mécontentement quant au prix auquel il avait vendu ses parts au défendeur et par
l'impossibilité d'emporter avec lui son ancien fichier de clients dans sa nouvelle entreprise.
II.2.1. Recevabilité de la plainte
8. Concernant la recevabilité de la plainte, la Cour des marchés a déclaré dans son arrêt
2022/AR/42 : "la LCA ne prévoit pas que la Chambre contentieuse, une fois saisie d’une
plainte, puisse prendre de décision sur la recevabilité des plaintes adressées à l’APD"3 et
"Il ressort de la lecture [des articles 94, 95 et 100 de la LCA] que le législateur n’a pas prévu,
pour la Chambre contentieuse, la possibilité de prendre une décision quant à la recevabilité
de la plainte dont elle a été saisie […]"4. Étant donné que le Service de Première Ligne a jugé
2
Annexe 8 de la pièce 2, formulaire de plainte – violation de la vie privée par [le défendeur] du 25 avril 2022.
3
Cour d'appel de Bruxelles, section Cour des marchés, arrêt 2022/AR/42 du 8 juin 2022, point 20.
4
Ibid., point 21.
Décision quant au fond 01/2026 — 4/21
la plainte recevable, la Chambre Contentieuse ne peut pas revenir sur cette décision et est
tenue de traiter cette plainte.
II.2.2. Abus de droit et intérêt du plaignant
9. L’article 58 de la LCA dispose : "Toute personne peut déposer une plainte ou une requête
écrite, datée et signée auprès de l'Autorité de protection des données." La Chambre
Contentieuse estime que l'article 58 de la LCA donne à toute personne la possibilité
d'introduire une plainte, à condition que le plaignant y ait un intérêt suffisant. Au point 29 de
la présente décision, la Chambre Contentieuse estime que le défendeur traite des données
à caractère personnel du plaignant, ce que le plaignant démontre également dans sa plainte
à l'aide d'un e-mail personnel qui lui a été adressé sur une des deux adresses e-mail en
question5. La Chambre Contentieuse estime que le plaignant démontre un intérêt suffisant
pour introduire une plainte contre le traitement de ses données à caractère personnel sous
la responsabilité du défendeur.
10. Concernant l'abus de droit du plaignant soulevé par le défendeur, la Chambre Contentieuse
constate que la collaboration entre le plaignant et le défendeur a pris fin le 13 février 2019.
Deux ans après la fin de cette collaboration et un an après la fin de la clause de
non-concurrence6 établie contractuellement, le plaignant a appris que ses adresses e-mail
étaient toujours actives sur le domaine du défendeur. La Chambre Contentieuse estime
que :
• vu le laps de temps écoulé entre la fin de la collaboration et la plainte,
• vu le motif direct de la plainte, à savoir un e-mail privé arrivé sur une des deux
adresses e-mail en question sur le domaine du défendeur et
• vu l'exigence du plaignant de mettre un terme à ce traitement et d'accéder à ses
données à caractère personnel,
l'intention du plaignant était bel et bien de dénoncer une violation de son droit à la
protection des données et qu'il ne s'agit dès lors pas d'un abus de droit dans le chef du
plaignant. Pour cette évaluation, la Chambre Contentieuse renvoie également à l'arrêt
Datenschutzbehörde de la Cour de justice de l'Union européenne (ci-après "CJUE") qui
affirme : "Or, l’existence d’une intention abusive peut être constatée lorsqu’une personne
introduit des réclamations sans que cela soit objectivement nécessaire à la protection des
droits qu’elle tire de ce règlement."7
5
Annexe 8 de la pièce 2, formulaire de plainte – violation de la vie privée par [le défendeur] du 25 avril 2022.
6
Annexe 4 de la pièce 2, formulaire de plainte – violation de la vie privée par [le défendeur] du 25 avril 2022.
7
CJUE, Arrêt du 9 janvier 2025, Österreichische Datenschutzbehörde, C-416/23 ECLI:EU:C:2025:3, para. 50.
Décision quant au fond 01/2026 — 5/21
Dans ce cadre, la Chambre Contentieuse prend en considération le fait que le plaignant, lors
de la médiation entre les parties, a exigé des dommages-intérêts pour des clients
potentiels qu'il aurait manqués et pour le préjudice causé à sa réputation pour ne pas avoir
répondu aux e-mails qui lui avaient été adressés. Ces intérêts commerciaux du plaignant
n'empêchent toutefois pas que le maintien de ses adresses e-mail a également occasionné
des griefs affectant ses droits personnels, issus du RGPD. Retirer au plaignant son droit de
porter plainte en raison d'éventuels intérêts commerciaux signifierait que celui-ci ne
pourrait pas dénoncer la violation de ces droits personnels auprès de l'APD et de la
Chambre Contentieuse en particulier. En outre, la Chambre Contentieuse n'a connaissance
d'aucune autre procédure dans le chef du plaignant concernant la violation de ces intérêts
commerciaux qui pourrait démontrer que cette procédure a été entachée d'un quelconque
abus de droit.
II.2.3. Principe de bonne administration
11. Le défendeur estime que ses droits à la défense ont été lésés car la plainte n'aurait pas été
traitée dans un délai raisonnable par l'APD. Le défendeur affirme concrètement ce qui suit :
"Les faits de la plainte concernent en effet des adresses e-mail Outlook de [le plaignant].
La politique standard de rétention des journaux d'audit dans Microsoft 365 (M365) est de
douze (12) mois. Cela signifie donc que toutes les données de connexion de 2019 à 2021
inclus concernant les adresses e-mail [e-mail du plaignant] et [e-mail du plaignant] ont
entre-temps été irrévocablement supprimées [...], impliquant que certains moyens de
preuve essentiels relatifs à la plainte ont également été définitivement supprimés." 8
[NdT : tous les passages cités dans le présent dossier sont des traductions libres réalisées
par le Service traduction de l'Autorité de protection des données, en l'absence de
traduction officielle]
12. La Chambre Contentieuse constate toutefois que l'argumentation du défendeur pour ne
pas donner accès aux données à caractère personnel du plaignant se base sur le fait que
les e-mails du plaignant n'arrivent pas dans l'environnement Microsoft du défendeur grâce
à la mesure /dev/null9 : "dans la présente affaire, [le défendeur] n'avait absolument plus
accès aux e-mails entrants sur l'adresse e-mail de [le plaignant] après le transfert des
adresses e-mail. Plus précisément : avec l'action /dev/null, tous les e-mails entrants ont été
immédiatement supprimés dans la file d'attente d'e-mails dans Postfix et n'ont pas été
8
Pièce 21, Conclusions de synthèse du défendeur, DOS-2022-01908 du 2 mai 2024, point 44.
9
Concernant la mesure /dev/null : "the null device is a device file that discards all data written to it but reports that the write
operation succeeded" via le lien : https://en.wikipedia.org/wiki/Null_device, consulté le 25 avril 2025. Traduction libre : "le
périphérique nul (en anglais, null device) est un fichier de périphérique qui supprime toutes les données qui y sont écrites, mais
indique que l'opération d'écriture a réussi." Voir également à cet égard les points 22 e.s. de la présente décision.
Décision quant au fond 01/2026 — 6/21
transmis vers l'environnement Office 365 de [le défendeur]. Les e-mails entrants ne sont
donc jamais arrivés dans les boîtes de réception de [le plaignant]." 10
13. De deux choses l'une, soit les e-mails ne parviennent pas sur l'environnement Microsoft du
défendeur et il n'existe pas non plus de données de connexion qui auraient pu être utilisées
comme preuve dans la présente affaire, soit il existe des données de connexion des e-mails
qui arrivent sur l'environnement Microsoft du défendeur qui auraient pu être utilisées
comme preuve dans la présente affaire, ce qui signifierait que le défendeur avait donc bel
et bien accès à ces e-mails.
14. Le rapport d'audit qui a été joint aux pièces 11 par le défendeur précise clairement :
"L'enquête révèle que l'infrastructure de messagerie Office 365 qui existait à l'époque de
[le plaignant] a été modifiée par [le défendeur] lors de la reprise de l'entreprise. Plutôt que
d'acheminer les e-mails entrants directement vers le serveur Office 365, ceux-ci étaient
délivrés à un système de messagerie Postfix."12 et conclut : "Le mécanisme /dev/null a été
mis en œuvre et il ressort des données de connexion qu'il a effectivement fonctionné et
donc qu'aucun e-mail destiné à [le plaignant] n'a été transféré vers l'environnement Office
365."13
15. Le défendeur estime également qu'il ne pouvait raisonnablement pas considérer que le
plaignant introduirait une plainte concernant le traitement de ses adresses e-mail.
Le défendeur n'a été informé de la plainte que le 8 février 2024, alors que les faits datent
de février 2019. La Chambre Contentieuse constate toutefois que la violation présumée n'a
été révélée que le 9 février 2021 et que le plaignant a contacté le défendeur pour la
première fois le 23 mars 2021. Dans ce premier courrier du plaignant, celui-ci précisait
clairement : "S'il ne reçoit pas la copie demandée des e-mails ainsi que la preuve des actions
sollicitées ci-dessus [...], le client déposera immédiatement plainte auprès de l'Autorité de
protection des données."14 En outre, la Chambre Contentieuse constate que le défendeur
démontre l'effectivité de la mesure /dev/null avec les données de connexion des e-mails de
février à mars 2021 inclus. Ces données de connexion ont été réclamées auprès du service
IT "après réception du premier courrier des avocats de [le plaignant]"15. Le défendeur a donc
été informé du différend et d'une plainte possible auprès de l'APD dans les deux mois après
la constatation de la violation présumée ; cela démontre que le défendeur a déjà collecté
des preuves à ce moment-là.
10
Pièce 21, Conclusions de synthèse du défendeur, DOS-2022-01908 du 2 mai 2024, point 65.
11
Voir à cet égard le point 22 de la présente décision.
12
Annexe D.7 de la pièce 23, Recueil de pièces des conclusions de synthèse du défendeur du 2 mai 2024, p. 3.
13
Ibid., p. 7.
14
Annexe 10 de la pièce 2, formulaire de plainte – violation de la vie privée par [le défendeur] du 25 avril 2022.
15
Pièce 21, Conclusions de synthèse du défendeur, DOS-2022-01908 du 2 mai 2024, point 30.
Décision quant au fond 01/2026 — 7/21
16. La Chambre Contentieuse estime que les droits de la défense dans le chef du défendeur
n'ont pas été violés, d'autant que le défendeur a pu exposer ses arguments par écrit et qu'il
a pu se défendre oralement lors de l'audition.
II.3. Délimitation du traitement de la plainte : le cadre de la plainte
17. La Chambre Contentieuse a déjà jugé, dans des décisions antérieures 16, qu'un employeur doit
en principe fermer les adresses e-mail et les boîtes de réception de travailleurs au moment
du départ du travailleur. Dans ses décisions à ce sujet, la Chambre Contentieuse a toujours
tenu compte d'un délai raisonnable au cours duquel l'adresse e-mail pouvait continuer
d'exister afin que les correspondants du travailleur ayant quitté l'organisation puissent être
informés, via un message automatique, de l'identité de la personne à laquelle ils doivent
s'adresser, étant donné que leur personne de contact ne travaille plus au sein de
l'organisation. Ce délai raisonnable est normalement d'1 mois et peut, dans certaines
circonstances, être prolongé à 3 mois.
18. Dans sa plainte, le plaignant a déclaré : "Par ce biais, [le plaignant] a appris que cette adresse
e-mail était toujours active presque deux ans après la fin de ses activités au sein de [le
défendeur]."17 (mise en gras par le plaignant) et "Il est évidemment inadmissible que les
adresses e-mail de [le plaignant] soient toujours actives après tout ce temps."18 La plainte
visait manifestement le maintien des adresses e-mail pour une plus longue période. En outre,
le plaignant a également estimé que la mesure technique spécifique appliquée à ces boîtes
de réception n'a pas empêché la violation de ses droits. Selon le défendeur, cette mesure
technique a été instaurée au plus tôt 5 mois après le départ du plaignant 19.
19. La Chambre Contentieuse constate sur la base de la plainte que les traitements visés par le
plaignant ont lieu après le délai raisonnable de maximum 3 mois, au terme duquel l'adresse
e-mail et la boîte de réception auraient dû être définitivement supprimées. Au-delà de cette
période, les boîtes de réception du plaignant ont toutefois fait l'objet d'une migration vers le
nouvel environnement ICT du défendeur. Le gestionnaire de l'infrastructure de l'époque
déclare que la migration des boîtes de réception a eu lieu le 21 avril 2020 : 'le seul fichier
important est le changement qui a eu lieu le 21 avril 2020. Il s'agissait du changement de
16
Notamment la décision 64/2020 du 20 septembre 2020, la décision 138/2024 du 19 novembre 2024 et la décision 134/2025
du 21 août 2025.
17
Pièce 2, formulaire de plainte – violation de la vie privée par [le défendeur] du 25 avril 2022, point 4 sous le titre 'uw klacht'
(votre plainte).
18
Ibid., point 5 sous le titre 'uw klacht' (votre plainte).
19
Bien que des conclusions complémentaires aient été apportées après l'audition concernant l'instauration de cette mesure
technique, il s'est avéré impossible de retrouver le moment exact auquel cette mesure a été instaurée. Le défendeur affirme
toutefois dans ses conclusions complémentaires que celle-ci a vraisemblablement été instaurée le 7 juillet 2019 : annexe
20250606 conclusions complémentaires de [le défendeur] v1 de la pièce 37, conclusions complémentaires du 6 juin 2025,
point 6.
Décision quant au fond 01/2026 — 8/21
Frontbridge (0365) vers [le défendeur] (notre propre data relay center)'20 (traduction libre
par la Chambre Contentieuse). Le même gestionnaire de l'infrastructure déclare que pour
une telle migration, il faut d'abord définir les données qui doivent migrer. Ces données
consisteraient en une liste de usernames (associés à une boîte de réception et à un
onedrive), obtenue du gestionnaire local. Ensuite, un tiers procéderait à la migration des
données proprement dite21. Sur la base de ces explications, la Chambre Contentieuse
constate qu'en dépit du fait que le plaignant avait déjà quitté l'entreprise du défendeur
depuis plus d'un an, ses adresses e-mail et les boîtes de réception correspondantes ont
encore été encore conservées afin de les faire migrer vers le nouvel environnement ICT du
défendeur.
20. La présente décision évaluera la gestion des adresses e-mail et des boîtes de réception du
plaignant par le défendeur après cette migration, ce qui correspond au cadre de la plainte.
21. La Chambre Contentieuse constate que tant le plaignant que le défendeur accordent une
grande attention à la reprise commerciale de la société du plaignant par le défendeur, à la
fonction du plaignant dans les différentes sociétés et aux accords contractuels entre le
plaignant et le défendeur concernant une clause de non-concurrence et la reprise du fichier
clients. La Chambre Contentieuse n'aborde pas les éventuels traitements de données à
caractère personnel pendant cette période de reprise commerciale vu que cette période n'a
pas été retenue dans le cadre de la plainte par le plaignant.
II.4. Traitement de données à caractère personnel
22. À titre principal, le défendeur souligne, dans ses conclusions, l'incompétence matérielle de
l'APD car il ne traiterait pas de données à caractère personnel du plaignant. Il avait en effet
instauré une mesure technique ('la mesure /dev/null') qui garantissait qu'il n'avait pas accès
au contenu des e-mails qui arrivaient encore sur les boîtes de réception du plaignant.
Le défendeur démontre cet élément à l'aide d'un rapport d'audit technique 22 de deux
experts judiciaires techniques assermentés (ci-après le 'rapport d'audit'), qu'il joint aux
pièces. Avec ce rapport d'audit, le défendeur tente de démontrer que la mesure /dev/null
qu'il avait instaurée pour les boîtes de réception du plaignant garantissait bel et bien qu'il
n'avait pas accès au contenu des e-mails qui arrivaient sur les deux adresses e-mail du
plaignant.
20
Annexe D.11, Explications de [X] à la pièce 38, Conclusions complémentaires, e-mail du 28/05/2025, puce 3 : "only record of
interest is the change occurred on 2020-04-21. This was the change from Frontbridge (O365) to [verweerder] (our data centre
relays).”
21
Ibid., puce 2.
22
Annexe D.7, Rapport d'audit des experts judiciaires de la pièce 23, Recueil de pièces des conclusions de synthèse du
défendeur du 2 mai 2024.
Décision quant au fond 01/2026 — 9/21
23. L'article 4.1) du RGPD définit une donnée à caractère personnel comme étant :
'toute information se rapportant à une personne physique identifiée ou identifiable
(ci-après dénommée "personne concernée") ; est réputée être une "personne physique
identifiable" une personne physique qui peut être identifiée, directement ou indirectement,
notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des
données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques
propres à son identité physique, physiologique, génétique, psychique, économique,
culturelle ou sociale'.
24. La Chambre Contentieuse constate que les deux adresses e-mail auxquelles le plaignant
fait référence contiennent toutes deux ses prénom et nom comme identifiant et sont donc
en soi déjà des données à caractère personnel. En l'espèce, l'adresse e-mail associe le nom
du plaignant au nom de domaine d'une société dont il ne faisait plus partie depuis le
13 février 2019. La Chambre Contentieuse estime que le simple fait de maintenir les deux
adresses e-mail constitue déjà un traitement de données à caractère personnel d'une
personne identifiée.
25. Toutes les informations relatives à ces deux adresses e-mail, tant les métadonnées que le
message dans les e-mails proprement dits, en l'espèce l'intégralité de ces boîtes de
réception derrière ces adresses e-mail, sont dès lors aussi des données à caractère
personnel au sens du RGPD. Le rapport d'audit précise à cet égard : "Un e-mail se compose
d'un en-tête et d'un corps. L'en-tête contient des informations sur l'expéditeur, le
destinataire, le moment, etc. Le corps d'un e-mail contient le message proprement dit avec
les annexes éventuelles. [...] Au cours de tout ce processus, tant l'en-tête que le corps de
l'e-mail restent intacts. […]"23.
26. Sur la base du rapport d'audit, la Chambre Contentieuse constate que les données à
caractère personnel liées aux deux adresses e-mail sont bel et bien traitées : "Lorsqu'un
e-mail est reçu par un serveur relais (relay-server), aussi bien l'en-tête que le corps de
l'e-mail sont reçus comme un tout par le serveur de messagerie. Ce serveur relais analyse
l'en-tête de l'e-mail afin de déterminer où celui-ci doit être envoyé. Cette analyse comporte
le contrôle du (des) destinataire(s), la détermination du serveur de messagerie de
destination et la réalisation d'éventuels contrôles de filtrage ou de sécurité sur la base des
informations de l'en-tête. [...] Chaque e-mail est donc conservé temporairement, dans son
intégralité, dans une file d'attente (queue)." 24
27. Le défendeur argumente que grâce à la mesure /dev/null, les e-mails envoyés sur les
adresses e-mail du plaignant ne sont jamais arrivés dans l'environnement de messagerie
du défendeur, étant donné qu'ils étaient techniquement déviés vers une poubelle virtuelle
23
Pièce 21, Conclusions de synthèse du défendeur, DOS-2022-01908 du 2 mai 2024, point 28.
24
Ibid.
Décision quant au fond 01/2026 — 10/21
par le serveur relais. Le défendeur n'a donc, selon ses dires, jamais pu avoir accès aux
e-mails, ce qui lui permet d'affirmer qu'il n'a traité aucune donnée à caractère personnel du
plaignant.
28. La Chambre Contentieuse constate toutefois qu'après réception du premier courrier du
plaignant, le défendeur a réclamé auprès de son service IT les données de connexion des
e-mails des adresses e-mail en question. Dans un exemple de ces données de connexion
des e-mails25, jointes aux pièces par le défendeur, l'expéditeur de l'e-mail au plaignant est
visible ; en l'occurrence, il s'agissait d'un fournisseur de cartes-carburant. Sur la base de cet
exemple du défendeur, la Chambre Contentieuse constate que, via son service IT, ce
dernier avait accès aux données de connexion des e-mails des messages qui ont été
envoyés à l'adresse e-mail toujours existante du plaignant, ce qui lui permettait au moins de
savoir qui avait envoyé un e-mail à une des deux adresses e-mail du plaignant.
29. La Chambre Contentieuse estime que par le biais des deux adresses e-mail du plaignant, le
défendeur traite des données à caractère personnel identifiées du plaignant. La Chambre
Contentieuse est dès lors compétente pour traiter cette plainte sur la base du champ
d'application matériel de l'article 2 du RGPD.
II.5. Principe de licéité de l'article 5.1.a) juncto l'article 6.1 du RGPD
30. Dans sa quatrième conclusion, le défendeur évoque ses obligations en vertu du RGPD et
affirme qu'il a toujours agi de bonne foi et qu'il n'était lui-même pas responsable de la
fermeture des adresses e-mail. En quatre points, il argumente ce qui suit :
• il ne pouvait pas être au courant de la décision de la Chambre Contentieuse
64/2020 du 29 septembre 2020, dans laquelle l'APD aurait soudainement changé
son point de vue quant à la fermeture d'adresses e-mail dans un contexte
professionnel par rapport à la recommandation de la Commission de la protection
de la vie privée (le prédécesseur de l'APD, ci-après 'la CPVP') de 2012 concernant
le contrôle des outils de communication électronique sur le lieu de travail 26.
• il existe des différences manifestes entre le contexte de la plainte et le contexte de
la décision 64/2020, vu la mise en œuvre de la mesure /dev/null appliquée aux
adresses e-mail du plaignant.
• le plaignant était lui-même responsable de la fermeture de ses adresses e-mail vu
qu'il était lui-même responsable du traitement au moment de la vente de la société.
25
Pièce 23, Recueil de pièces des conclusions de synthèse du défendeur du 2 mai 2024, annexe D.2.
26
CPVP, Recommandation n° 08/2012 relative au contrôle de l'employeur quant à l'utilisation des outils de communication
électronique sur le lieu de travail (CO-AR-2010-002) du 2 mai 2012.
Décision quant au fond 01/2026 — 11/21
• la méthode actuelle du défendeur depuis novembre 2020 est bel et bien conforme
à la décision 64/2020.
31. Concernant la recommandation de la CPVP de 2012, le défendeur estime que le traitement
des boîtes de réception du plaignant était bel et bien conforme à cette recommandation et
reprend l'exemple pratique suivant pour démontrer cette conformité : "Il n'est pas toujours
recommandé d'indiquer dans le message automatique de réponse à l'expéditeur que le
travailleur ne fait plus partie du personnel de l'organisme ; une telle indication ne pourra
donc se faire qu'avec le consentement explicite et formel du travailleur."27 La Chambre
Contentieuse constate que la recommandation de 2012 comporte trois exemples
pratiques dans le volet 'licenciement d'un travailleur', dont le défendeur cite le point 3.
La Chambre Contentieuse constate toutefois que le point 1 correspond à la situation dans
le présent dossier : "En cas de départ avec prestation du préavis, prévoir une procédure [...]
en concertation avec le travailleur au moment du départ."28 Comme le défendeur l'a
expliqué lui-même, le départ du plaignant n'était pas inattendu et on disposait de temps et
d'une marge de manœuvre pour se concerter avec lui, principalement parce qu'un contrat
avait été négocié entre le plaignant et le défendeur concernant la vente de la société et la
reprise du fichier clients. La Chambre Contentieuse estime que cet argument du défendeur
n'est pas porteur pour démontrer la licéité du traitement des données à caractère
personnel du plaignant.
32. La Chambre Contentieuse constate que la décision 64/2020 relative à la fermeture d'une
boîte de réception d'un travailleur a en effet été prise après que le plaignant ait quitté
l'entreprise du défendeur et après le délai raisonnable tel que défini ci-dessus29. Le fait que
cette décision n'existait pas encore au moment du départ du plaignant de chez le défendeur
ne dispense pas le défendeur de la responsabilité de garantir et de démontrer la conformité
de son traitement avec le RGPD (conformément aux articles 5.2 et 24.1 du RGPD). En outre,
cette décision a été prise le 29 septembre 2020. Il ressort de la plainte que le défendeur
n'avait toujours pas adapté le traitement des adresses e-mail du plaignant en février 2021
conformément au RGPD. Il a en effet été démontré ci-dessus30 que la mesure /dev/null
empêche seulement une partie du traitement, à savoir la transmission de l'e-mail vers
l'environnement de messagerie du défendeur. Cette mesure n'empêche pas que les
adresses e-mail encore existantes continuent de relier le plaignant à une société qu'il avait
déjà quittée en 2019 et que les e-mails entrants soient bel et bien traités. Bien que le
27
Ibid., p. 52.
28
Ibid.
29
Voir à cet égard les points 17 e.s. de la présente décision.
30
Voir à cet égard les points 24-29 de la présente décision.
Décision quant au fond 01/2026 — 12/21
contenu des e-mails était effacé à très court terme, les données de connexion de ces
e-mails restaient consultables au sein du défendeur.
33. Concernant la méthode actuelle qui serait appliquée depuis novembre 2020, la Chambre
Contentieuse constate que celle-ci n'est clairement pas valable pour les adresses e-mail du
plaignant, étant donné que celles-ci existaient toujours et étaient toujours accessibles au
moment de la plainte en février 2021. Concernant la responsabilité du plaignant de fermer
lui-même ses adresses e-mail, la Chambre Contentieuse a déjà estimé précédemment dans
la présente décision31 que la gestion correcte des adresses e-mail du plaignant lors de son
départ ne relève pas du cadre de la présente plainte et n'est donc pas traitée. Le fait est
qu'au moment de la migration des boîtes de réception, le défendeur a décidé de faire migrer
les boîtes de réception du plaignant vers son nouvel environnement de messagerie malgré
que le plaignant ait déjà quitté l'entreprise depuis plus d'un an.
34. L’article 6 du RGPD exige que tout traitement s’appuie sur une base juridique. Cela signifie
que le responsable du traitement ne peut traiter aucune donnée à caractère personnel sans
recourir à un des critères de licéité listés à l’article 6.1 du RGPD, lequel concrétise le principe
de licéité énoncé à l’article 5.1 a) du RGPD.
35. La Chambre Contentieuse constate que le défendeur se base sur l'intérêt légitime de
l'article 6.1.f) du RGPD : "[le défendeur] avait un intérêt légitime (article 6.1.f) du RGPD) à
choisir l'action /dev/null pour les adresses e-mail de [le plaignant] pour éviter l'envoi en
boucle d'e-mails, ce qui aurait pollué les serveurs de [le défendeur]. Il s'agit également d'une
méthode habituelle pour veiller au blocage et à la suppression automatique d'e-mails
d'utilisateurs non-actifs."32
36. La Chambre Contentieuse estime qu'une boîte de réception d'un collaborateur peut encore
rester active pendant une période déterminée après le départ du collaborateur en vue de
l'intérêt légitime du responsable du traitement dans le respect des conditions de
l'article 6.1.f) du RGPD, dans la mesure où cela reste limité à l'envoi automatique d'une
communication standard concernant le départ d'un collaborateur, en vue de garantir le bon
fonctionnement de l'entreprise et la continuité de ses services. Cela n'est évidemment
possible qu'à condition de respecter également les autres dispositions du RGPD,
notamment l'article 13.1.c) du RGPD, en vertu duquel avant de débuter les activités de
traitement, il convient de déterminer la base juridique qui s'applique ainsi que la finalité
spécifique visée, avec l'obligation pour le responsable du traitement d'en informer la
personne concernée.
31
Voir à cet égard le point 21 de la présente décision.
32
Pièce 21, Conclusions de synthèse du défendeur, DOS-2022-01908 du 2 mai 2024, point 67.
Décision quant au fond 01/2026 — 13/21
37. La Chambre Contentieuse constate que le défendeur a continué à traiter les adresses
e-mail après le délai raisonnable pour un nouvel intérêt légitime, à savoir éviter 'la pollution
de ses serveurs', moyennant l'instauration de la mesure /dev/null.
38. Conformément à la jurisprudence de la CJUE 33, dans le cas d'un intérêt légitime, le
défendeur doit démontrer que :
a. les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme
légitimes (le "test de finalité") ;
b. le traitement envisagé est nécessaire pour réaliser ces intérêts (le "test de
nécessité") ;
c. la pondération de ces intérêts par rapport aux intérêts, libertés et droits
fondamentaux du plaignant pèse en sa faveur ou en faveur d'un tiers (le "test de
pondération").
39. La Chambre Contentieuse fait tout d'abord remarquer que le défendeur ne démontre en
aucune façon qu'il a réalisé ce test de pondération, ce qui est pourtant une exigence
conformément au principe de responsabilité de l'article 5.2 du RGPD. La Chambre
Contentieuse procédera elle-même à une pondération des intérêts du défendeur vis-à-vis
des intérêts du plaignant afin de pouvoir évaluer si le défendeur pouvait invoquer cet intérêt
légitime pour poursuivre le traitement des adresses e-mail du plaignant après le délai
raisonnable.
Test de finalité :
40. Concernant l'intérêt poursuivi par le défendeur avec le traitement, la CJUE a déjà jugé que
"S’agissant, premièrement, de la condition relative à la poursuite d’un "intérêt légitime", en
l’absence de définition de cette notion par le RGPD, il convient de souligner, [... ] qu’un large
éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime."34
Vu qu'éviter la pollution des serveurs d'une entreprise constitue un objectif légal que toutes
les entreprises poursuivent, la Chambre Contentieuse estime que l'intérêt du défendeur
pour ce traitement est légitime.
Test de nécessité :
41. Concernant la nécessité du traitement par le défendeur, le traitement n'est légitime que si
l'intérêt poursuivi ne peut pas être atteint d'une autre manière moins intrusive pour les
libertés et droits fondamentaux du plaignant que la solution actuelle. Cette condition doit
également être évaluée au regard du principe de minimisation des données de l'article 5.1.c)
33
CJUE, Arrêt du 4 mai 2017, Rīgas Satiksme, C-13/16 ECLI:EU:C:2017:336, para. 28, et CJUE, Arrêt du 7 décembre 2023,
Affaires conjointes C-26/22 et C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74.
34
CJUE, Arrêt du 7 décembre 2023, Affaires jointes C-26/22 et C-64/22, Schufa, ECLI:EU:C:2023:958, para. 76.
Décision quant au fond 01/2026 — 14/21
du RGPD selon lequel les données faisant l'objet du traitement sont adéquates, pertinentes
et limitées à ce qui est nécessaire35.
42. Le défendeur a soutenu que le maintien des adresses e-mail combiné à la mesure /dev/null
était une méthode habituelle pour préserver le caractère 'sain' de ses serveurs, l'idée
sous-jacente étant que les e-mails eux-mêmes n'arrivent plus dans l'environnement de
messagerie du défendeur et soient automatiquement supprimés. Ce n'est que de cette
manière que le défendeur pourrait éviter que "les serveurs envoient en boucle des
messages d'erreur"36.
43. Le problème de 'la poursuite de l'envoi en boucle de messages d'erreur' ne se produirait
que si l'expéditeur de l'e-mail au plaignant envoyait un e-mail auquel l'adresse e-mail
fermée du plaignant répondait par un message 'user unknown'. Si l'expéditeur de l'e-mail
répondait également par 'user unknown', cela créerait une boucle de messages 'user
unknown'. Cette situation est toutefois hautement improbable vu que l'expéditeur de
l'e-mail à l'adresse e-mail du plaignant est un 'known user'. L'état de la technique permet en
outre d'éviter cette boucle de messages d'erreur via d'autres moyens, permettant de
fermer complètement les adresses e-mail du plaignant et donc de ne plus devoir traiter de
données à caractère personnel du plaignant. La Chambre Contentieuse estime que le
traitement des données à caractère personnel du plaignant tel qu'organisé par le défendeur
n'est pas nécessaire étant donné que des alternatives aussi efficaces existent pour
préserver les serveurs du défendeur d'une pollution sans que les adresses e-mail du
plaignant doivent continuer à exister.
Conclusion :
44. Vu que les trois conditions pour pouvoir démontrer un intérêt légitime sont cumulatives et
que le traitement des données à caractère personnel n'est pas nécessaire, la Chambre
Contentieuse estime que le défendeur ne peut pas se baser sur l'intérêt légitime de
l'article 6.1.f) du RGPD et que le traitement des données à caractère personnel du plaignant
n'est donc pas licite conformément à l'article 5.1.a) du RGPD. L'argumentation du
défendeur ne touche pas au cœur de cette problématique.
45. La Chambre Contentieuse constate une violation de l'article 5.1.a) du RGPD juncto
l'article 6.1 du RGPD, vu que le défendeur n'a pas d'intérêt légitime à traiter les données à
caractère personnel du plaignant après la migration des boîtes de réception et ne peut
démontrer aucun autre motif de traitement pour le traitement des données à caractère
personnel du plaignant.
35
CJUE, Arrêt du 7 décembre 2023, Affaires jointes C-26/22 et C-64/22, Schufa, ECLI:EU:C:2023:958, para. 77 et 78.
36
Pièce 21, Conclusions de synthèse du défendeur, DOS-2022-01908 du 2 mai 2024, point 10.
Décision quant au fond 01/2026 — 15/21
II.6. Principes de limitation des finalités (article 5.1.b) du RGPD), de minimisation des
données (article 5.1.c) du RGPD) et de limitation de la conservation (article 5.1.e) du
RGPD)
46. Vu que le traitement des données à caractère personnel du plaignant n'était pas licite et ne
pouvait donc pas avoir lieu, et vu le fait que le principe de minimisation des données est
notamment pris en compte dans le cadre du test de légitimation visé à l'article 6.1.f) du
RGPD, la Chambre Contentieuse n'évaluera pas davantage les autres principes invoqués
dans l'invitation à présenter des conclusions.
II.7. Droit d'accès du plaignant (article 15 du RGPD)
47. L'article 15 du RGPD confère au plaignant le droit d'obtenir la confirmation que des données
le concernant sont traitées et, si tel est le cas, d'accéder à ces données.
48. Le défendeur argumente qu'il n'a pas pu donner accès aux données car les e-mails entrants
ont été déviés vers une poubelle virtuelle par la mesure /dev/null. Pour le même motif, il n'a
pas pu non plus transmettre de copie des données à caractère personnel du plaignant.
49. La Chambre Contentieuse a toutefois jugé ci-dessus37 qu'après la migration des boîtes de
réception, le défendeur traitait encore des données à caractère personnel du plaignant.
Bien que la mesure /dev/null ait supprimé les e-mails proprement dits dans un délai très
court, le défendeur a démontré qu'il pouvait toutefois retrouver l'expéditeur de ces e-mails
au départ des données de connexion de l'environnement dans lequel les e-mails sont
initialement arrivés. Vu que ces données étaient des données à caractère personnel du
plaignant, ce dernier avait le droit de les obtenir. Ainsi, le plaignant aurait en effet pu vérifier
que des e-mails provenant de contacts personnels étaient encore arrivés, e-mails qu'il
aurait manqués, comme l'e-mail à l'origine de la plainte.
50. La Chambre Contentieuse estime que le défendeur a commis une violation de l'article 15
du RGPD en ne donnant pas accès aux données à caractère personnel qui étaient encore
traitées concernant le plaignant après la migration des boîtes de réception, à savoir les
données de connexion conservées des e-mails qui arrivaient encore sur les deux adresses
e-mail du plaignant.
II.8. Droit à l'effacement (article 17 du RGPD)
51. L'article 17.1 du RGPD confère au plaignant le droit de demander l'effacement de toutes ses
données et de l'obtenir lorsque (d) les données à caractère personnel ont fait l'objet d'un
traitement illicite.
37
Voir à cet égard le point 29 de la présente décision.
Décision quant au fond 01/2026 — 16/21
52. Le défendeur a argumenté que la mesure /dev/null supprimait les données à caractère
personnel du plaignant immédiatement après réception.
53. La Chambre Contentieuse a jugé ci-dessus38 que les données à caractère personnel du
plaignant ont fait l'objet d'un traitement illicite après la migration des boîtes de réception.
Outre le maintien des deux adresses e-mail proprement dites, la Chambre Contentieuse a
constaté que les données de connexion des e-mails entrants étaient bel et bien accessibles
pour le défendeur. Cela a été démontré par le défendeur lui-même étant donné qu'il avait
réclamé auprès du service IT un exemple d'une telle donnée de connexion et qu'il l'avait
jointe à ses conclusions.
54. Vu que ces données à caractère personnel ont fait l'objet d'un traitement illicite, le plaignant
avait le droit d'obtenir cet effacement et le défendeur aurait dû supprimer tant les adresses
e-mail elles-mêmes que toutes les données de connexion associées à ces adresses e-mail
dans les trente jours après la demande du plaignant.
55. La Chambre Contentieuse estime que le défendeur a commis une violation de l'article 17.1
du RGPD en ne supprimant pas toutes les données à caractère personnel du plaignant
malgré sa demande à cet effet.
III. Mesures correctrices et sanctions
III.1. Mesures correctrices et sanctions
56. Aux termes de l’article 100, § 1er de la LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer
ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du
traitement ;
9° ordonner une mise en conformité du traitement ;
38
Voir à cet égard le point 45 de la présente décision.
Décision quant au fond 01/2026 — 17/21
10° ordonner la rectification, la restriction ou l'effacement des données et la
notification de celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État
ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui
l'informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site Internet de l'Autorité
de protection des données.
III.2. Gravité de la violation
57. La Chambre Contentieuse a jugé que le défendeur ne disposait d'aucune base juridique
conformément à l'article 5.1.a) du RGPD juncto l'article 6.1 du RGPD pour traiter les
adresses e-mail et les données à caractère personnel y afférentes du plaignant après la
migration des boîtes de réception qu'il a réalisée. En ce qui concerne la nature de la
violation, la Chambre Contentieuse tient compte du fait que le principe de licéité est un
principe fondamental de la protection qui est garantie par le RGPD. Ce principe est
également repris à l’article 8.2 de la Charte des droits fondamentaux de l’Union
européenne. La Chambre Contentieuse estime que les violations de ce principe
fondamental constituent dès lors des violations importantes.
58. La Chambre Contentieuse a également considéré que le défendeur n'avait pas donné accès
aux données à caractère personnel qu'il traitait encore concernant le plaignant, en dépit
des demandes répétées de ce dernier. Le droit d'accès constitue le point d'ancrage et donc
également la pierre angulaire de l'exercice d'autres droits prévus par le RGPD, comme le
droit de s'opposer au traitement de données à caractère personnel (article 21 du RGPD) et
ce qu'on appelle le droit à l'oubli (article 17 du RGPD). Il est dès lors extrêmement important
que les personnes concernées qui exercent leur droit d'accès aient effectivement accès à
toutes les données à caractère personnel qui les concernent et qui ont été collectées par le
responsable du traitement.
59. Enfin, la Chambre Contentieuse a également estimé que le défendeur a refusé d'effacer les
données à caractère personnel du plaignant malgré ses demandes répétées. Vu que ces
données à caractère personnel ont fait l'objet d'un traitement illicite, elles ne pouvaient pas
Décision quant au fond 01/2026 — 18/21
être en possession du défendeur et seul un effacement immédiat de ces données aurait pu
rectifier cette illicéité.
60. La Chambre Contentieuse prend toutefois également en compte le fait qu'avec la mesure
/dev/null, le défendeur a tenté de limiter le traitement de ces données à caractère
personnel. Bien que cette mesure technique n'ait pas empêché le traitement des données
à caractère personnel, comme l'a affirmé le défendeur, elle a fait en sorte que les e-mails
proprement dits n'arrivent pas dans l'environnement Microsoft du défendeur et ne soient
a priori pas lisibles pour le personnel du défendeur.
61. Enfin, la Chambre Contentieuse est sensible au fait que le défendeur est actif dans le
secteur ICT et spécialisé dans la cybersécurité. Le défendeur est donc censé être au
courant des modalités et des conséquences de la mesure technique qu'il a instaurée et de
l'état de la technique concernant les mesures alternatives pour éviter ce traitement de
données à caractère personnel.
62. La Chambre Contentieuse constate que, dans le respect de l'arrêt 'Deutsche Wohnen' de
la CJUE39 :
• le défendeur ne pouvait pas ignorer que ses agissements engendraient une
violation ;
• il n'y a aucune preuve d'intention ;
• il ne s'agit que d'une négligence limitée, vu les mesures prises ;
et estime que, vu le temps écoulé, une amende administrative ne constituerait pas la
mesure la plus utile dans cette affaire.
III.3. Mesures correctrices et sanctions
III.3.1. Mesures correctrices
63. Dès lors que la Chambre Contentieuse a constaté que le défendeur ne disposait pas d'une
base juridique pour traiter les données à caractère personnel du plaignant, n'avait pas
donné accès au plaignant aux données à caractère personnel traitées et a refusé de
procéder à l'effacement des données à caractère personnel du plaignant, malgré ses
demandes répétées, il convient de prendre des mesures correctrices à charge du
défendeur.
64. Dans le cadre d’une protection juridique effective en vertu de l’article 47 de la Charte des
droits fondamentaux de l’Union européenne et de l’application effective que le législateur
vise avec le RGPD, il convient tout d’abord d’ordonner au défendeur, conformément à
39
CJUE, Arrêt du 5 décembre 2023, Deutsche Wohnen SE, C-807/21 ECLI:EU:C:2023:950, para. 76 - 78.
Décision quant au fond 01/2026 — 19/21
l’article 58.2.f) du RGPD et à l'article 100, § 1er, 8° de la LCA, de mettre fin au traitement
des adresses e-mail et des boîtes de réception correspondantes du plaignant, de donner
accès à toutes les données à caractère personnel du plaignant qui sont encore
disponibles pour le défendeur et ensuite de supprimer toutes les données à caractère
personnel du plaignant relatives à ces adresses e-mail. Avec cette injonction, la Chambre
Contentieuse évite la poursuite du traitement illicite des données à caractère personnel du
plaignant, donne au plaignant accès à ses données à caractère personnel lorsque c'est
possible et donne suite à la demande du plaignant pour que toutes ses données à caractère
personnel soient finalement effacées et que les données à caractère personnel obtenues
de manière illicite soient supprimées.
III.3.2. Sanctions
65. Dans ces circonstances et en raison des violations constatées de l'article 5.1.a) juncto
l'article 6.1 du RGPD ainsi que des articles 15 et 17.1 du RGPD, la Chambre Contentieuse
décide de formuler à l'égard du défendeur une réprimande, en vertu de l'article 58.2.b)
du RGPD et de l'article 100, § 1er, 5° de la LCA, vu que :
• il a traité des données à caractère personnel du plaignant sans disposer d'une
base juridique à cette fin ;
• il n'a pas donné accès au plaignant à ces données à caractère personnel malgré
des demandes répétées du plaignant et
• il a refusé d'effacer les données à caractère personnel du plaignant après ses
demandes répétées, alors que ces données à caractère personnel faisaient
l'objet d'un traitement illicite.
Décision quant au fond 01/2026 — 20/21
IV. Publication de la décision
66. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après
délibération :
- En vertu de l'article 58.2.f) du RGPD et de l'article 100, § 1 er, 8° de la LCA, d'ordonner
la fin du traitement des adresses e-mail et des boîtes de réception correspondantes
du plaignant, de donner accès à toutes les données à caractère personnel du plaignant
qui sont encore disponibles pour le défendeur et de supprimer ensuite toutes les
données à caractère personnel du plaignant concernant ces adresses e-mail et
- En vertu de l'article 58.2.b) du RGPD et de l'article 100, § 1 er, 5° de la LCA, de formuler
une réprimande à l’égard du défendeur étant donné qu'il :
• a commis une violation de l'article 5.1.a) du RGPD juncto l'article 6.1 du RGPD,
vu qu'il a traité des données à caractère personnel du plaignant sans disposer
d'une base juridique à cette fin ;
• a commis une violation de l'article 15 du RGPD, vu qu'il n'a pas donné accès
au plaignant à ces données à caractère personnel, malgré ses demandes
répétées et
• a commis une violation de l'article 17.1 du RGPD vu qu'il a refusé d'effacer les
données à caractère personnel du plaignant après ses demandes répétées,
alors que ces données à caractère personnel faisaient l'objet d'un traitement
illicite.
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la
Cour des marchés (Cour d’appel de Bruxelles) dans un délai de trente jours à compter de sa
notification, avec l’Autorité de protection des données en qualité de défenderesse.
Un tel recours peut être introduit au moyen d'une requête contradictoire qui doit comporter les
mentions énumérées à l'article 1034ter du Code judiciaire40. La requête contradictoire doit être
40
"La requête contient à peine de nullité :
1° l'indication des jour, mois et an ;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d'entreprise ;
Décision quant au fond 01/2026 — 21/21
déposée au greffe de la Cour des marchés, conformément à l'article 1034quinquies du Code
judiciaire41, ou via le système informatique e-Deposit de la Justice (article 32ter du Code judiciaire).
(sé) Hielke Hijmans
Directeur de la Chambre Contentieuse
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer ;
4° l'objet et l'exposé sommaire des moyens de la demande ;
5° l'indication du juge qui est saisi de la demande ;
6° la signature du requérant ou de son avocat."
41
"La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe."