1/9
Chambre Contentieuse
Décision quant au fond 06/2019 du
17 septembre 2019
Numéro de dossier : DOS-2018-04470
Objet : plainte pour utilisation de la carte d’identité pour la création d’une carte de fidélité
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur H. Hijmans,
Président, et de Messieurs Y. Poullet et F. De Smet, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données) (ci-après le "RGPD") ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après la LCA
;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
.
.
.
Décision quant au fond 06/2019 - 2/9
1. Faits et procédure
- Le 28 août 2018, le plaignant a porté plainte auprès de l'Autorité de protection des données contre
le défendeur.
L’objet de la plainte concerne la carte de fidélité proposée par le défendeur à ses clients. Selon le
plaignant, la création de la carte de fidélité s’effectue par la lecture de la carte d’identité
électronique et l’utilisation des données de celle-ci. Le défendeur refuse de délivrer la carte de
fidélité si le client ne souhaite pas que l’on utilise sa carte d’identité électronique mais bien
uniquement ses données écrites. Selon le plaignant, les faits datent des 8 et 30 juin 2018.
- Le 26 septembre 2018, la plainte est déclarée recevable sur la base des articles 58 et 60 de la LCA,
le plaignant en est informé en vertu de l'article 61 de la LCA et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA.
- Le 23 octobre 2018, la Chambre Contentieuse décide de demander une enquête au Service
d'Inspection, en vertu des articles 63, 2° et 94, 1° de la LCA.
- Le 29 octobre 2018, conformément à l’article 96, § 1 de la LCA, la demande de la Chambre
Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que la
plainte et le procès-verbal de cette décision.
- Le 10 mai 2019, l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier et
celui-ci est transmis par l’Inspecteur Général au Président de la Chambre Contentieuse (article 91,
§ 1 et § 2 de la LCA).
- Le 28 mai 2019, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98
de la LCA, que le dossier peut être traité sur le fond.
- Le 3 juin 2019, les parties concernées sont informées par envoi recommandé des dispositions telles
que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en
vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions.
La date limite pour la réception des conclusions en réponse du plaignant a été fixée au 28 juin 2019,
celle pour les conclusions en réplique du défendeur au 29 juillet 2019.
Décision quant au fond 06/2019 - 3/9
- Le 18 juin 2019, le défendeur demande une copie du dossier (article 95, § 2, 3° de la LCA).
Le défendeur déclare en outre accepter de recevoir par voie électronique toute communication
relative à l'affaire (article 98, 1° de la LCA).
- Le 24 juin, une copie du dossier est transmise au défendeur.
- Le plaignant n’introduit aucune conclusion en réponse auprès de la Chambre Contentieuse.
Le plaignant transmet néanmoins encore des informations complémentaires à la Chambre
Contentieuse, et ce toutefois en dehors du délai pour les conclusions, de sorte que les pièces reçues
du plaignant les 8 et 29 juillet 2019 ont été écartées des débats.
- Le 30 juillet 2019, la Chambre Contentieuse reçoit les conclusions en réplique de la part du
défendeur.
2. Base juridique
- Article 5.1.c) du RGPD
1. Les données à caractère personnel sont :
[…]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles
elles sont traitées (minimisation des données) ;
[…]
- Article 6.1 du RGPD
1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes
est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour
une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie
ou à l'exécution de mesures précontractuelles prises à la demande de celle- ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du
traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou
d’une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publique dont est investi le responsable du traitement ;
Décision quant au fond 06/2019 - 4/9
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du
traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits
fondamentaux de la personne concernée qui exigent une protection des données à caractère
personnel, notamment lorsque la personne concernée est un enfant.
Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités publiques
dans l'exécution de leurs missions.
- Article 13.1 du RGPD
1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées
auprès de cette personne, le responsable du traitement lui fournit, au moment où les données
en question sont obtenues, toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant
du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que
la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils
existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de
données à caractère personnel vers un pays tiers ou à une organisation internationale, et
l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas
des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la
référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit
où elles ont été mises à disposition.
- Article 13.2.a) du RGPD
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la
personne concernée, au moment où les données à caractère personnel sont obtenues, les
informations complémentaires suivantes qui sont nécessaires pour garantir un traitement
équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible,
les critères utilisés pour déterminer cette durée ;
[…]
Décision quant au fond 06/2019 - 5/9
3. Motivation
La Chambre Contentieuse base son avis principalement sur les constatations faites par le Service
d'Inspection.
Le Service d’Inspection constate que le défendeur base le traitement de données à caractère personnel
pour la création d’une carte de fidélité uniquement sur les données disponibles via la carte d’identité
électronique.
Le Service d’Inspection confirme donc la plainte en ce sens qu’aucune alternative n’est proposée aux
clients qui désirent effectivement une carte de fidélité mais qui ne veulent pas que le défendeur utilise
pour cela leur carte d’identité électronique, et ce alors que d’après le Service d’Inspection, l’obtention
du consentement et la proposition d’une alternative sont bel et bien requises.
À cet égard, le Service d’Inspection renvoie également à l’article 6, § 4 de la loi du 19 juillet 1991
relative aux registres de la population, aux cartes d'identité, aux cartes des étrangers et aux
documents de séjour, tel qu’applicable à partir du 23 décembre 2018, et qui prévoit que la carte
d'identité électronique ne peut être lue ou utilisée qu'avec le consentement libre, spécifique et éclairé
de son titulaire. Lorsqu’un avantage ou un service est proposé à un citoyen au moyen de sa carte
d’identité dans le cadre d’une application informatique, une alternative ne nécessitant pas le recours
à la carte d’identité électronique doit également être proposée. Le Service d’Inspection se réfère
également en la matière à la Recommandation n° 03/2011 1 afin d’appuyer l’exigence de consentement
et la proposition d’une alternative.
La Chambre Contentieuse considère qu’en l’espèce, il est question d’infractions aux articles 5.1.c)
(minimisation des données), 6 (fondement du traitement) et 13 (information de la personne
concernée) du RGPD :
Minimisation des données
La Chambre Contentieuse souligne que la minimisation des données doit être considérée
comme un principe essentiel auquel un traitement de données doit satisfaire et qui est repris
en tant que tel à l’article 5 du RGPD, reflétant l’essence de ce règlement. C’est non seulement
le cas dans le cadre de l’application du RGPD, mais ça l’était également dans le cadre de la loi
du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de
données à caractère personnel. La référence du Service d’Inspection à la Recommandation
1
Recommandation d’initiative n° 03/2011 du 25 mai 2011 relative à la prise de copie des cartes d'identité ainsi qu'à leur
utilisation et à leur lecture électronique, émise par la Commission de la protection de la vie privée.
Décision quant au fond 06/2019 - 6/9
n° 03/2011 est dès lors justifiée et doit être comprise sous cet angle, à savoir qu’une
minimisation des données doit toujours primer.
La modification de l’article 6 de la loi du 19 juillet 1991 tel que mentionné ci-avant constitue
également une application du principe général de minimisation des données, tel que consacré
à l’article 5.1.c) du RGPD. L’argument du défendeur selon lequel les faits sur lesquels porte la
plainte datent d’avant l’entrée en vigueur de la modification de l’article 6 de la loi du
19 juillet 1991 n’est dès lors pas pertinent.
Le rapport d’inspection indique également que les données de client qui sont traitées sont les
suivantes : nom, prénoms, adresse, date de naissance, sexe, moment à partir duquel la
personne concernée est cliente et montant des achats. Le code-barres de la carte d’identité
électronique où est repris le numéro de Registre national est lié par le défendeur aux données
du client.
Pour la Chambre Contentieuse, ce qui suit est primordial. Le traitement de données implique
l’utilisation du numéro de Registre national, repris dans le code-barres de la carte d’identité
électronique, ce qui n’est pas pertinent. À cet égard, la Chambre Contentieuse estime
important que des règles particulières s’appliquent à l’utilisation du numéro de Registre
national (déjà applicables avant le 23 décembre 2018), qui prescrivent une utilisation très
prudente de ce numéro de Registre national. Vu que d’après les constatations du Service
d’Inspection, le code-barres est utilisé pour retrouver le client dans le fichier clients, la
Chambre Contentieuse suppose que le numéro de Registre national - ou en tout cas une partie
du numéro de carte d’identité - est utilisé en violation du principe de minimisation.
La Chambre Contentieuse souligne également que le traitement des données de client (nom,
prénoms, adresse, date de naissance, sexe, moment à partir duquel la personne concernée
est cliente et montant des achats) ne respecte pas le principe de minimisation, vu que les
données "sexe et date de naissance" ne sont pas non plus pertinentes. À cet égard, la Chambre
Contentieuse part du principe que la carte de fidélité n’est pas utilisée pour contrôler l’âge
minimum pour l’achat d’alcool.
Vu que la méthode utilisée par le défendeur pour créer des cartes de fidélité ne respecte pas
le principe de minimisation des données, la Chambre Contentieuse estime par conséquent que
l’infraction à l’article 5.1.c) du RGPD est avérée.
Décision quant au fond 06/2019 - 7/9
Légalité du traitement
D’après la Chambre Contentieuse, contrairement à ce qu’avance le défendeur, le
consentement ne peut pas être invoqué comme base juridique pour le traitement vu que dans
la méthode actuelle du défendeur, le consentement ne peut absolument pas être considéré
comme un consentement libre au sens de l’article 4.11. du RGPD, faute d’un système alternatif
permettant la création d’une carte de fidélité sans utilisation de la carte d’identité électronique,
donnant également la possibilité dans ce cas à la personne concernée de bénéficier de
réductions. La Chambre Contentieuse se réfère également à cet égard aux Lignes directrices
du Groupe 29 sur le consentement au sens du Règlement 2016/679 2, stipulant que l’adjectif
"libre" implique un choix et un contrôle réel pour les personnes concernées. En règle générale,
le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer
un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes
si elle ne donne pas son consentement, le consentement n’est pas valable. Si le consentement
est présenté comme une partie non négociable des conditions générales, l’on considère qu’il
n’a pas été donné librement. Le consentement ne sera par conséquent pas considéré comme
étant donné librement si la personne concernée n’est pas en mesure de refuser ou de retirer
son consentement sans subir de préjudice. Vu que dans le cas d’espèce, le plaignant, et par
extension l’ensemble des clients, peuvent uniquement bénéficier de réductions par le biais de
leur carte d’identité électronique et que le défendeur ne propose aucune alternative pour la
création d’une carte de fidélité afin de pouvoir jouir de cet avantage, il est clair qu’il n’est pas
question de consentement libre.
Bien que le défendeur ne l’invoque pas, la Chambre Contentieuse a examiné dans quelle
mesure le traitement pourrait se fonder sur l’article 6.1.f) du RGPD et dans quelle mesure le
traitement pourrait s’avérer nécessaire à la défense de ses intérêts légitimes. La Chambre
Contentieuse observe qu’à cette fin, il convient de procéder à une pondération avec l’intérêt
de la personne concernée afin d’évaluer quel intérêt est prépondérant. Pour cette base
juridique également, la Chambre Contentieuse déclare qu’une telle pondération des intérêts
conduit en l’espèce à la conclusion que l’intérêt du plaignant, et par extension de l’ensemble
des clients, prime.
La Chambre Contentieuse décide que l’infraction à l’article 6.1. du RGPD est avérée.
2
Lignes directrices sur le consentement au sens du Règlement 2016/679, établies le 28 novembre 2017, révisées et adoptées
le 10 avril 2018.
Décision quant au fond 06/2019 - 8/9
Compte tenu du fait que la violation de l’article 5.1.c) du RGPD concerne un principe fondamental en
matière de traitement de données et que la violation de l’article 6.1. du RGPD est d'une nature telle
qu'il n’existe dès lors aucune base juridique valable sur laquelle on peut fonder le traitement de
données, la Chambre Contentieuse inflige une amende administrative de 10.000 euros.
Vu l’article 83.2. du RGPD, notamment la nature et la gravité des deux violations, la Chambre
Contentieuse considère que cette sanction est justifiée. Le non-respect des dispositions en question
du RGPD doit être considéré comme une négligence grave ayant un impact considérable non
seulement sur le traitement des données du plaignant, mais aussi sur celui de l’ensemble des clients
du défendeur, à défaut d’une alternative pour la création du fichier clients sur la base de la carte
d’identité électronique, en l'absence de consentement valable et eu égard au traitement excessif de
données.
Information de la personne concernée
En ce qui concerne les autres constatations du Service d’Inspection, à savoir :
a) la contradiction entre l’affirmation du défendeur selon laquelle il n’y a pas de communication
de données à des tiers alors que la déclaration de confidentialité indique que des transferts
sont possibles au sein de l’Espace Économique Européen à des société affiliées.
b) l’absence d’information claire de la personne concernée, en particulier sur le plan de la base
juridique et du délai de conservation
la Chambre Contentieuse prend acte du fait que le défendeur reconnaît que celles-ci peuvent être
considérées à raison comme des manquements au RGPD et déclare que des mesures
supplémentaires seront prises à court terme pour mettre le traitement de données en conformité
avec le RGPD.
La Chambre Contentieuse déclare sur la base de ce qui précède que la violation des
articles 13.1.c), 13.1 e) et 13.2. a) du RGPD doit être considérée comme avérée suite aux
constatations du Service d’Inspection et qu’il convient d’ordonner une mise en conformité du
traitement avec ces articles du RGPD.
Décision quant au fond 06/2019 - 9/9
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération, d’infliger
des sanctions concernant la violation des articles 5.1. c) ; 6.1. ; 13.1. c) ; 13.1. e) et 13.2. a) du
RGPD :
- en vertu de l’article 100, § 1, 9° de la LCA, d’ordonner au défendeur de mettre le
traitement en conformité avec l’article 5.1. c), l’article 6.1., l’article 13.1. c),
l’article 13.1. e) et l’article 13.2. a) du RGPD
- en vertu de l’article 101 de la LCA, d’infliger une amende administrative de 10.000 euros
suite à l’infraction à l’article 5.1. c) et à l’article 6.1. du RGPD.
- de publier la présente décision sur le site Internet de l'Autorité de protection des
données, en vertu de l'article 100, § 1, 16° de la LCA, certes après anonymisation.
En vertu de l'article 108, § 1 de la loi du 3 décembre 2017, cette décision peut faire l'objet d'un recours
dans un délai de trente jours, à compter de la notification, à la Cour des marchés, avec l’Autorité de
protection des données comme défendeur.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse