1/11
Chambre Contentieuse
Décision quant au fond 08/2019 du
17 septembre 2019
Numéro de dossier : DOS-2018-03587
Objet : plainte pour non-suppression de données à caractère personnel obtenues dans le
cadre d’une candidature
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur H. Hijmans,
Président, et de Messieurs D. Van Der Kelen et F. De Smet, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données) (ci-après le "RGPD") ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après la LCA
;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
.
.
.
Décision quant au fond 08/2019 - 2/11
1. Faits et procédure
- Le 10 juillet 2018, le plaignant a porté plainte auprès de l'Autorité de protection des données
contre le défendeur.
L’objet de la plainte concernait l’absence de suite par le défendeur à la demande de supprimer
les données à caractère personnel fournies par le plaignant dans le cadre de sa candidature
auprès du défendeur. Dans le cadre de l’exercice par le plaignant du droit à la suppression des
données, celui-ci a reçu comme réponse de la part du défendeur : " Le message ci-dessous n’est
pas un mailing mais une réponse à votre propre candidature".
- Le 23 juillet 2018, la plainte est déclarée recevable sur la base des articles 58 et 60 de la LCA, le
plaignant en est informé en vertu de l'article 61 de la LCA et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA.
- Le 14 novembre 2018, la Chambre Contentieuse décide de demander une enquête au Service
d'Inspection, en vertu des articles 63, 2° et 94, 1° de la LCA.
- Le 21 novembre 2018, conformément à l’article 96, § 1 er de la LCA, la demande de la Chambre
Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que la
plainte et le procès-verbal de cette décision.
- Le 27 mai 2019, l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier et
celui-ci est transmis par l’inspecteur général au Président de la Chambre Contentieuse (article 91,
§ 1er et § 2 de la LCA).
Le rapport contient des constatations relatives à l’objet de la plainte et conclut que le défendeur
n’a pas respecté les obligations en matière de droit à l’effacement des données (article 12.3 et 4
et article 17 du RGPD).
Le rapport comporte également des constatations allant plus loin que l’objet de la plainte.
Le Service d’Inspection constate, dans les grandes lignes, que :
1. le défendeur n’a pas respecté les obligations découlant des articles 5.1.e) et 5.2 du RGPD
ainsi que de l’article 6 du RGPD ;
2. le défendeur n’a pas respecté les obligations imposées par les articles 12.1. et 12.2. du RGPD
ainsi que les articles 13.1.b) et 13.2.b) du RGPD ;
3. le défendeur n’a pas respecté les obligations imposées par les articles 24.1., 28.1. et 30.1.
du RGPD ;
Décision quant au fond 08/2019 - 3/11
4. le défendeur n’a pas respecté les obligations imposées par les articles 37.5. et 37.7. du RGPD.
- Le 11 juin 2019, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article
98 de la LCA, que le dossier peut être traité sur le fond.
Sur la base du rapport du Service d’Inspection, la Chambre Contentieuse décide de scinder le
dossier en deux affaires distinctes :
1. En vertu de l’article 92, 1° de la LCA, la Chambre Contentieuse prendra une décision sur
le fond en ce qui concerne l’objet de la plainte
2. En vertu de l’article 92, 3° de la LCA, la Chambre Contentieuse prendra une décision sur
le fond suite aux constatations effectuées par le Service d’Inspection en dehors du cadre
de la plainte.
- Le 13 juin 2019, les parties concernées sont informées par envoi recommandé des dispositions
telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également
informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions.
Pour les constatations relatives à l’objet de la plainte, la date limite pour la réception des
conclusions en réponse du plaignant a été fixée au 11 juillet 2019, celle pour les conclusions en
réplique du défendeur au 12 août 2019.
En ce qui concerne les constatations allant au-delà de l’objet de la plainte, la date limite pour la
réception des conclusions en réponse du défendeur a été fixée au 11 juillet 2019.
- Le 13 juin 2019, en application de l’article 48, alinéa 2 du règlement d’ordre intérieur, le Service
d’Inspection est informé du courrier adressé au défendeur suite aux constatations effectuées en
dehors du cadre de la plainte.
- Le 21 juin 2019, le défendeur demande une copie du dossier (article 95, § 2, 3° de la LCA).
- Le 28 juin 2019, une copie du dossier est transmise au défendeur.
- Le 10 juillet 2019, la Chambre Contentieuse reçoit les conclusions en réponse du défendeur en
ce qui concerne les constatations allant au-delà de l’objet de la plainte. Celui-ci y manifeste son
souhait de recourir à la possibilité d’être entendu (article 98, 2° de la LCA).
- Le 23 juillet 2019, de nouveaux délais sont fixés pour les conclusions relatives aux constatations
concernant l’objet de la plainte, vu que suite à son changement d’adresse, le plaignant n’a pas
reçu le calendrier initialement fixé pour les conclusions. La date ultime pour recevoir les
conclusions en réponse du plaignant a ainsi été fixée au 6 août 2019 et celle pour les conclusions
en réplique du défendeur au 26 août 2019.
Décision quant au fond 08/2019 - 4/11
- Le plaignant n’introduit aucune conclusion en réponse auprès de la Chambre Contentieuse en ce
qui concerne les constatations effectuées par le Service d’Inspection relatives à l’objet de la
plainte.
- Le 21 août 2019, la Chambre Contentieuse reçoit les conclusions en réplique du défendeur
concernant les constatations du Service d’Inspection relatives à l’objet de la plainte. Celui-ci y
manifeste aussi son souhait de recourir à la possibilité d’être entendu (article 98, 2° de la LCA).
- Le 6 septembre 2019, les parties sont informées du fait que l'audition aura lieu le 17 septembre
2019.
- Le 17 septembre 2019, les parties sont entendues par la Chambre Contentieuse.
2. Base juridique
- Articles 12.3. et 12.4. du RGPD
"3. Le responsable du traitement fournit à la personne concernée des informations sur les
mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les
meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la
demande. Au besoin, ce délai peut être prolongé de 2 mois, compte tenu de la complexité et du
nombre de demandes. Le responsable du traitement informe la personne concernée de cette
prolongation dans un délai d’un mois à compter de la réception de la demande. Lorsque la
personne concernée présente sa demande sous une forme électronique, les informations sont
fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne
demande qu'il en soit autrement.
4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne
concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'1 mois à compter de la
réception de la demande des motifs de son inaction et de la possibilité d'introduire une plainte
auprès d'une autorité de contrôle et de former un recours juridictionnel."
Décision quant au fond 08/2019 - 5/11
- Article 13.2.b) du RGPD
"En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne
concernée, au moment où les données à caractère personnel sont obtenues, les informations
complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :
[…]
b) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère
personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la
personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données ;
- Article 30.1.d) et g)
1. Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement
tiennent un registre des activités de traitement effectuées sous leur responsabilité. Ce registre
comporte toutes les informations suivantes:
[…]
d) les catégories de destinataires auxquels les données à caractère personnel ont été ou seront
communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ;
[…]
g) dans la mesure du possible, une description générale des mesures de sécurité techniques et
organisationnelles visées à l'article 32, paragraphe 1.
Dans la présente décision, la Chambre Contentieuse ne reprend que les dispositions du RGPD pour
lesquelles une violation est établie, pas les autres dispositions examinées ci-après.
3. Motivation
A. L’objet de la plainte concerne essentiellement l’exercice du droit à l’effacement de données par le plaignant.
La plainte porte donc tout d’abord sur la violation de l’article 17 du RGPD qui aurait été commise par le
défendeur en ne donnant pas suite à la demande de suppression des données à caractère personnel
fournies par le plaignant dans le cadre de sa candidature. Vu que le défendeur nie toutefois fermement
avoir jamais enregistré les données du plaignant dans son fichier de données et que pour la Chambre
Contentieuse, il n’a été démontré en aucune façon que ces données y seraient quand même reprises, les
données à caractère personnel ne peuvent dès lors pas être effacées, comme demandé par le plaignant,
et la Chambre Contentieuse ne peut pas établir de violation de l’article 17 du RGPD.
La Chambre Contentieuse a toutefois examiné ensuite dans quelle mesure le plaignant avait été informé
conformément aux exigences du RGPD. Le défendeur reconnaît que la formulation de la réponse à la
demande d’effacement des données aurait pu être plus claire. Le défendeur avance que par la formule
utilisée, on voulait dire que la personne concernée avait reçu l’e-mail en question uniquement en réponse
Décision quant au fond 08/2019 - 6/11
à sa candidature et dans le cadre de celle-ci et que pour le reste, les données de la personne concernée
n’avaient pas été traitées par le défendeur, ni conservées dans son fichier de données.
La Chambre Contentieuse estime que seules des informations dénuées d’ambiguïté sur la suite réservée à
la demande d’effacement des données peuvent être acceptées. En outre, ces informations doivent être
fournies dans le délai repris à l’article 12.3. du RGPD. Ce délai n’a pas été respecté par le défendeur.
Si le responsable du traitement ne donne pas suite à une demande d’effacement des données, il est tenu
d’informer la personne concernée des motifs de son inaction (article 12.4. du RGPD). Plutôt que de déclarer
ne pas avoir pu procéder à la suppression des données à caractère personnel du plaignant, en raison du
fait que les données de la personne concernée n’auraient pas été enregistrées dans son fichier de données,
le défendeur aurait dû également informer le plaignant de cet élément, ce qui n’a toutefois pas été fait.
La Chambre Contentieuse décide que la violation des articles 12.3. et 12.4. du RGPD est avérée et
que la sanction mentionnée ci-après est appropriée.
B. Pour chacune des constatations du Service d’Inspection allant au-delà de l’objet de la plainte, la Chambre
Contentieuse a examiné dans quelle mesure il était question d’une violation des dispositions concernées du
RGPD.
1. En ce qui concerne la licéité du traitement (article 6 du RGPD) et la responsabilité (article 5.2. du
RGPD)
Le Service d’Inspection affirme que le défendeur ne justifie pas quelle est ou quelle était la base
juridique pour la collecte de données à caractère personnel de candidats dont les données se
trouvaient déjà dans la base de données du défendeur avant l’entrée en vigueur du RGPD.
Le défendeur répond à cela que tous ceux qui disposent d’un profil intéressant pour de futures missions
sont repris dans sa base de données. Ils en ont été explicitement informés et ont donné leur
consentement univoque.
Depuis l’entrée en vigueur du RGPD, ce consentement est demandé aux candidats au moment où ils
posent leur candidature. Les personnes concernées reçoivent par ailleurs immédiatement après leur
candidature un e-mail leur offrant la possibilité de se désinscrire.
Les candidats qui se trouvaient déjà dans la base de données avant l’entrée en vigueur du RGPD ont
reçu un mailing les invitant à donner explicitement leur consentement pour continuer à être repris
dans la base de données. Ces candidats ont également été informés de la déclaration de confidentialité
du défendeur.
Une base juridique suffisante sous-tend donc manifestement le traitement, à savoir le consentement
des candidats, et aucune violation des articles 6 et 5.2. du RGPD ne peut être établie. En ce
qui concerne les données des candidats qui étaient déjà reprises dans la base de données avant
Décision quant au fond 08/2019 - 7/11
l’entrée en vigueur du RGPD, la Chambre Contentieuse fait en outre remarquer que bien qu’une base
juridique était nécessaire pour tout traitement de données même avant cette entrée en vigueur, la
Chambre Contentieuse n’est pas compétente pour se prononcer sur la façon dont la collecte de
données s’était déroulée à l’époque.
En ce qui concerne le principe de limitation de la conservation (article 5.1.e) du RGPD)
Le Service d’Inspection affirme que le défendeur ne justifie pas la nécessité de conserver les données
à caractère personnel de la personne concernée pendant 10 ans après la dernière utilisation si aucun
contrat n’est conclu.
Le défendeur explique que le délai de conservation de 10 ans après la dernière utilisation correspond
au délai de prescription pour les actions contractuelles. La base de données comporte non seulement
des données de personnes ayant posé leur candidature pour un projet déterminé et qui n’y ont pas
été affectées, mais aussi de personnes ayant déjà été engagées pour un projet et auxquelles le délai
de prescription contractuel s’applique. Par souci de clarté, le passage concerné dans la déclaration de
confidentialité a été adapté.
Vu qu’il ressort des pièces que le délai de conservation est légitime et a été suffisamment différencié
selon qu’il s’agisse de candidats non-retenus ou de personnes engagées pour un projet déterminé, en
indiquant explicitement que le délai de conservation de 10 ans ne s’applique qu’à ces dernières,
aucune violation de l’article 5.1.e) du RGPD ne peut être établie.
2. En ce qui concerne la transparence des informations, de la communication et des modalités de
l’exercice des droits de la personne concernée (articles 12.1. et 12.2. du RGPD)
Le Service d’Inspection constate que la déclaration de confidentialité du défendeur comporte une
clause de non-responsabilité afin de limiter les dommages causés par des informations sur le site
Internet. La déclaration de confidentialité indique également que le contenu du site peut à tout
moment être adapté, modifié ou étendu sans annonce ou notification préalable.
Le défendeur affirme que sa déclaration de confidentialité concerne l’utilisation du site Internet et n’a
aucun rapport avec les droits qui peuvent être exercés par les personnes concernées dans le cadre de
la réglementation relative à la protection des données à caractère personnel.
Les documents présentés par le défendeur indiquent que les dispositions relatives à l'utilisation du site
Internet ont été reprises dans un document distinct et supprimées de la déclaration de confidentialité.
La procédure interne dans le cadre d’une demande d’une personne concernée de se désinscrire a
également été reprise dans une notice écrite, ce qui amène la Chambre Contentieuse à constater que,
vu les précisions apportées par le défendeur, il n’est question d’aucune violation des articles
12.1. et 12.2. du RGPD.
Décision quant au fond 08/2019 - 8/11
En ce qui concerne les informations à fournir lorsque les données à caractère personnel sont collectées
auprès de la personne concernée (article 13.1.b) et article 13.2.b) du RGPD)
Le Service d’Inspection constate que la déclaration de confidentialité du défendeur ne mentionne pas
les coordonnées du délégué à la protection des données.
Le défendeur répond à cela que l’obligation de désigner un délégué à la protection des données ne
s’applique pas à lui. Seul un responsable pour les questions liées à la protection de la vie privée a été
désigné. D’après le défendeur, la mention des coordonnées de ce responsable dans la déclaration de
confidentialité ne serait dès lors pas nécessaire. Le défendeur a toutefois fait le nécessaire pour quand
même intégrer les coordonnées de la personne en question dans sa déclaration de confidentialité.
Vu qu’il ne ressort pas du rapport d’inspection que le défendeur a l’obligation de désigner un délégué
à la protection des données, la Chambre Contentieuse considère donc qu’il n’y a pas de violation de
l’article 13.1.b) RGPD. Bien que la Recommandation n° 04/2017 du 24 mai 20171 et les Lignes
directrices concernant les délégués à la protection des données 2indiquent que même pour les
organisations qui ne relèvent pas de l’obligation de désigner un délégué à la protection des données,
désigner malgré tout un tel délégué constitue une bonne pratique, il ne s’agit pas d’une obligation
légale.
Concernant la constatation du Service d’Inspection selon laquelle le défendeur ne mentionne pas le
droit à la limitation du traitement de données, le défendeur signale que le nécessaire a entre-temps
été fait pour également reprendre ce droit dans sa déclaration de confidentialité. Le défendeur
reconnaît ainsi que la déclaration de confidentialité était lacunaire sur ce point, ce qui contraint la
Chambre Contentieuse à constater l’existence d’une violation de l’article 13.1.b) du RGPD.
3. En ce qui concerne la responsabilité du responsable du traitement, la relation avec le sous-traitant
(articles 24.1. et 28.1. du RGPD)
Le Service d’Inspection constate que lorsqu’on lui réclame des informations sur les garanties
contractuelles entre lui et X, le défendeur se limite à renvoyer au contrat X sans donner de justification.
Le défendeur ne démontre donc pas que le traitement est conforme au RGPD, ni que le sous-traitant
offre des garanties suffisantes et que la protection des droits de la personne concernée est garantie.
Il ressort du contrat entre le défendeur et X que lors de la réception de données à caractère personnel
suite à une candidature à une offre d’emploi publiée par X à la demande du défendeur, X intervient
en tant que sous-traitant pour le défendeur. L’article 1.2. des Conditions additionnelles pour les
publicités contient une description du service par X, où il apparaît que X déclare que les données sont
1
Recommandation relative à la désignation d’un délégué à la protection des données conformément au Règlement général sur
la protection des données (RGPD), en particulier l’admissibilité du cumul de cette fonction avec d’autres fonctions dont celle de
conseiller en sécurité.
2
Lignes directrices du Groupe de l’article 29, adoptées le 13 décembre 2016 et révisées pour la dernière fois le 5 avril 2017.
Décision quant au fond 08/2019 - 9/11
immédiatement envoyées à l’employeur et relèvent de la politique de confidentialité de l’employeur,
en l’espèce le défendeur.
Le fait est en outre que les Conditions générales de X comportent une rubrique distincte "Conditions
additionnelles traitement de données par X" garantissant spécifiquement que le traitement par X
s’effectue conformément aux obligations du RGPD, en particulier de l’article 28 du RGPD. Il ressort de
l'article 1.5 des "Conditions additionnelles traitement de données par X" que cette rubrique est
applicable au contrat entre le défendeur et X. Il y est entre autres stipulé que X prend toutes les
mesures organisationnelles et techniques pour protéger les données à caractère personnel des
personnes concernées (article 3.3 des Conditions additionnelles traitement de données par X) et que
X garantit la protection des droits des personnes concernées (article 3.7 des Conditions additionnelles
traitement de données par X).
En outre, tout ceci est décrit dans la déclaration de confidentialité de X qui est portée à la connaissance
de la personne concernée si celle-ci s’enregistre auprès de X.
Sur la base des pièces remises par le défendeur, la Chambre Contentieuse décide qu’il est
suffisamment démontré qu’il n’y a pas de violation des articles 24.1. et 28.1. du RGPD.
En ce qui concerne le registre des activités de traitement (article 30.1.d) et g) du RGPD)
Le Service d’Inspection constate que dans le fichier "GDPR-register" tel que joint par le défendeur, les
catégories de destinataires à qui les données à caractère personnel sont ou seront fournies font défaut,
ainsi qu’une description générale des mesures de sécurité techniques et organisationnelles au sens de
l’article 32.1. du RGPD.
En ce qui concerne le registre des activités de traitement, le défendeur fait observer qu’une description
générale des mesures techniques et organisationnelles au sens de l’article 32, paragraphe 1 du RGPD
n’est qu’optionnelle (article 30.1.g) du RGPD).
En ce qui concerne les catégories de destinataires, le défendeur reconnaît qu’en effet, elles n’ont pas
été énumérées, mais précise que c’est à présent bien le cas (article 30.1.d) du RGPD).
La Chambre Contentieuse constate que le défendeur a certes fait le nécessaire pour mettre le registre
des activités de traitement en ordre mais qu’auparavant, ce registre ne répondait pas à toutes les
exigences, de sorte qu’il est donc question d’une violation de l’article 30.1.d) du RGPD et de
l’article 30.1. g) du RGPD. En ce qui concerne les mesures techniques et organisationnelles, celles-
ci étaient certes mentionnées en des termes généraux dans la version adaptée du registre des activités
de traitement, et pourraient encore être précisées davantage.
4. En ce qui concerne la désignation du délégué à la protection des données (articles 37.5. et 37.7. du
RGPD)
Décision quant au fond 08/2019 - 10/11
Le Service d’Inspection constate que le défendeur n’a pas respecté les obligations imposées par les
articles 37.5. et 37.7. du RGPD. La Chambre Contentieuse répète (voir ci-avant les points B.2., p. 7 et
8) qu’étant donné qu’il ne ressort d’aucune pièce du dossier que le défendeur a l’obligation de désigner
un délégué à la protection des données et qu’elle ne dispose donc d’aucune indication que le défendeur
relèverait du champ d’application de l’article 37.1 b) ou c) du RGPD, elle considère qu’il n’y a pas de
violation des articles 37.5. et 37.7. du RGPD.
L’ensemble des mesures prises par le défendeur pour répondre aux constatations effectuées par le
Service d’Inspection qui allaient au-delà de l’objet de la plainte amènent la Chambre Contentieuse à
considérer que le défendeur a donné une suite appropriée à chacune de ces constatations afin de
remédier aux problèmes identifiés, avec pour effet que sur ces points particuliers, le défendeur a mis
le traitement de données pour lequel il est le responsable du traitement en conformité avec les
exigences du RGPD. Il n’en reste pas moins qu’avant les adaptations, la violation des articles 13.2.b),
30.1.d) et 30.1.g) du RGPD est avérée et que les sanctions énoncées ci-après doivent être considérées
comme appropriées.
Pour déterminer la nature des sanctions à infliger suite aux violations établies dans la présente décision, la
Chambre Contentieuse tient néanmoins compte du fait que le défendeur est une entreprise dont l’activité
doit être considérée comme plutôt modeste. En outre, la Chambre Contentieuse attache une importance
toute particulière à l’esprit de collaboration dont le défendeur a fait preuve afin de s’adapter sur les points
perfectibles, en vue de se mettre en règle de façon plus transparente sur ces points et d’agir conformément
aux exigences du RGPD. À cet égard, la Chambre Contentieuse observe également qu’avant même la
procédure initiée dans le cadre de la plainte, le défendeur avait clairement fourni des efforts afin de traiter
les données à caractère personnel conformément au RGPD.
La décision sera publiée, après anonymisation.
Décision quant au fond 08/2019 - 11/11
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération, d’infliger
des sanctions concernant la violation des articles 12.3., 12.4., 13.2.b), 30.1.d) et 30.1.g) du RGPD :
- en vertu de l'article 100, § 1er, 5° de la LCA, formuler une réprimande suite à la violation
des articles 12.3., 12.4., 13.2.b), 30.1.d) et 30.1.g) du RGPD ;
- publier la présente décision sur le site Internet de l'Autorité de protection des données,
en vertu de l'article 100, § 1er , 16° de la LCA , certes après anonymisation.
En vertu de l'article 108, § 1er de la loi du 3 décembre 2017, cette décision peut faire l'objet d'un
recours dans un délai de trente jours, à compter de la notification, à la Cour des marchés, avec
l’Autorité de protection des données comme défendeur.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse