1/13
Chambre Contentieuse
Décision quant au fond 10/2019 du 25/11/2019
N° de dossier : DOS-2018-06068
Objet : Plainte à l’encontre d’un candidat aux élections communale pour non-respect du
principe de finalité dans le cadre de l’envoi de courriers de propagande électorale
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Y. Poullet et C. Boeraeve, membres, laquelle reprend l’affaire dans
sa présente composition ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement Général sur la
Protection des Données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le règlement d'ordre intérieur de l’Autorité de protection des données tel qu'approuvé par la
Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante :
Décision quant au fond 10/2019 du 25/11/2019 - 2/13
I. Rétroactes de la procédure
Vu la plainte déposée le 21 octobre 2018 par X auprès de l’Autorité de protection des données ;
Vu les éléments complémentaires communiqués par X auprès de l’Autorité de protection des données
reçus par ce dernier le 21 novembre 2018 ;
Vu la décision du 10 décembre 2018 du Service de première ligne de l’Autorité de protection des
données déclarant la plainte recevable et la transmission de celle-ci à la Chambre Contentieuse à cette
même date ;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 19 décembre 2018 de demander
une enquête au service d’inspection en application des articles 63,2° et 94, 1° LCA ;
Vu la saisine de l’Inspecteur général à cette même date ;
Vu le rapport et procès-verbal d’enquête de l’Inspecteur général transmis le 4 avril 2019 à la Chambre
Contentieuse, dont les constats sont reproduits dans cette décision (voir point III) ;
Vu la décision prise par la Chambre contentieuse lors de sa séance du 15 mai 2019 de considérer que
le dossier était prêt pour traitement quant au fond en vertu des articles 95 § 1er, 1° et 98 LCA ;
Vu la communication, le 20 mai 2019, du rapport et procès-verbal d’enquête de l’Inspecteur général
aux parties et l’invitation de la Chambre Contentieuse aux parties à faire valoir leurs arguments selon
un calendrier établi ;
Vu le courriel du 6 juin 2019 de Maître W aux termes duquel il fait part à la Chambre Contentieuse de
son intervention en qualité de conseil du candidat aux élections communales Y et aux termes duquel
il précise d’ores et déjà qu’à l’issue de l’échange de conclusions, son client souhaite être entendu en
application de l’article 51 du Règlement d’ordre intérieur de l’Autorité de protection des données;
Vu les conclusions de X reçues le 12 juin 2019 ;
Vu les conclusions déposées le 17 juillet 2019 par Maître W, conseil du candidat aux élections
communales Y;
...
Décision quant au fond 10/2019 du 25/11/2019 - 3/13
Vu l’audition lors de la séance du 5 novembre 2019 au cours de laquelle le plaignant a comparu en
personne et était assistée par Maître Z et au cours de laquelle le candidat aux élections Y était
représenté par son conseil, Maître W ;
Vu le procès-verbal d’audition du 5 novembre 2019 dont le contenu est résumé au point IV de la
présente décision.
II. Les faits et l’objet de la plainte
Le plaignant est une habitant de la commune de … et candidat aux élections communales d’octobre
2018 dans cette commune sur une liste concurrente à celle du candidat aux élections communales Y,
défendeur.
Monsieur Y est le bourgmestre de … depuis 2006, réélu dans cette fonction à l’issue des élections
communales d’octobre 2018.
Dans sa plainte, X expose qu’il a reçu un courrier de propagande électorale daté du 9 octobre 2018
de la part de Monsieur Y - courrier à l’en-tête de la commune de … cabinet du Bourgmestre et sous
enveloppe du cabinet du Bourgmestre -, dans lequel ce dernier, signant en sa qualité de bourgmestre,
lui écrit ce qui suit :
« Cher X,
Il y a 6 ans déjà, les citoyens de … m’ont renouvelé leur confiance en tant que Bourgmestre.
A ce titre, j’ai eu l’occasion de vous rencontrer lors d’un rendez-vous citoyen ou de recevoir
un courrier de votre part dans lequel vous avez pu m’exposer les questions, les attentes ou
les problèmes que vous rencontriez.
Comme vous avez pu le constater, je me suis toujours rendu disponible (…).
Dimanche prochain vous êtes appelés à voter (…).
Aussi, je me permets de solliciter de votre part votre soutien afin de me permettre de continuer
à m’investir avec autant d’enthousiasme et de motivation en tant que Bourgmestre de tous
les …
(…)
Votre Bourgmestre
...
Décision quant au fond 10/2019 du 25/11/2019 - 4/13
(Signature)
Y ».
M. X dénonce le fait que M. Y a constitué une base de données et collecté ses données à caractère
personnel sans l’en informer, base de données qui comprend en outre les données de tous les autres
citoyens de la commune ayant sollicité l’intervention de M. Y en sa qualité de Bourgmestre. Lors de
l’audition du 5 novembre 2019, il précise à cet égard qu’il n’a, à titre personnel, pas sollicité
l’intervention de Monsieur Y mais bien accompagné un voisin qui avait lui fait cette démarche auprès
du c lors de son rendez-vous.
Il dénonce en outre le fait que ses données ont été réutilisées dans le cadre de la campagne électorale
d’octobre 2018 pour lui adresser le courrier précité.
III. Le rapport et procès-verbal d’enquête de l’Inspecteur général
Aux termes de son rapport et procès-verbal d’enquête, l’Inspecteur général fait les constats suivants :
« Dans son courrier en réponse [lisez en réponse à la demande d’information que lui a adressée
l’Inspecteur général], Mr. Y explique que la liste complémentaire [soit la liste des personnes l’ayant
sollicité en qualité de bourgmestre] a été constituée entre 2012 et 2018 dans le cadre de sa fonction
de Bourgmestre de la commune de …. Elle reprend les coordonnées de citoyens qui ont demandé un
rendez-vous ou lui ont écrit afin d’exposer leurs doléances dans le but d’obtenir une information, une
aide ou un avis dans un cas qui les préoccupe. C’est sur la base de la liste électorale, croisée avec les
données de la liste complémentaire, qu’il a transmis son courrier électoral ».
Ledit rapport de l’Inspecteur général constate également que cette liste complémentaire reprend les
données suivantes : prénom, nom, adresse, numéro de téléphone des personnes ayant contacté
Monsieur Y en sa qualité de Bourgmestre ainsi que l’objet du contact.
IV. Le procès-verbal d’audition du 5 novembre 2019
Lors de l’audition du 5 novembre 2019, le conseil du plaignant a développé oralement les arguments
déposés par écrit par ce dernier au cours de la procédure. Le plaignant a particulièrement insisté –
comme déjà évoqué au point II - sur le fait qu’il n’avait personnellement pas sollicité d’intervention de
Monsieur Y mais accompagné un voisin qui, lui, avait entrepris telle démarche. Son conseil a insisté
sur le fait que la collecte initiale de données n’avait pas fait l’objet d’une information au plaignant.
Quant à Monsieur Y, son conseil a également développé oralement les arguments écrits qu’il avait
précédemment déposés. Il a insisté sur le fait que si certes Monsieur Y avait opéré un croisement
entre la liste de contacts le sollicitant en sa qualité de Bourgmestre d’une part et la liste des électeurs
...
Décision quant au fond 10/2019 du 25/11/2019 - 5/13
d’autre part, il aurait, pour partie du moins, également pu se souvenir d’un certain nombre de
concitoyens l’ayant sollicité au cours de sa mandature en parcourant la liste des électeurs et leur écrire.
Il a également relevé que seule cette liste a été croisée avec celle des électeurs et non toute autre
liste d’un autre service / département communal auquel les habitants auraient fait appel.
V. Quant à la compétence de l’APD, en particulier de la Chambre Contentieuse
Quant à la compétence de l’Autorité de protection des données, en particulier de la
Chambre Contentieuse
En application de l’article 4 § 1er de la LCA, l'Autorité de protection des données est responsable du
contrôle du respect des principes fondamentaux de la protection des données à caractère personnel,
dans le cadre de la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données
(LCA) et des lois contenant des dispositions relatives à la protection du traitement des données à
caractère personnel.
En application de l’article 33 §1er de la LCA, la Chambre Contentieuse est l’organe de contentieux
administratif de l’Autorité. Elle est saisie des plaintes que le Service de première ligne lui transmet en
application de l’article 62 § 1er LCA, soit des plaintes recevables dès lors que conformément à l’article
60 alinéa 2 LCA, ces plaintes sont rédigées dans l'une des langues nationales, contiennent un exposé
des faits et les indications nécessaires pour identifier le traitement de données à caractère personnel
sur lequel elles portent et relèvent de la compétence de l'Autorité de protection des données.
Dans un arrêt du 23 octobre 2019 1, La Cour des marchés confirme à cet égard que:
“De bevoegdheid van de GBA strekt zich enkel uit tot het oordelen over een correcte naleving van de
AVG en de Belgische privacywetgeving zoals duidelijk omschreven in de GBA-wet”.
[Traduction : La compétence de l'APD se limite uniquement à se prononcer sur le respect correct du
RGPD et de la législation belge en matière de vie privée, comme le spécifie clairement la loi APD] 2.
En conséquence, l’Autorité de protection des données n’est pas compétente pour se prononcer sur
une possible violation du règlement d’ordre intérieur du Conseil communal de … (article 75-17) qui ne
serait pas constitutive d’un manquement aux règles de protection des données ou sur la validité d’une
décision d’irrecevabilité d’une demande d’interpellation citoyenne introduite par le plaignant, deux
griefs invoqués par le plaignant aux termes des conclusions qu’il a déposées qui ne portent pas sur le
respect des principes fondamentaux de la protection des données à caractère personnel à l’égard de
1
Hof van beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, arrest dd. 23 oktober 2019.
2
Traduction libre réalisée par le Secrétariat de l’Autorité de protection des données en l’absence de traduction officielle.
...
Décision quant au fond 10/2019 du 25/11/2019 - 6/13
traitements de données personnelles identifiés et tels que définis à l’article 4 1) et 2) du Règlement
général sur la protection des données (RGPD) .
VI. Sur les motifs de la décision
Sur le manquement à l’obligation de traiter les données de manière compatible avec les
finalités pour lesquelles elles ont été collectées
En sa qualité de responsable de traitement, Monsieur Y est tenu de respecter les principes de
protection des données et doit être en mesure de démontrer que ceux-ci sont respectés (principe de
responsabilité – article 5.2. du RGPD). Il doit par ailleurs mettre en œuvre toutes les mesures
nécessaires à cet effet (article 24 du RGPD).
Le principe de finalité est un principe angulaire de la protection des données. Consacré dès 1981 à
l’article 5 b) de la Convention pour la protection des personnes à l'égard du traitement automatisé des
données à caractère personnel du Conseil de l’Europe (STE 108), il est énoncé à l’article 6 § 1 b) de
la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données ainsi qu’à l’article 4 § 1, 2° de la Loi du 8 décembre 1992 relative à la
protection de la vie privée à l'égard des traitements de données à caractère personnel . Lors de la
consécration du droit à la protection des données au rang de droit fondamental part l’article 8 de la
Charte des droits fondamentaux de l’Union européenne en 2000, le principe de finalité a été énoncé
au titre d’élément clé de ce droit 3. Ce principe a, en toute logique été repris à l’article 5.1.b) du RGPD
au titre des Principes relatifs au traitement des données à caractère personnel (Chapitre II).
L’article 5 § 1 b) du RGPD dispose ainsi que :
« 1. Les données à caractère personnel doivent être : ( …) b) collectées pour des finalités
déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière
incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt
public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas
3
Article 8 de la Charte des droits fondamentaux de l’Union européenne : 1. Toute personne a droit à la protection des
données à caractère personnel la concernant.
2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne
concernée ou en vertu d'un autre fondement légitime prévu par la loi. Toute personne a le droit d'accéder aux données
collectées la concernant et d'en obtenir la rectification.
3. Le respect de ces règles est soumis au contrôle d'une autorité indépendante.
...
Décision quant au fond 10/2019 du 25/11/2019 - 7/13
considéré conformément à l’article 89 paragraphe 1, comme incompatible avec les finalités
initiales » (limitation des finalités).
En d’autres termes, ce principe exige que les données soient collectées pour des finalités déterminées,
explicites et légitimes, et ne soient pas traitées ultérieurement de manière incompatible avec ces
finalités. Le traitement ultérieur de données à caractère personnel pour d'autres finalités que celle(s)
pour laquelle (lesquelles) ces données ont été collectées initialement n'est autorisé que si ce
traitement ultérieur est compatible avec les finalités pour lesquelles les données à caractère personnel
ont été collectées initialement, compte tenu du lien entre les finalités pour lesquelles elles ont été
collectées et les finalités du traitement ultérieur envisagé, du cadre dans lequel les données à caractère
personnel ont été collectées, des conséquences possibles du traitement ultérieur envisagé pour la
personne concernée et de l'existence de garanties appropriées. Une finalité compatible est par
exemple une finalité que la personne concernée peut prévoir ou qui peut être considérée comme
compatible en vertu d'une disposition légale (voy. l’article 6.4. du RGPD).
Dans sa note « Elections » publiée dès le début des années 2000 sur son site Internet et mise à jour
à la suite de l’entrée en application du RGPD 4, l’Autorité de protection des données mentionne que :
« Dans cette optique, il n'est donc pas permis de réutiliser les données à caractère personnel
enregistrées dans les fichiers précités [ soit tant des fichiers publics que professionnels par
exemple ] dans un but de propagande électorale. Un tel traitement est incompatible avec les
finalités pour lesquelles ces données ont été initialement récoltées, ce qui est punissable en
vertu de l'article 83.5 du RGPD ».
La note poursuit en précisant que :
« A titre d'exemple, les données à caractère personnel de citoyens qui ont été obtenues dans
le cadre de l'exercice d'un mandat échevinal ne peuvent pas être réutilisées pour l'organisation
d'une campagne électorale. Il s'agit alors d'un usage abusif d'informations obtenues de
manière licite dans le cadre de l'exercice d'un mandat échevinal. Une telle utilisation de
données à caractère personnel est non seulement interdite en raison du principe de limitation
des finalités mais rompt l'égalité entre les partis politiques et l'égalité entre les candidats. La
législation vise à traiter tous les candidats sur un pied d'égalité en leur donnant accès aux
mêmes données, à savoir celles figurant sur les listes des électeurs ».
4
Traitement de données à caractère personnel à des fins d’envois personnalisés de propagande électorale et respect de la vie
privée des citoyens : principes fondamentaux,
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Note_elections_RGPD.pdf
...
Décision quant au fond 10/2019 du 25/11/2019 - 8/13
Toute utilisation ultérieure incompatible est interdite sauf deux exceptions prévues à l’article 6.4. du
RGPD. Lorsque la personne concernée a donné son consentement au traitement ultérieur pour une
finalité distincte ou lorsque le traitement se base sur une disposition légale qui constitue une mesure
nécessaire et proportionnée dans une société démocratique notamment pour la garantie de finalités
importantes d'intérêt public, le responsable du traitement a tout de même la possibilité de traiter
ultérieurement ces données à caractère personnel pour d'autres finalités, qu’elles soient compatibles
ou non avec les finalités initiales.
La Chambre Contentieuse précise à cet égard que le consentement de la personne concernée doit
porter sur le traitement ultérieur pour une finalité distincte et non constituer, le cas échéant, la base
de légitimité du premier traitement. Autrement dit, il importe peu à cet égard que le traitement de
données initial soit lui-même fondé sur le consentement. Quoi qu'il en soit, il faut veiller à ce que la
personne concernée soit informée de telles autres finalités et de ses droits. 5
Tant dans ses réponses apportées par courrier du 25 mars 2019 aux questions posées par l’Inspecteur
général que dans les conclusions qu’il a déposées devant la Chambre Contentieuse, Monsieur Y ne
conteste pas avoir croisé les données personnelles d’un nombre conséquent de personnes l’ayant
sollicité de 2012 à 2018 (liste de 476 personnes au total) avec celles de la liste des électeurs pour
adresser aux premiers un courrier les invitant à se souvenir du service rendu et à voter pour lui aux
élections communales d’octobre. Le rapport de l’Inspecteur général du 4 avril 2019 en fait également
état. Lors de l’audition du 5 novembre 2019, Monsieur Y insiste sur le fait que ledit courrier ne fait pas
état du service rendu et n’est adressé qu’aux personnes l’ayant sollicité et non à toutes celles qui lors
de son mandat de Bourgmestre, auraient fait appel à l’un ou l’autre service communal.
Comme la Chambre Contentieuse l’a décidé dans sa décision 04/2019 du 28 mai 2019 6, cette utilisation
ultérieure de données personnelles est incompatible avec la finalité première du traitement et n’est
pas autorisée par le RGPD. L’argument selon lequel les personnes concernées figurant sur cette liste
auraient donné leur consentement est écarté par la Chambre Contentieuse. En effet, contrairement à
ce qu’avance le défendeur, le consentement – qui devrait par ailleurs satisfaire à toutes les conditions
de l’article 7 du RGPD – qui fonderait le traitement initial n’est pas de nature à qualifier ledit traitement
ultérieur d’admissible au regard des articles 5 § 1b) et 6.4. du RGPD.
5
Traitement de données à caractère personnel à des fins d’envois personnalisés de propagande électorale et respect de la vie
privée des citoyens : principes fondamentaux :
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Note_elections_RGPD.pdf
6
Cette décision est publiée: https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/BETG04-
2019ANO_FR.pdf
...
Décision quant au fond 10/2019 du 25/11/2019 - 9/13
En conclusion, il résulte de ce qui précède qu’en utilisant un fichier constitué au départ des données
de personnes l’ayant sollicité en qualité de Bourgmestre sous la précédente mandature en leur
adressant un courrier – à l’en-tête de la Commune de …, cabinet du Bourgmestre et signé en qualité
de bourgmestre - dans le contexte des élections communales d’octobre 2018 destiné à les inviter à
voter pour lui, Monsieur Y a traité lesdites données à caractère personnel de manière incompatible
avec la finalité initiale de la collecte de telles données - fut-ce celle-ci licite - et ce, en méconnaissance
des articles 5 § 1 b) et 6.4. du RGPD.
La Chambre Contentieuse rappelle de manière générale que tout traitement de données à caractère
personnel – en ce compris la collecte initiale mais également la conservation des données collectées
notamment – doit s’appuyer sur une des bases de licéité prévues à l’article 6 du RGPD. Les droits,
d’information notamment, de la personne concernée tels que prévus au Chapitre III du RGPD doivent
par ailleurs être respectés.
Les données ne peuvent en outre, en application de l’article 5 § 1 e) du RGPD être conservées sous
une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas
celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
VII. Sur les mesures correctrices et les sanctions
Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
...
Décision quant au fond 10/2019 du 25/11/2019 - 10/13
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.
Quant à l’amende administrative qui peut être imposée en exécution des articles 83 du RGPD et des
articles 100, 13° et 101 LCA, l’article 83 du RGPD prévoit :
« Article 83 RGPD
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en
vertu du présent article pour des violations du présent règlement, visées aux paragraphes 4,
5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points
a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider
du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce,
des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou
de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées
et le niveau de dommage qu'elles ont subi;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu
des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles
25 et 32;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le
sous-traitant;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs;
g) les catégories de données à caractère personnel concernées par la violation;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et
dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées
à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet,
le respect de ces mesures;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes
de certification approuvés en application de l'article 42; et
...
Décision quant au fond 10/2019 du 25/11/2019 - 11/13
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation.
Quant à la nature de la violation (article 83.2.a) du RGPD), la Chambre Contentieuse a rappelé que le
respect du principe de finalité est un principe essentiel et fondateur de la protection des données. Ce
principe, consacré à l’article 5 du RGPD (Chapitre II – Principes ; Article 5 - principes relatifs au
traitement des données à caractère personnel) est d’application non pas uniquement depuis l’entrée
en application du RGPD le 24 mai 2018 mais bien depuis l’entrée en application dès 1993 de la Loi du
8 décembre 1992 relative aux traitements des données à caractère personnel qui l’a précédé. Le non-
respect de ce principe fondamental est, selon la Chambre Contentieuse, constitutif d’un manquement
grave.
L’argument invoqué selon lequel Monsieur Y ne maîtrisait pas tous les contours de cette règlementation
qualifiée de « nouvelle », ne résiste donc pas à l’analyse. Cette absence de maîtrise n’enlève rien à la
circonstance qu’à l’époque des faits, le respect du principe de finalité était d’application depuis plus de
25 ans déjà.
Quant à l’intention dans le chef de Monsieur Y, celle-ci est avérée. Il n’a pas agi par négligence mais
délibérément utilisé la liste des personnes s’étant adressés à lui au cours de son mandat précédent de
bourgmestre pour contacter ces derniers dans le contexte des élections communales d’octobre 2018
à…
Quant à la finalité du traitement (art. 83.2.a) du RGPD), la Chambre Contentieuse constate qu’elle
consiste à inciter les destinataires du courrier à voter pour un candidat en particulier. Si tel est bien
entendu le but de toute campagne électorale, le respect des lois dans le contexte de celle-ci est
particulièrement important, d’autant qu’en sa qualité de bourgmestre sortant, celui-ci bénéficie de
facto d’une notoriété auprès des électeurs. A cet égard, le Comité européen de la protection des
données (CEPD) a récemment rappelé l’importance des règles de protection des données dans le
contexte électoral en ces termes: « le respect des règles de protection des données, en ce compris
dans le contexte des activités et campagnes électorales, est essential à la protection de la démocratie.
C’est également un moyen de préserver la confiance des citoyens et l’intégrité des élections » 7.
7
Voy. European Data Protection Board (EDPB), Statement 2/2019 on the use of personal data in the course of political
campaigns (13 March 2019): “Compliance with data protection rules, including in the context of electoral activities and political
campaigns, is essential to protect democracy. It is also a means to preserve the trust and confidence of citizens and the integrity
of elections”.
...
Décision quant au fond 10/2019 du 25/11/2019 - 12/13
La qualité de bourgmestre de Monsieur Y depuis 2006 aurait, comme l’a souligné la Chambre
Contentieuse dans sa décision 04/2019 du 28 mai 2019 déjà citée 8, par ailleurs dû s’accompagner
d’un comportement exemplaire au regard du respect de la législation, en ce compris celle de la
protection des données, tout particulièrement dans le contexte électoral. Cette qualité de mandataire
public déjà au moment des faits est retenue par la Chambre Contentieuse dans l’appréciation de la
gravité du manquement. Monsieur Y ayant par ailleurs été réélu depuis octobre 2018 dans sa fonction
de bourgmestre, la Chambre Contentieuse prend également cet élément en compte dans l’appréciation
du caractère effectif que doit présenter toute sanction en application de l’article 83 du RGPD.
La Chambre Contentieuse relève également qu’en ce qui concerne les données traitées (article 83.2.
a) du RGPD), Monsieur Y a utilisé les seules données d’identification des citoyens l’ayant
précédemment contacté (nom, prénom, adresse), ce dernier soulignant que les données traitées dans
le cadre de l’envoi visé par la plainte sont également à sa disposition via le Registre des électeurs
auquel il peut légitimement avoir recours à des fins de propagande électorale – et dont, pour une
partie du moins, il aurait pu se souvenir en parcourant ladite liste des électeurs. La Chambre
Contentieuse estime que si les catégories de données à caractère personnel traitées (nom, prénom et
adresse postale) ne sont pas de nature à porter une atteinte irrémédiable à la vie privée et la protection
des données des destinataires desdits courriers, en revanche, dans le contexte électoral et eu égard
à la finalité du traitement déjà évoquée, le nombre de personnes concernées (476) - a fortiori eu
égard au nombre d’électeurs potentiels d’une commune comme celle de …- n’est pas négligeable. Il
est par ailleurs établi qu’il y a bien eu croisement des listes.
La Chambre contentieuse précise que les autres critères listés à l’article 83.2. du RGPD ne sont, dans
cette affaire, pas de nature à aboutir à une amende administrative d’un montant autre que celui
qu’elle fixe aux termes de la présente décision.
En conclusion, au regard des éléments développés ci-dessus propres à cette affaire, la Chambre
Contentieuse estime que les faits constatés et le manquement aux articles 5 § 1 b) et 6.4. du RGPD,
justifient qu’au titre de sanction effective, proportionnée et dissuasive telle que prévue à l’article 83
8
La décision de la Chambre des litiges 04/2019 du 28 mai 2019 énonce à cet égard ce qui suit : « Cela [lisez le respect des
règles fixées par le RGPD] s'applique à tout responsable du traitement et a fortiori au titulaire d'un mandat public tel qu'un
bourgmestre. Le citoyen doit avoir la certitude que les données qu'il confie au titulaire d'un mandat public dans l'exercice de
ses fonctions ne seront pas utilisées à d'autres fins, en violation de la loi. Qui plus est, il s'agit en l'espèce d'une utilisation à
des fins personnelles du titulaire de ce mandat. On doit pouvoir attendre d'un bourgmestre qu'il ait connaissance des obligations
découlant du RGPD ou qu'il se renseigne correctement à ce sujet. Le fait que les médias soient très attentifs à l'application du
RGPD a également son importance. La Chambre Contentieuse estime qu'un bourgmestre doit montrer l'exemple quand il s'agit
de respecter la loi ».
...
Décision quant au fond 10/2019 du 25/11/2019 - 13/13
du RGPD et compte tenu des facteurs d’appréciation listés à l’article 83.2. du RGPD, une réprimande
(article 100 § 1er, 5° LCA), assortie d’une amende administrative d’un montant de 5000 euros (article
100 § 1er, 13 et 101 LCA) soit prononcée à l’encontre de Monsieur Y.
Pour tous les motifs précités, et afin de rappeler à l’ensemble des mandataires publics, le droit
applicable à la protection des données à caractère personnel et l’interdiction d’utiliser des fichiers de
citoyens pour des finalités autres et incompatibles avec les finalités pour lesquelles elles ont été
initialement recueillies, la Chambre Contentieuse estime indispensable de rendre publique sa décision
sur la base de l’article 100 § 1, 16° LCA en omettant toutes les données qui permettent l’identification
directe des parties. Ce faisant, l’Autorité de protection des données agit conformément au souhait du
législateur prévu à l’article 7, 2° de la Loi du 5 mai 2019 modifiant le Code d’instruction criminelle et
le Code judiciaire en ce qui concerne la publication des jugements et des arrêts, anticipant ainsi l’entrée
en vigueur de cette disposition (M.B., 16 mai 2019).
PAR CES MOTIFS,
La Chambre Contentieuse de l'Autorité de protection des données décide, après délibération, de :
- Prononcer à l’encontre de Monsieur Y une réprimande sur la base de l’article 100 § 1er, 5°
LCA ;
- Prononcer à l’encontre de Monsieur Y une amende administrative d’un montant de 5000
euros en application des articles 100 § 1er, 13° et 101 LCA ;
- Rendre publique sa décision sur la base de l’article 100 § 1, 16° LCA en la publiant sur son
site Internet https://www.autoriteprotectiondonnees.be/ en omettant toutefois tout élément
permettant l’identification directe des parties.
En vertu de l’article 108, § 1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés dans un délai de 30 jours à compter de sa notification, avec l'Autorité de protection des
données en tant que défenderesse.
Hielke Hijmans
Président de la Chambre Contentieuse