1/7
Chambre Contentieuse
Décision 101/2024 du 25 juillet 2024
Numéro de dossier : DOS-2023-04076
Objet : Plainte relative à l’absence de réponse à l’exercice du droit d’accès
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, ci-après « le plaignant » ;
La défenderesse : Y, ci-après : « la partie défenderesse » ou « la défenderesse ».
Décision 101/2024 — 2/7
I. Faits et procédure
1. Le 4 octobre 2023, le plaignant, en sa qualité de DPO de la société Z, a introduit une plainte
auprès de l’Autorité de protection des données (ci-après « l’APD ») au nom des employés de
la société ainsi qu’en son nom personnel, contre Y (ci-après « la défenderesse » ou « la partie
défenderesse »).
2. L’objet de la plainte concerne une absence de réponse à l’exercice du droit d’accès.
3. Le 26 septembre 2023, le plaignant a reçu un courriel automatique à son adresse
électronique professionnelle nominative, provenant de la défenderesse, qui faisait la
promotion d’une vente aux enchères organisées par cette dernière.
4. Le 27 septembre 2023, le plaignant a exercé son droit d’accès en demandant à la
défenderesse, au nom des employés de la société ainsi qu’en son nom personnel, de lui
fournir des informations spécifiques. Plus précisément, il a demandé à ce que la
défenderesse lui communique le moyen par lequel elle a pu accéder à la liste des adresses
électroniques professionnelles du personnel de l’entreprise où le plaignant est employé.
5. Dans le formulaire de plainte, le plaignant a indiqué que ses collègues recevaient depuis
plusieurs jours des courriels publicitaires non sollicités sur leurs adresses professionnelles.
En annexe de sa plainte, le plaignant a produit comme preuve le courriel qu’il avait reçu le 26
septembre 2023 sur sa seule adresse électronique professionnelle nominative.
6. Le 24 novembre 2023, la plainte a été déclarée recevable par le Service de Première Ligne
(ci-après « SPL ») sur la base des articles 58 et 60 de la LCA1 et la plainte a été transmise à la
Chambre Contentieuse en vertu de l'article 62, § 1 er de la LCA2.
7. Le 24 janvier 2024, le plaignant a informé l’APD demeurer sans réponse de la part de la
défenderesse.
II. Motivation
8. En application de l’article 4, § 1er de la LCA, l'APD est responsable du contrôle des principes
de protection des données contenus dans le RGPD et d’autres lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.
9. En application de l’article 33, § 1er de la LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est saisie des plaintes que le SPL lui transmet en
application de l’article 62, § 1er de la LCA, soit des plaintes recevables. Conformément à
l’article 60 alinéa 2 de la LCA, les plaintes sont recevables si elles sont rédigées dans l'une
des langues nationales, contiennent un exposé des faits et les indications nécessaires pour
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de
cette plainte, le dossier lui a été transmis.
Décision 101/2024 — 3/7
identifier le traitement de données à caractère personnel sur lequel elles portent et qui
relèvent de la compétence de l'APD.
10. En application des articles 51 et s. du RGPD et de l’article 4, § 1er de la LCA, il revient à la
Chambre Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer
un contrôle effectif de l’application du RGPD et de protéger les libertés et droits
fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux
des données à caractère personnel au sein de l'Union.
11. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
12. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur
base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95,
§ 1er de la LCA, la Chambre Contentieuse décide de la suite à donner à la plainte ; en
l’occurrence, la Chambre Contentieuse décide sur la base de l'article 58.2.c) du RGPD et
l'article 95, § 1er, 5° de la LCA, d’ordonner à la partie défenderesse de se conformer à la
demande de la personne concernée d'exercer ses droits, plus précisément le droit d'accès
soumis par le plaignant le 27 septembre 2023, et ce dans un délai de 30 jours à compter
de la notification de la présente décision.
13. La Chambre Contentieuse prend en considération le grief soulevé par le plaignant au sujet
de l'absence de réponse de la part de la partie défenderesse à sa demande d'accès exercée
le 27 septembre 2023, conformément à l’ article 15 du RGPD.
14. L’article 4.7) du RGPD définit le « responsable du traitement » comme étant « la personne
physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou
conjointement avec d’autres, détermine les finalités et les moyens du traitement » 3.
15. La Chambre Contentieuse rappelle que le responsable du traitement doit donner suite à la
demande formulée en application des articles 15 à 22 du RGPD par la personne concernée,
en l’espèce une demande d'accès prévue par l’article 15 du RGPD, et ce dans le respect des
conditions fixées à l’article 12 du RGPD 4.
16. En vertu de l'article 12.1 du RGPD, il appartient au responsable du traitement de prendre «
des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que
pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui
3
Selon l’article 4, 2) du RGPD, un « traitement » de données à caractère personnel désigne « toute opération ou tout ensemble
d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données
à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la
modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de
mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ».
4
RGPD, art. 12.
Décision 101/2024 — 4/7
concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible et aisément accessible, en des termes clairs et simples [...]. ».
17. La Chambre Contentieuse souligne également qu’il incombe au responsable du traitement
de fournir à la personne concernée des informations sur les mesures prises à la suite d’une
demande formulée en application des articles 15 à 22 du RGPD, dans les meilleurs délais et
en tout état de cause dans un délai d’un mois à compter de la réception de la demande 5.
L’article 12.3 du RGPD prévoit que ce délai peut, au besoin, être prolongé de deux mois,
compte tenu de la complexité et du nombre de demandes 6. Dans un tel cas, le responsable
du traitement informe la personne concernée de cette prolongation et des motifs du report
dans un délai d’un mois à compter de la réception de la demande 7.
18. Dans l’hypothèse où le responsable du traitement ne donne pas suite à la demande formulée
par la personne concernée, il informe celui-ci sans tarder et au plus tard dans un délai d’un
mois à compter de la réception de la demande des motifs de son inaction et de la possibilité
d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours
juridictionnel8.
19. En outre, la Chambre rappelle aussi qu’en sa qualité de responsable du traitement, la partie
défenderesse est tenue de respecter les principes de protection des données et doit être en
mesure de démontrer que ceux-ci sont respectés. Elle doit par ailleurs mettre en œuvre
toutes les mesures nécessaires à cet effet (principe de responsabilité – articles 5.2 et 24 du
RGPD).
20. Enfin, la Chambre Contentieuse rappelle que le droit d’accès 9 est une des exigences
majeures du droit à la protection des données, il constitue la « porte d’entrée » qui permet
l’exercice des autres droits que le RGPD confère à la personne concernée, tel le droit à la
rectification, le droit à la limitation du traitement ou le droit à l’effacement.
21. Sur la base des pièces étayant la plainte, la Chambre Contentieuse constate que le plaignant
a effectivement exercé son droit d'accès le 27 septembre 2023, conformément à l’article
15.1 du RGPD. De plus, il est à noter que le plaignant, ne semblant pas avoir reçu de réponse
à sa demande, a soumis sa plainte à l’APD le 24 novembre 2023, dépassant ainsi les délais
5
RGPD, art. 12.2 et 12.3.
6
RGPD, art. 12.3.
7
RGPD, art. 12.3.
8
RGPD, art. 12.4.
9
Aux termes de cet article 15, la personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des
données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès aux dites données à
caractère personnel ainsi que les informations suivantes (article 15.1. du RGPD) : les finalités du traitement (a), les catégories
de données à caractère personnel (b), les destinataires ou catégories de destinataires des données (c), la durée de
conservation (d), une information relative aux autres droits que confère le RGPD (e), le droit d’introduire une plainte auprès de
l’autorité de protection des données (f), toute information relative à la source des données lorsque celles-ci n’ont pas été
collectées auprès de la personne concernée (g) et l’existence d’une prise de décision automatisée (h). L’article 15.2 du RGPD
prévoit que si les données sont transférées vers un pays tiers ou une organisation internationale, la personne concernée a le
droit d'être informée des garanties appropriées concernant ce transfert, conformément à l'article 46 du RGPD. L’article 15.3.
du RGPD prévoit que le responsable du traitement doit fournir une copie des données à caractère personnel faisant l'objet du
traitement. Il peut facturer des frais raisonnables pour des copies supplémentaires. Si la personne concernée fait sa demande
par voie électronique, les informations doivent être fournies sous une forme électronique courante, sauf si la personne
demande autrement.
Décision 101/2024 — 5/7
de réponse impartis au responsable du traitement en vertu des articles 12.3 et 12.4 du RGPD.
En date du 24 janvier 2024, aucune réponse n’aurait encore été fourni au plaignant. Enfin, la
Chambre Contentieuse souligne que si la partie défenderesse avait pleinement respecté les
exigences énoncées à l'article 12 du RGPD, elle aurait pris en compte la demande d’accès.
Cette démarche aurait potentiellement évité au plaignant d'entamer une procédure devant
l’APD.
22. Suite à l’analyse susmentionnée, la Chambre Contentieuse estime que la partie
défenderesse pourrait avoir commis une violation des dispositions suivantes : l’article 15 du
RGPD, combinées aux articles 12.3 et 12.4 du RGPD ; ce qui justifie la prise d’une décision
prima facie par la Chambre Contentieuse qui se décline comme suit : en vertu de l'article
58.2.c) du RGPD et de l'article 95, §1er, 5° de la LCA, d’ordonner à la partie défenderesse de
se conformer à la demande du plaignant d’exercer son droit d'accès.
23. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant,
dans le cadre de la « procédure préalable à la décision de fond »10 et pas une décision sur le
fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
24. La présente décision a pour but d’informer la partie défenderesse, présumée responsable
du traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
25. Si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et
estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient conduire à une
nouvelle décision, elle peut demander un réexamen à la Chambre Contentieuse selon la
procédure établie par les articles 98 juncto 99 de la LCA, connue sous le nom de « procédure
quant au fond » ou « traitement de l’affaire sur le fond ». Cette demande doit être envoyé à
l’adresse e-mail [email protected] dans le délai de 30 jours suivant la
notification de la présente décision prima facie. Le cas échéant, l’exécution de la présente
décision est suspendue pendant la période susmentionnée.
26. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
27. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA11.
10
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
11
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
Décision 101/2024 — 7/7
[email protected], et ce dans le délai de 30 jours après la notification de la présente
décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
Et, d’autre part, la défenderesse peut introduire un recours contre cette décision conformément à
l'article 108, § 1 de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour
des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie
défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit
contenir les informations énumérées à l'article 1034ter12 du Code judiciaire. La requête
interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article
1034quinquies du C. jud.13, ou via le système d'information e-Deposit du Ministère de la Justice
(article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
12
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
13
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.