1/105
Chambre Contentieuse
Décision quant au fond 102/2026 du 12 mai 2026
Un recours a été introduit contre cette décision auprès de la Cour des Marchés.
Numéro de dossier : DOS-2020-01829
Objet : Enregistrements et écoutes d’appels dans un but d’évaluation de la qualité et de
formation
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA »1 ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel, ci-après « LTD » ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 20192 ;
Vu les pièces du dossier, en ce compris les conclusions en réponse et de synthèse des parties qui
ont régulièrement été échangées, ainsi que le formulaire de sanction et la réaction de la
défenderesse à ce dernier ; et
Entendu la défenderesse lors de l’audition du 5 décembre 2025 ;
La Chambre Contentieuse de l'Autorité de protection des données (« APD ») a pris la décision
suivante concernant :
Le plaignant : X, domicilié(e) à […], ci-après « le plaignant »3, sous couvert d’anonymat ;
1
Les modifications apportées à la LCA par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création
de l'Autorité de protection des données (« Loi du 25 Décembre 2023 ») sont entrées en vigueur le 1er juin 2024 et sont
uniquement d’application pour les plaintes, les dossiers de médiation, les requêtes, les inspections et les procédures devant la
Chambre contentieuse initiés à partir de cette date. Les dossiers initiés comme en l’espèce avant le 1 er juin 2024 restent soumis
aux dispositions de la LCA telle qu'elle existait avant cette date (https://www.autoriteprotectiondonnees.be/publications/loi-
organique-de-l-apd.pdf).
2
Le nouveau règlement d’ordre intérieur (« ROI ») de l’APD consécutif aux modifications apportées à la LCA par la Loi du 25
Décembre 2023 est entré en vigueur le 1er juin 2024 et est uniquement d’application pour les plaintes, les dossiers de
médiation, les requêtes, les inspections et les procédures devant la Chambre contentieuse initiés à partir de cette date.
3
Pour préserver l’anonymat de la partie plaignante, cette dernière sera appelée « plaignant » dans cette décision. Cette
appellation « plaignant » est cependant neutre et n’est pas utilisée pour référer au genre du plaignant.
Décision quant au fond 102/2026 — 2/105
La défenderesse : Société Wallonne des Eaux, dont le siège social est établi Rue de la Concorde,
41 à 4800 Verviers, inscrite sous le numéro d'entreprise 0230.132.005, ci-
après la « défenderesse » ou la « SWDE », représentée par Maître Fanny Coton,
avocat dont le cabinet est établi […] et Maître Jean-François Henrotte, avocat
dont le cabinet est établi au […].
I. Faits et procédure
I.1. Antécédents de la procédure
1. La plainte porte sur des enregistrements et écoutes d’appels téléphoniques par la
défenderesse en tant que responsable de traitement et ce, à des fins de contrôle de qualité du
service et de formation du personnel.
2. Le 16 avril 2020, le plaignant a introduit une plainte auprès de l’APD contre la défenderesse.
Etant collaborateur au sein de la SWDE, le plaignant a sollicité dans le formulaire de plainte la
protection de son identité à l’égard de la défenderesse. La Chambre Contentieuse en a pris acte
et, vu la nature de la plainte, a considéré qu’elle est en mesure de poursuivre l’examen de la
plainte sans qu’il ne soit nécessaire que l’identité du plaignant ne soit communiquée à la
défenderesse.
3. Aux termes de sa plainte, le plaignant indiquait que ces enregistrements seraient
systématiques et concernaient tant des appels entrants que sortants. En particulier, le
plaignant dénonçait que (i) il n’avait pas été suffisamment informé quant au traitement de ses
données à caractère personnel (ci-après « données personnelles » pour alléger le texte de la
décision) dans le cadre de ces enregistrements, (ii) les « fiches employés »4 auraient été
transmises à une société située en dehors de la Belgique (à savoir Z) et (iii) il avait accès à ces
enregistrements, qui seraient dès lors selon le plaignant stockés sur des serveurs non
sécurisés de la défenderesse.
4. Le 29 avril 2020, la plainte est déclarée recevable par le Service de Première Ligne (« SPL ») sur
la base des articles 58 et 60 de la LCA et est transmise à la Chambre Contentieuse en vertu de
l'article 62, § 1er de la LCA.
5. Le 28 mai 2020, la Chambre Contentieuse décide de demander une enquête au Service
d'Inspection, en vertu des articles 63, 2° et 94, 1° de la LCA.
6. Le même jour, conformément à l’article 96, § 1er de la LCA, la demande de la Chambre
Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que
la plainte et l’inventaire des pièces.
4
A savoir, la fiche reprenant l’évaluation de la qualité des appels émis par le personnel de la SWDE sur la base d’une grille de
cotation.
Décision quant au fond 102/2026 — 3/105
7. Suite à la demande du Service d’Inspection, le plaignant a confirmé son souhait que son identité
ne soit pas communiquée à la défenderesse compte tenu de l’existence d’un motif sérieux que
la communication de son identité à la défenderesse ne conduise à des conséquences
préjudiciables pour lui (en l’espèce, la crainte de la perte de son emploi, étant encore employé
par la défenderesse).
8. Le 12 août 2024, l’enquête du Service d’Inspection est clôturée, le rapport d’enquête du Service
d’Inspection (« Rapport d’Enquête ») est joint au dossier et celui-ci est transmis par l’Inspecteur
Général au Directeur de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA). Au regard des
pièces du dossier, le Service d’Inspection a constaté plusieurs violations potentielles de
diverses dispositions du RGPD, de la LTD ainsi que de la loi du 13 juin 2005 sur les
communications électroniques (« LCE »)5 dans le chef de la SWDE, en sa qualité de responsable
du traitement.
9. Le 27 novembre 2024, sur la base du Rapport d’Enquête, la Chambre Contentieuse décide, en
vertu des articles 95, § 1er, 1° et 98 de la LCA, que le dossier peut être traité sur le fond et a
adressé aux parties une invitation à conclure sur les manquements présumés à la législation sur
la protection des données (« Invitation à Conclure »).
10. Deux des manquements repris dans la plainte ont été considérés comme non établis par le
Service d’Inspection lors de l’enquête et ont été directement écartés par la Chambre
Contentieuse6 au moment de l’Invitation à Conclure.
11. Les motifs suivants ont été repris dans le Rapport d’Enquête et retenus en tant que violations
présumées par la Chambre Contentieuse dans l’Invitation à Conclure:
A. En ce qui concerne les constatations relatives à l'objet de la plainte (art. 92, 1° de la LCA ;
partie B du Rapport d'Enquête)
▪ En ce qui concerne les enregistrements « tests », violation des articles 5.1 a) et 6.1 du
RGPD ainsi que des articles 124, 125 et 128 de la LCE, en ce que les enregistrements
« tests » ne tombent pas dans le champ d’application des exceptions à l’article 124 de la
LCE prévues aux articles 125 et 128 de la LCE permettant à la défenderesse de prendre
connaissance de conversations auxquelles elle n’est pas partie. En conséquence, la
5
Loi du 13 juin 2005 relative aux communications électroniques, M.B., 20 juin 2005.
6
En particulier, au regard des constatations reprises dans l’objet de la plainte, le Service d’Inspection n’avait pas constaté de
violations des dispositions du RGPD suivantes:
▪ Article 44 du RGPD, en ce que le Service d’Inspection a conclu en une absence de transferts de données vers des
pays tiers au vu des pièces du dossier, qui indiquent que […] (en tant que sous-traitant de Z) est une société basée
au (…) dont les serveurs sont basés en (…) (cfr. constatation 3 du Rapport d’Enquête) ; et
▪ Article 5.1.f du RGPD, lu conjointement avec l’article 32.1 du RGPD, en ce que le Service d’Inspection considère
son intervention à cet égard comme ni appropriée ni nécessaire en vue de contrôler la violation du principe de
confidentialité, en l’absence de documents probants (cfr. constatation 5 du Rapport d’Enquête).
Compte tenu de son pouvoir d’appréciation propre et des constatations reprises dans le Rapport d’Enquête, la Chambre
Contentieuse s’était ralliée à l’avis du Service d’Inspection et avait déjà décidé en conséquence d’écarter les deux éléments
ci-dessus du périmètre des manquements présumés sur lesquelles elle s’est prononcée dans le cadre du présent dossier.
Décision quant au fond 102/2026 — 4/105
défenderesse ne disposait pas de base légale pour procéder à ces enregistrements tests
(cfr. constatation 1 du Rapport d’Enquête) ; et
▪ Violation des articles 5 .1 a), 12.1 et 13 du RGPD, ainsi que de l’article 128 de la LCE
(remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en raison du non-
respect du principe de loyauté et de transparence vis-à-vis des employés de la
défenderesse dont les appels ont fait l’objet d’enregistrements et/ou d’écoutes, en ce
que (cfr. constatations 4 et 6 du Rapport d’Enquête) :
o les informations communiquées par la défenderesse à ses employés ne reprennent
pas tout le contenu de l’information qui aurait dû leur être communiqué en
application de l’article 13 du RGPD et de l’article 10/1 §2 de la LTD, notamment les
modalités du contrôle, la base juridique du traitement, les destinataires de leurs
données personnelles, la durée de conservation de ces données ainsi que du
caractère obligatoire ou non de communiquer ces données personnelles à la
défenderesse ; et
o la multiplicité des supports sur lesquels l’information relative aux traitements
litigieux était mise à disposition des employés lors de la mise en place du projet ne
permet pas de satisfaire à l’exigence de transparence en vertu du RGPD, en ce que
notamment, cette information n’était pas suffisamment aisément accessible et
compréhensible.
B. En ce qui concerne les constatations qui dépassent l'objet de la plainte (art. 72 de la LCA ;
partie C du Rapport d'Enquête)
▪ En ce qui concerne les enregistrements après la phase de test, violation des articles 5.1
a) et 6.1 du RGPD en ce que la défenderesse:
o s’est incorrectement basée sur la base légale de l’exercice d’une mission d’intérêt
public (art. 6.1 e) du RGPD) pour procéder aux enregistrements, alors que ceux-ci
n’étaient pas nécessaires à l’exercice de la mission de la défenderesse ;
o ne disposait pas de base légale pour procéder aux enregistrements des employés
des back offices, ne pouvant se reposer sur ses intérêts légitimes pour justifier les
traitements litigieux ; et
o a, par conséquent, failli à son obligation de licéité du traitement (cfr. constatation 7
du Rapport d’Enquête) ;
▪ Violation de l’article 124 de la LCE, lu conjointement avec les articles 125 et 128 de la
LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022) et de l’article
13 du RGPD pour les enregistrements et écoutes relatifs aux employés des back offices
en ce que ces enregistrements et écoutes ne satisfont pas aux conditions permettant la
Décision quant au fond 102/2026 — 5/105
surveillance par l’employeur des moyens de communication mis à disposition des
employés par la défenderesse (cfr. constatation 8 du Rapport d’Enquête) ;
▪ Violation des articles 5.2 et 24 du RGPD, en raison du non-respect du principe de
responsabilité, en ce que la défenderesse n’a pas pu démontrer que l’ensemble de ses
employés concernés ont été informés des traitements en conformité avec les articles 5
a) et 13 du RGPD ainsi que les articles 128 de la LCE et l’article 10/1 §2 de la LTD (cfr.
constatation 6 du Rapport d’Enquête) ;
▪ Violation des articles 5 .1 a), 12.1, 12.2, 12.6, 13 et 38.4 du RGPD, ainsi que de l’article
128 de la LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en
raison du non-respect des principes de loyauté et de transparence vis-à-vis des externes
à la SWDE dont les appels ont fait l’objet d’enregistrements et/ou d’écoutes, en ce que :
(cfr. constatation 6 du Rapport d’Enquête)
o la façon dont sont fournies les informations relatives aux traitements de données
personnelles ne permet pas de satisfaire à l’exigence de transparence et de loyauté
en vertu du RGPD, en ce que notamment, l’information n’était pas complète,
suffisamment transparente, compréhensible et aisément accessible, pour
notamment les raisons suivantes :
▪ les informations communiquées par la défenderesse aux appelants ne
reprennent pas tout le contenu de l’information qui aurait dû leur être
communiqué en application de l’article 13 du RGPD et des articles 10/1 §2
de la LTD, notamment leurs droits et de la durée de conservation de ces
enregistrements ;
▪ l’information dite de « premier niveau » fournie via un enregistrement
automatique lorsque l’appelant contacte la SWDE ne reprenait pas les
informations essentielles quant au traitement, en ce compris comment
avoir accès aux informations complètes sur le traitement de ses données
personnelles ;
▪ l’information fournie aux appelants via la politique de protection de la vie
privée de la SWDE disponible sur son site web7 (« Politique Vie Privée
Clients ») n’était pas suffisamment détaillée et/ou était ambiguë et vague,
notamment en ce qui concerne les bases juridiques du traitement et les
potentiels transferts internationaux de données ; et
▪ la Politique Vie Privée Clients contient une disposition qui impose aux
personnes concernées de régulièrement la consulter afin d’être informés
7
Via le lien https://www.swde.be/fr/politique-de-protection-de-la-vie-privee
Décision quant au fond 102/2026 — 6/105
des diverses mises à jour sans les informer spécifiquement des mises à jour
éventuelles, ce document ne reprenant par ailleurs que la date de dernière
mise à jour et non pas d’historique des versions et/ou changements ;
o les modalités d’exercice des droits par les personnes concernées est indûment
limité par la défenderesse en ce que :
▪ la Politique Vie Privée Clients requiert de contacter le service commercial
avant de contacter le délégué à la protection des données (« DPO ») et ne
peut que contacter le DPO que dans le cas où la réponse du service
commercial n’est pas satisfaisante, alors que l’article 38.4 du RGPD prévoit
que le DPO devrait pouvoir être contacté directement ;
▪ la Politique Vie Privée Clients ne reprend pas les coordonnées du service
commercial, alors qu’il s’agit du service désigné pour l’exercice de leurs
droits par les personnes concernées ;
▪ la procédure d’exercice de droits exige systématiquement une copie de la
carte d’identité, alors le RGPD prévoit qu’un responsable de traitement ne
peut exiger de preuve d’identité que lorsqu’il y a des « doutes raisonnables »
quant à l’identité de la personne concernée ;
▪ Violation des articles 5.1 a) et 5.1 c) du RGPD (principes de loyauté et de minimisation
des données), lus conjointement avec l’article 25 du RGPD (principe de protection des
données dès la conception et protection des données par défaut), en raison de la non-
application des règles relatives aux contrôles par les chefs d’équipe et du fait qu’elles
n’étaient pas bien connues et établies, démontré notamment par l’absence de preuves
de communication de ces règles aux chefs d’équipe (cfr. constatation 9 du Rapport
d’Enquête) ;
▪ Violation de l’article 5.1 e) du RGPD (principe de limitation de la conversation des
données), lu conjointement avec l’article 25 du RGPD (principe de protection des
données dès la conception et protection des données par défaut) ainsi que les articles
128 de la LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en
raison de la conservation des enregistrements au-delà des délais de conservation
annoncés et de l’absence de mesures appropriées permettant de s’assurer de
l’effacement des enregistrements dans les délais fixés (cfr. constatation 10 du Rapport
d’Enquête) ;
▪ Violation des articles 21.1 et 12.2 du RGPD, lu conjointement avec l’article 24 du RGPD,
en raison de l’absence de mesures appropriées en vue de faciliter l’exercice par les
Décision quant au fond 102/2026 — 7/105
personnes concernées de leur droit de s’opposer à l’enregistrement des conversations
(cfr. constatation 11 du Rapport d’Enquête) ;
▪ Violation de l’article 28.3 du RGPD en raison de l’absence de contrat ou autre acte
juridique conclu entre la défenderesse et son sous-traitant Z et reprenant l’ensemble des
obligations devant être imposés au sous-traitant par le responsable de traitement (cfr.
constatation 12 du Rapport d’Enquête) ;
▪ Violation de l’article 33 par. 1 et 5 du RGPD pour les raisons suivantes : (i) absence de
notification à l’APD de la violation de données personnelles liées aux enregistrements
involontaires liés à la mauvaise configuration du systèmes tels détectés par la
défenderesse le 15 décembre 2022 (« Incidents ») et (ii) absence de documentation de
ces Incidents dans le registre des violations de données, les points (i) et (ii) faisant suite à
l’analyse de la défenderesse qui a choisi de ne pas qualifier ces Incidents en tant que
« violations de données personnelles » au sens de l’article 4.12) du RGPD (cfr.
constatation 15 du Rapport d’Enquête) ;
▪ Violation de l’article 35 par. 1, 7 et 11 du RGPD, pour les raisons suivantes : (i) la
défenderesse n’a pas effectué d’analyse d’impact relative à la protection des données
(ci-après « AIPD ») pour les traitements de données personnelles dans le cadre des
enregistrements et écoutes téléphoniques à des fins d’évaluation de la qualité et de
formation (« AIPD Ecoutes Téléphoniques ») avant le début des opérations de
traitement, (ii) l’AIPD Ecoutes Téléphoniques ensuite réalisée n’analyse pas ou analyse
de façon non suffisamment détaillée ou incorrecte les critères repris à l’article 35.7 du
RGPD et (iii) la défenderesse n’a pas tenu son AIPD Ecoutes Téléphoniques à jour (cfr.
constatation 13 du Rapport d’Enquête) ; et
▪ Violation de l’article 35 du RGPD en raison de l’absence d’une AIPD qui répond aux
exigences du RGPD pour les traitements de données personnelles dans le cadre de
l’utilisation de systèmes de vidéosurveillance, notamment en termes d’évaluation des
risques et d’évaluation de la nécessité et proportionnalité du traitement (cfr. constatation
14 du Rapport d’Enquête).
12. A la lecture du Rapport d’Enquête et en vertu de son pouvoir d’appréciation propre, la Chambre
Contentieuse a également indiqué dans l’Invitation à Conclure souhaiter entendre la
défenderesse quant aux violations présumées des dispositions du RGPD suivantes, qui
ressortent du Rapport d’Enquête mais n’ont pas été spécifiquement relevées comme des
infractions présumées distinctes par le Service d’Inspection :
▪ Violation des articles 5.1 a) et 6.1 a) du RGPD ainsi que de l’article 128 de la LCE
(remplacé par l’article 10/1 §2 de la LTD), lus conjointement avec les articles 4.11), 7.1
et 7.3 du RGPD en ce que la défenderesse n’a pas obtenu un consentement valide des
Décision quant au fond 102/2026 — 8/105
appelants avant de procéder à l’enregistrement des appels, et a par conséquent failli à
l’obligation de licéité du traitement (cfr. constatations 1, 7 et 11 du Rapport d’Enquête) ;
▪ Violation de l’article 5.1 c) du RGPD (principes de minimisation des données), lu
conjointement avec l’article 25 du RGPD (principe de protection des données dès la
conception et protection des données par défaut), suite aux enregistrements
involontaires liés à la mauvaise configuration du système tels que détectés par la
défenderesse le 15 décembre 2022 (cfr. constatation 15 du Rapport d’Enquête) ; et
▪ Violation des articles 38.1 et 39.c) du RGPD, en ce qu’il apparait du dossier que (i) le DPO
semble ne pas avoir été associé d'une manière appropriée et en temps utile, à une
question sensible de protection des données telle que celle en cause et (ii) le DPO n’a pas
été impliqué dans la préparation d’une AIPD avant le début des traitements litigieux (cfr.
constatation 13 du Rapport d’Enquête).
13. La Chambre Contentieuse a également invité la défenderesse dans l’Invitation à Conclure à
fournir ses observations éventuelles en particulier quant à la partie D du Rapport d’Enquête
portant sur les « Considérations supplémentaires pour la Chambre Contentieuse en vue de
l’analyse de la gravité de l’infraction ainsi que de l’application adéquate du RGPD ».
14. Le 5 décembre 2025, la défenderesse a été entendue par la Chambre Contentieuse. Le
plaignant, également invité à l’audition, a été dûment informé que la Chambre Contentieuse ne
pouvait garantir son anonymat s’il souhaitait participer à l’audience. Il a confirmé le 9 octobre
2025 qu'il ne renonçait pas à son anonymat et qu'il ne participerait donc pas à l’audition.
15. Le 17 décembre 2025, le procès-verbal de l’audition (« PV ») est soumis à la défenderesse pour
observations. Les observations communiquées à cet effet le 31 décembre 2025 ont prises en
compte lors de la délibération et, le cas échéant, reprises dans la motivation de la présente
décision. Une copie du PV est également communiquée au plaignant.
16. Le 30 mars 2026, la Chambre Contentieuse fait connaître à la défenderesse son intention de
procéder à l'imposition de deux amendes administratives distinctes ainsi que le montant de
celles-ci, afin de donner à la défenderesse l'occasion de se défendre avant que la sanction
puisse être revue avant d’être effectivement infligée.
17. Le 20 avril 2026, la Chambre Contentieuse reçoit la réaction de la défenderesse concernant
l'intention d'infliger deux amendes administratives et le montant de celles-ci, réaction qu’elle a
dûment prise en compte lorsqu’elle a décidé du montant final des amendes.
Décision quant au fond 102/2026 — 9/105
I.2. Faits pertinents pour le litige et contexte de la plainte
I.2.1. Présentation de la défenderesse
18. La SWDE est une entreprise publique autonome belge spécialisée dans la gestion et la
fourniture d’eau potable. Elle gère actuellement 67% des raccordements en eau en Région
Wallonne. En vertu des articles D.352 et D.353 du Code Wallon de l’Eau, elle a pour objet :
- la production et distribution d'eau ;
- la protection des ressources aquifères ;
- la réalisation de toute opération relative au cycle de l'eau ; et
- l’accomplissement des missions confiées par décret dans le secteur de l’eau.
19. Elle est donc un acteur incontournable dans le secteur de la distribution d’eau en Wallonie,
comptant 1,1 million de clients et assurant l’alimentation en eau de 2,5 millions de personnes en
Wallonie8. Pour exécuter ses missions, elle peut compter sur l’équivalent temps plein d’environ
1300 collaborateurs9.
20. Dans ce cadre, la défenderesse se doit d’offrir un service clientèle capable de répondre
efficacement aux questions de ses clients, et notamment les questions relatives à la
facturation, aux demandes d’intervention technique, aux relevés de compteurs ou d’un
nouveau raccordement, ou encore d’accompagnement en cas de toute difficulté rencontrée
par les citoyens. Elle dispose donc à ce titre d’un numéro général qui permet de contacter son
“call center” établi au sein du service commercial.
21. Les demandes dites « de première ligne » sont traitées par le « Front Office ». Il s’agit
concrètement des demandes qui peuvent être immédiatement réglées par l’agent, et ce, en
cinq minutes environ (p.ex. questions relatives aux factures, à l’état de paiement (solde du
compte), à l’activation de la domiciliation, à l’activation de la dématérialisation, aux
emménagements/déménagements, aux relevés d’index, aux plans d’apurement, à la
modification des montants ou du cycle de facturation, etc.).
22. Pour les demandes qui s’avèrent plus complexes (notamment si estimées à plus de 5 minutes
de traitement) et certaines questions spécifiques qui ne sont pas traitées par le Front Office de
par leur nature (p.ex. si litige en cours ou si la demande nécessite une enquête administrative),
les appels sont respectivement soit transférés par le Front Office soit traités directement par
l’un des « Back Offices ». Ces derniers sont distingués en fonction de la zone dont les agents de
8
Voyez à ce titre le rapport annuel de la SWDE pour l’année 2024, accessible via https://www.swde.be/sites/default/files/2025-
06/SWDE Rapport%20%20Faits%20%26%20Chiffres%202024 BAT.pdf
9
Idem.
Décision quant au fond 102/2026 — 10/105
ces Back Offices relèvent: le Back Office central (ou « Service Contentieux »), le Back Office
zone Est et le Back Office zone Ouest.
I.2.2. Enregistrement des appels
23. Dans le cadre d’un projet d’amélioration de ses services, la défenderesse a envisagé de
procéder aux enregistrements des conversations entrantes des Front Office (à partir de
novembre 2018) et Back Offices (à partir de mars 2020), afin d’évaluer la qualité des réponses
apportées aux citoyens par les agents, coacher les agents et, in fine, améliorer ses services.
24. La défenderesse a indiqué que les enregistrements des appels entrants en vue de contrôler et
améliorer la qualité des services avaient été mis en place au sein du Front Office, du Back Office
zone Est et du Back Office zone Ouest. En revanche, la défenderesse a indiqué ne jamais avoir
mis en place d’enregistrement des appels en vue de contrôler la qualité du service au sein du
Service Contentieux.
25. Toutefois, la défenderesse avait envisagé de mettre également en place les enregistrements
au sein du Service Contentieux. Le 6 mars 2020, un email envoyé aux collaborateurs du Service
Contentieux par leur supérieur leur a communiqué la grille qualité écoute et écrit qui serait
utilisée afin d’évaluer la qualité des écrits et de leurs appels téléphoniques. C’est par ailleurs
suite à cet email que l’un des collaborateurs du Service Contentieux a porté plainte à l’APD pour
(notamment) dénoncer l’enregistrement des collaborateurs.
26. Dans ce cadre, la défenderesse a indiqué au Service d’Inspection que seuls trois
enregistrements “tests” auraient été réalisés au sein du Service Contentieux entre octobre et
novembre 2020 afin de permettre au superviseur de ce service de comprendre le
fonctionnement de la plateforme d’enregistrement et de s’y familiariser. Après avoir procédé à
ces trois enregistrements, la défenderesse a déclaré s’être aperçue sur la base de ces trois
conversations que les collaborateurs exécutaient leurs missions de manière qualitative. Elle a
donc considéré qu’il n’était pas nécessaire de poursuivre le contrôle de la qualité des appels dès
lors que le personnel du Service Contentieux apparaissait manifestement comme
particulièrement expérimenté. En conséquence, la défenderesse a décidé de ne pas mettre en
place d’enregistrements plus généralisés des appels reçus par le Service Contentieux.
27. L’abandon des enregistrements des collaborateurs du Service Contentieux aurait été
communiquée de façon verbale aux collaborateurs y travaillant, mais aucune preuve écrite de
cette communication (permettant notamment de la dater et d’en attester le contenu) n’a pu
être produite par la défenderesse. Lors de l’audition, la défenderesse a confirmé l’absence de
preuve écrite à cet égard, qui a précisé que ce type d’annonces a vocation à être partagé lors
des réunions d’équipe hebdomadaires de la SWDE, et non pas communiqué par email.
Décision quant au fond 102/2026 — 11/105
I.2.3. Enquête du Service d’Inspection
28. Après avoir confirmé que le plaignant disposait d’un intérêt à agir, le Service d’Inspection a
mené une enquête qui a eu pour but de, notamment, contrôler si le projet (de traitement de
données), à savoir les enregistrements et contrôle des appels téléphoniques effectués au sein
du Service Contentieux était conforme à la réglementation applicable à la protection des
données personnelles.
29. A cet égard, il a contrôlé spécifiquement les aspects suivants, sur la base des griefs invoqués
par le plaignant dans le cadre de sa plainte : (i) la licéité du projet, (ii) le respect des règles
relatives aux transferts internationaux de données personnelles vers le sous-traitant et (iii) le
respect des principes de confidentialité, d’intégrité et de sécurité des données personnelles.
30. Conformément à l’article 72 de la LCA, le Service d’Inspection a également effectué une
enquête intégrale et un contrôle substantiel de la conformité à la réglementation applicable
(notamment et en particulier sur les différents aspects des enregistrements et écoutes des
appels téléphoniques effectués au sein du Front Office et des Back Offices).
31. A cet égard, le Rapport d’Enquête reprend une série de constatations de manquements
présumés au RGPD, sur lesquels la défenderesse et le plaignant ont eu l’occasion de réagir
après avoir reçu l’Invitation à Conclure.
II. Examen de la légalité de la plainte et de la procédure
II.1.1. Non-communication de certaines pièces
32. La défenderesse soutient que la procédure serait illégale au motif que le dossier administratif
ne contient pas les annexes à l’email envoyé par le plaignant à l’APD (à savoir, la plainte qui a
fondé les constats de manquements du Service d’Inspection et de la Chambre Contentieuse
ainsi que les annexes à cette plainte).
33. Tout d’abord, la Chambre Contentieuse note que le formulaire de plainte (anonymisé) du 16 avril
2020 a été communiqué à la défenderesse et ses conseils en même temps que l’Invitation à
Conclure le 27 novembre 2024. Cette première affirmation de la défenderesse selon laquelle
elle n’aurait pas reçu la plainte est donc sans fondement. Seule l’absence des autres annexes
sera donc discutée ci-après.
34. La défenderesse dénonce donc l’absence des annexes à la plainte qui ont fondé la procédure
du Service d’Inspection. Selon elle, ce dernier aurait dûment tenu compte des annexes à la
plainte, qui fondent la saisine de la Chambre Contentieuse et du Service d’Inspection, et en
l’absence des pièces en question, le dossier serait lacunaire en ce qu’il ne lui permettrait pas de
prendre connaissance des informations portées à l’attention du Service d’Inspection.
Décision quant au fond 102/2026 — 12/105
35. L’affirmation de la défenderesse selon laquelle elle n’aurait pas été informée de l’absence de
certaines pièces est également sans fondement. En effet, l’Invitation à Conclure reprend le
passage suivant (la Chambre Contentieuse souligne) :
« Vous trouverez en annexe le Rapport d'Enquête, ainsi que l'inventaire anonymisé des
pièces du dossier. Compte tenu de la demande d’anonymat formulée par le plaignant, le
formulaire de plainte ainsi que certaines pièces révélant l’identité du plaignant ne vous sont
pas communiqués à ce stade (voy. à cet égard les pp. 360-361 du Rapport d’Enquête, qui
précise notamment les pièces révélant l’identité de la personne concernée). Une version
anonymisée de ceux-ci peut être préparée à votre demande (voy. point 2 ci-dessous). »
Le 27 novembre 2024, les conseils de la défenderesse ont répondu en ces termes :
« Par ce courrier, la SWDE demande également à accéder au dossier de pièces (et
notamment au rapport d’enquête) et, d’en recevoir copie électronique et informe Votre
autorité de sa volonté de déposer des conclusions écrites selon les délais prévus dans votre
courrier, mais également d’être entendue lors d’une audition fixée aux termes des
échanges écrits. »
Après avoir reçu accès au dossier de pièces, la défenderesse n’a plus émis aucune demande
quant aux pièces et n’a pas demandé à avoir accès à une version anonymisée des pièces.
36. La Chambre Contentieuse estime dès lors mal venu de demander que cette dernière accorde
l’illégalité des poursuites car des pièces n’auraient pas été communiquées dès lors que la
défenderesse a été informée de la possibilité de demander une version anonymisée des pièces
non communiquées et n’en a pas fait la demande. Certaines pièces ont par ailleurs été
anonymisées d’initiative par la Chambre Contentieuse afin que la défenderesse dispose d’un
dossier le plus complet possible (et notamment le formulaire de plainte, au contraire de ce
qu’elle avait annoncé dans l’Invitation à Conclure). Si la défenderesse estimait encore à ce
moment que des pièces manquaient, elle avait été invitée à émettre une demande spécifique
pour obtenir une version anonymisée des pièces manquantes, ce qu’elle a négligé de faire. La
Chambre Contentieuse n’avait dès lors pas à motiver pourquoi elle ne fournissait pas les
annexes alors qu’aucune contestation ou demande de documents anonymisés n’a été soulevée
à cet égard par la défenderesse suite à la réception de l’Invitation à Conclure.
37. L’article 95 § 2, 2° de la LCA prévoit explicitement pour la Chambre Contentieuse la possibilité
de ne pas communiquer à la défenderesse des pièces permettant de connaître l'identité du
plaignant. Ce faisant, la LCA elle-même reconnait qu’une procédure n’est pas d’office entachée
d’illégalité dans le cas où toutes les pièces du dossier ne seraient pas communiquées à la
défenderesse. Le simple fait qu’un dossier soit traité sous couvert de l’anonymat du plaignant
et que toutes les pièces ne soient pas communiquées sur cette base n’est dès lors pas un motif
Décision quant au fond 102/2026 — 13/105
suffisant pour que la procédure soit entachée d’illégalité. Il est nécessaire de démontrer un
grief spécifique à cet égard, ce qui n’est pas le cas en l’espèce.
38. En effet, à titre surabondant, en ce qui concerne le grief lié à l’absence de communication de
ces pièces, la Chambre Contentieuse note que la défenderesse a, dans le cadre de la pièce 1
(qu’elle reproduit dans ses conclusions), accès aux informations suivantes quant au contenu
des pièces jointes au formulaire de plainte : (i) « le formulaire de plainte signé avec mon eID
n’ayant pas d’imprimante ainsi que les pièces utiles à celles-ci, échanges avec le DPO entre
autres et screen du stockage des enregistrements pris à ce jour » et (ii) aux types de pièces
jointes ainsi que leur titre (p.ex. demande d’informations.msg, screenshot.jpg). Sur la base de
ces informations, il apparait évident que 12 des pièces jointes non produites renvoyaient à ces
échanges (bilatéraux entre le plaignant et le DPO, et permettant donc de directement identifier
le plaignant, d’autant plus que le DPO a lui-même été fortement impliqué lors de l’enquête du
Service d’Inspection) avec le DPO et aux captures d’écran du stockage des enregistrements.
En particulier, aucun de ces éléments n’a par ailleurs été repris dans le Rapport d’Enquête dans
la mesure où ils n’étaient pas nécessaires au dossier et n’ont dès lors pas servi à établir des
constatations de manquement.
39. S’agissant des autres pièces pour lesquelles l’absence est dénoncée par la défenderesse, la
Chambre Contentieuse note que :
a. L’email « Grille qualité Z », envoyé par une employée de la défenderesse, est reproduit tel quel
dans le Rapport d’Enquête. Il s’agit du seul document qui a permis d’établir un constat de
violation du RGPD par le Service d’Inspection. Il a été communiqué en étant reproduit dans
le Rapport d’Enquête, de façon à ne pas porter atteinte aux droits de la défense de la
défenderesse et de ne pas identifier directement le/la collaborateur/rice qui l’avait reçu. La
Chambre Contentieuse note également que le contenu de cet email n’a par ailleurs jamais
été remis en question par la défenderesse ;
b. Le pdf « Grilles qualité écoute » est une annexe de cet email reproduit dans le Rapport
d’Enquête. Il n’était pas nécessaire pour le traitement de la plainte, dès lors qu’il ne reprenait
que les critères d’évaluation. Par ailleurs, s’agissant d’un email envoyé par la défenderesse,
son contenu n’aurait de toute façon pas été de nature à la surprendre. Il lui aurait par ailleurs
suffi de demander l’email complet à la supérieure hiérarchique l’ayant envoyé (identifiée
dans la capture d’écran reprise dans le Rapport d’Enquête) ;
c. L’email « Validation de l’email » est l’invitation personnelle au plaignant à créer son compte Z,
ce qui l’identifiait donc directement. Par ailleurs, cet email n’apportait rien au dossier en
termes de preuves dès lors que le plaignant avait démontré avoir reçu un email l’informant
des enregistrements (qui, lui, a été reproduit dans le Rapport d’Enquête). La défenderesse
n’a pas ailleurs jamais contesté que les employés du Service Contentieux avaient bien reçu
une invitation à créer un compte Z.
Décision quant au fond 102/2026 — 14/105
40. La défenderesse ne démontre donc pas en quoi la non-communication des pièces couvertes
par la demande d’anonymat lui ont causé un quelconque grief, car l’email « Grille Qualité Z » qui
fonde la plainte et indique au plaignant qu’il sera effectivement enregistré est reproduit dans le
Rapport d’Enquête. Il s’agit par ailleurs d’un email dont la véracité et l’existence n’ont jamais été
contestées par la défenderesse. Les autres pièces ne sont que des éléments accessoires à la
plainte et n’ont par ailleurs pas été repris dans le Rapport d’Enquête car ils n’étaient ni utiles ni
nécessaires à son traitement et ont encore moins permis d’établir des constatations de
violations.
41. En outre, de manière à mettre en contexte et relativiser l’affirmation de la défenderesse quant
à l’absence des annexes à la plainte pour justifier une atteinte au principe du contradictoire et
au droit à un procès équitable, la Chambre Contentieuse note également (i) l’existence d’un
Rapport d’Enquête reprenant 362 pages ainsi que plus de 250 pièces, ainsi que (ii) de la
production par la défenderesse d’un jeu de conclusions de synthèse de 174 pages à l’appui de
sa défense.
42. Sur la base de ce qui précède, la Chambre Contentieuse constate donc qu’il n’y a pas violation
de l’article 47 du ROI et/ou d’atteinte au droit à un procès équitable.
II.1.2. Intérêt du plaignant
43. Deuxièmement, la défenderesse soutient également que la plainte est irrecevable à défaut
d’intérêt du plaignant, dès lors que ses données n’ont pas été traitées dans le cadre des
enregistrements des collaborateurs du Service Contentieux qu’il dénonce dans sa plainte.
Selon la défenderesse, le plaignant aurait donc porté plainte pour des tiers, et sa plainte aurait
dû être classée sans suite pour défaut d’intérêt propre à la plainte.
44. La Chambre Contentieuse constate tout d’abord qu’elle n’a pas compétence pour se prononcer
sur la recevabilité d’une plainte, qui est une compétence réservée au SPL en vertu des articles
60 et suivants de la LCA. A cet égard, l’intérêt à agir n’est pas une condition de recevabilité de
la plainte en vertu de l’article 60 alinéa 2 de l’ancienne LCA. A cet égard, la plainte était donc
bien « recevable ».
45. La Chambre Contentieuse a cependant examiné l’intérêt à agir du plaignant dans le cadre de ce
dossier, non pas en tant que condition de recevabilité de la plainte mais dans le cadre de
l’application de l’article 58 de la LCA, qui doit s’interpréter comme nécessitant un intérêt à agir
dans le cadre d’une plainte.
Décision quant au fond 102/2026 — 15/105
46. La condition d’intérêt à agir est également spécifiquement explicitée dans la Politique de
classement sans suite de la Chambre Contentieuse10 (« Politique CSS »), dans son paragraphe
A.5 (p. 7 et suivantes) :
« La Chambre Contentieuse ne pourra traiter votre plainte qu’à condition que vous
soyez une « personne concernée » ou que vous ayez un « intérêt suffisant » pour
porter plainte. Il incombera à la Chambre Contentieuse d’examiner ce critère de
nature juridiquement complexe, en fonction des règles d’interprétation spécifiques
qu’elle a développés à ce sujet. […] L’[APD] accepte également des plaintes
introduites par une organisation ou personne qui n’est pas « personne concernée »
au sens du RGPD, à condition que le plaignant démontre un « intérêt » suffisant au
sens de l’article 58 de la [LCA]. […]Ainsi par exemple, la Chambre Contentieuse a
décidé qu’une organisation a intérêt à porter plainte en tant qu’employeur
concernant des pratiques non-conformes au RGPD et qui se rapportent au
personnel dont elle est en charge. […]
Si vous n’êtes pas une personne concernée par le traitement, ne démontrez pas un
intérêt à agir au nom de la personne concernée, ou n’avez pas dûment mandaté un
organisme pour agir en votre nom selon les conditions applicables, la Chambre
Contentieuse devra classer votre plainte sans suite (impossibilité de traiter la
plainte). » (la Chambre Contentieuse souligne)
47. La Chambre Contentieuse ne peut donc traiter la plainte que si le plaignant démontre qu’il
dispose d’un intérêt suffisant à agir.
48. Lors de l’enquête, la défenderesse a en effet indiqué ne jamais avoir mis en place
d’enregistrement des appels en vue de contrôler la qualité du service au Service Contentieux.
Toutefois, elle a admis lors de l’enquête qu’en mars 2020, il était envisagé que le Service
Contentieux fasse également l’objet d’enregistrements. Cette déclaration de la défenderesse
est corroborée par la communication envoyée aux membres du Service Contentieux le 6 mars
2020. Les termes utilisés dans l’email en question ne laissaient aucun doute sur l’imminence
d’enregistrements des employés du Service Contentieux par la défenderesse (p.ex. « Vous
trouverez en pièce jointe les grilles qualité qui seront utilisées afin d’évaluer la qualité de vos
écrits et appels téléphoniques », « j’omettrai de coter ce point »).
49. De même, le Service d’inspection constate que le 23 janvier 2020, un compte a été créé pour
l’ensemble des membres du Service Contentieux dans l’outil Z. Il est à noter que l’outil Z est par
ailleurs uniquement utilisé par la défenderesse en vue de réaliser le contrôle de la qualité des
10
APD (Chambre Contentieuse), « Politique de classement sans suite de la Chambre contentieuse », 18 juin 2021, disponible
sur https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambre-
contentieuse.pdf
Décision quant au fond 102/2026 — 16/105
services fournis par les membres du personnel. Ceci reconfirme l’intention de la défenderesse
d’enregistrer les appels des collaborateurs du Service Contentieux.
50. L’article 77.1 du RGPD est libellé comme suit (la Chambre Contentieuse souligne) :
« 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute
personne concernée a le droit d'introduire une réclamation auprès d'une autorité de
contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence
habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle
considère que le traitement de données à caractère personnel la concernant
constitue une violation du présent règlement. »
51. Dès lors, bien que l’enquête n’ait pas permis de démontrer que le plaignant aurait fait l’objet
d’enregistrements d’appels le concernant, la Chambre Contentieuse constate que le plaignant
a porté plainte car il considérait qu’un traitement (envisagé) de données le concernant
constituait une violation du RGPD (le RGPD ne précisant pas si ce traitement doit être effectif
ou s’il peut juste être potentiel ou futur). Le plaignant disposait donc un intérêt suffisant pour
porter plainte à l’encontre de la défenderesse contre le projet d’enregistrement et de contrôle
des appels au sein du Service Contentieux dès lors qu’il avait été communiqué au plaignant qu’il
serait enregistré.
52. La Chambre Contentieuse tient à noter qu’en vertu de l’article 58.2 a) du RGPD, une autorité de
contrôle dispose du pouvoir d'adopter certaines mesures correctrices, y compris “avertir un
responsable du traitement ou un sous-traitant du fait que les opérations de traitement
envisagées sont susceptibles de violer les dispositions du [RGPD]”. Dès lors que le RGPD
prévoit une possibilité de prendre des mesures correctrices à l’encontre d’un responsable de
traitement pour des traitements envisagés, potentiels ou futurs, déclarer une plainte non-
recevable au simple motif que les traitements annoncés n’aient pas (encore) eu lieu serait
contraire à la lettre et à l’esprit du RGPD11.
53. La référence à l’arrêt de la Cour des marchés du 19 février 202012, qui selon la défenderesse
indiquerait que « puisque les données du plaignant n’avaient pas été traitées dans le cadre du
traitement litigieux, l’APD ne démontrait pas qu'il y avait eu violation effective de données à
caractère personnel du plaignant” est non avenue pour deux raisons :
a. dans l’affaire qui a donné lieu à cet arrêt, la personne concernée était (en tant que cliente)
en mesure de simplement refuser le traitement de ses données de carte d’identité, avec
pour (seule) conséquence qu’elle ne pouvait plus participer au programme de fidélité
offert par le responsable de traitement. Dans le cadre de ce dossier, le plaignant a été
notifié d’un traitement qui lui était imposé par son employeur, sans possibilité de refuser
11
Cour des marchés, 12 novembre 2025, RG. 2025/AR/879, points 85 et suivants.
12
Cour des marchés, 19 février 2020, RG. 2019/AR/1600.
Décision quant au fond 102/2026 — 17/105
les enregistrements. La Chambre Contentieuse estime que la possibilité de pouvoir
éviter le traitement sans conséquence négative est cruciale pour son appréciation de
l’existence d’un intérêt à agir.
b. bien que non applicable au cas d’espèce pour la raison ci-dessus, la Chambre
Contentieuse note également que cet arrêt a par ailleurs été cassé par un arrêt de la Cour
de cassation du 7 octobre 202113, qui a indiqué qu’une personne concernée a le droit
d'introduire une réclamation auprès de l’APD contre une pratique de traitement dont elle
estime qu'elle porte atteinte à ses droits du chef du Règlement général sur la protection
des données, même lorsque les données à caractère personnel de la personne
concernée elles-mêmes n'ont pas été traitées, mais qu'elle n'a pas obtenu l'avantage ou
le service parce qu'elle a refusé de donner son consentement au traitement. Cet arrêt
confirme la position de l’APD prise au point ci-dessus selon laquelle l’appréciation de la
possibilité de pouvoir éviter ou non le traitement sans conséquence négative est
inhérente à l’appréciation de l’existence d’un intérêt à agir.
54. Sur cette base, la Chambre Contentieuse confirme donc que le plaignant disposait bien d’un
intérêt à agir (personnel) pour déposer plainte, et que la plainte n’aurait donc pas dû être
classée sans suite pour absence d’un tel intérêt au sens de l’article 58 de la LCA.
II.1.3. Compétence de l’APD par rapport à la LCE
55. Dernièrement, la défenderesse soutient également que la plainte est « irrecevable » en ce
qu’elle ne relève pas de la compétence de l’APD. La Chambre Contentieuse renvoie à ses
explications au point 44 ci-dessus en ce qui concerne la recevabilité de la plainte, qui relève de
la compétence du SPL.
56. La Chambre Contentieuse note que préalablement au 10 janvier 2022 (où ces articles ont été
abrogés et remplacés par les articles 10/1 et 10/2 de la LCA), les articles 124, 125 et 128 de la
LCE étaient d’application. Avant cette date, l’Institut belge des services postaux et des
télécommunications (ci-après « IBPT ») était l’autorité compétente pour le contrôle de la LCE
conformément à l’article 14, §1, 3°, a) de la loi du 17 janvier 2003 relative au statut du régulateur
des secteurs des postes et des télécommunications belges16 (ci-après « Loi IBPT »).
57. Comme la Chambre Contentieuse l’a rappelé dans une décision quant au fond 12/2019 du 17
décembre 201914, la Chambre Contentieuse mais également les autres services de l’APD dont
le Service d’Inspection, sont compétents pour se prononcer, dans le cadre de leurs rôles
respectifs, « dans des affaires concernant le traitement de données à caractère personnel, en
13
Cass., 7 octobre 2021, C.20.0323.N, disponible sur https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4/NL
14
Chambre Contentieuse, décision quant au fond 12/2019 du 17 décembre 2019. Le document est accessible en cliquant sur
le lien suivant : https://autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-12-2019.pdf.
Décision quant au fond 102/2026 — 18/105
vertu de l’article 4, §1 de la [LCA], de l’article 55 du RGPD et dans le respect de l’article 8 de la
Charte des droits fondamentaux de l’Union européenne ».
58. La Chambre Contentieuse précisait également que la compétence de l’IBPT pour contrôler la
LCE ne porte pas préjudice à la compétence générale de l’APD concernant les traitements de
données personnelles. Ainsi l’APD est donc compétente pour contrôler, notamment mais pas
exclusivement, les exigences des principes relatifs au traitement des données personnelles
tels que l’obligation de licéité, de transparence, de confidentialité ou encore de minimisation
des données.
59. L’article 4 de la LCA prévoit que : « L'Autorité de protection des données est responsable du
contrôle du respect des principes fondamentaux de la protection des données à caractère
personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la
protection du traitement des données à caractère personnel. » (l’APD souligne). Il ressort des
travaux préparatoires de la LCA que : « Le Conseil d’État cite à juste titre que la Commission de
la protection de la vie privée a, selon la loi sur la vie privée, une compétence matérielle plus
étendue que celle attribuée à l’Autorité de protection des données sur base du Règlement
2016/679. Quelle que soit la future loi-cadre remplaçant la loi sur la vie privée, se pose la
question de la relation de l’Autorité de protection des données à cette dimension matérielle
additionnelle, non seulement par rapport à la loi sur la vie privée mais également en ce qui
concerne les autres législations en vertu desquelles d’autres tâches reviendraient à l’autorité
qui supervise la législation contenant des dispositions relatives au traitement des données à
caractère personnel. Pour répondre à cela, le projet de loi clarifie le mandat de l’Autorité de
protection des données en indiquant qu’elle est responsable du contrôle du respect des
principes fondamentaux de la protection des données personnelles dans le cadre de cette
loi et des autres législations qui contiennent des dispositions relatives au traitement des
données à caractère personnel »15 (l’APD souligne).
60. Il en ressort qu’il est souhaitable que la compétence matérielle de l’APD soit plus large que le
simple contrôle du respect du RGPD. En d’autres termes, l’APD doit également pouvoir se
prononcer sur des dispositions relatives au traitement de données personnelles dans d’autres
législations que le RGPD.
61. Notamment, l’article 124 de la LCE doit être lu à la lumière de l’article 5, paragraphe 1) de la
directive 2002/5816 (ci-après « Directive e-Privacy ») qui dispose que : « […] [les États membres]
interdisent à toute autre personne que les utilisateurs d'écouter, d'intercepter, de stocker les
communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre
15
Doc. Parl., 2016-2017, n° 54-2648/001, p. 9.
16
Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à
caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et
communications électroniques) (ci-après « Directive e-Privacy »). La directive est accessible en cliquant sur le lien suivant :
https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex%3A32002L0058.
Décision quant au fond 102/2026 — 19/105
moyen d'interception ou de surveillance, sans le consentement des utilisateurs concernés sauf
lorsque cette personne y est légalement autorisée, conformément à l'article 15, paragraphe 1.
[…] ». Comme indiqué à l’article 2, paragraphe f) de la Directive e-Privacy, la notion de
consentement « correspond au "consentement de la personne concernée" figurant dans la
directive 95/46/CE». La directive 95/46 ayant maintenant été abrogée et remplacée par le
RGPD, il convient de comprendre les références à la directive 95/46 à des références au RGPD.
62. Comme l’indique l’article 1er de la LCE, la LCE transpose partiellement la Directive e-Privacy.
L’APD était donc compétente pour contrôler si l’exigence de consentement inscrit à l’article
124 de la LCE est conforme aux exigences du consentement au sens du RGPD.
63. Par ailleurs, et dans la mesure où les articles 125 et 128 de la LCE prévoient plusieurs
exceptions à l’obligation d’obtenir le consentement des utilisateurs des communications et des
services de communications électroniques, la Chambre Contentieuse considère qu’elle est
également compétente pour contrôler le respect de ces dispositions17.
64. Une telle compétence qui dépasse le cadre strict du RGPD a par ailleurs été confirmée par la
Cour des marchés dans l’arrêt 2023/AR/723 du 14 juin 2023. Dans une affaire où les faits
infractionnels prédataient du transfert des articles concernés de la LCE vers la LTD, la Cour des
marchés a ainsi jugé que la compétence générale de l’APD telle que définie dans l’article 4 de
la LCA implique que l’APD n’est pas que compétente pour contrôler le respect du RGPD et les
lois générales relatives à la protection des données. Au contraire, la Cour des marchés a
confirmé que le contrôle de l’APD pouvait se porter également sur d’autres lois et règlements
plus spécifiques, comme par exemple la transposition en droit national de la Directive e-
Privacy.
65. Dès lors, la Chambre Contentieuse est compétente pour se prononcer sur les questions liées à
l’application des articles 124, 125 et 128 de la LCE.
III. A titre liminaire – Cadre juridique applicable aux enregistrements et écoutes
téléphoniques à des fins de qualité du service
66. Dans le cadre des enregistrements et écoutes téléphoniques sur le lieu de travail en cause dans
ce dossier, plusieurs types de dispositions relatives à la protection de la vie privée s’appliquent
simultanément, à savoir (i) les dispositions protégeant le secret des communications
électroniques et (ii) les dispositions protégeant de manière générale les données personnelles.
67. En particulier, les règles relatives au secret des communications électroniques viennent parfois
préciser certaines dispositions du RGPD (notamment en précisant l’information à
communiquer aux personnes enregistrées) et parfois limiter la possibilité de s’appuyer sur
certaines dispositions du RGPD (par exemple en limitant les bases juridiques disponibles pour
17
APD (Chambre Contentieuse), Décision quant au fond 38/2023 du 27 mars 2023 (points 27-57).
Décision quant au fond 102/2026 — 20/105
le responsable de traitement). Les règles du RGPD doivent donc s’interpréter à l’aune des
dispositions relatives à la confidentialité des communications électroniques, rappelées ci-
dessous.
III.1. Principe de confidentialité des communications
68. L'article 124 de la LCE, qui pose le principe de la confidentialité de ces communications18,
dispose que :
« S'il n'y est pas autorisé par toutes les personnes directement ou indirectement
concernées, nul ne peut :
1° prendre intentionnellement connaissance de l'existence d'une information de toute
nature transmise par voie de communication électronique et qui ne lui est pas destinée
personnellement;
2° identifier intentionnellement les personnes concernées par la transmission de
l'information et son contenu;
3° sans préjudice de l'application des articles 122 et 123 prendre connaissance
intentionnellement de données en matière de communications électroniques et
relatives à une autre personne;
4° modifier, supprimer, révéler, stocker ou faire un usage quelconque de l'information, de
l'identification ou des données obtenues intentionnellement ou non. » (la Chambre
Contentieuse souligne)
69. En vertu de cet article, il est donc interdit à toute personne d’enregistrer une communication
électronique qui ne lui est pas destinée personnellement, sauf si elle y est autorisée par toutes
les personnes directement ou indirectement concernées.
70. La première question pertinente dans ce cadre est celle de la définition de la personne
« directement ou indirectement concernée » par la communication électronique. Il est en effet
légitime de se demander si un employeur n’est pas lui-même partie à ces communications, les
appels étant destinés à l’entreprise et non au travailleur lui-même (et a fortiori à un travailleur
en particulier). A cet égard, la Cour de cassation a, dans un arrêt du 20 mai 2019, précisé que
l'article 124 de la LCE impose à l'employeur d'obtenir de son employé l'autorisation de consulter
les courriels qui ne lui ont pas été remis personnellement. Le seul fait qu’il s’agisse d’un courrier
à caractère professionnel ne permet pas à l’employeur de se passer de cette autorisation19 :
« l’arrêt se fonde sur des courriels échangés entre le demandeur et un sieur F., dont il relève
qu’ils « ont été adressés et reçus à partir de matériel appartenant à [la défenderesse], mis à
18
Cette interdiction est également reprise dans l’article 314bis du Code pénal.
19
Cass., 20 mai 2019, n°S..17.0089.F.
Décision quant au fond 102/2026 — 21/105
la disposition [du demandeur] et destiné à un usage professionnel », que « [leur] contenu […]
est purement professionnel » et « qu’ils ne contiennent pas d’information de nature privée».
En considérant qu’« il est sans intérêt de savoir si […] [le demandeur] a ou non donné son
accord pour que [la défenderesse] accède à ses courriels » dès lors que, « s’agissant de
courriels sans rapport avec [sa] vie privée, la prise de connaissance de [ceux-ci] ne peut
enfreindre […] l’article 124 de la loi du 13 juin 2005 », l’arrêt viole cette disposition légale. »
71. Il ressort de cet arrêt qu’un employeur ne peut être considéré comme une personne concernée
directement ou indirectement par les communications électroniques des membres de son
personnel, même si (i) cette communication intervient dans le cadre des fonctions de ce
membre du personnel, (ii) que la communication n’a pas un caractère privé et (iii) que les
communications sont effectuées à partir d’équipements mis à disposition par l’employeur.
72. En conséquence, les communications électroniques des employés restent confidentielles
par rapport à leur employeur. L’employeur doit donc être en mesure de s’appuyer sur une
exception à la LCE pour pouvoir enregistrer et prendre connaissance des conversations
téléphoniques de ses employés.
73. A cet égard, la Cour Européenne des Droits de l’Homme (« CEDH ») a reconnu, dans le cadre de
son arrêt « Barbulescu »20, qu’il n’est pas exclu que les employeurs puissent surveiller les
communications de ses employés, pour autant qu’un juste équilibre entre les intérêts de
l’employeur et le droit à la vie privée et le secret de la correspondance des employés. En
particulier, pour conclure en l’espèce à une violation du droit à la vie privée de M. Barbulescu, la
CEDH a examiné :
a. si ce dernier avait été préalablement averti par son employeur de la possibilité que ses
communications étaient surveillées, ainsi que de la nature, de l’étendue de cette
surveillance et du degré d’intrusion dans sa vie privée et sa correspondance ;
b. quelles raisons spécifiques avaient justifié la mise en place des mesures de surveillance,
si l’employeur aurait pu faire usage de mesures moins intrusives pour la vie privée et la
correspondance du requérant et si l’accès au contenu des communications était
possible à son insu.
Pour la CEDH, les éléments clés pour apprécier la conformité d’une mesure de surveillance sont
donc (i) l’information correcte des employés enregistrés ainsi que (ii) la nécessité et la
proportionnalité de la surveillance. A cet égard, tant l’obligation d’information que les
obligations de proportionnalité des traitements sont également reprises en tant qu’exigences
dans le RGPD (et dans une certaine mesure, également dans la LCE).
20
CEDH, 5 septembre 2027, Barbuslescu c. Roumanie, N°61496/08.
Décision quant au fond 102/2026 — 22/105
III.2. Exceptions au principe de confidentialité pour l’enregistrement d’appels à des fins de qualité
et d’amélioration du service par un opérateur comme la défenderesse21
III.2.1. Le consentement
74. En application de l’article 124 de la LCE, le consentement apparait comme la première
exception à l’interdiction faite à un employeur d’enregistrer les conversations téléphoniques
de ses employés. Selon le considérant 27 de la Directive e-Privacy, le consentement doit
cependant s’entendre au sens du RGPD22, ce qui limite la possibilité pour l’employeur de
s’appuyer sur ce consentement par rapport à ses employés.
75. En effet, en ce qui concerne la licéité des traitements vis-à-vis des collaborateurs de la
défenderesse, la Chambre Contentieuse tient à noter que l’exception relative à l’obtention du
consentement des employés enregistrés n’a pas vocation à s’appliquer dans le cas d’espèce,
ce qui impose dès lors à l’employeur de s’appuyer sur d’autres exceptions à l’article 124 de la
LCE. En effet, s’agissant d’employés, le consentement (qui doit être entendu comme le
consentement « RGPD » au sens de la Directive e-Privacy) obtenu par l’employeur pour réaliser
les traitements en cause n’est pas reconnu comme « libre » au sens du RGPD.
76. En effet, pour être valide sous le RGPD, le consentement doit notamment être « libre », ce qui
n’est généralement pas le cas dans le cadre des relations employeur/employé. Le CEPD précise
à cet égard dans ses lignes directrices relatives au consentement23 (« Lignes Directrices
Consentement ») que :
« Un déséquilibre des rapports de force peut également avoir lieu dans le cadre des
relations de travail. Au vu de la dépendance résultant de la relation employeur/employé, il
est peu probable que la personne concernée soit en mesure de refuser de donner son
consentement à son employeur concernant le traitement de ses données sans craindre ou
encourir des conséquences négatives suite à ce refus. Il est ainsi peu probable qu’un
employé soit en mesure de répondre librement à une demande de consentement de la part
de son employeur visant à activer des systèmes de surveillance, tels que des caméras de
surveillance, sur le lieu de travail, ou à remplir des formulaires d’évaluation, sans se sentir
obligé de consentir. Aussi [le CEPD] considère-t-il problématique que les employeurs
traitent les données à caractère personnel de leurs employés actuels ou potentiels en se
fondant sur leur consentement, dès lors qu’il est peu probable que celui-ci soit donné
librement. Pour la majorité de ces traitements de données au travail, la base juridique ne
21
A cet égard, voir la Recommandation 08/2012 du 2 mai 2012 de la Commission de la Protection de la Vie Privée relative au
contrôle de l'employeur quant à l'utilisation des outils de communication électronique sur le lieu de travail (CO-AR-2010-002),
disponible sur https://www.autoriteprotectiondonnees.be/publications/recommandation-n-08-2012.pdf
22
Le texte de la Directive e-Privacy fait explicitement référence à la directive 95/46, qui a été abrogée et remplacée par le
RGPD. A cet égard, l’article 94.2 du RGPD prévoit que « les références faites à la directive abrogée s'entendent comme faites
au présent règlement ».
23
CEPD, Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679, 4 mai 2020, disponibles sur
https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fr.pdf
Décision quant au fond 102/2026 — 23/105
peut et ne devrait pas être le consentement des employés [article 6, paragraphe 1, point a)]
en raison de la nature de la relation employeur/employé. » (la Chambre Contentieuse
souligne)
77. Il en résulte qu’un consentement demandé à un collaborateur dans le cadre d’enregistrements
à des fins d’évaluation ne serait de toute façon pas considéré comme valable au regard du
RGPD, et donc de la LCE car le consentement selon la LCE doit s’entendre au sens du RGPD.
78. De telles limitations ne s’imposent cependant pas lorsque le consentement est demandé aux
appelants, dans la mesure où ceux-ci peuvent le refuser sans aucune conséquence négative
pour eux dans le cadre des enregistrements en question.
III.2.2. L’autorisation légale et le bon fonctionnement du réseau
79. Outre le consentement des personnes concernées, le principe d’interdiction d’enregistrer les
communications téléphoniques admet toutefois d’autres exceptions, dont deux exceptions
pertinentes sont listées dans l’article 125 § 1er de la LCE:
« Les dispositions de l'article 124 de la présente loi et les articles 259bis et 314bis du Code
pénal ne sont pas applicables :
1° lorsque la loi permet ou impose l'accomplissement des actes visés;
2° lorsque les actes visés sont accomplis dans le but exclusif de vérifier le bon
fonctionnement du réseau et d'assurer la bonne exécution d'un service de communications
électroniques;[…] » (la Chambre Contentieuse souligne)
80. L’article 125 de la LCE prévoit donc une deuxième et une troisième exceptions au principe
d’interdiction de l’enregistrement des communications électroniques : (i) une exception que la
Chambre Contentieuse qualifie de « Exception Autorisation Légale » en vertu du 1° (« lorsque
la loi permet ou impose l'accomplissement des actes visés ») et (ii) une exception technique que
la Chambre Contentieuse qualifie de « Exception Fonctionnement Réseau » en vertu du 2°
(« vérifier le bon fonctionnement du réseau et d'assurer la bonne exécution d'un service de
communications électroniques »).
81. En ce qui concerne des enregistrements d’appels entrants vers un call center (éventuellement
transférés vers un autre service), la Chambre Contentieuse considère que l’Exception de
l’Autorisation Légale est de nature à s’appliquer en ce qui concerne l’enregistrement des
collaborateurs de la défenderesse (mais pas les appelants).
82. En effet, les dispositions de la loi du 3 juillet 1978 relative aux contrats de travail (« Loi Contrats
de Travail ») constituent une base légale suffisante à cet effet, le travail d'un travailleur étant
exécuté dans le cadre d'un contrat de travail ou dans une situation similaire sous une autorité
(en vertu d’un statut). Cette autorité implique la possibilité de diriger et de surveiller le
Décision quant au fond 102/2026 — 24/105
travailleur (articles 2, 3, 4 et 5 de la Loi Contrats de Travail). C'est dans le cadre de cette
compétence de direction et de surveillance que s'inscrit le droit de contrôle de l'employeur.
83. L'article 16 de la Loi Contrats de Travail dispose que « l'employeur et le travailleur se doivent le
respect et des égards mutuels et qu'ils sont tenus d'assurer et d'observer le respect des
convenances et des bonnes mœurs pendant l'exécution du contrat ».
84. L'article 17 de la Loi Contrats de Travail prévoit en outre que "le travailleur a l'obligation :
1° d'exécuter son travail avec soin, probité et conscience, au temps, au lieu et dans les
conditions convenus ;
2° d'agir conformément aux ordres et aux instructions qui lui sont donnés par l'employeur,
ses mandataires ou ses préposés, en vue de l'exécution du contrat ; (…)".
85. Chaque employeur a donc une mission légale générale en matière de contrôle et de surveillance
de son personnel, et a donc le droit d'exercer une autorité pour poser certains actes de contrôle,
pour autant que ceux-ci se déroulent conformément à la gestion habituelle normale de
l'entreprise (en tant qu'employeur raisonnable et prudent) et conformément à d'autres
dispositions pertinentes applicables.
86. Les enregistrements téléphoniques n’étant pas systématiques, concernant uniquement les
appels entrants vers le numéro général de la défenderesse et s’inscrivant dans le cadre de la
gestion habituelle d’une entreprise (vérification ponctuelle de la qualité du service fourni aux
appelants), la Chambre Contentieuse considère donc qu’en ce qui concerne ses propres
collaborateurs (et non les appelants pour qui il est nécessaire d’identifier une autre exception
applicable), la défenderesse peut se baser sur l’Exception de l’Autorisation Légale qui lui
permet de vérifier le bon accomplissement des missions de ses collaborateurs sans atteinte
disproportionnée à leur vie privée.
87. En effet, vu la nature des enregistrements, la Chambre Contentieuse considère qu’il n’y a pas
(de risque) d’intrusion dans le droit à la vie privée des collaborateurs, notamment car (i) il ne
s’agissait que appels entrants uniquement via le numéro général du call center 087/87.87.87
et non via la ligne directe du collaborateur (à la différence par ex. d’un accès global aux emails
du collaborateur ou p.ex. d’un enregistrement aléatoire de conversations vers la ligne directe
du collaborateur que celles-ci soient internes entre collègues ou non) et car (ii) les
collaborateurs avaient été suffisamment informés des modalités d’enregistrement (le nombre
d’enregistrements étant par ailleurs très limité par rapport nombre d’appels effectivement
passés par les collaborateurs).
III.2.3. Les call-centers
88. L’article 128 de la LCE (applicable jusqu’au 10 janvier 2022) prévoyait quant à lui que:
Décision quant au fond 102/2026 — 25/105
« […] Par dérogation aux articles 259bis et 314bis du Code pénal, la prise de connaissance
et l'enregistrement de communications électroniques et des données de trafic, qui visent
uniquement à contrôler la qualité du service dans les call centers sont autorisés, à condition
que les personnes qui travaillent dans le call center soient informées au préalable et, sans
préjudice de l'application de la loi du 8 décembre 1992 relative à la protection de la vie
privée, de la possibilité de prise de connaissance et d'enregistrement, du but précis de cette
opération et de la durée de conservation de la communication et des données enregistrées.
Ces données peuvent être conservées maximum un mois. » (la Chambre Contentieuse
souligne)
89. Cette disposition est maintenant reprise à l’article 10/1 de la LTD. Le législateur a en effet choisi
de transférer l’article 128 de la LCE vers la LTD en raison de sa portée plus large que celle des
autres dispositions de la LCE qui contiennent principalement des obligations à charge des
opérateurs de télécommunications, l’article 128 s’appliquant au contraire à d’autres acteurs24.
90. L’article 10/1 §2 de la LTD (applicable à partir du 10 janvier 2022) dispose que:
« § 2. En application de l'article 125, § 1er, 1°, de la loi du 13 juin 2005 relative aux
communications électroniques et sans préjudice de l'application du règlement et de cette
loi, la prise de connaissance et l'enregistrement de communications électroniques et des
données de trafic, qui visent uniquement à contrôler la qualité du service dans les call
centers sont autorisés, à condition que les personnes qui travaillent dans le call center
soient informées au préalable de la possibilité de prise de connaissance et
d'enregistrement, du but précis de cette opération et de la durée de conservation de la
communication et des données enregistrées. Ces données peuvent être conservées
maximum un mois. » (la Chambre Contentieuse souligne)
91. En vertu des articles 128 de la LCE (et de l’article 10/1 de la LTD à partir du 10 janvier 2022), le
législateur a donc prévu une quatrième et une cinquième exceptions au principe de
confidentialité des communications électroniques qui permettent aux entreprises :
i. d’enregistrer les communications relatives à des transactions commerciales
licites pour conserver la preuve de ces transactions (par exemple,
enregistrements des conversations dans le cadre du phone banking), en vertu
du § 1er de ces articles (« Exception Preuve Commerciale »); et
ii. de contrôler la qualité du service dans le cadre d’une activité de "call-center",
en vertu du § 2 de ces articles (« Exception Call Center »).
92. En ce qui concerne l’Exception Preuve Commerciale et son champ d’application, considérant le
but des enregistrements (en résumé, tester l’outil et/ou vérifier la qualité du service fourni par
24
Doc. Parl., doc. 55-2256/001, https://www.lachambre.be/FLWB/PDF/55/2256/55K2256001.pdf p. 110.
Décision quant au fond 102/2026 — 26/105
le collaborateur), la Chambre Contentieuse constate que l’Exception Preuve Commerciale ne
s’applique pas ici. Elle n’a d’ailleurs pas été invoquée ni lors de l’enquête ni lors de la procédure
au fond devant la Chambre Contentieuse.
93. Pour invoquer l’Exception Call Center, l’entreprise qui effectue les enregistrements doit
pouvoir démontrer que les conditions d’application de cette exception sont remplies :
i. effectuer des enregistrements et accéder au contenu d’une communication
électronique (champ d’application matériel) ;
ii. uniquement dans le but de contrôler la qualité du service (finalité) ; et
iii. l’enregistrement est uniquement permis en ce qui concerne (i) les collaborateurs
qui travaillent effectivement dans un call center et (ii) les personnes qui appellent
ou sont appelées par les collaborateurs du call center (champ d’application
personnel).
94. D’autres conditions sont également applicables pour rester dans le champ d’application de
l’Exception Call Center :
i. les personnes qui travaillent dans le call center doivent être informées de
l’enregistrement préalablement à l’enregistrement (i) de la possibilité de prise de
connaissance et d'enregistrement, (i) du but précis de cette opération et (iii) de la
durée de conservation de la communication et des données enregistrées
ii. les enregistrements ainsi collectés peuvent être conservés au maximum 1 mois.
IV. Motivation
IV.1. A titre liminaire – Applicabilité du RGPD
95. La législation « générale » relative à la protection des données trouve également à s’appliquer
aux enregistrements téléphoniques à des fins de qualité et d’amélioration du service, en en
particulier :
i. le RGPD, règlement européen directement applicable dans les Etats Membres de
l’Union européenne ; et
ii. la LTD, qui précise et complète les dispositions du RGPD sur certains points.
96. Bien que ces règles ne s’appliquent pas spécifiquement aux enregistrements et écoutes
téléphoniques sur le lieu de travail, elles contiennent des règles générales qui s’appliquent
lorsque des données personnelles sont traitées.
97. Une « donnée personnelle » est définie à l’article 4, 1) du RGPD (tel qu’intégré dans l’article 5 de
la LTD qui prévoit que les définitions du RGPD sont également d’application pour
Décision quant au fond 102/2026 — 27/105
l’interprétation de la LTD) : « toute information se rapportant à une personne physique
identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une
«personne physique identifiable» une personne physique qui peut être identifiée, directement
ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro
d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs
éléments spécifiques propres à son identité physique, physiologique, génétique, psychique,
économique, culturelle ou sociale ». Non seulement les enregistrements sonores sont en tant
que tels des données personnelles relatives aux employés et aux appelants, mais ils
contiennent en plus des données personnelles principalement relatives aux appelants (p. ex.
nom, prénom, données de contact y compris l’adresse, informations financières et de
facturation, etc.) et dans une moindre mesure relatives aux employés (p.ex., prénom,
informations professionnelles, données de contact professionnelles, etc.).
98. Les enregistrements et écoutes téléphoniques constituent quant à eux des « traitements » au
sens de l’article 4, 2) du RGPD (tel qu’intégré dans l’article 5 de la LTD), qui définit ces
traitements comme « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide
de procédés automatisés et appliquées à des données ou des ensembles de données à
caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la
conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la
communication par transmission, la diffusion ou toute autre forme de mise à disposition, le
rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ».
99. En ce qu’elle traite des données personnelles, la défenderesse agit donc en qualité de
responsable de traitement, à savoir, en vertu de l’article 4, 7) du RGPD (tel qu’intégré dans
l’article 5 de la LTD) : « la personne physique ou morale, l'autorité publique, le service ou un autre
organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du
traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de
l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les
critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou
par le droit d'un État membre ». La défenderesse a en effet défini les finalités du traitement (le
« pourquoi ? », à savoir contrôler la qualité des appels par le personnel et assurer leur formation)
et les moyens du traitement (le « comment ? », à savoir enregistrer et écouter certains appels
et les évaluer sur la base d’une grille qualité écoute).
100. En conséquence, la défenderesse, en tant que responsable du traitement, est soumise aux
dispositions du RGPD et de la LTD dans le cadre des enregistrements et écoutes litigieux. Ces
points ne sont pas remis en question par la défenderesse dans ses conclusions.
Décision quant au fond 102/2026 — 28/105
IV.2. Obligation de licéité du traitement
IV.2.1. Nécessité d’une base légale distincte sous le RGPD
101. En ce qui concerne le traitement de données personnelles qui ne relèvent pas d’une
catégorie spéciale en vertu de l’article 9 du RGPD, le principe de licéité, loyauté et transparence
doit en principe être lu conjointement avec l’article 6 du RGPD qui liste de façon exhaustive les
bases juridiques pouvant justifier un traitement de données personnelles. Sur cette base, il
convient donc d’identifier les bases légales permettant les traitements.
102. La Cour de justice de l’Union européenne (« CJUE ») a eu l’occasion de se prononcer sur
l’interaction entre les dispositions issues de la Directive e-Privacy et le RGPD dans son arrêt C-
654/23 du 13 novembre 2025 (« Arrêt Inteligo Media »).
103. Dans cette affaire, la CJUE a d’abord confirmé que pour qu’il puisse être considéré comme
étant légitime, un traitement doit relever de l’un des cas prévus à l’article 6.1 du RGPD, qui
prévoit une liste exhaustive et limitative des cas dans lesquels il peut être considéré comme
étant licite (§ 65).
104. La CJUE a cependant poursuivi en expliquant que « selon les termes explicites de l’article
95 du RGPD, ce règlement n’impose pas d’obligations supplémentaires aux personnes
physiques ou morales quant au traitement dans le cadre de la fourniture de services de
communications électroniques accessibles au public sur les réseaux publics de
communications dans l’Union en ce qui concerne les aspects pour lesquels elles sont soumises
à des obligations spécifiques ayant le même objectif énoncées dans la [Directive e-Privacy] » (§
66 – la Chambre Contentieuse souligne). Elle a également ajouté que « le considérant 173 dudit
règlement précise, de manière analogue, que ce dernier devrait s’appliquer à tous les aspects
de la protection des libertés et droits fondamentaux à l’égard du traitement des données à
caractère personnel qui ne sont pas soumis à des obligations spécifiques ayant le même
objectif énoncées dans la directive 2002/58, y compris les obligations incombant au
responsable du traitement et les droits des personnes physiques » (§ 67 – la Chambre
Contentieuse souligne).
105. Sur cette base, la CJUE a déterminé que l’article 13, paragraphe 2 de la Directive e-Privacy
« régit de manière exhaustive les conditions et les finalités du traitement ainsi que les droits de
la personne concernée et il soumet le responsable de traitement à des « obligations spécifiques
», au sens de l’article 95 du RGPD. Par conséquent, la licéité d’un traitement de données à
caractère personnel effectué dans le cadre d’une communication relevant du champ
d’application de cet article 13, paragraphe 2, peut être établie sur la base de cette
disposition, sans qu’il soit nécessaire de l’apprécier au regard des conditions prévues à
l’article 6, paragraphe 1, sous a) à f), du RGPD » (§ 68 – la Chambre Contentieuse souligne).
Décision quant au fond 102/2026 — 29/105
106. A cet égard, la Chambre Contentieuse note que l’article 5 de la Directive e-Privacy25,
implémenté en droit belge dans les articles 124, 125 et 128 LCE (l’article 128 LCE ayant été
déplacé vers la LTD, via les nouveaux articles 10/1 et 10/2), prévoit également les conditions et
les finalités certains types de traitement ainsi que les droits de la personne concernée et
soumet donc le responsable de traitement à des « obligations spécifiques » au sens de l’article
95 du RGPD dans certaines circonstances.
107. Afin de déterminer si le RGPD s’applique en plus de la LCE, il y a eu lieu de déterminer la
portée de l’article 5 de la Directive e-Privacy par rapport à sa transposition en droit belge. A cet
égard, la LCE reprend le principe de confidentialité des communications, et deux exceptions
qui pourraient être applicables à un enregistrement d’appels commerciaux : (i) le consentement
des parties à la communication repris à l’article 5.1 de la Directive e-Privacy (dans l’article 124
LCE) et (ii) l’Exception Preuve Commerciale repris à l’article 5.2 de la Directive e-Privacy (dans
l’article 128 LCE), l’article 15.1 de la Directive e-Privacy étant réservé à des traitements de
données dans le cadre de la sécurité nationale.
108. Toutes les autres exceptions reprises dans la LCE (notamment l’Exception
Fonctionnement Réseau et l’Exception Call Center) ne peuvent donc pas être considérées
comme « ayant le même objectif » que des dispositions issues de la Directive e-Privacy au
regard de l’article 95 du RGPD. A cet égard, elles permettent donc uniquement de ne pas
interdire le traitement (dans le sens où ce dernier n’est pas « illégal » car contraire à la loi) mais
pas de fournir une base de licéité pour le traitement (dans le sens où l’applicabilité d’une des
exceptions non-issues de la Directive e-Privacy rendra le traitement « légal » au regard de la loi
belge, mais pas « licite » au sens du RGPD).
109. Dans les paragraphes qui suivent, la Chambre Contentieuse a donc d’abord vérifié
l’applicabilité des exceptions issues de la Directive e-Privacy, qui rendent superflue (le cas
échéant) la nécessité d’également identifier une base légale sous le RGPD.
25
Article 5 Directive e-Privacy : « 1. Les États membres garantissent, par la législation nationale, la confidentialité des
communications effectuées au moyen d'un réseau public de communications et de services de communications
électroniques accessibles au public, ainsi que la confidentialité des données relatives au trafic y afférentes. En particulier, ils
interdisent à toute autre personne que les utilisateurs d'écouter, d'intercepter, de stocker les communications et les données
relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d'interception ou de surveillance, sans le consentement
des utilisateurs concernés sauf lorsque cette personne y est légalement autorisée, conformément à l'article 15, paragraphe 1.
Le présent paragraphe n'empêche pas le stockage technique nécessaire à l'acheminement d'une communication, sans
préjudice du principe de confidentialité ».
Article 15.1 Directive e-Privacy : « 1. Les États membres peuvent adopter des mesures législatives visant à limiter la portée des
droits et des obligations prévus aux articles 5 et 6, à l'article 8, paragraphes 1, 2, 3 et 4, et à l'article 9 de la présente directive
lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique,
pour sauvegarder la sécurité nationale — c'est-à-dire la sûreté de l'État — la défense et la sécurité publique, ou assurer la
prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de
communications électroniques, comme le prévoit l'article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États
membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée
limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe. Toutes les mesures visées dans le
présent paragraphe sont prises dans le respect des principes généraux du droit communautaire, y compris ceux visés à l'article
6, paragraphes 1 et 2, du traité sur l'Union européenne. »
(la Chambre Contentieuse souligne)
Décision quant au fond 102/2026 — 30/105
110. En parallèle, la Chambre Contentieuse a également analysé la base de licéité pour chaque
service appelé (Service Contentieux, Front Office et Back Offices hors Service Contentieux),
d’une part par rapport aux employés enregistrés dans ce service et ensuite en ce qui concerne
les appelants, pour les raisons que la Chambre Contentieuse exposera ci-après.
111. Aussi, la licéité du traitement « enregistrement » ne peut qu’être établie si ce traitement est
licite tant dans le chef de l’appelant que du collaborateur appelé. En effet, l’enregistrement de
l’appelant et du collaborateur font partie d’un seul même traitement « enregistrement ». Pour
cette raison, si la défenderesse ne dispose pas de base de licéité pour une seule des catégories
de personnes concernées (collaborateurs ou appelants), étant donné que l’enregistrement de
l’appelant est inextricable de l’enregistrement du collaborateur (et vice versa), la licéité de
l’ensemble du traitement sera viciée.
IV.2.2. Licéité des enregistrements tests au sein du Service Contentieux
112. La défenderesse a indiqué au Service d’Inspection avoir effectué trois tests techniques afin de
tester le bon fonctionnement de la plateforme permettant l’enregistrement et pour montrer au
superviseur du Service Contentieux comment il fallait démarrer et arrêter un enregistrement.
113.La défenderesse a précisé que ces tests ont consisté pour le superviseur du Service
Contentieux non pas à enregistrer des « conversations réelles ni d’évaluer la conversation, mais
uniquement de faire démarrer l’enregistrement puis de l’arrêter ». C’est après la réalisation de
ces tests que la SWDE a décidé de ne pas enregistrer et écouter les appels téléphoniques reçus
par le Service Contentieux, ces trois appels ayant démontré que le personnel de ce service était
particulièrement expérimenté et qu’il n’était pas nécessaire de vérifier la qualité de leurs
prestations téléphoniques.
114.A cet égard, la Chambre Contentieuse a relevé une violation présumée des articles 5.1 a) et 6.1
a) du RGPD ainsi que des articles 124, 125 et 128 de la LCE, lus conjointement avec les articles
4.11), 7.1 et 7.3 du RGPD en ce que la défenderesse n’a pas obtenu un consentement valide des
appelants avant de procéder à l’enregistrement des appels, et a par conséquent failli à
l’obligation de licéité du traitement.
115.Concernant spécifiquement la personne appelant le call-center de la défenderesse
possiblement enregistré, le Service d’inspection a noté qu’au moment où les trois
enregistrements ‘tests’ ont été réalisés, les personnes appelant le service commercial étaient
informées de la possibilité d’enregistrer la conversation. Avant la mise en place du logiciel Y le
25 octobre 2022 qui a permis aux appelants de s’opposer à l’enregistrement en appuyant sur
un bouton avant que l’appel ne soit transmis au collaborateur , le message reçu était le suivant
: « Dans le cadre de l’amélioration de nos services, cet appel peut être enregistré ». Selon la
Décision quant au fond 102/2026 — 31/105
défenderesse, l’appelant pouvait s’opposer à l’enregistrement en le mentionnant directement
au collaborateur qui rappelait alors ladite personne.
116.L’article 4.11) du RGPD définit le consentement comme « toute manifestation de volonté, libre,
spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une
déclaration ou par un acte positif clair, que des données à caractère personnel la concernant
fassent l'objet d'un traitement » (la Chambre Contentieuse souligne).
117. En l’espèce, une simple information « Dans le cadre de l’amélioration de nos services, cet appel
peut être enregistré » n’est pas suffisante pour consister en une demande de consentement,
dès lors que cette pratique implique une démarche proactive de l’appelant pour signaler son
refus d’être enregistré. De plus, un appelant qui ne sait pas qu’il est possible de refuser
l’enregistrement pourrait accepter l’enregistrement, craignant de ne pas pouvoir accès au
service et de ne pas pouvoir poser sa question concernant un service essentiel (à savoir, l’accès
à l’eau). Le simple fait que l’appelant soit resté au téléphone dans ce contexte, en particulier au
vu du message communiqué et de l’absence d’une quelconque information quant à la
possibilité de refuser l’enregistrement, n’implique donc pas qu’il ait donné un consentement
valable au sens du RGPD.
118. En l’absence de consentement valable des appelants, il y a donc lieu de vérifier (i) si les
enregistrements peuvent être rendus légaux sous la base d’une autre exception au principe de
confidentialité des communications électroniques contenu dans la LCE et ensuite, dans le cas
où une exception a pu être identifiée, (ii) si une autre base légale sous le RGPD peut s’appliquer
en l’espèce.
119.Selon la défenderesse, la finalité de ces trois enregistrements test était de vérifier le bon
fonctionnement de l’outil technique et de former les chefs de service et les superviseurs à leur
utilisation. Cependant, la défenderesse indique également dans ses conclusions que « la
réalisation de ces enregistrements tests était cependant nécessaire pour permettre à la SWDE
d’affirmer que la qualité des services fournis par les agents du Service Contentieux était
suffisante […]. La SWDE n’aurait pas pu se rendre compte de la qualité des réponses données
par les agents du Service Contentieux sans procéder à ces écoutes tests ».
120. La Chambre Contentieuse note ici l’incohérence des propos de la défenderesse : (i) soit les
enregistrements étaient en effet de simples tests pour vérifier le fonctionnement de l’outil et
la défenderesse n’a pas pu en tirer une quelconque conclusion sur la nécessité de poursuivre
les enregistrements (ii) soit l’employé a effectivement été évalué et c’est sur base de l’analyse
de ces trois conversations (et donc d’une évaluation positive) qu’il a été décidé de ne pas
procéder aux enregistrements de façon globale. Aussi, ces tests étaient donc suffisamment
longs pour permettre à la défenderesse de pouvoir juger de la qualité des réponses apportées
par le membre du personnel concerné, et dépassaient donc le cadre nécessaire du simple test
de bon fonctionnement de l’outil.
Décision quant au fond 102/2026 — 32/105
121. Cette double finalité dépasse le cadre de l’Exception Fonctionnement Réseau, car ces tests ont
permis à la défenderesse de pouvoir juger de la qualité des réponses apportées par le membre
du personnel concerné, et dépassent donc le cadre nécessaire du simple test de bon
fonctionnement de l’outil, qui n’inclut pas la vérification de la qualité du service.
122. Dès lors que les enregistrements ont effectivement été écoutés et que les compétences
des employés du Service Contentieux écoutés ont été jugées suffisantes pour ne pas
poursuivre les enregistrements, le fait qu’aucune évaluation n’ait été effectivement créée dans
l’outil Z n’est pas pertinente, dès lors qu’il y a bien eu une certaine forme d’évaluation sur la base
des traitements.
123. L’Exception Fonctionnement Réseau n’étant pas applicable aux enregistrements tests, il y
a donc lieu d’examiner si ces enregistrements peuvent être rendus légaux sur la base de
l’Exception Call Center, en particulier car selon la défenderesse, les membres du Service
Contentieux doivent également être considérés comme faisant partie du « call center » de la
SWDE.
124. Le dictionnaire américain Merriam-Webster définit le call center de la façon suivante: « an
office equipped to handle a large volume of telephone calls for an organization (such as a
retailer, bank, or marketing firm) especially for taking orders or for providing customer service.
» (traduction libre: un bureau équipé pour gérer un volume important d’appels téléphonique
pour une organisation (tel qu’un détaillant, une banque, ou une entreprise de publication)
notamment pour prendre les commandes et pour fournir des services aux consommateurs).
125. Le dictionnaire en ligne Van Dale définit un « call center » comme : « centrale vanwaaruit of
waarheen op grote schaal gebeld wordt, bv. door telemarketeers » (traduction libre: une
centrale depuis et vers laquelle des appels téléphoniques à grande échelle sont passés, par
exemple par des télémarketeurs).
126. En l’absence de définition légale, la notion de « call center » au sens commun du terme
correspond donc à un service ou entreprise tierce chargé de gérer un flot important d’appels.
127. La notion de “grande échelle” ou “d’activité majoritaire” (qui s’apprécie en fonction du cas
d’espèce) est essentielle pour différencier les activités d’un call center des activités d’autres
services qui ont le même but, mais dont la finalité essentielle n’est pas de traiter des appels
mais de traiter des dossiers (en l’espèce, par téléphone).
128. Au regard des éléments du dossier, la Chambre Contentieuse note que:
i. les collaborateurs du Service Contentieux ont une moyenne de 18 appels par mois,
soit moins d’un appel par jour ouvrable, ce qui démontre en l’espèce que les tâches
effectuées par ces collaborateurs ne peuvent être assimilées aux activités d’un « call
center » au sens commun du terme. La Chambre Contentieuse fait ici un parallèle
avec un exemple dans un autre secteur : celui d’un client qui appelle le numéro
Décision quant au fond 102/2026 — 33/105
général d’une banque pour placer des fonds et est ensuite mis en relation avec un
conseiller en placements. Dans ce cadre, le conseiller en placement qui prend un
appel par jour ne pourrait être considéré comme faisant partie du « call center » de
cette banque au seul prétexte que l’appel lui a été transmis par le call center ou
même, a fortiori, simplement car il reçoit ou passe également des appels pour
l’entretien de la relation client ;
ii. au regard des autres activités spécifiques au Service Contentieux, les tâches de ce
dernier ne consistent pas à apporter (en premier lieu) une assistance aux clients de
la défenderesse mais consistent principalement à apporter le support administratif
pour permettre à la défenderesse de répondre à ses activités principales. Par ailleurs,
le nom « service contentieux » semble incompatible avec la notion d’assistance
administrative et entretien de la relation client (ceci est d’ailleurs confirmé par l’email
de la supérieure hiérarchique du Service Contentieux qui indique « on est bien
d’accord qu’au service contentieux, il peut arriver que les clients ne soient pas
satisfaits », qui démontre que les tâches du Service Contentieux dépassent le
simple cadre de la simple gestion de la clientèle mais relèvent de tâches plus
spécifiques de gestion de dossiers, contentieux en l’espèce). Ceci est par ailleurs
confirmé par l’absence de poursuite des enregistrements pour ces collaborateurs :
leur haut degré de spécialisation (au contraire d’un contact client permettant de
répondre à des demandes basiques) ne justifiait pas que ces derniers soient
enregistrés pour évaluer la qualité de leurs appels ; et
iii. en outre, les collaborateurs du Service Contentieux disposent d’une plus grande
autonomie dans l’accomplissement de leur fonction dans la mesure où aucun script
téléphonique ne leur est imposé.
129. La Chambre Contentieuse constate que les situations pour lesquelles le Service
Contentieux est susceptible de traiter les demandes téléphoniques sont donc:
i. répondre à des demandes complexes qui requièrent une plus grande analyse et donc
une plus grande expertise ; et
ii. répondre à des demandes relatives à leurs fonctions (premières) qui ne constituent
pas des activités d’assistance au client, mais de la gestion de dossiers (contentieux).
130. Les activités du Service Contentieux dépassent donc le cadre des activités confiées à un
call center au sens commun du terme, à savoir un service d’assistance technique ou
commerciale par téléphone ou par internet qui traite des appels à grande échelle.
131.La défenderesse ne peut être suivie lorsqu’elle affirme qu’un call-center est « uniquement
défini par sa mission de recevoir les appels des prospects ou clients, pour les renseigner ou leur
proposer de nouveaux services ou encore entretenir la relation clientèle » ou encore qu’un call-
Décision quant au fond 102/2026 — 34/105
center serait simplement « un service constitué d’un ensemble de postes de travail pourvus
d’ordinateurs et de moyens téléphoniques ». Si la Chambre Contentieuse devait suivre la
défenderesse, il apparait que n’importe quel collaborateur d’une entreprise, pour autant qu’il ait
des contacts par téléphone ou par internet avec des clients (ou même simplement un
ordinateur et un téléphone), pourrait être considéré comme faisant partie d’un call center. Une
telle interprétation dépasserait largement le cadre de l’Exception Call Center, destinée à
couvrir une situation spécifique.
132. Sur la base de tout ce qui précède, la Chambre Contentieuse estime donc qu’un client qui
appelle le numéro général de la SWDE et est mis en contact avec le Service Contentieux n’est
plus couvert sous l’Exception Call Center à partir du moment où l’appel atteint le Service
Contentieux.
133. L’Exception Call Center n’est donc pas applicable pour les appels entre un appelant et les
agents du Service Contentieux, qui traitent (parfois par téléphone) des dossiers spécifiques qui
leurs sont transmis, sans que le cœur de leur activité ne soit de traiter des appels de clients et
prospects (au contraire des collaborateurs du Front Office et des Back Offices ZO et ZE, qui
consacrent une partie significative de leur temps de travail à traiter les appels venant du call
center).
134. Etant donné que l’Exception Autorisation Légale (qui ne vaut qu’à l’égard des collaborateurs
et pas des appelants, l’employeur n’ayant qu’un devoir de surveillance vis-à-vis de ses
employés) et l’Exception Call Center ne sont pas d’application, l’article 124 de la LCE interdit
l’enregistrement et l’écoute sans avoir obtenu le consentement de l’appelant. Le responsable
de traitement n’a pas d’autre choix que de demander le consentement de l’appelant pour
procéder à l’enregistrement et à l’écoute de la conversation téléphonique avec le collaborateur.
Or, la Chambre Contentieuse a déjà établi que la défenderesse n’a pas obtenu le consentement
valable des appelants dans le cadre de ces trois enregistrements tests.
135. En conséquence, les trois appels “tests” entre le collaborateur du Service Contentieux qui
a fait l’objet des enregistrements et les trois appelants dont les appels ont été enregistrés dans
le cadre de ces tests ne sont pas légaux au regard de la LCE, aucune exception au principe de
confidentialité ne trouvant à s’appliquer ici. L’enregistrement étant par nature illégal à l’aune du
principe de confidentialité des communications électroniques, il n’y a dès lors plus lieu de
déterminer si une base légale sous le RGPD pouvait rendre ce traitement (à savoir,
l’enregsitrement) licite.
136. De même, dès lors que le traitement est illégal en ce qui concerne les appelants, il n’y a plus
lieu de déterminer si les enregistrements sont légaux et licites en ce qui concerne le
collaborateur enregistré, l’enregistrement de l’appelant étant inextricable de l’enregistrement
de l’appelant.
Décision quant au fond 102/2026 — 35/105
137. Les enregistrements n’étant pas licites en ce qui concerne les appelants, la Chambre
Contentieuse constate donc une violation des articles 5.1 a) et 6.1 du RGPD lus en
combinaison avec les articles 124, 125 et 128 de la LCE, en ce que les trois enregistrements
tests sont illicites. Plus spécifiquement, elle constate également une violation des articles
4.11), 7.1 et 7.3 du RGPD pour ne pas avoir recueilli le consentement valide des appelants
dans ce cadre, mais n’en tire pas de constat de violation spécifique car ce grief est couvert
dans la violation des articles 5.1 a) et 6.1 du RGPD. Il n’est dès lors plus nécessaire d’analyser
la situation des collaborateurs dès lors que les conclusions qui pourraient en être tirées ne sont
plus de nature à modifier les conclusions de la Chambre Contentieuse en ce qui concerne la
licéité des enregistrements.
138. S’agissant d’une situation passée et limitée à trois occurrences en octobre et novembre
2020, la Chambre Contentieuse décide, en vertu de l’article 100 §1er, 5° de la LCA de
prononcer une réprimande à la défenderesse pour les violations des articles 5.1 a) et 6.1 du
RGPD lus en combinaison avec les articles 124 et 128 de la LCE.
IV.2.3. Enregistrements des employés du Front Office
139. En ce qui concerne les enregistrements des employés du Front Office, la Chambre
Contentieuse avait relevé une violation présumée des articles 5.1 a) et 6.1 du RGPD en ce que
la défenderesse (cfr. constatation 7 du Rapport d’Enquête) se serait incorrectement basée sur
la base légale de l’exercice d’une mission d’intérêt public (art. 6.1 e) du RGPD) pour procéder
aux enregistrements, alors que ceux-ci n’étaient pas nécessaires à l’exercice de la mission de
la défenderesse.
140. Il y a donc lieu d’examiner si la défenderesse disposait d’une base légale pour enregistrer
les employés du Front Office (ou le « call-center » de la défenderesse).
141.A cet égard, les tâches des employés du Front Office (= le call-center) sont à distinguer de celles
des employés du Service Contentieux.
142. Le « Front Office » a pour but d’« assurer les réponses aux questions en première ligne par
voie téléphonique ou par écrit, à savoir les questions sur les factures, l’état de paiement (solde
du compte), l’activation de la domiciliation, l’activation de la dématérialisation, les
emménagements/déménagements, les relevés d’index, les plans d’apurement, la modification
des montants ou du cycle de facturation… ». Les tâches requièrent également un faible niveau
d’autonomie puisque la défenderesse indiquait que les membres du personnel du « Front Office
» travaillaient avec « une structure à respecter pour le traitement des appels » ainsi que « des
réponses types ».
143. Il ne fait aucun doute tant pour le Service d’Inspection que la Chambre Contentieuse de la
qualification du Font Office en « call-center » au sens de l’article 128 de la LCE, les employés
Décision quant au fond 102/2026 — 36/105
passant 80% de leur temps à répondre à des appels téléphoniques émanant du numéro
général, pour des appels d’une durée de 5 min environ et répondant à des questions assez
simples et rapides des citoyens.
144. Au vu du faible niveau d’autonomie et de la description de la fonction apportée, le Front
Office peut donc être considéré comme un « call center » au sens de l’Exception Call Center.
145. Il y a dès lors lieu de vérifier si la défenderesse a rempli toutes les conditions pour s’appuyer
sur l’Exception Call Center. A cet égard, la Chambre Contentieuse note que :
- les enregistrements visaient uniquement à contrôler la qualité du service dans les call
centers sont autorisés ;
- les personnes qui travaillent dans le call center sont informées au préalable de la
possibilité de prise de connaissance et d'enregistrement lors de réunions dans le cadre
du projet visant à instaurer le système d’enregistrements des appels au sein de la SWDE.
- la durée (au moins) prévue de rétention des données était de 30 jours.
146. L’Exception Call Center est donc applicable ici. Cette exception s’applique tant pour les
appelants que pour les collaborateurs du Front Office, ce qui rend donc les enregistrements
« légaux » au regard de la LCE.
147. Pour déterminer si le traitement est licite, la Chambre Contentieuse a également analysé
l’existence d’une base légale sous l’article 6.1 du RGPD.
148. A cet égard, la Chambre Contentieuse note par ailleurs que la défenderesse n’a pas soulevé
l’argument lié à la non nécessité d’avoir une base légale distincte sous le RGPD dans ce cadre
précis lors de l’audience du 5 décembre 2025, pourtant postérieure à l’Arrêt Inteligo Media. La
défenderesse ayant par ailleurs spécifiquement indiqué disposer d’un intérêt légitime pour
justifier les enregistrements, la Chambre Contentieuse en conclut dès lors que la défenderesse
elle-même considère qu’il y avait lieu d’identifier une base légale tant sous la LCE que le RGPD.
149. Dans ses conclusions, la défenderesse indique que les enregistrements à des fins
d’amélioration de la qualité seraient nécessaires à l'exécution d'une mission d'intérêt public ou
relevant de l'exercice de l'autorité publique dont elle est investie.
150. Concernant l’article 6.1, e) du RGPD, la Chambre Contentieuse estime que la condition de
nécessité peut parfois s’interpréter de manière large de manière à donner un effet utile à cette
base légale. À cette occasion, la Chambre Contentieuse a déjà précisé que « la notion de
traitement nécessaire à l’exécution d’une mission d’intérêt public couvre le traitement
nécessaire à l’exécution de la mission d’intérêt public au sens strict, mais également le
traitement nécessaire à l’exécution de missions directement liées à cette mission d’intérêt
public, y compris celles nécessaires à la gestion et au fonctionnement des organismes chargés
de cette mission d’intérêt public. Étant donné que sans le personnel et la gestion des
Décision quant au fond 102/2026 — 37/105
ressources humaines qui y est associé, la partie défenderesse ne serait pas en mesure
d’accomplir ses missions d’intérêt public, le traitement des données à caractère personnel dans
le cadre de la gestion du personnel devrait également être fondé sur l’article 6 §1, e) du RGPD
»26.
151.Sur son site internet, la CNIL rappelle que « la mission d’intérêt public concerne au premier chef
les traitements concernant les usagers ou les publics des organismes : c’est à leur égard que
s’exerce la mission de service public et c’est dans le cadre des traitements qui les concernent
que s’exerce spécifiquement l’autorité publique ».
152. Dans ses conclusions, la défenderesse indique que :
« Par son call center, la [défenderesse] assure la gestion des plaintes et des réclamations
relatives à la distribution et la fourniture d’eau potable, mission d’intérêt public dont elle est
chargée. La [défenderesse], en tant que producteur et distributeur d’eau, se doit de
répondre de la meilleure façon aux demandes qui lui sont adressées par tout citoyen dans
le cadre de la fourniture d’eau qu’assure la [défenderesse]. Dans le cadre de l’exécution de
ses missions de distribution d’eau conformément au Code wallon de l’Eau, la [défenderesse]
doit donc être en mesure de répondre de manière satisfaisante et efficace aux citoyens qui
lui posent des questions via son call center. Cela passe notamment par le contrôle de qualité
des réponses fournies par les agents du call center de la [défenderesse]. La [défenderesse]
considère que ces traitements sont donc nécessaires à la bonne exécution de sa mission
d’intérêt public.
C’est à tort que le Service d’Inspection estime que les missions des call centers de la
[défenderesse] ne sont pas « nécessaires » à la distribution et à la production de manière
continue de l’eau. Les citoyens peuvent appeler la [défenderesse] pour signaler tout
dysfonctionnement du système de fourniture d’eau, qu’il soit lié à leur situation personnelle
(nouveau raccordement, fuite d’eau, dysfonctionnement des compteurs, etc.) ou à une
situation générale (coupure d’eau liée à une intempérie, fuite d’eau dans la rue qui affecte
l’approvisionnement de plusieurs maisons, etc.).
La [défenderesse] doit être informée de ces anomalies pour pouvoir ensuite y remédier et
assurer la continuité de l’alimentation en eau potable.
La gestion des appels des citoyens est donc intrinsèquement liée à la mission d’intérêt
général de la [défenderesse]. » (la Chambre Contentieuse souligne).
153. L’article 6.1 e) du RGPD prévoit que le traitement doit être « nécessaire à l'exécution d'une
mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le
responsable du traitement » (la Chambre Contentieuse souligne).
26
APD (Chambre Contentieuse), décision 15/2023,
Décision quant au fond 102/2026 — 38/105
154. La Chambre Contentieuse convient qu’il n’y a pas lieu d’être trop restrictif dans
l’interprétation de la « nécessité pour une mission d’intérêt public ». Elle considère que, dans le
cas d’espèce, la défenderesse a expliqué à suffisance en quoi des enregistrements ponctuels
des appels dans les calls centers était nécessaires pour la bonne exécution de sa mission de
fourniture d’eau potable. En effet, la Chambre Contentieuse considère que les autorités
publiques qui s’appuient sur cette exception doivent pouvoir démontrer que le traitement est
nécessaire pour une exécution correcte et efficace de sa mission (pour assurer une certaine
efficience entre des moyens financiers et humains à consacrer à l’exercice de la mission, dans
l’intérêt public), pour autant qu’il y ait une balance entre l’ingérence causée par le traitement
et le droit à la vie privée des personnes concernées par le traitement. En l’occurrence, la
Chambre Contentieuse considère que l’intrusion ici est minimale au vu de la nature des appels
reçue par le Front Office et de l’existence d’un droit d’opposition à l’enregistrement pour les
appelants.
155. Aussi, en vertu du service essentiel qu’elle offre aux citoyens ainsi que des conséquences
graves si le service de fourniture d’eau est discontinué, il est en effet nécessaire à la mission
d’intérêt général de la défenderesse que ses opérateurs de première ligne (son call-center)
soient en mesure d’offrir une réponse rapide et satisfaisante aux besoins des citoyens (en
particulier lorsque ceux-ci touchent à des ressources essentielles, comme l’accès à l’eau), et de
répondre rapidement aux besoins de formation que certains de ses opérateurs pourraient
rencontrer, de manière à assurer la meilleure gestion possible de ce service public.
156. Aussi, la Chambre Contentieuse note que la LCE (et maintenant la LTD) consacrent
explicitement la légalité et la légitimité des enregistrements et écoutes à des fins d’évaluation
de la qualité, pour autant que certaines conditions soient respectées (ce qui a été le cas en
l’espèce). Dès lors, elle considère que ce type de traitement est d’une certaine façon « prévu »
par la loi.
157. Par ailleurs, la Chambre Contentieuse n’identifie pas d’autres moyens moins intrusifs pour
atteindre l’objectif, à part envoyer régulièrement en formation tous les collaborateurs
confondus. Cependant, la Chambre Contentieuse est d’avis qu’il ressort de la bonne exécution
d’une mission d’intérêt public comme celle remplie par la défenderesse de ne pas inutilement
consacrer de l’argent public pour envoyer régulièrement en formation des collaborateurs qui
n’en ont pas besoin. Ceci est d’autant plus vrai que les critères pour obtenir une bonne
évaluation étaient très bas. A cet égard, la Chambre Contentieuse note l’argument de la
défenderesse selon lequel l’enregistrement des appels dans un call-center à des fins
d’amélioration du service est en soi une ingérence acceptable. La Chambre Contentieuse
partage cet avis, pour autant que la notion de call-center reste limitée à des appels courts et
standardisés pour certains types de demandes fréquentes et courantes, ce qui garantit la
(presqu’)absence d’ingérence dans la vie privée des appelants et des collaborateurs.
Décision quant au fond 102/2026 — 39/105
158. En l’espèce, la Chambre Contentieuse considère donc que la défenderesse a pu
correctement se baser sur l’article 6.1, e) du RGPD pour procéder aux enregistrements des
employés du Front Office à des fins d’évaluation de la qualité et de formation.
159. En conclusion, les conditions de l’Exception Call Center étant remplies et considérant que
la défenderesse avait correctement identifié la base légale lui permettant de procéder aux
enregistrements, la Chambre Contentieuse ne constate pas d’infraction en ce qui concerne
les enregistrements des conversations entre les appelants et les employés du Front Office.
IV.2.1. Licéité des enregistrements des employés des Back Offices hors Service Contentieux
160. En ce qui concerne les membres du personnel travaillant pour les Back Offices hors Service
Contentieux (ci-après les « Back Offices ZO et ZE27 »), la Chambre Contentieuse constate les
points suivants sur la base du Rapport d’Enquête et des réponses fournies par la défenderesse
lors de l’enquête que les collaborateurs des Back Offices ZO et ZE :
a. passent une partie non négligeable de leur temps, à savoir environ 2 heures par jour par
personne (12 appels d’environ 10 minutes chacun) à répondre aux demandes
téléphoniques transmises par le Front Office ;
b. tous les autres appels (à savoir, ceux non transmis par le Front Office) ne font pas l’objet
d’écoutes ; et
c. les appels touchent soit à des situations précises déléguées aux Back Offices ZO et ZE,
plutôt qu’au Front Office, soit à des appels qui « encombreraient » le Front Office car ils
prennent plus de 5 minutes (mais restent cependant courts car d’une durée d’environ 10
minutes).
161.Sur la base de ce qui précède, bien qu’ils soient tous collaborateurs des Back Offices, la
Chambre Contentieuse considère que la situation des collaborateurs des Back Offices ZO et
ZE est à distinguer de celle des collaborateurs du Service Contentieux. Comme expliqué plus
haut, les collaborateurs du Service Contentieux traitent moins d’un appel par jour en moyenne,
alors que le traitement d’appels téléphoniques fait partie intégrante d’une « journée type » de
chaque collaborateur des Back Offices ZO et ZE. En conséquence, la Chambre Contentieuse
estime que lorsqu’ils répondent à des personnes ayant appelé le numéro général de la
défenderesse, les collaborateurs des Back Offices ZO et ZE tombent sous l’Exception Call
Center, car il ne s’agit pas dans ce cadre de gestionnaires de dossiers qui prennent un appel,
mais bien de collaborateurs faisant partie intégrante du système de gestion centralisée des
appels clients, à savoir le « call center » de la SWDE.
27
ZO pour Zone Ouest et ZE pour Zone Est.
Décision quant au fond 102/2026 — 40/105
162. Comme la défenderesse l’avait souligné lors de son audition, elle n’a pas à être sanctionnée
pour de simples choix organisationnels destinés à améliorer la gestion des appels vers son
numéro général. Ceci n’énerve en rien les constats de la Chambre Contentieuse en ce qui
concerne les collaborateurs du Service Contentieux qui, du propre aveu de la défenderesse,
sont particulièrement expérimentés et pour lequel « l’activité téléphonique n’est pas
prédominante et n’aurait pas permis de vérifier la qualité de leurs prestations ».
163. Sur cette base, les enregistrements des appels entre les agents des Back Offices ZO et ZE
et les personnes ayant appelé le numéro général de la défenderesse peuvent être considérés
comme légaux au regard de la LCE sur la base de l’Exception Call Center.
164. Les conclusions relatives à la justification des traitements sur la base de l’article 6.1 e) du
RGPD (bonne exécution de la mission d’intérêt public) développées ci-dessus aux points 147 et
suivants pour les collaborateurs du Front Office sont également applicables mutatis mutandis
pour les collaborateurs des Back Offices ZO et ZE.
165. Les enregistrements des appels entre les agents des Back Offices ZO et ZE et les
personnes ayant appelé le numéro général de la défenderesse peuvent être considérés comme
licites au regard de l’article 6.1 e) du RGPD.
166. La Chambre Contentieuse ne constate donc aucune violation du principe de licéité dans
ce cadre.
IV.3. Obligation de transparence
IV.3.1. Principes
167. La LCE s’applique sans préjudice du RGPD. Cela signifie que les obligations de transparence
prévues dans la LCE (et notamment dans le cadre de l’Exception Call Center) décrites plus haut
supplémentent et modalisent l’information à donner aux personnes concernées (appelants et
collaborateurs) en vertu du RGPD, qui impose également que certaines informations soient
communiquées à ces personnes.
168. Le principe de licéité, loyauté et transparence prévu à l’article 5.1 a) du RGPD doit être lu
conjointement avec les articles 12, 13 et 14 du RGPD qui modalisent l’obligation de
transparence sous le RGPD. Ces articles explicitent (i) quel type d’informations doit être
communiquée à la personne concernée et (ii) les modalités de communication de ces
informations. L’interprétation à donner à ces articles et leur application en pratique ont
spécifiées en détail dans les Lignes directrices sur la transparence au sens du règlement (UE)
2016/67928 du CEPD (“Lignes Directrices Transparence”).
28
CEPD, Lignes directrices sur la transparence au sens du règlement (UE) 2016/679 (WP260 rev.01), 11 avril 2018, disponible
sur https://www.edpb.europa.eu/system/files/2023-09/wp260rev01 fr.pdf
Décision quant au fond 102/2026 — 41/105
169. S’agissant d’informations collectées directement auprès des personnes concernées (la
défenderesse enregistrant les conversations), l’article 14 du RGPD (qui s’applique en cas de
collecte indirecte) ne s’applique pas en l’espèce. Seuls les articles 12 et 13 du RGPD sont donc
applicables.
170. Concernant le contenu de l’information, l’article 13 par. 1 et 2 du RGPD prévoit que:
« Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes:
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement
b) le cas échéant, les coordonnées du délégué à la protection des données;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers;
e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent; et
f)le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition;
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à
la personne concernée, au moment où les données à caractère personnel sont obtenues,
les informations complémentaires suivantes qui sont nécessaires pour garantir un
traitement équitable et transparent:
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée;
b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données;
Décision quant au fond 102/2026 — 42/105
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment, sans
porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait
de celui-ci;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle;
e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée. » (la Chambre Contentieuse souligne)
171. En ce qui concerne les modalités de communication de l’information, l’article 13.1 du RGPD
prévoit que l’information doit être fournie « au moment où les données en question sont
obtenues ». L’article 12 prévoit également que :
« Le responsable du traitement prend des mesures appropriées pour fournir toute
information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au
titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne
concernée d'une façon concise, transparente, compréhensible et aisément accessible, en
des termes clairs et simples, en particulier pour toute information destinée spécifiquement
à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris,
lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la
demande, les informations peuvent être fournies oralement, à condition que l'identité de la
personne concernée soit démontrée par d'autres moyens. »29
172. Le CEPD a précisé dans les Lignes Directrices Transparence comment les responsables de
traitement peuvent en pratique satisfaire aux exigences des articles 12, 13 et 14 du RGPD. Elles
précisent notamment (i) le contenu de l’information à fournir aux personnes concernées, (ii)
comment fournir l’information dans un milieu non numérique (par ex. une conversation
téléphonique), notamment pour que cette information soit aisément accessible et (iii) comment
informer les personnes concernées des mises à jour.
173. S’agissant d’appels téléphoniques et compte tenu de la quantité importante d’informations
devant être communiquée à la personne concernée, le CEPD a reconnu qu’il n’est pas toujours
29
CEPD, Lignes Directrices Transparence, par. 38.
Décision quant au fond 102/2026 — 43/105
souhaitable de fournir toute l’information aux appelants lors de l’appel. A cet égard, le CEPD
précise que (la Chambre Contentieuse souligne) :
« Une approche à plusieurs niveaux pour communiquer des informations sur la
transparence aux personnes concernées peut également être utilisée dans un contexte
hors ligne ou non numérique (c’est-à-dire dans un environnement réel tel qu’un
engagement entre deux personnes ou des communications par téléphone) où plusieurs
modalités peuvent être déployées par les responsables du traitement afin de faciliter la
fourniture d’informations. (Voir également les points 33 à 37 et 39 à 40 en ce qui concerne
les différentes modalités applicables à la communication des informations.) Cette approche
ne doit pas être confondue avec l’émission distincte d’un avis ou d’une déclaration sur la
protection des données à différents niveaux. Quels que soient les formats utilisés dans
cette approche à plusieurs niveaux, le G29 recommande que le premier «niveau»
(autrement dit, la principale façon de communiquer pour la première fois avec une personne
concernée) communique de manière générale les informations les plus importantes
(comme énoncé au point 36 ci-dessus), à savoir les détails de la finalité du traitement,
l’identité du responsable du traitement et l’existence des droits des personnes concernées,
ainsi que les informations ayant la plus forte incidence sur le traitement ou tout traitement
susceptible de surprendre les personnes concernées. Par exemple, quand le premier
contact avec une personne concernée se fait par téléphone, ces informations pourraient
être fournies lors de l’appel téléphonique tandis que les autres informations requises au
titre des articles 13 et 14 pourraient être fournies ultérieurement et par d’autres moyens,
notamment en envoyant un exemplaire de la politique de confidentialité par e-mail et/ou en
envoyant à la personne concernée un lien vers l’avis/la déclaration en ligne du responsable
du traitement sur la protection de la vie privée à différents niveaux. »30
174. En ce qui concerne le respect de l’obligation de transparence par la défenderesse, il est
nécessaire de faire une distinction entre les différentes catégories de personnes concernées :
(i) les collaborateurs de la défenderesse et (ii) les appelants.
IV.3.2. Vis-à-vis des collaborateurs de la défenderesse
175. A l’égard des collaborateurs, la Chambre Contentieuse a relevé dans l’Invitation à Conclure
une potentielle violation des articles 5 .1 a), 12.1 et 13 du RGPD, ainsi que de l’article 128 de la
LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en raison du non-
respect du principe de loyauté et de transparence vis-à-vis des employés de la défenderesse
dont les appels ont fait l’objet d’enregistrements et/ou d’écoutes.
30
CEPD, Lignes Directrices Transparence
Décision quant au fond 102/2026 — 44/105
176. Premièrement, il lui était reproché que les informations communiquées par la défenderesse
à ses employés ne reprennent pas tout le contenu de l’information qui aurait dû leur être
communiqué en application du RGPD et des dispositions relatives à la confidentialité des
communications électroniques, notamment les modalités du contrôle, la base juridique du
traitement, les destinataires de leurs données personnelles, la durée de conservation de ces
données ainsi que du caractère obligatoire ou non de communiquer ces données personnelles
à la défenderesse.
177. Deuxièmement, il lui était également reproché que la multiplicité des supports sur lesquels
l’information relative aux traitements litigieux était mise à disposition des employés lors de la
mise en place du projet ne permet pas de satisfaire à l’exigence de transparence en vertu du
RGPD, en ce que notamment, cette information n’était pas suffisamment aisément accessible
et compréhensible.
178. La Chambre Contentieuse note qu’une partie importante de la défense de la SWDE quant
au contenu et aux modalités de l’information consiste à affirmer que les informations ont été
données de façon verbale aux collaborateurs (ce qui n’est par ailleurs pas contesté). L’article
12.1 du RGPD prévoit que « […] Les informations sont fournies par écrit ou par d'autres moyens
y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait
la demande, les informations peuvent être fournies oralement, à condition que l'identité de la
personne concernée soit démontrée par d'autres moyens ».
179. En ce qui concerne le premier reproche quant au contenu des informations données, la
Chambre Contentieuse constate qu’il apparait du Rapport d’Enquête que beaucoup de
réunions et de formations ont été organisées en amont des enregistrements, au cours
desquelles les agents auraient été dûment informés de tous les aspects de ces
enregistrements. A cet égard, la Chambre Contentieuse note également sur la base des
conclusions de la défenderesse que l’information aurait été fournie via :
a. de « nombreuses présentations et formations » et réunions d’équipe (et notamment les
stand-ups hebdomadaires suivis d’emails récapitulatifs, ainsi que les « K-News »);
b. diverses présentations (présentation « RGPD » par le DPO, présentation « Règlement général
sur la protection des données » par Mme […] , présentation « filière superviseurs : formation
option marchés publics », présentation « RGPD » de janvier 2019 ;
c. des vidéos « données du personnel de la SWDE » ;
d. la « charte de protection des données » mises en ligne en juin et juillet 2019 sur l’intranet de
la SWDE ;
e. une formation « Business continuity Management et RGPD » donnée par M. […] ainsi que
l’audit de la société […] ;
Décision quant au fond 102/2026 — 45/105
f. les affiches de sensibilisation disposées dans les locaux de la SWDE ;
g. la charte informatique de la SWDE qui mentionne l’enregistrement des appels des agents
des call centers ;
h. la politique de protection des données du personnel accessible à tout membre du personnel
via l’intranet de la SWDE (« Politique Vie Privée Personnel ») et mentionnant expressément
les enregistrements des appels des call centers à des fins de contrôle et d’amélioration des
services, qui a cependant uniquement été modifiée pour inclure les écoutes le 15 janvier
2025 (soit près de 7 ans après le début des enregistrements).
i. des campagnes par courriers électroniques et des news adressés à l’ensemble du personnel
pour leur rappeler l’existence de ces vidéos et de la Politique Vie Privée Personnel.
180. La Chambre Contentieuse constate également que ces affirmations ne sont pas remises
en question par le plaignant, qui admet par ailleurs que les écoutes ont « toujours été prévues
verbalement » sans expliquer exactement ce qui lui a été communiqué.
181. Sur cette base, la Chambre Contentieuse constate d’une part que les employés ont
effectivement été informés des enregistrements et de leurs modalités, leur finalité, ainsi que
des critères d’évaluation (ainsi que les conséquences potentielles des écoutes), de la durée de
conservation des données, de l’identité des sous-traitants en charge du processus ainsi que
d’autre part, ce qu’est un traitement de données personnelles. Les employés disposaient
également de la Politique Vie Privée Personnel, qui reprenait également des informations
générales sur la façon dont la défenderesse traite leurs données personnelles (mais sans se
référer aux enregistrements jusqu’aux 15 janvier 2025).
182. Cependant, la Chambre Contentieuse note des conclusions de la défenderesse que cette
dernière reconnait que certains membres du personnel pourraient ne pas avoir reçu ces
informations si (i) ils ne faisaient pas partie du call center au moment où les informations ont
été communiquées ou (ii) ils étaient absents au moment de l’envoi des emails relatifs aux
enregistrements (la défenderesse citant elle-même les personnes en congé maladie de longue
durée, en congé maternité, incapacité de travail, etc.). Cependant, en ce qui concerne les
nouveaux employés, la défenderesse indique que ces derniers seraient informés oralement
lors de l’entretien de démarrage.
183. Par principe, l’information à donner aux personnes concernées en vertu de l’article 13 du
RGPD doit être exhaustive : dès lors que l’un des éléments n’a pas été communiqué à une
(partie des) personne(s) concernée(s), la Chambre Contentieuse peut constater un
manquement à cet article. Or, la défenderesse reconnait elle-même que certains des
collaborateurs auraient pu ne pas être informés (en particulier s’ils n’ont pas reçu tout ou partie
des emails relatifs aux enregistrements et/ou n’ont pas participé à tout ou partie des réunions
dédiées).
Décision quant au fond 102/2026 — 46/105
184. Sur cette base, la Chambre Contentieuse considère que la défenderesse ne démontre pas
que tous les collaborateurs enregistrés ont été adéquatement informés de tous les
éléments relatifs aux traitements avant ces traitements (et, en particulier, si tout le contenu
de l’information a effectivement été donné à tous les collaborateurs concernés et à quel
moment) et constate donc une violation des articles 13 du RGPD, lu en combinaison avec
l’article 128 de la LCE (remplacé par l’article 10/1, §2 de la LCE à partir du 10 janvier 2O22).
185. En ce qui concerne le second reproche quant aux modalités de communication de
l’information, l’article 12.1 du RGPD prévoit que « le responsable du traitement prend des
mesures appropriées pour fournir toute information visée aux articles 13 […] en ce qui concerne
le traitement à la personne concernée d'une façon concise, transparente, compréhensible et
aisément accessible, en des termes clairs et simples […] ».
186. La Chambre Contentieuse constate que la défenderesse ne disposait jusqu’à la révision de
la Politique Vie Privée Personnel en janvier 2025 d’aucun document reprenant (en un seul
endroit), de façon claire, concise et aisément accessible, toutes les informations devant être
communiquées aux collaborateurs avant le début des écoutes.
187. Au contraire, il apparait que les collaborateurs ont reçu ces informations de façon
parcellaire, notamment verbalement lors de multiples réunions et formations (dont certaines
semblaient être plus des formations générales RGPD qu’une vraie information liée aux
traitements de leurs propres données personnelles et pour lesquelles on ne peut exclure que
tous les collaborateurs n’aient pas été en mesure d’y assister) ainsi que certains emails (qui ne
reprenaient également à chaque fois qu’une partie de l’information à communiquer), ce qui a
notamment eu pour conséquence que certains des collaborateurs n’ont pas eu accès à toute
l’information. La Chambre Contentieuse constate donc que la SWDE a laissé à charge des
collaborateurs de réconcilier les multiples informations données pour comprendre (i) le
traitement en tant que tel ainsi que ses modalités et (ii) le fait que les enregistrements étaient
en tant que tels des traitements de données à caractère personnel. En particulier, le fait que les
enregistrements n’étaient pas repris dans la Politique Vie Privée Personnel était de nature à
entretenir encore plus de confusion sur le fait que cette dernière s’appliquait également à ces
enregistrements. L’information donnée ne peut dès lors être considérée comme « concise »
(notamment au vu de la multiplicité des supports), « aisément accessible » (notamment au vu
du fait que certaines informations ont été données oralement, alors que s’agissant d’employés,
rien n’excluait que l’information ne soit donnée par écrit, en particulier pour leur permettre de
retrouver l’information par après31) et « compréhensible » (notamment quant au fait que les
31
A cet égard, la Chambre Contentieuse note que s’agissant d’informations relatives à des traitements de données de nature
à soulever des interrogations et des contestations de la part des employés (comme l’avait affirmé la défenderesse lors de
l’audition, disant en particulier que ce genre de communications soit se faire oralement), rien n’exclut que l’information soit
donnée d’abord oralement aux employés et ensuite seulement par écrit. Une certaine tolérance peut être appliquée dans ces
cas, mais la Chambre Contentieuse note ici que la Politique Vie Privée Personnel n’a été qu’adaptée en 2025 alors que les
traitements avaient débuté en 2018.
Décision quant au fond 102/2026 — 47/105
enregistrements étaient également des traitements de données personnelles qui relevaient du
champ d’application de la Politique Vie Privée Personnel).
188. Par ailleurs, même si la charte informatique et la Politique Vie Privée Personnel référencées
ci-dessus auraient pu constituer une information claire et concise sur les traitements, il apparait
que ces dernières n’ont pas fait l’objet des modifications nécessaires en vue d’informer les
collaborateurs avant le début des traitements (la Politique Vie Privée Personnel n’ayant par
ailleurs été adaptée en 2025 alors que les enregistrements ont débuté en 2018). Elles ne sont
donc pas pertinentes pour évaluer s’il y a eu violation de l’article 12.1 du RGPD en l’espèce, et le
sont uniquement pour déterminer si la défenderesse s’est mise en conformité
postérieurement aux traitements.
189. Sur cette base, la Chambre Contentieuse constate donc une violation des articles 5 .1 a)
et 12.1 du RGPD à l’égard des collaborateurs de la défenderesse. Elle constate cependant que
la Politique Vie Privée Personnel a été entretemps amendée, et que la situation est donc
conforme pour le moment en ce qui concerne les enregistrements. Sur cette base, la Chambre
Contentieuse décide d’imposer sur la base de l’article 100 §1er, 5° de la LCA une réprimande
à la défenderesse en ce qui concerne ces violations pour l’inciter à communiquer de manière
plus concise, transparente, compréhensible et aisément accessible à l’avenir en ce qui
concerne les traitements des données de ses collaborateurs.
190. Il était également reproché à la défenderesse une potentielle violation des articles 5.2 et
24 du RGPD, en raison du non-respect du principe de responsabilité, en ce que la défenderesse
n’a pas pu démontrer que l’ensemble de ses employés concernés ont été informés des
traitements en conformité avec les articles 5.1 a) et 13 du RGPD ainsi que les articles 128 de la
LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022).
191.Dès lors qu’il a déjà été établi ci-dessus par la Chambre Contentieuse que les collaborateurs
n’ont pas été correctement informés des traitements, il n’y a pas lieu d’examiner cette
potentielle violation du RGPD rendue non-pertinente dès lors que la Chambre Contentieuse
estime qu’il n’est pas nécessaire de tirer deux infractions d’un même constat de non-
conformité. En effet, il était impossible pour la défenderesse d’être en conformité avec les
articles 5.2 et 24 du RGPD dès lors qu’il est déjà établi qu’elle n’a pas satisfait à son obligation
de transparence vis-à-vis des collaborateurs.
192. De même, la Chambre Contentieuse note que la défenderesse a au fur et à mesure des
années amélioré le contenu et les modalités de communication de l’information aux
collaborateurs (notamment via des modifications de la Politique Vie Privée Personnel). La
Chambre Contentieuse considère qu’il n’est pas nécessaire de se prononcer sur les
manquements restants après chaque amélioration dès lors qu’elle a déjà constaté un
manquement sur ce point et que des constatations supplémentaires de manquements pour
une violation du même article n’entraine aucune conséquence dans l’appréciation de la faute et
Décision quant au fond 102/2026 — 48/105
de la sanction (excepté dans la mesure où ces améliorations progressives au cours de l’enquête
et avant une décision contraignante ne constituent un facteur de nature à justifier d’une
sanction moins élevée).
IV.3.3. Vis-à-vis des appelants
193. A l’égard des appelants, la Chambre Contentieuse a constaté une potentielle violation des
articles 5 .1 a), 12.1, 12.2, 12.6, 13 et 38.4 du RGPD, ainsi que de l’article 128 de la LCE (remplacé
par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en raison du non-respect des principes
de loyauté et de transparence vis-à-vis des appelants dont les appels ont fait l’objet
d’enregistrements et/ou d’écoutes.
194. Il était reproché à la défenderesse (i) que la façon dont sont fournies les informations
relatives aux traitements de données personnelles ne permet pas de satisfaire à l’exigence de
transparence et de loyauté en vertu du RGPD, en ce que l’information n’était pas complète,
suffisamment transparente, compréhensible et aisément accessible et (ii) que les modalités
d’exercice des droits par les personnes concernées étaient indûment limitées par la
défenderesse.
195. Premièrement, la Chambre Contentieuse a évalué le respect de l’obligation de
transparence vis-à-vis des appelants.
196. A cet égard, la défenderesse indique dans ses conclusions que les informations données
aux appelants lors de leur appel se limitaient à un message préenregistré leur indiquant : « Dans
le cadre de l’amélioration de nos services, cet appel peut être enregistré ». De son propre aveu,
elle indique que « l’appelant pouvait toujours refuser l’enregistrement de sa conversation en le
demandant immédiatement à l’agent du call center qui décroche le téléphone ». Ce message
n’a qu’été modifié le 25 octobre 2022 dans le cadre de la mise en place du nouveau logiciel Y,
qui a permis aux appelants de s’opposer à l’enregistrement en appuyant sur le « 0 ».
197. La Chambre Contentieuse note que la défenderesse a plus d’1 million de clients (et dessert
environ 2,5 millions de personnes) et qu’elle fournit un service essentiel à tous types de
citoyens et notamment p.ex., des personnes rencontrant des difficultés à s’exprimer
en/comprendre le français, des personnes âgées, des personnes n’ayant pas accès à internet
ou rencontrant des difficultés à utiliser internet, des personnes atteintes d’un handicap ou
malades, etc. Dans ce cadre, elle se doit d’assurer la transparence pour tout type de citoyens,
et ne peut notamment pas raisonnablement s’attendre à ce que (i) ces personnes aient un
accès à internet pour accéder à la Politique Vie Privée Clients, et que (ii) toutes ces
personnes ne sachent qu’elles ont des droits en vertu du RGPD, et notamment le droit de
s’opposer aux enregistrements sur simple demande, sans que la défenderesse ne doive les
Décision quant au fond 102/2026 — 49/105
en informer d’initiative ou ne puisse se contenter d’arguer que l’information est disponible
sur son site web.
198. A cet égard, la Chambre Contentieuse constate que l’information dite de « premier niveau »
fournie via le message automatique utilisé jusqu’au 2 octobre 2022 est largement insuffisante
en ce que ce message ne comprend presqu’aucune des informations à communiquer en vertu
de l’article 13 du RGPD, alors que ces personnes n’ont potentiellement jamais reçu aucune
information de la part de la défenderesse (p. ex. un appelant qui contacterait la défenderesse
pour un raccordement après déménagement, qui n’aurait donc jamais reçu aucun document,
comme par ex. une facture, qui l’informerait adéquatement de la Politique Vie Privée Clients et
d’où la consulter).
199. S’agissant d’un appel téléphonique, il est en effet habituel et d’ailleurs recommandé par
le CEPD dans les Lignes Directrices Transparence que l’ensemble de la Politique Vie Privée
Clients ne soit pas entièrement communiquée aux appelants. Il s‘agit cependant de leur
communiquer les informations essentielles relatives aux traitements, et notamment dans le
cas d’espèce (i) le fait que l’appel sera enregistré, (ii) la finalité du traitement « enregistrement »,
(iii) les droits de l’appelant par rapport à ses données personnelles et (iv) comment obtenir la
version complète de la Politique Vie Privée Clients.
200. Dans le cas d’espèce cependant et jusqu’à la mise en place du nouveau message
préenregistré le 25 octobre 2022, les seuls éléments communiqués étaient (i) le traitement (à
savoir, l’enregistrement) et (ii) la finalité de ce traitement (à savoir, l’amélioration des services).
Aucune autre information n’était communiquée dans ce cadre et il n’apparait pas du Rapport
d’Enquête ou des conclusions de la défenderesse que d’autres mesures aient été mises en
place au sein du call center pour informer les appelants du traitement de leurs données
personnelles au cours de l’appel, sans attendre de démarche proactive de leur part et a fortiori
les en informer (p. ex. se connecter d’initiative sur le site web de la défenderesse ou demander
d’initiative au collaborateur appelé des informations spécifiques sur le traitement de leurs
données personnelles). Il apparait donc que les appelants n’ont pas été suffisamment
informés en vertu des articles 12.1 et 13 du RGPD, étant donné que la défenderesse n’est pas
en mesure de démontrer d’une quelconque manière que les appelants (du moins certains
d’entre eux) ont reçu une autre information que le message préenregistré qui ne constitue
aucunement une information valable au sens du RGPD.
201. Dès lors qu’il apparait que la Politique Vie Privée Clients n’a pas été du tout communiquée
aux appelants (sauf démarche proactive de leur part d’aller sur le site de la défenderesse pour
eux-mêmes en prendre connaissance sans que la défenderesse n’attire leur attention à cet
égard), il apparait surabondant de vérifier si l’information fournie aux appelants via la Politique
Vie Privée Clients disponible sur le site web de la défenderesse à l’époque était suffisamment
Décision quant au fond 102/2026 — 50/105
détaillée et/ou était ambiguë et vague dès lors qu’une violation globale des articles 12.1 et 13 a
déjà été constatée.
202. Il était également reproché à la défenderesse que la Politique Vie Privée Clients contient
une disposition qui impose aux personnes concernées de régulièrement la consulter afin d’être
informés des diverses mises à jour sans les informer spécifiquement des mises à jour
éventuelles, ce document ne reprenant par ailleurs que la date de dernière mise à jour et non
pas d’historique des versions et/ou changements. A cet égard, la Chambre Contentieuse
reconnait que ce simple constat n’est pas de nature à lui seul à permettre de constater une
violation de l‘obligation de transparence en vertu du RGPD. En l’espèce, comme il a déjà été
établi que les appelants n’ont pas été suffisamment informés, il n’est pas non plus nécessaire
que la Chambre Contentieuse se prononce spécifiquement sur ce point dès lors qu’une
violation globale de l’article 12.1 du RGPD lu en combinaison avec l’article 13 du RGPD a déjà été
constatée.
203. La conclusion reste la même en ce qui concerne la limitation potentiellement indue des
modalités d’exercice des droits des appelants par la Politique Vie Privée Clients (dont
notamment les coordonnées manquantes, obligation de passer par le service commercial
avant de pouvoir contacter le DPO, obligation de fournir une pièce d’identité pour l’exercice des
droits). Dès lors qu’elle n’a pas été communiquée aux appelants, la Chambre Contentieuse
considère surabondant de se prononcer sur son contenu dans la mesure où un constat de non-
conformité de cette Politique Vie Privée Clients n’est pas de nature à remettre en cause le
constat de violation globale des articles 12.1 et 13 du RGPD.
204. A cet égard, la Chambre Contentieuse note cependant que la Politique Vie Privée Clients a
été entièrement remise à jour en janvier 2025 et que cette modification a été spécifiquement
portée à la connaissance des personnes qui se connectaient sur le site web via un pop-up les
invitant à consulter la Politique Vie Privée Clients révisée. Les dispositions litigieuses ci-dessus
ont par ailleurs été mises à jour et corrigées et sont maintenant conformes au RGPD.
205. La Chambre Contentieuse note également que la défenderesse a au fur et à mesure des
années amélioré le contenu et les modalités de communication de l’information aux appelants.
En particulier, depuis le 25 octobre 2022, le message préenregistré est le suivant : « Notre
service clientèle va prendre en charge votre appel. Dans le cadre de l’amélioration de nos
services, cet appel peut être enregistré et conservé maximum 30 jours. Pour en savoir plus,
rendez-vous sur notre site internet, rubrique vie privée. Si vous ne souhaitez pas être
enregistré, appuyez sur 0. ». Cependant, le lien pertinent en question sur le site de la SWDE ne
s’appelle pas “vie privée” mais “déclaration de protection des données”. Aussi et compte tenu
du caractère “tous publics” des citoyens desservis par la SWDE, cette dernière ne peut
supposer que (tous) les citoyens concernés seront en mesure de faire le lien entre “vie privée”
et “protection des données” (en particulier car le message préenregistré ne fait pas référence
Décision quant au fond 102/2026 — 51/105
aux traitements de données) et dès lors identifier où retrouver cette rubrique (une mention au
footer ou lien de bas de page du site web aurait été bienvenue pour permettre aux citoyens de
savoir où retrouver facilement l’information, et donc la rendre aisément accessible). Voy. à cet
égard capture d’écran du site de la SWDE prise le 4 mai 2026:
206. Le modèle révisé de factures comprend également désormais la mention suivante :
207. La Chambre Contentieuse note que le message préenregistré actuel amélioré depuis
octobre 2022 ainsi que la mention révisée sur les factures ne prennent pas encore
suffisamment en compte la considération que certains appelants (i) n’ont pas accès à internet
(alors que comme expliqué plus haut, au vu de la nature du service, la défenderesse ne peut pas
présupposer la possibilité ou l’aisance d’un tel accès, au contraire p. ex. d’un fournisseur de
services en ligne qui pourrait présumer que les acheteurs sur son webshop auront accès à une
politique vie privée disponible en ligne) et (ii) ne demanderont pas d’initiative au collaborateur
appelé comment obtenir des informations « hors ligne » sur le traitement de leurs données
personnelles (en particulier s’ils ne savent pas qu’ils peuvent le demander car ils n’en sont pas
informés).
208. Dès lors, la Chambre Contentieuse considère toujours que certaines personnes qui
appellent le call center de la SWDE (et du moins une proportion d’appelants qui n’est pas
négligeable au vu du caractère « tous publics » des citoyens desservis par la SWDE) :
a. ne reçoivent pas toute l’information prévue à l’article 13 du RGPD s’ils n’ont pas accès à
internet et ne sont pas informés de comment les obtenir en dehors d’internet, rendant
ainsi compliquée (voire impossible) de la possibilité de s’informer ; et
b. n’ont pas (tous) déjà reçu par ailleurs cette information, permettant ainsi l’application de
l’article 13.4 du RGPD qui permet que les informations relatives au traitement de
données ne soient pas communiquées « au moment de leur obtention » dès lors que « la
personne concernée dispose déjà de ces informations ».
209. La Chambre Contentieuse constate donc un manquement aux articles 5.1 a), 12.1 et 13
du RGPD qui persiste donc aujourd’hui à cet égard. En particulier, alors que les
enregistrements ont débuté en 2018, la Chambre Contentieuse constate que la SWDE reste
toujours en défaut d’informer adéquatement ses clients et décide donc d’imposer une
Décision quant au fond 102/2026 — 52/105
amende à cet égard en vertu des articles 100 §1er, 13° et 101 de la LCA. Dès lors qu’elle a déjà
constaté un manquement à l’obligation principale de transparence dans le cadre des
enregistrements (à savoir, le fait que les modalités choisies pour communiquer l’information
aux appelants ne permettent pas d’assurer l’information de tous ces appelants), elle considère
qu’il n’est plus nécessaire d’analyser les constatations supplémentaires du Service d’Inspection
relatifs au contenu de la Politique Vie Privée Clients dès lors qu’il y a un problème plus général
d’absence totale de communication des informations qu’elle contient.
210. Sans constater de manquement surabondant à cet égard et compte tenu du fait que le
message actuel est insuffisant pour assurer l’information des appelants qui ne disposeraient
pas d’un accès (facile) à internet en ce qu’ils ne sont pas informés de comment obtenir les
informations relatives au traitement de leurs données personnelles en dehors du site web de la
SWDE, la Chambre Contentieuse décide également d’ordonner à la défenderesse en vertu
de l’article 100, §1er, 9° de la LCA de se mettre en conformité avec ses obligations sous les
articles 12.1 et 13 du RGPD.A cet égard, elle lui ordonne de mettre en place des mesures
appropriées pour s’assurer que les appelants soient informés (de comment ils peuvent
obtenir des informations) au sujet du traitement de leurs données personnelles sans qu’ils
ne soient obligés de se rendre sur le site web de la SWDE pour ce faire. La Chambre
Contentieuse laisse à la SWDE le choix des mesures techniques et opérationnelles qu’elle
souhaite mettre en place pour ce faire dès lors que le RGPD lui-même n’impose pas la façon
dont les personnes doivent être informées dans ce contexte, pour autant qu’elles le soient
correctement. A cet égard, la Chambre Contentieuse indique cependant que la mise en place
de l’une des mesures prévues au paragraphe (a), éléments (i) à (iii) du point 214 ci-dessous sera
considérée comme une mesure suffisante pour démontrer la conformité de la SWDE avec
l’ordre de mise en conformité prévu dans ce paragraphe.
211. Eu égard à la nature des modifications à apporter par la défenderesse à ses processus et
documents et afin de lui laisser le temps nécessaire pour déterminer la manière la plus
appropriée pour s’assurer que tous les appelants reçoivent l’information qui leur est due sous
le RGPD, la Chambre Contentieuse estime qu’une période de 4 mois est suffisante pour que
la défenderesse puisse se mettre en conformité avec l’ordre repris au point 210 ci-dessus.
212. Si la défenderesse considère que la pleine exécution de cette injonction s’avère impossible
dans le délai prescrit malgré tous les efforts raisonnables, elle peut soumettre à la Chambre
Contentieuse, dans les 45 jours suivant la notification de la présente décision à son égard, une
demande de prolongation de délai motivant spécifiquement les raisons justifiant pourquoi elle
ne sera pas en mesure de se mettre en conformité pour la date prévue.
213. Sous réserve de l’application du point 212 ci-dessus (auquel cas le délai de 4 mois peut être
prorogé par la Chambre Contentieuse pour une période limitée et définie), les documents
probants attestant de la mise en conformité sont à envoyer au plus tard à la Chambre
Décision quant au fond 102/2026 — 53/105
Contentieuse via l’adresse [email protected] dans un délai de 7 jours suivant la fin
du délai de 4 mois.
214. En ce qui concerne les modalités de mise en conformité, sans qu’aucune de ces mesures
(prises seules ou dans leur ensemble) ne doivent être considérées comme contraignantes à
l’égard de la SWDE, la Chambre Contentieuse invite la défenderesse à considérer les bonnes
pratiques RGPD suivantes pour améliorer la façon dont l’information est communiquée à tous
ses clients (qu’ils soient de nouveaux clients ou d’anciens clients, qu’ils aient accès – facile - ou
non à internet, qu’ils soient conscients ou non de la possibilité de demander des informations
au sujet du traitement de leurs données personnelles, etc.) :
a. améliorer l’information donnée lors des appels à la SWDE, p. ex. :
i. en indiquant dans le message préenregistré que les informations « vie privée »
peuvent être consultées sur internet (ainsi qu’où sur le site) et/ou qu’il peut
demander plus d’informations au collaborateur (y compris l’envoi par email32 ou
par la poste33 d’une copie de la Politique Vie Privée Clients) ; et/ou
ii. en prévoyant dans le serveur vocal interactif une option supplémentaire « Pour
toute question sur le traitement de mes données personnelles ou pour obtenir
une copie de la Politique Vie Privée Clients de la SWDE, appuyez sur [numéro] »
dans le menu proposé aux appelants, qui le mènerait vers un collaborateur qui
peut soit répondre à sa question, soit transmettre sa question à l’équipe
compétente ; et/ou
iii. en préparant un enregistrement vocal du texte de la Politique Vie Privée Clients
qui pourrait être une option « pour écouter la déclaration vie privée et
comprendre comment la SWDE traite vos données personnelles, appuyez sur
[numéro] »
b. améliorer la mention dite de « premier niveau » sur les factures (de manière à ce que les
appelants déjà clients soient mieux informés), p.ex. :
i. en la déplaçant pour qu’elle ne soit pas incluse (voire perdue) dans la partie de la
facture relative à la structure tarifaire mais au contraire présentée séparément
des autres informations pertinentes ; et/ou
ii. en reprenant dans cette mention les informations de « premier niveau »
préconisées dans les Lignes Directrices Transparence, à savoir :
1. la précision que la SWDE est le responsable de traitement ;
32
P. ex. pour les clients qui ont accès à internet mais moins de facilités à retrouver les informations.
33
Notamment pour les clients qui n’ont pas accès du tout à internet.
Décision quant au fond 102/2026 — 54/105
2. les finalités des traitements ;
3. les droits qu’ont les personnes concernées ; et
4. une explication de comment obtenir l’information complète sans la
limiter à la possibilité de retrouver la copie sur internet (site web, appel,
demande de copie papier, etc. en fonction des choix retenus par la
SWDE).
c. insérer l’information de « premier niveau » dans d’autres documents envoyés aux clients,
et en particulier le premier document que reçoit chaque nouveau client lorsqu’il devient
client à la SWDE. Si cette information est envoyée par email, la SWDE peut aussi
envisager d’ajouter l’information de « premier niveau » dans cet email, avec un lien
hypertexte (idéalement fonctionnel34) vers la Politique Vie Privée Clients ; ou encore
d. assurer la cohérence entre les termes utilisés pour référer aux informations « vie privée »
(p.ex. éviter l’utilisation de « rubrique vie privée » pour référer à un onglet appelée
« Déclaration de protection des données ».
Ces propositions (non-exhaustives) peuvent être combinées par la SWDE pour s’assurer que
tous les appelants soient correctement informés. La SWDE est également libre de mettre en
place d’autres mécanismes non listés ci-dessus pour autant que le même but soit atteint (à
savoir, s’assurer que tous les appelants puissent avoir accès aux informations relatives au
traitement de leurs données, indépendamment du fait qu’ils aient accès ou non à internet).
IV.4. Respect du droit d’opposition des appelants
215. Il était également reproché à la défenderesse une potentielle violation des articles 21.1 et
12.2 du RGPD, lus conjointement avec l’article 24 du RGPD, en raison de l’absence de mesures
appropriées en vue de faciliter l’exercice par les personnes concernées de leur droit de
s’opposer à l’enregistrement des conversations.
216. Comme constaté plus haut, il apparait qu’entre le début des enregistrements en novembre
2018 et le 25 octobre 2022, les informations données aux appelants lors de leur appel se
limitaient à un message préenregistré leur indiquant : « Dans le cadre de l’amélioration de nos
services, cet appel peut être enregistré ». A cet égard, la défenderesse indiquait également que
« l’appelant pouvait toujours refuser l’enregistrement de sa conversation en le demandant
immédiatement à l’agent du call center qui décroche le téléphone ».
34
La Chambre Contentieuse note en effet que le lien inclus dans la facture en pièce A n’est pas fonctionnel.
Décision quant au fond 102/2026 — 55/105
217. Dans ce cadre, la Chambre Contentieuse a déjà constaté une violation générale de
l’obligation de transparence vis-à-vis des appelants. En particulier en ce qui concerne le droit
d’opposition, il a déjà été établi que ce dernier n’a pas été porté à la connaissance des appelants.
218. S’agissant en particulier de l’article 21.1 du RGPD libellé comme suit « La personne
concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation
particulière, à un traitement des données à caractère personnel la concernant fondé sur
l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le
responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne
démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les
intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou
la défense de droits en justice », la Chambre Contentieuse constate premièrement qu’aucune
violation en tant que telle de cet article 21.1 a été constatée. En effet, il n’est pas démontré
ou reproché que la défenderesse aurait refusé le droit d’opposition exercé par un appelant.
219. En ce qui concerne la combinaison de cet article 21.1 avec l’article 12.2 du RGPD, il en ressort
que la défenderesse devait « faciliter l'exercice des droits conférés à la personne concernée au
titre des articles 15 à 22 ». A cet égard, l’article 21.3 du RGPD précise également que « au plus
tard au moment de la première communication avec la personne concernée, le droit visé aux
paragraphes 1 et 2 est explicitement porté à l'attention de la personne concernée et est
présenté clairement et séparément de toute autre information ». En parallèle, l’article 24 du
RGPD imposait à la défenderesse de « met[tre] en œuvre des mesures techniques et
organisationnelles appropriées pour s'assurer […] que le traitement est effectué
conformément au présent règlement ».
220. A cet égard, la Chambre Contentieuse constate qu’au début des enregistrements , les
appelants (i) n’étaient pas du tout informés de leurs droits, et pas informés spécifiquement de
leur droit d’opposition (comme déjà démontré dans la section précédente), (ii) devaient
proactivement demander à ne pas être enregistrés au collaborateur (sans spécifiquement
savoir qu’ils pouvaient le demander) et (iii) étaient déjà enregistrés au moment où ils faisaient
leur demande et ne pouvaient donc que s’opposer à l’enregistrement après le début du
traitement, pour une partie de la conversation, limitant ainsi fortement l’effectivité du droit
d’opposition.
221. La Chambre Contentieuse note des conclusions de la défenderesse que sa défense ne
repose que sur (i) le fait que l’appelant pouvait demander à ne pas être enregistré (sous réserve
de ce qui a été précisé au point précédent) et (ii) le système a été amélioré avec la mise en place
du nouveau système d’enregistrement.
222. Dans ce contexte, la Chambre Contentieuse constate une violation des articles 12.2 et
24 du RGPD en ce qui concerne l’article 21 du RGPD, en l’absence de mesures techniques et
organisationnelles suffisantes permettant aux appelants de s’opposer de manière effective
Décision quant au fond 102/2026 — 56/105
à l’enregistrement entre le moment du premier enregistrement des appels (du Front Office
à cet époque) en novembre 2018 et la mise en place du logiciel Y le 25 octobre 2022, en
particulier (i) en ce que les appelants n’étaient pas informés de la possibilité de s’opposer au
traitement avant même le début du traitement et (ii) en ce que les appelants ne pouvaient que
s’opposer à l’enregistrement après avoir été enregistrés, alors que des mesures techniques
simples auraient permis d’éviter tout enregistrement.
223. La Chambre Contentieuse constate que ces manquements ont cessé avec la mise en
œuvre du nouveau message préenregistré avec la mise en utilisation du logiciel Y le 25 octobre
2022, les appelants étant depuis spécifiquement informés de leur droit de s’opposer aux
enregistrements et pouvant s’y opposer en appuyant sur un bouton avant que l’enregistrement
ne démarre.
224. Compte tenu toutefois de son analyse en vertu de l’article 83.1 du RGPD (voir ci-dessous),
la Chambre Contentieuse décide d’imposer une amende à la défenderesse pour la violation
de l’article 12.2 du RGPD pour la période spécifiée ci-dessus en vertu de l’article 100, 1er, 5°
de la LCA.
IV.5. Obligation de respecter le principe de loyauté et minimisation en combinaison avec le principe
de protection des données dès la conception et protection des données par défaut’
225. Dans l’Invitation à Conclure, la Chambre Contentieuse reprochait à la défenderesse une
violation présumée des articles 5.1 a) et 5.1 c) du RGPD (principes de loyauté et de minimisation
des données), lus conjointement avec l’article 25 du RGPD (principe de protection des données
dès la conception et protection des données par défaut), en raison de la non-application des
règles relatives aux contrôles par les chefs d’équipe et du fait qu’elles n’était pas bien connues
et établies, démontré notamment par l’absence de preuves de communication de ces règles
aux chefs d’équipe.
226. La Chambre Contentieuse suit l’argumentation de la défenderesse lorsqu’elle affirme que
le nombre d’écoutes des agents du Front Office respecte le principe de minimisation et de
proportionnalité. En effet, faire dépendre le nombre d’écoutes à la cotation obtenue par l’agent
du Front Office remplit en principe l’exigence de minimisation. Par ces règles, la défenderesse
s’assure que seuls les agents qui ont le plus besoin d’être contrôlés font l’objet de 8 écoutes
(vs. 2 pour les agents qui répondent de manière qualitative aux citoyens) sur le mois en vue d’un
retour constructif et complet de leur chef d’équipe pour améliorer la qualité des réponses de
l'agent. Comme l’affirme la défenderesse, sur la base du système de cotation proposé, il est en
effet établi que seuls les agents qui n'ont pas rempli les exigences de base de tout appel
téléphonique courtois et intelligent seront écoutés 8 fois. Aussi, compte tenu du nombre
d’appels par agent par mois (plus de 1000) et de la durée de ces appels (environ 5 min), le
Décision quant au fond 102/2026 — 57/105
nombre d’enregistrements effectués semble proportionné pour en effet permettre à la
défenderesse d’améliorer la qualité de ses services.
227. De plus, considérant que seuls les appels entrants venant du numéro général de la
défenderesse (et non pas les appels sortants et/ou internes) pouvaient (en principe) être
enregistrés, ceci excluait de facto la communication d’informations personnelles par ses
agents, l’agent se contentant de résoudre les problèmes du client dans le cadre de sa
profession.
228. La Chambre Contentieuse suit également l’argumentation de la défenderesse lorsqu’elle
affirme que le nombre d’écoutes des agents des Back Offices respecte le principe de
minimisation et de proportionnalité.
229. Premièrement, la Chambre Contentieuse note que les agents du Service Contentieux ne
sont pas sujets aux enregistrements dès lors que le projet d’enregistrement a été abandonné
après que 3 appels tests avaient démontré l’inutilité de contrôler ces agents. A cet égard, le
principe de minimisation a été respecté.
230. Deuxièmement, en ce qui concerne l’enregistrement des agents des Back Offices ZO et ZE,
la Chambre Contentieuse considère que l’enregistrement de deux appels par mois n’apparait
pas suffisamment disproportionné que pour lui permettre de constater une violation
caractérisée du principe de minimisation des données et de loyauté. En effet, elle considère
qu’il serait en effet injuste pour l’agent que seul un appel soit enregistré (en l’occurrence s’il se
passe mal en raison de la nature de la conversation avec l’appelant). Aussi, la proportionnalité
des enregistrements est évaluée en considérant que l’enregistrement des appels ait pour but
la formation et l’amélioration de la qualité (et non pas une sanction de l’agent), la conclusion de
la Chambre Contentieuse pouvant être différente s’il était difficile d’obtenir une bonne cote
et/ou si ce système de cotation pouvait entrainer des conséquences négatives sur les agents.
231. A titre de bonne pratique, la Chambre Contentieuse estime cependant que le système
pourrait être affiné pour se calquer sur le système de cotation appliqué aux agents du Front
Office, permettant ainsi une limitation des enregistrements pour les agents qui obtiennent
régulièrement de bonnes notes (p.ex. si un agent a une bonne cotation pour un mois déterminé,
il ne sera pas enregistré le mois suivant ou s’il obtient 3 fois de suite une bonne cotation, il ne
sera plus qu’enregistré que deux fois tous les 3 mois).
232. Ces constats ne sont pas énervés par le fait que les chefs d’équipe n’auraient pas, à titre
exceptionnel, respecté les directives relatives à l’enregistrement. Au contraire de l’information
à donner aux personnes concernées au RGPD, il n’existe pas d’exigence spécifique dans le
RGPD imposant à un responsable de traitement d’établir des politiques écrites spécifiques en
ce qui concerne les traitements. Il ne peut être déduit de violation d’un non-respect par certains
collaborateurs de politiques internes dès lors qu’il n’y a pas d’obligation d’avoir des politiques
Décision quant au fond 102/2026 — 58/105
spécifiques sous le RGPD à cet égard et qu’une communication verbale des principes lors de
réunions avec les chefs d’équipe chargés d’effectuer les enregistrements aurait pu être
suffisante en l’espèce. Il n’apparait pas non plus du Rapport d’Enquête que certains agents
auraient fait l’objet de contrôles disproportionnés. Au contraire, seule une faible minorité
d’agents auraient fait l’objet d’un seul contrôle supplémentaire en plus de ceux annoncés. De
plus, il est montré que l’appel a été enregistré, mais il est impossible pour la Chambre
Contentieuse de déterminer le contenu de l’appel (et sa durée) et si l’agent a effectivement pu
faire l’objet d’une évaluation sur la base de l’appel. Notamment, rien n’indique que l’appel
enregistré n’aurait pas duré quelques secondes car l’appelant aurait perdu la connexion ou bien
que l’appelant aurait simplement été redirigé vers un autre agent qui se serait déjà occupé dans
le passé de sa demande, auquel cas l’enregistrement était inutile par rapport à son but d’évaluer
la qualité des appels, ce qui aurait pu justifier d’un enregistrement supplémentaire pour pallier
le manque d’enregistrement utile aux fins d’écoutes.
233. Dès lors, la Chambre Contentieuse ne peut tirer aucune conclusion probante sur le fait que
les enregistrements et écoutes aient effectivement été proportionnés et ne peut dès lors
conclure aucune violation caractérisée à cet égard.
234. S’agissant de principes à portée générale, ces derniers laissent une marge d’appréciation
au responsable de traitement dans leur application. Au vu du nombre limité d’écoutes réalisées
par agent et des circonstances des écoutes telles que décrites dans le Rapport d’Enquête, la
Chambre Contentieuse considère qu’il n’y a pas de violation des articles 5.1 a) et 5.1 c) du
RGPD (principes de loyauté et de minimisation des données), lus conjointement avec l’article
25 du RGPD (principe de protection des données dès la conception et protection des
données par défaut).
IV.6. Principe de limitation de la conservation des données lu en combinaison avec le principe de
protection des données dès la conception et par défaut
235. A cet égard, la Chambre Contentieuse avait constaté une potentielle violation de l’article
5.1 e) du RGPD (principe de limitation de la conversation des données), lu conjointement avec
l’article 25 du RGPD (principe de protection des données dès la conception et protection des
données par défaut) ainsi que les articles 128 de la LCE (remplacé par l’article 10/1 §2 de la LTD
à partir du 10 janvier 2022), en raison de la conservation des enregistrements au-delà des délais
de conservation annoncés et de l’absence de mesures appropriées permettant de s’assurer de
l’effacement des enregistrements dans les délais fixés.
236. La Chambre Contentieuse note que l’Exception Call Center prévoit spécifiquement que
les enregistrements ne peuvent qu’être conservés un mois. Dès lors, la souplesse permise par
le RGPD en ce qui concerne l’application du principe de conservation des données n’est pas
d’application ici : le délai de conservation est défini par la LCE à 1 mois maximum et l’article 5.1
Décision quant au fond 102/2026 — 59/105
e) du RGPD doit s’interpréter en ce que ce délai de conservation ne peut dépasser 1 mois pour
que la conservation ne devienne pas illicite après cette période. Dès lors, pour les agents du
Front Office et Back Offices ZO et ZE enregistrés sous le l’Exception Call Center, le fait que les
(même uniquement certains) enregistrements soient conservés plus d’un mois implique une
violation de la LCE et de l’article 5.1 e) du RGPD.
237. Le Rapport d’Enquête indique très clairement que ce délai n’a pas toujours été respecté,
notamment au vu de l’inadéquation des mesures mises en place par la défenderesse pour
s’assurer de l’effacement des enregistrements dans le mois.
238. De son propre aveu dans ses conclusions, la défenderesse reconnait elle-même
implicitement que le système qu’elle avait mis en place ne permettait pas de s’assurer de
l’effacement des enregistrements dans les délais légaux et communiqués aux employés. En
particulier, elle indique qu’elle « s’est toutefois rendue compte que la multiplication des
supports pouvait avoir pour conséquence la conservation des enregistrements au-delà du délai
de 30 jours si le chef d’équipe tardait à sélectionner l’enregistrement auditable et le mettre
dans Z ou si la durée de la campagne avait été mal paramétrée par le chef d’équipe dans Z » et
avoir en conséquence « donc pris les mesures nécessaires pour simplifier le système et
empêcher toute conservation excessive des enregistrements”. A cet égard, la défenderesse a
indiqué que ce n’est que depuis le 26 janvier 2024 que le nouveau système d’enregistrement
évitant la conservation des enregistrements au-delà du délai prescrit a été mis en place.
239. Sur cette base, la Chambre Contentieuse constate une violation du principe de limitation
de la conservation des données personnelles prévu à l’article 5.1 e) du RGPD tel qu’il doit
s’interpréter au vu des exigences reprises dans l’article 128 de la LCE (remplacé par l’article
10/2 §1er de la LTD à partir du 10 janvier 2022) ainsi que de l’absence de mesures appropriées
permettant de s’assurer de l’effacement des enregistrements dans un délai d’un mois en
violation des dispositions de l’article 25 du RGPD pour la période comprise entre le début
des enregistrements en novembre 2018 et le 26 janvier 2024. La Chambre Contentieuse
décide de prononcer une réprimande en vertu de l’article 100 §1er, 5° de la LCA sur ce point.
IV.7. Absence de contrat de sous-traitance avec Z
240. Dans le cadre des opérations de traitement liées aux enregistrements et écoutes des
appels entrants à des fins de contrôle qualité, la défenderesse a indiqué au Service d’Inspection
qu’elle utilisait l’application « Software-as-a-Service » du fournisseur de services informatiques
Z, qui propose la solution du même nom. L’outil Z était notamment utilisé pour permettre aux
chefs d’équipe d’évaluer les membres du personnel concerné. En pratique, les chefs d’équipe
sélectionnaient l’un des enregistrements et le téléchargeaient dans l’outil Z. L’enregistrement
était dès lors communiqué à Z qui le conservait pendant la période déterminée par la
défenderesse.
Décision quant au fond 102/2026 — 60/105
241. Le Service d’Inspection a d’abord constaté que Z devait être considéré comme sous-
traitant au sens de l’article 4, 8) du RGPD. En effet, Z est une entité légale distincte de la
défenderesse qui traite les données personnelles (notamment les enregistrement des appels,
évaluations, profils d’utilisateurs et métadonnées liées aux appels) pour le compte de la
défenderesse.
242. Z agissant en tant que sous-traitant, il était dès lors nécessaire qu’un contrat de sous-
traitance soit conclu entre la défenderesse et Z en vertu de l’article 28.3 du RGPD. Le Service
d’Inspection a demandé à la défenderesse de fournir tous les contrats et autres documents
contractuels qui régissaient la relation entre les parties. Il apparait des pièces reçues de la
défenderesse et de Z ainsi que de leurs déclarations respectives lors de l’enquête du Service
d’Inspection que :
a. ni la défenderesse ni Z ne disposaient d’un contrat ou d’un avenant signé qui reprenait
les clauses requises par l’article 28.3 du RGPD, les seuls documents fournis étant soit
des offres et acceptations d’offres qui ne faisaient pas référence à des conditions
spécifiques soit des templates non signés et non complétés.
b. de son propre aveu, la défenderesse indiquait au Service d’Inspection le 17 mars 2023
ne pas avoir signé de clauses RGPD avec Z à ce stade, mais indiquait l’avoir invité à le
faire.
c. le 10 novembre 2023, Z indiquait au Service d’Inspection ne pas encore avoir conclu de
contrat de sous-traitance avec la défenderesse, mais que la défenderesse leur aurait
cependant annoncé qu’ils entamaient les démarches pour ce faire.
243. A cet égard, le Service d’Inspection a noté dans le Rapport d’Enquête que l’absence de
contrat entre la défenderesse et son sous-traitant Z s’est étendue entre janvier 2019 et (au
moins) le 10 novembre 2023.
244. La Chambre Contentieuse constate premièrement que Z doit en effet être considéré
comme un « sous-traitant » dans le cadre des traitements litigieux, car il s’agit d’une entité
distincte de la défenderesse qui traite des données personnelles pour le compte de la
défenderesse, en ce sens que le traitement des données personnelles par le sous-traitant sert
les intérêts du responsable de traitement pour accomplir les finalités déterminées par ce
dernier (en l’espèce, les traitements litigieux). En conséquence, l’article 28 du RGPD (qui décrit
les conditions à respecter pour qu’un responsable de traitement puisse faire appel à un sous-
traitant) trouve à s’appliquer en l’espèce.
245. Conformément à l’article 28.3 du RGPD, « le traitement par un sous-traitant est régi par un
contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui
lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du
traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les
Décision quant au fond 102/2026 — 61/105
catégories de personnes concernées, et les obligations et les droits du responsable du
traitement ».
246. Dans ses Lignes directrices 07/2020 concernant les notions de responsable du traitement
et de sous-traitant dans le RGPD (« Lignes Directrices 07/2020 »)35, le CEPD précise à cet
égard concernant l’acte juridique exigé que :
« 101. Cet acte juridique doit se présenter sous une forme écrite, y compris en format
électronique. Par conséquent, les accords non écrits (aussi détaillés ou efficaces soient-ils)
ne sauraient être considérés comme suffisants pour satisfaire aux exigences énoncées à
l’article 28 du RGPD. Afin d’éviter de rencontrer des difficultés pour démontrer que le
contrat ou un autre acte juridique est effectivement en vigueur, le comité européen de la
protection des données recommande de s’assurer que les signatures nécessaires y
figurent, conformément au droit applicable (par exemple, le droit des contrats).
102. En outre, le contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un
État membre doit lier le sous-traitant au responsable du traitement, c’est-à-dire qu’il doit
imposer au sous-traitant des obligations contraignantes en vertu du droit de l’Union ou du
droit d’un État membre. Il doit également préciser les obligations du responsable du
traitement. Dans la plupart des cas, un contrat sera conclu, mais le règlement fait également
référence à «un autre acte juridique», tel qu’un droit national (primaire ou dérivé) ou un autre
instrument juridique. Si l’acte juridique ne contient pas les éléments minimaux requis, il doit
être complété par un contrat ou un autre acte juridique comprenant les éléments
manquants. » (la Chambre Contentieuse souligne)
247. Compte tenu de ce qui précède, la Chambre Contentieuse, se ralliant à l’avis émis par le
Service d’Inspection, considère que pour remplir les exigences de l’article 28.3 du RGPD, les
parties doivent avoir conclu un acte juridique contraignant selon le droit applicable. En l’espèce,
la défenderesse n’a pas pu démontrer qu’il y avait un engagement ferme des parties pris par
des personnes pouvant engager l’entreprise relatif aux obligations à imposer au sous-traitant
en vertu de l’article 28.3 du RGPD.
248. La défenderesse a indiqué dans ses conclusions qu’un contrat écrit a été signé en
décembre 2023, ce qui « traduit la volonté de la SWDE de se conformer à ses obligations
légales et de répondre aux exigences du RGPD », ce qui reconnait donc l’existence de
l’infraction pour la période précédant cette signature.
249. En l’espèce, vu le Rapport d’Enquête et les pièces produites par la défenderesse et son
sous-traitant, la Chambre Contentieuse constate une violation de l’article 28.3 du RGPD en
l’absence de contrat de sous-traitance conclu entre la défenderesse en tant que responsable
35
CEPD, Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, 7
juillet 2021, disponible sur https://www.edpb.europa.eu/system/files/2023-
10/edpb guidelines 202007 controllerprocessor final fr.pdf
Décision quant au fond 102/2026 — 62/105
de traitement et son sous-traitant Z. Elle constate cette violation pour la période allant de
janvier 2019 jusqu’à décembre 2023 et, pour les raisons qui seront exposées dans la section
relative aux sanctions, décide d’imposer une amende administrative pour cette violation en
vertu de l’article 58.2.i) du RGPD ainsi que des articles 100, §1er, 13° et 101 de la LCA.
IV.8. Existence d’une AIPD relative aux écoutes et enregistrements
250. En août 2020, la défenderesse a indiqué au Service d’Inspection avoir effectué deux AIPD
dont l’une d’elles seraient relative à la surveillance des employés et aurait été réalisée le 16
janvier 2019. Le Service d’Inspection a cependant constaté qu’aucune de ces deux AIPD ne
concernaient les écoutes et enregistrements des conversations téléphoniques à des fins
contrôle qualité et de formation.
251. En juin 2022, la défenderesse a indiqué au Service d’Inspection qu’une AIPD concernant les
enregistrements des conversations téléphoniques était en cours de finalisation. Ce document
a été communiqué au Service d’Inspection en février 2023, qui a estimé que le document
communiqué reprenait uniquement l’analyse des risques liés aux opérations de traitement en
lien avec les enregistrements et écoutes des conversations téléphoniques.
252. A la demande du Service d’Inspection le 28 juin 2023, la défenderesse a communiqué le 11
juillet 2023 un document qui serait l’AIPD relative aux enregistrements et écoutes des appels
téléphoniques réalisés par la défenderesse.
253. Le Service d’Inspection a dès lors constaté quelques manquements potentiels à l’article 35
par. 1, 7 et 11 du RGPD, pour les raisons suivantes : (i) la défenderesse n’a pas effectué une AIPD
Ecoutes Téléphoniques avant le début des opérations de traitement, (ii) l’AIPD Ecoutes
Téléphoniques ensuite réalisée n’analyse pas ou analyse de façon non suffisamment détaillée
ou incorrecte les critères repris à l’article 35.7 du RGPD et (iii) la défenderesse n’a pas tenu
l’AIPD Ecoutes Téléphoniques à jour.
254. Conformément à l’article 35, par. 1 du RGPD, un responsable du traitement doit effectuer
une AIPD « [l]orsqu'un type de traitement, en particulier par le recours à de nouvelles
technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du
traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des
personnes physiques ». L’article 35, par. 3 du RGPD prévoit qu’une AIPD est requise
notamment dans les cas suivants: « a) l'évaluation systématique et approfondie d'aspects
personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé,
y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets
juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon
similaire ».
Décision quant au fond 102/2026 — 63/105
255. Le Groupe de travail « Article 29 » sur la protection des données (ci-après « G29 »),
prédécesseur de l’actuel CEPD, a publié des lignes directrices relatives aux AIPD et les
traitements « susceptibles d’engendrer un risque élevé » au sens du RGPD (ci-après « Lignes
Directrices AIPD »).
256. Conformément aux Lignes Directrices AIPD, un traitement de données personnelles est
susceptible « d’engendrer un risque élevé pour les droits et libertés des personnes physiques »
lorsque celui-ci concerne au moins deux des neufs critères développés par le G29 permettant
d’évaluer lorsqu’un traitement est susceptible d’engendrer un risque élevé. Or il apparait que
les opérations de traitement concernées répondent à au moins deux des critères définis:
a. Evaluation ou notation : la Chambre Contentieuse constate que les opérations de
traitement en cause ont précisément pour finalité d’évaluer la qualité des appels sur
la base d’une grille de cotation qui permettant d’attribuer un score au collaborateur
concerné. La Chambre Contentieuse note également que le score obtenu par le
collaborateur influence directement le nombre d’appels qui seront enregistrés le
mois d’après. Il existe donc une forme de profilage des collaborateurs en fonction
des scores obtenus, qui aboutit à plus ou moins de contrôle sur les appels émis et
reçus.
b. Données concernant des personnes vulnérables : la Chambre Contentieuse
constate que les écoutes et les enregistrements des conversations téléphoniques
entrantes concernent (notamment) les collaborateurs. Les Lignes Directrices AIPD
précisent à cet égard que : “le traitement de ce type de données est un critère en
raison du déséquilibre des pouvoirs accru qui existe entre les personnes concernées
et le responsable du traitement, ce qui signifie que les premières peuvent se trouver
dans l’incapacité de consentir, ou de s’opposer, aisément au traitement de leurs
données ou d’exercer leurs droits. Peuvent être considérés comme des personnes
concernées vulnérables, […] les employés.”. En conséquence, les collaborateurs
doivent être considérés comme des personnes vulnérables et ce critère doit donc
être considéré comme rempli.
257. Compte tenu de ce qui précède, la défenderesse avait, au plus tard avant le début des
enregistrements, l’obligation de réaliser une AIPD vis-à-vis des opérations de traitement en lien
avec les enregistrements et les écoutes des conversations téléphoniques en vue de contrôler
la qualité des services fournies et de former le personnel.
258. La défenderesse reconnait par ailleurs elle-même dans ses conclusions que « il n’est pas
contesté qu’en principe, le traitement de données à caractère personnel occasionné par
l’enregistrement des appels traités par des agents de call center à des fins de contrôle,
d’évaluation et d’amélioration des réponses fournies par ces agents, entre dans les hypothèses
dans lesquelles une analyse d’impact doit être réalisée en application de l’article 35 du RGPD”.
Décision quant au fond 102/2026 — 64/105
Selon elle, elle ne devait cependant pas effectuer d’AIPD dans la mesure où “pour les
traitements déjà existants avant le 25 mai 2018, une AIPD n'est en principe obligatoire qu’à
condition que les risques pour les droits et libertés des personnes physiques soient modifiés
après le 25 mai 2018”.
259. La Chambre Contentieuse relève que la défenderesse soutient à tort que dans la mesure
où le traitement a été mis en œuvre avant l’entrée en vigueur du RGPD en mai 2018, ce dernier
n’est pas soumis à l’obligation de réaliser une AIPD. S’agissant des traitements mis en place
avant l’entrée en vigueur du RGPD, la Chambre contentieuse rappelle que le CEPD indique que
« L’obligation d’effectuer une AIPD s’applique aux opérations de traitement existantes [mises
en place avant le RGPD] susceptibles d’engendrer un risque élevé pour les droits et libertés
des personnes physiques et pour lesquelles les risques associés ont évolué, compte tenu de
la nature, de la portée, du contexte et des finalités du traitement » (soulignement et
informations sous crochets ajoutés par la Chambre Contentieuse). Le CEPD poursuit
cependant en ajoutant que : « aucune AIPD n’est nécessaire pour les opérations de traitement
qui ont fait l’objet d’un examen par une autorité de contrôle ou par le détaché à la protection
des données, conformément à l’article 20 de la directive 95/46/CE, et dont la mise en œuvre
n’a pas changé depuis le contrôle préalable”.
260. A cet égard, la Chambre Contentieuse note qu’aucun document démontrant qu’elle a
réalisé une telle analyse avant le début des enregistrements n’a été fourni par la
défenderesse, qui confirme par ailleurs dans ses conclusions qu’elle estimait ne pas être
tenue par l’obligation de réaliser une analyse de risques et n’en a donc pas réalisé.
261. En l’absence de tout document montrant examen préalable des traitements envisagés
pouvant l’exempter de réaliser une AIPD Ecoutes Téléphoniques avant l’entrée en vigueur du
RGPD, la défenderesse retombe dans le régime de l’article 35.1 du RGPD qui prévoit que
« lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et
compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est
susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le
responsable du traitement effectue, avant le traitement, une analyse de l'impact des
opérations de traitement envisagées sur la protection des données à caractère personnel ».
Dès lors, une AIPD relative aux enregistrements téléphoniques aurait dû être réalisée au plus
tard pour le 25 mai 2018.
262. Il apparait cependant du Rapport d’Enquête et des conclusions de la défenderesse qu’une
telle AIPD n’aurait qu’été réalisée le 10 juin 2022.
263. La Chambre Contentieuse constate donc un manquement à l’article 35.1 du RGPD en
raison de l’absence d’une AIPD Ecoutes Téléphoniques pour la période du 25 mai 2018 au 9
juin 2022 et décide de prononcer une réprimande à l’encontre de la défenderesse à cet égard
en vertu de l’article 100 §1er, 5° de la LCA.
Décision quant au fond 102/2026 — 65/105
264. Dès lors qu’un manquement général à l’article 35.1 du RGPD a été constaté en raison de
l’absence d’AIPD Ecoutes Téléphoniques pour une période donnée, la Chambre Contentieuse
estime surabondant d’examiner (i) si le contenu de l’AIPD Ecoutes Téléphoniques était
suffisant et (ii) si l’AIPD Ecoutes Téléphoniques a été correctement mise à jour. En effet, la
Chambre Contentieuse considère qu’il n’est pas nécessaire de se prononcer sur les
manquements aux autres paragraphes de l’article 35 et les manquements résiduels après
chaque amélioration dès lors qu’elle a déjà constaté un manquement général en ce qui
concerne l’absence d’AIPD Ecoutes Téléphoniques pour une période donnée et que des
constatations supplémentaires de manquements pour une violation du même article n’entraine
aucune conséquence dans l’appréciation de la faute et de la sanction (excepté dans la mesure
où ces améliorations progressives au cours de l’enquête et avant une décision contraignante
constituent un facteur de nature à justifier d’une sanction moins élevée).
IV.9. AIPD relative à l’utilisation de caméras de surveillance
265. Dans le cadre de l’enquête, la défenderesse a indiqué avoir traité les images issues de 141
caméras de vidéosurveillance installées sur 16 sites différents et qui opèrent en continu
(24h/24 et 7j/7), pour les fins suivantes: (i) assurer la sécurité des biens et des personnes, (ii)
contrôler les accès des visiteurs et (iii) “justice et police”.
266. Le Service d’Inspection a identifié une potentielle violation de l’article 35 du RGPD en raison
de l’absence d’une AIPD qui répond aux exigences du RGPD pour les traitements de données
personnelles dans le cadre de l’utilisation de systèmes de vidéosurveillance, notamment en
termes d’évaluation des risques et d’évaluation de la nécessité et proportionnalité du
traitement.
267. La Chambre Contentieuse constate cependant que ce grief est totalement indépendant du
reste de l’enquête et non-pertinent par rapport aux autres constatations, à savoir la question
des enregistrements téléphoniques à des fins d’évaluation de la qualité du service. En
particulier en l’absence d’une plainte spécifique relative à l’utilisation des caméras de
surveillance au sein de la SWDE, la Chambre Contentieuse est d’avis qu’il n’est pas opportun à
ce stade de se prononcer sur l’absence d’une AIPD dans le cadre de l’utilisation de caméras de
surveillance.
268. De plus, l’enregistrement dans le cadre de l’utilisation de systèmes de vidéosurveillance est
soumis à une multitude de règles en vertu du RGPD et de la Loi du 21 mai 2017 relative à
l’utilisation de caméras de surveillance (« Lois Caméras »), qui n’a fait l’objet d’aucune analyse
particulière dans le cadre de l’enquête autre que pour l’unique aspect de l’AIPD.
269. Dans ce cadre et compte tenu du caractère isolé et ponctuel de cette constatation qui
s’inscrit dans un contexte plus global de conformité au RGPD et à la Loi Caméras, la Chambre
Décision quant au fond 102/2026 — 66/105
Contentieuse décide donc de classer sans suite ce grief sur la base de l’article 100 § 1er, 1° de
la LCA.
IV.10. Enregistrements involontaires lors de la mise en place du nouveau logiciel d’enregistrements
270. A cet égard, la Chambre Contentieuse avait constaté sur la base du Rapport d’Enquête une
potentielle violation de l’article 33 par. 1 et 5 du RGPD pour les raisons suivantes : (i) absence
de notification à l’APD de la violation de données personnelles liées aux Incidents (pour rappel,
les Incidents ont été définis comme « les enregistrements involontaires liés à la mauvaise
configuration du systèmes tels détectés par la défenderesse le 15 décembre 2022 ») et (ii)
absence de documentation de ces Incidents dans le registre des violations de données, les
points (i) et (ii) faisant suite à l’analyse de la défenderesse qui a choisi de ne pas qualifier ces
Incidents en tant que « violations de données personnelles » au sens de l’article 4.12) du RGPD.
271. L’article 4.12) du RGPD définit la violation de données comme « une violation de la sécurité
entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation
non autorisée de données à caractère personnel transmises, conservées ou traitées d'une
autre manière, ou l'accès non autorisé à de telles données » (la Chambre Contentieuse
souligne).
272. A cet égard, le CEPD indique dans les Lignes directrices 9/2022 du 28 mars 2023 sur la
notification de violations de données à caractère personnel en vertu du RGPD36 (« Lignes
Directrices Violation de Données ») que :
- « le traitement non autorisé ou illicite peut inclure la divulgation de données à caractère
personnel à des destinataires (ou l’accès à de telles données par ceux-ci) n’étant pas
autorisés à les recevoir (ou à y avoir accès), ou toute autre forme de traitement en
infraction au RGPD » (point 14) ; et
- « Une telle violation aura pour conséquence que le responsable du traitement ne sera
plus en mesure d’assurer la conformité avec les principes relatifs au traitement de
données à caractère personnel tels que définis à l’article 5 du RGPD » (point 15)
273. En particulier, le Rapport d’Enquête reprend plusieurs emails indiquant notamment que des
appels sortants ont été enregistrés (dont notamment des emails de chefs d’équipe qui
montrent avoir accès à des enregistrements d’appels sortants). Or, l’économie du système et
l’évaluation de sa conformité au RGPD dépendait d’un paramètre important (que la
défenderesse rappelle elle-même dans ses conclusions) : seuls les appels entrants qui arrivent
via le numéro général de la SWDE sont susceptibles d’être enregistrés. Dès lors, un tel
36
CEPD, Lignes directrices 9/2022 du 28 mars 2023 sur la notification de violations de données à caractère personnel en vertu
du RGPD , disponible sur https://www.edpb.europa.eu/system/files/2024-
10/edpb_guidelines_202209_personal_data_breach_notification_v2.0_fr_0.pdf
Décision quant au fond 102/2026 — 67/105
paramétrage du système exclut (en principe) la possibilité l’enregistrement de tout appel privé
ou d’appels internes entre employés. Aussi, les collaborateurs n’avaient qu’été informés de la
possibilité d’enregistrement pour ces appels entrants vers le numéro général de la
défenderesse.
274. Ces Incidents impliquent l’enregistrement audio de l’appel téléphonique (et donc de
données personnelles) entre un collaborateur avec un tiers ou un autre collègue (qui ne passant
pas par le numéro général de la défenderesse, n’ont pas non plus été informés que l’appel était
susceptible d’être enregistré). Il s’agit donc d’une violation de la confidentialité de l’appel passé
en ce qui concerne ces Incidents, en ce qu’elle a permis de rendre accessible à certaines
personnes le contenu d’appels qui n’auraient jamais dû être enregistrés et auquel ces
personnes n’auraient jamais dû/pu avoir accès.
275. A cet égard, la divulgation non autorisée de données personnelles n’exige pas – pour que la
condition soit rencontrée – de démontrer un accès effectif auxdites données. La seule
divulgation (dans le sens “rendre accessibles certaines données”) est suffisante pour
rencontrer cette condition.
276. De plus et concernant le fait que seuls certains membres du personnel auraient eu accès à
ces enregistrements de façon conforme à et dans le cadre de leurs fonctions n’exclut pas
l’existence d’une violation à la protection des données personnelles. Par exemple, une
personne recevant des données personnelles d’une tierce personne envoyée par un employé
autorisé/habilité dans le cadre de ses fonctions de manière accidentelle constitue une violation
de données personnelles de cette tierce personne, y compris si le destinataire de ces données
n’a fait qu’accéder à sa boite email personnelle (sans commettre aucune fraude) et que
l’employé qui était habilité à envoyer ledit email a simplement commis une erreur lors de
l’encodage de l’adresse du destinataire (sans pour autant excéder ses fonctions).
277. Au même titre, la circonstance que l’enregistrement d’appels internes et sortants a été
réalisé de manière accidentelle (par un mauvais paramétrage du logiciel) n’a pas d’impact sur la
notion de violation de données personnelles au sens de l’article 4, paragraphe 12) du RGPD, qui
rappelle explicitement que la violation de sécurité peut être réalisée de « manière accidentelle
ou illicite ».
278. En ce qui concerne la question de l’absence de base légale pour ces enregistrements
involontaires reprise dans les arguments de la défenderesse, la Chambre Contentieuse note
que cette question est surabondante et n’a pas à faire l’objet d’une sanction spécifique : en
effet, s’agissant de violations de données personnelles, il n’y a pas lieu d’identifier une base
légale rendant le traitement licite.
279. La Chambre Contentieuse constate donc une violation de l’article 33 par. 1 du RGPD pour
les raisons suivantes pour l’absence de notification à l’APD de la violation de données
Décision quant au fond 102/2026 — 68/105
personnelles liées aux Incidents et décide de prononcer, en vertu de l’article 100, §1er, 5°de
la LCA, une réprimande à l’encontre de la défenderesse à cet égard.
280. En ce qui concerne la violation de l’article 33 par. 5 du RGPD en raison de l’absence de
documentation de ces Incidents dans le registre des violations de données, la Chambre
Contentieuse considère que la défenderesse n’a pas commis de violation additionnelle au
RGPD par rapport à la violation de l’article 33 par. 1, dès lors qu’elle avait estimé que les
Incidents ne constituaient pas des « violations de données personnelles » au sens de l’article
4.12) du RGPD.
281. La Chambre Contentieuse estime donc qu’on ne peut pas reprocher spécifiquement à la
défenderesse de ne pas avoir documenté les Incidents alors qu’elle avait considéré (certes à
tort) qu’ils ne tombaient pas dans le champ d’application de cette disposition. Par ailleurs, il
apparait des réponses de la défenderesse reprises dans le Rapport d’Enquête qu’elle dispose
bien d’un registre des violations de données (qui ne reprend certes pas les Incidents), ainsi que
de la documentation nécessaire relative aux Incidents et à leur gestion (bien qu’elle ne fasse
pas apparaitre la qualifications de ces Incidents en violation de données personnelles). Il
n’apparait donc pas que la défenderesse n’aurait pas respecté ses obligations en vertu de
l’article 33.5 du RGPD.
282. La Chambre Contentieuse considère donc qu’il n’y a pas de violation spécifique de l’article
33.5 du RGPD et que ce grief est déjà suffisamment couvert dans le cadre du constat de la
violation de l’article 33.1 du RGPD.
283. Considérant à la lecture du Rapport d’Enquête que les Incidents pouvaient ne pas
constituer une violation de données personnelles mais considérant cependant que le
comportement en question pouvait constituer une violation du RGPD, la Chambre
Contentieuse, avait sur la base de son propre pouvoir d’appréciation, demandé à la
défenderesse de s’exprimer sur une potentielle violation de l’article 5.1 c) du RGPD (principes
de minimisation des données), lu conjointement avec l’article 25 du RGPD (principe de
protection des données dès la conception et protection des données par défaut), suite aux
enregistrements involontaires liés à la mauvaise configuration du systèmes tels détectés par
la défenderesse le 15 décembre 2022 (cfr. constatation 15 du Rapport d’Enquête).
284. Cependant, dès lors que la Chambre Contentieuse, suivant le raisonnement du Service
d’Inspection, a déjà constaté une violation de l’article 33 par. 1 du RGPD pour ces
enregistrements involontaires, elle estime qu’il n’y a plus lieu de se prononcer sur une
potentielle violation de l’article 5.1 c) du RGPD lu conjointement avec l’article 25 du RGPD
dès lors que les faits à l’origine du comportement infractionnel sont déjà couverts sous un chef
d’infraction plus spécifique.
Décision quant au fond 102/2026 — 69/105
IV.11. Rôle du DPO
285. Considérant à la lecture du Rapport d’Enquête que l’absence d’AIPD pouvait révéler un
problème plus global lié au rôle du DPO au sein de la défenderesse, la Chambre Contentieuse,
a sur la base de son propre pouvoir d’appréciation, demandé à la défenderesse de s’exprimer
sur une potentielle violation des articles 38.1 et 39.c) du RGPD, en ce qu’il apparait du dossier
que (i) le DPO semble ne pas avoir été associé d'une manière appropriée et en temps utile, à une
question sensible de protection des données telle que celle en cause et (ii) le DPO n’a pas été
impliqué dans la préparation d’une AIPD avant le début des traitements litigieux.
286. A cet égard, la Chambre Contentieuse note que compte tenu du contexte spécifique
justifiant pourquoi une AIPD n’a pas été réalisée par la défenderesse (en ce que la défenderesse
estimait qu’il n’était pas nécessaire d’en réaliser une), il apparait qu’elle ne peut tirer aucune
conclusion quant à ces violations présumées. En effet, la seule absence d’une AIPD dans ce
contexte ne peut pas permettre de démontrer que (i) le DPO n’a pas été associé en temps utile
aux questions concernant les enregistrements et que (ii) le DPO n’a pas été impliqué dans la
préparation de l’AIPD. Dès lors que cette question n’a pas fait l’objet de constatations
spécifiques dans le Rapport d’Enquête, la Chambre Contentieuse ne peut en tirer aucune
conclusion.
287. Dès lors, la Chambre Contentieuse décide de classer sans suite ce grief sur la base de
l’article 100 § 1er, 1° de la LCA en l’absence de preuves démontrant effectivement une
violation des articles 38.1 et 39.c) du RGPD.
V. Quant aux mesures correctrices et sanctions
288. Aux termes de l’article 100, § 1er de la LCA, la Chambre Contentieuse a le pouvoir de :
« 1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
Décision quant au fond 102/2026 — 70/105
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données ; […]
12° donner des astreintes ;
13° donner des amendes administratives ; […]
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données. »
V.1. Quant à la possibilité d’infliger une amende administrative à la défenderesse
289. Quant à la possibilité d’imposer une amende administrative à une autorité publique, l’article
221 § 2 de la LTD prévoit que : « L'article 83 du Règlement ne s'applique pas aux autorités
publiques et leurs préposés ou mandataires sauf s'il s'agit de personnes morales de droit public
qui offrent des biens ou des services sur un marché. ».
290. La Chambre Contentieuse suit l’avis du Service d’Inspection et de la défenderesse, en ce
qu’elle considère que cette dernière est une autorité publique au sens de l’article 5,2° de la
LTD car il s’agit d’une personne morale de droit public qui dépend d’une entité fédérée, à savoir
la Région Wallonne, pour les raisons suivantes :
i. les membres du conseil d’administration (article D.366, § 1er du Code Wallon de l’Eau) et
du comité de direction (article D.369, §2 du Code Wallon de l’Eau) sont nommés par le
gouvernement wallon ;
ii. la défenderesse est soumise à une tutelle administrative par le gouvernement wallon
(article D.377 du Code Wallon de l’Eau). Ce contrôle était également repris à l’article 34
des anciens statuts de la défenderesse adoptés par l’Assemblée générale
extraordinaire le 28 mai 2019;
iii. seules des personnes publiques peuvent être titulaires de la qualité d’associés
conformément à l’article 7 des anciens statuts de la défenderesse adoptés le 28 mai
2019 et l’article D.347 du Code Wallon de l’Eau.
291. La Chambre Contentieuse note par ailleurs que le site web de la Région Wallonne cite la
défenderesse comme l’un des 39 organismes d'intérêt public auxquels elle a confié la gestion
de certaines matières37. La qualité d’autorité publique de la défenderesse ne fait dès lors aucun
doute.
292. Il y a cependant lieu de déterminer si la défenderesse « offre des biens et des services sur
un marché » pour déterminer si elle peut faire l’objet d’une amende. Le fait que cette offre de
37
https://www.wallonie.be/fr/acteurs-et-institutions/wallonie/autres-acteurs-publics-de-la-wallonie
Décision quant au fond 102/2026 — 71/105
biens et de services relève d’une mission d’intérêt public n’exclut en effet pas qu’une amende
puisse être imposée.
293. A cet égard, la Cour Constitutionnelle a, dans son arrêt n°3/2021 du 14 janvier 2021, précisé
l’interprétation à donner à l’article 221, §2 de la LTD :
« B.26.3. En ce qui concerne le second critère, il ressort des travaux préparatoires que, pour
établir l’existence de « l’offre de biens ou de services sur un marché », il y a lieu d’identifier, parmi
les autorités visées par le premier critère, celles qui sont susceptibles d’entrer en concurrence,
d’une manière ou d’une autre, avec les acteurs privés soumis aux obligations du RGPD (Doc.
parl., Chambre, 2017-2018, DOC 54-3126/002, p. 55). ».
294. Selon la CJUE, la notion d’ « activité économique » englobe toute activité pouvant être
exercée par une entreprise privée dans un but lucratif, et doit être interprétée de manière large.
Le fait qu'un État membre donné n'ait pas (encore) ouvert le marché de cette activité à la
concurrence n'exclut pas qu'il s'agisse d'une activité économique. En effet, selon une
jurisprudence constante de la CJUE depuis l'arrêt Höfner (C-41/90, Höfner et Elsner, 23 avril
1991, EU:C:1991:161, § 21), la notion d'entreprise englobe toute entité exerçant une activité
économique, indépendamment de sa forme juridique et de son mode de financement.
295. La Cour des marchés a par ailleurs notamment confirmé dans son arrêt 2023/AR/723 du
14 juin 2023 que la SNCB offrait des services sur un marché, même si elle n’avait pas
d’homologue privé avec qui effectivement entrer en concurrence et qu’elle exécute une
mission de service public. Dans ce cadre, la Cour des marchés a considéré que:
a. une entreprise publique telle que la SNCB pouvait être soumise à l’imposition d’amende
administrative conformément à l’article 221, §2 de la LTD dans la mesure où elle exerce
une activité économique telle qu’interprétée par la CJUE, c’est-à-dire une activité
pouvant être exercée par une entreprise privée dans un but lucratif. Cette notion doit
donc être interprétée de manière large ;
b. le fait qu’un Etat membre donné n’ait pas (encore) ouvert le marché de cette activité à
la concurrence n’exclut pas qu’il s’agisse d’une activité économique (à cet égard, la
Chambre Contentieuse note que le marché de la production d’eau a déjà été
partiellement privatisé dans d’autres états membres, comme notamment la France) ; et
c. la forme juridique et le mode de financement de l’entité qui exerce l’activité n’est pas
pertinente pour qualifier l’activité comme étant économique.
296. La Chambre Contentieuse (tout comme la Région Wallonne, comme le reconnait la
défenderesse au point 242 de ses conclusions) considère que la défenderesse offre un service
d’intérêt économique général (“SIEG”), en ce qu’elle combine une mission d’intérêt général
avec une activité économique consistant à fournir, contre rémunération, un service
individualisable aux usagers, indépendamment du caractère public de la SWDE et de
Décision quant au fond 102/2026 — 72/105
l’existence d’un monopole légal. Selon la doctrine européenne, un SIEG est un service qui ne
serait pas exécuté (ou exécuté à des conditions différentes en termes de qualité, de sécurité,
d’accessibilité, d’égalité de traitement ou d’accès universel) par le marché en l’absence d’une
intervention de l’Etat.
297. La Commission européenne indiquait à cet égard sur son site Internet que les services
d’intérêt économique général sont « des services de base fournis à titre onéreux, tels que les
services postaux. Ils sont soumis aux règles européenne régissant le marché intérieur et la
concurrence. Ces règles peuvent toutefois faire l’objet de dérogations si cela s’avère
nécessaire pour protéger l’accès des citoyens aux services de base. ».
298. Bien que l’eau ne soit pas un produit comme un autre, il y a lieu de distinguer (i) l’eau en tant
que ressource naturelle et (ii) le service de fourniture d’eau. En effet, la protection de l’eau
comme patrimoine naturel concerne la ressource, mais la qualification économique concerne
le service d’acheminement, de traitement et de distribution.
299. En particulier en ce qui concerne le secteur de la distribution d’eau, M. Alexander GEE,
directeur général Concurrence (unité B-1) indiquait en 2004 dans un article concernant la
concurrence et le secteur de l’eau que : « The ECJ has consistently held that the concept of
undertaking covers any entity engaged in an economic activity, and any activity consisting of
offering goods and services on a given market is an economic activity. On this basis it seems
that the provision of water and waste water services would be considered to be an economic
activity, except possibly for domestic consumers in Ireland where the local authorities pay for
water through taxation. This is despite recital 1 of the Water Framework Directive which states
‘water is not a commercial product like any other but, rather, a heritage which must be
protected, defended and treated as such’, as this refers to water in nature rather than to the
provision of water services. »
(l’APD souligne - Traduction libre : « La CJCE a toujours considéré que la notion d'entreprise
couvre toute entité engagée dans une activité économique, et que toute activité consistant à
offrir des biens et des services sur un marché donné est une activité économique. Sur cette
base, il semble que la fourniture de services de distribution d'eau et de traitement des eaux
usées soit considérée comme une activité économique, sauf peut-être pour les
consommateurs domestiques en Irlande où les autorités locales paient l'eau par le biais de
l'impôt. Et ce, malgré le premier considérant de la directive-cadre sur l'eau qui stipule que "l'eau
n'est pas un produit commercial comme un autre mais plutôt un patrimoine qui doit être
protégé, défendu et traité en tant que tel", car cela fait référence à l'eau dans la nature plutôt
qu'à la fourniture de services liés à l'eau »).
300. Cette analyse est également confirmée par un document de travail publié par la
Commission européenne intitulé « Infrastructure analytical grid for water infrastructure ». En
effet, la Commission européenne indiquait à cet égard :
Décision quant au fond 102/2026 — 73/105
« Comprehensive water supply and waste water networks are typically a natural monopoly
(see Part II.1 below). To the extent that they are used to provide services to end-users on
equal and non-discriminatory terms and that private financing for their construction is
insignificant, the public financing for their construction would typically not affect trade
between Member States or distort competition. (3) Conversely, the operation of water
infrastructure, for example by a local authority's in-house operator or a third party
provider, constitutes in many instances an economic activity to which the State aid rules
may apply. For instance, the provision of water services (e.g. for drinking/waste water)
against payment of a price is typically an economic activity. (4) In practice, the
construction and the operation of water infrastructure may be bundled2. The financing of
such bundled operations does not constitute State aid if for instance the construction
relates to water infrastructure which is a natural monopoly (see Part II.1 below) and either
(i) the bundled construction and operation of the water infrastructure is tendered out
together (see Part II, Point 7.1 below), or (ii) the operation of that infrastructure is subject to
a legal monopoly (see Part II.2 below).”
(l’APD souligne - Traduction libre : “Les réseaux complets d'approvisionnement en eau et
de traitement des eaux usées constituent généralement un monopole naturel (voir la partie
II.1 ci-dessous). Dans la mesure où ils sont utilisés pour fournir des services aux utilisateurs
finaux dans des conditions égales et non discriminatoires et où le financement privé de leur
construction est insignifiant, le financement public de leur construction n'affecterait
généralement pas les échanges entre États membres et ne fausserait pas la concurrence.
(3) Inversement, l'exploitation des infrastructures de distribution d'eau, par exemple par
l'opérateur interne d'une collectivité locale ou par un fournisseur tiers, constitue dans de
nombreux cas une activité économique à laquelle les règles relatives aux aides d'État
peuvent s'appliquer. Par exemple, la fourniture de services de distribution d'eau (par
exemple pour l'eau potable ou les eaux usées) contre paiement d'un prix est
généralement une activité économique. (4) Dans la pratique, la construction et
l'exploitation des infrastructures hydrauliques peuvent être regroupées. Le financement de
ces opérations groupées ne constitue pas une aide d'État si, par exemple, la construction
concerne une infrastructure hydraulique qui est un monopole naturel (voir partie II.1 ci-
dessous) et si (i) la construction et l'exploitation groupées de l'infrastructure hydraulique
font l'objet d'un appel d'offres commun (voir partie II, point 7.1 ci-dessous), ou (ii)
l'exploitation de cette infrastructure est soumise à un monopole légal (voir partie II.2 ci-
dessous) ».
301. Dans la doctrine de la Commission européenne relative aux infrastructures de l’eau, on
retrouve donc explicitement la position suivante : (i) la construction des réseaux d’eau est en
principe une infrastructure de monopole naturel, mais (ii) l’exploitation et la fourniture d’eau
Décision quant au fond 102/2026 — 74/105
aux usagers constituent, en règle générale, une activité économique lorsque l’eau est
fournie aux utilisateurs finaux contre le paiement d’un prix.
302. D’un point de vue doctrinal européen, la distribution d’eau par la SWDE coche donc toutes
les caractéristiques d’une activité économique de fourniture de biens et services sur un marché
au sens du droit de l’Union car, bien qu’il s’agisse d’un service d’intérêt général (comprenant
l’accès universel, continuité du service, qualité, sécurité sanitaire, tarifs régulés, etc.), avec une
mission publique explicite :
a. le service est fourni contre rémunération, l’usager concluant une relation contractuelle
avec la SWDE, recevant une prestation individualisable et payant un prix proportionnel
à la consommation, ce qui implique qu’il y a bien fourniture individualisée d’un bien et de
services.
b. la distribution d’eau est, par nature, susceptible d’être exercée par un opérateur privé38
(comme c’est par ailleurs déjà le cas en France39), l’absence d’ouverture effective du
marché à la concurrence n’excluant pas le caractère économique de l’activité (comme
la Cour des marchés l’a déjà confirmé pour la SNCB qui a le monopole du transport
ferroviaire de passagers en Belgique, sécurisé via un contrat de service public jusqu'au
31 décembre 2032), le « marché » ne signifiant pas nécessairement concurrence
effective mais plus un espace d’échange de prestations contre rémunération.
c. La SWDE, au contraire d’autres opérateurs publics, est une entreprise publique
autonome, qui dispose d’un chiffre d’affaires.
303. La défenderesse reste en défaut de démontrer en quoi sa situation serait (i) différente de
celle de la SNCB ou (ii) similaire à celle des exemples d’entités qui ne sont pas des entreprises
repris aux points 203 et suivants de ses conclusions, et dès lors, en quoi elle pourrait échapper
à la qualification d’opérateur « fournissant des biens et des services sur un marché ».
304. L’existence d’un monopole naturel ou légal sur laquelle insiste la défenderesse n’est pas
non plus de nature à modifier l’analyse. En particulier, dans le cas de la SNCB pour laquelle la
Cour des marchés a déjà estimé qu’elle offrait des biens et des services sur un marché,
l’infrastructure ferroviaire peut être un monopole naturel (construire des lignes parallèles étant
économiquement non viable) et peut disposer un monopole légal (en Belgique, la SNCB dispose
d’un monopole légal sur le transport national de voyageurs en Belgique). Ces monopoles
n’excluent cependant pas que des biens et services soient fournis (en l’espèce, sur un marché
38
Le fait que l’eau puisse, en principe, être distribuée aussi par un acteur privé ou un modèle concurrent (même si cela ne se
produit pas en Belgique) suffit à considérer l’activité comme économique dans une perspective de droit européen, notamment
pour l’application du RGPD, des règles de concurrence ou des aides d’État.
39
https://www.data.gouv.fr/reuses/fournisseurs-deau-en-france-en-2025-parts-de-marche : « En 2025, environ la moitié des
Français est desservie par un service d’eau en régie, c’est-à-dire un fournisseur d’eau potable détenu directement par une
collectivité locale. L’autre moitié du territoire est confiée à des compagnies des eaux privées, via des contrats de délégation
de service public. Les principaux distributeurs d’eau privés – Veolia, Suez et SAUR – dominent largement ce pan du marché de
la distribution d’eau. » (consulté le 15 avril 2026).
Décision quant au fond 102/2026 — 75/105
non encore ouvert à la concurrence). Aussi, le mode de financement (public) des infrastructures
n’implique pas que des biens et services ne soient pas fournis.
305. Compte tenu de ce qui précède, la Chambre Contentieuse considère que la défenderesse
est susceptible d’être considérée comme un organisme public offrant des biens et des
services sur le marché au sens de l’article 221, §2 de la LTD pour ce qui concerne ses activités
de distribution et de production d’eau potable ainsi que ses services d’analyse ponctuelle
d’eau. Seule son activité d’établissement, perception, recouvrement, exemption et restitution,
de la taxe sur le déversement des eaux usées industrielles et domestiques en vertu de l’article
D.353, §1, 5° du code wallon de l’eau n’est pas une “fourniture de biens et de services”, mais
l’exercice d’une prérogative de puissance publique.
306. En conséquence, la Chambre Contentieuse estime qu’elle est donc susceptible de se voir
imposer une amende pour les violations constatées malgré sa qualification d’autorité publique
dans la mesure où ces traitements sont effectués lorsque la défenderesse offre des biens et
des services sur un marché (et pas lorsqu’elle exerce des prérogatives de puissance
publique40).
V.2. Quant aux mesures et sanctions
307. Outre les autres mesures correctrices qui ont été imposées (réprimandes et ordre de mises
en conformité en l’espèce), la Chambre Contentieuse peut décider d'infliger une ou plusieurs
amendes administratives en vue de renforcer l'application des règles du RGPD. Comme il
ressort clairement de son considérant 14841, le RGPD met en effet en avant que pour toute
violation – donc aussi lors de la première constatation d'une violation –, des sanctions, y
compris des amendes administratives, devraient être infligées en complément ou à la place des
mesures appropriées.
308. Selon le RGPD et les lignes directrices 04/2022 du CEPD sur le calcul des amendes42 (ci-
après les « Lignes Directrices 04/2022 »)43, une autorité de contrôle comme l’APD a le pouvoir
40
Notamment lorsque cette dernière se charge de la collecte de taxes et redevances.
41
Le considérant 148 du RGPD énonce que : "Afin de renforcer l'application des règles du présent règlement, des sanctions y
compris des amendes administratives devraient être infligées pour toute violation du présent règlement, en complément ou à
la place des mesures appropriées imposées par l'autorité de contrôle en vertu du présent règlement. En cas de violation
mineure ou si l'amende susceptible d'être imposée constitue une charge disproportionnée pour une personne physique, un
rappel à l'ordre peut être adressé plutôt qu'une amende. Il convient toutefois de tenir dûment compte de la nature, de la gravité
et de la durée de la violation, du caractère intentionnel de la violation et des mesures prises pour atténuer le dommage subi,
du degré de responsabilité ou de toute violation pertinente commise précédemment, de la manière dont l'autorité de contrôle
a eu connaissance de la violation, du respect des mesures ordonnées à l'encontre du responsable du traitement ou du sous-
traitant, de l'application d'un code de conduite, et de toute autre circonstance aggravante ou atténuante. L'application de
sanctions y compris d'amendes administratives devrait faire l'objet de garanties procédurales appropriées conformément aux
principes généraux du droit de l'Union et de la Charte, y compris le droit à une protection juridictionnelle effective et à une
procédure régulière."
42
CEPD, Lignes directrices 04/2022 sur le calcul des amendes administratives au titre du RGPD, 24 mai 2023, disponible sur
https://www.edpb.europa.eu/system/files/2024-01/edpb guidelines 042022 calculationofadministrativefines fr 0.pdf
43
CEPD - Lignes Directrices 04/2022, paragraphes 15, 20, 69, 84, 144. ; RGPD, considérants 148, 150 ; art. 58.1.i), 83.
Décision quant au fond 102/2026 — 76/105
discrétionnaire de déterminer les mesures correctrices et les sanctions appropriées, et
notamment le pouvoir discrétionnaire d’imposer une amende. Cette compétence découle
spécifiquement des articles 51, 58 et 83 du RGPD, comme l’a confirmé la jurisprudence de la
Cour des marchés dans (notamment) ses arrêts du 19 février 2020, 7 juillet 2021, ou encore du
20 décembre 202344, qui ont mis en lumière l'étendue du pouvoir discrétionnaire de la Chambre
Contentieuse concernant le choix des sanctions et l’ampleur de l’amende.
309. Afin d'infliger dans chaque cas une amende effective, proportionnée et dissuasive, les
autorités de contrôle doivent adapter les amendes administratives au cas d’espèce et peuvent
se baser pour ce faire sur la méthode conçue par le CEPD à cet effet, reprise dans les Lignes
Directrices 04/2022. L'application de la méthodologie reprise dans les Lignes Directrices
04/2022 a été suivie par la Chambre Contentieuse, car elle est recommandée pour garantir la
cohérence de l'application du RGPD au sein de l’Union européenne.
310. Dans le cadre de ce dossier, la Chambre Contentieuse décide d’imposer deux amendes
administratives distinctes car elle considère que, dans les circonstances spécifiques de
l’affaire, ces amendes sont appropriées. Elle rappelle que les amendes administratives peuvent
être imposées même lorsqu’il s’agit de la première constatation d’un manquement45. Ces
amendes administratives n'ont nullement pour but de mettre fin aux violations. A cet effet, le
RGPD et la LCA prévoient plusieurs mesures correctrices, dont les injonctions citées à l'article
100, § 1er, 8° et 9° de la LCA.
311.Pour décider d’imposer deux amendes administratives en plus des autres mesures susvisées,
la Chambre Contentieuse a retenu certains critères en particulier46 . En l’espèce, les amendes
administratives se justifient par le fait que la défenderesse a notamment violé (i) les articles 5 .1
a), 12.1, et 13 du RGPD et l’article 12.2 du RGPD, ainsi que (ii) l’article 28.3 du RGPD, dans le cadre
d’un dossier qui a démontré un problème systémique de conformité au RGPD et de la
négligence de la défenderesse au vu du nombre total de violations constatées dans le dossier
et de leur absence de mise en conformité prolongée (et pour lesquelles la Chambre
Contentieuse a déterminé que chacune d’elles ne devait pas spécialement faire l’objet d’une
amende au contraire des violations faisant spécifiquement l’objet d’une amende). Ces
44
Cour des marchés, 19ème Chambre A, arrêt du 7 juillet 2021, 2021/AR/320 (accessible ici), p. 37-47 ; Cour des marchés,
19ème Chambre A, arrêt du 19 février 2020, 2020/AR/1160, (accessible ici) p. 30-31 ; Cour des marchés, 19ème Chambre A,
arrêt du 20 décembre 2023, 2023/AR/817, (accessible ici) p. 57, 61 et 62.
45
CJUE, 5 décembre 2023, C-807/21, Deutsche Wohnen SE c. Staatsanwaltschaft Berlin (ECLI:EU:C:2023:950), point 38. ; Dans
le même ordre d'idées, la CJUE a récemment confirmé que « les principes, interdictions et obligations énoncés dans le RGPD
s'adressent en particulier aux "responsables du traitement" qui, comme le souligne le considérant 74 du RGPD, sont
responsables de tout traitement de données à caractère personnel effectué par eux ou pour leur compte et qui doivent donc
non seulement mettre en œuvre des mesures appropriées et efficaces, mais aussi être en mesure de démontrer que leurs
activités de traitement sont conformes au RGPD, ce qui inclut l'efficacité des mesures qu'ils ont prises pour assurer cette
conformité. Lorsqu'une violation visée à l'article 83, paragraphes 4 à 6, du présent règlement a été commise, cette
responsabilité constitue la base de l'imposition d'une amende administrative au responsable du traitement conformément à
cet article 83.
46
Cour des marchés, 19ème Chambre A, arrêt du 19 février 2020, 2020/AR/1160, (accessible ici) p. 30-31 ; Lignes directrices
du 3 octobre 2019 précitées.
Décision quant au fond 102/2026 — 77/105
violations présentent une gravité certaine, en raison (i) de la gravité des violations, (ii) du nombre
de personnes concernées affectées, (iii) de la durée des infractions et (iv) de l’effet dissuasif
nécessaire pour prévenir d’autres infractions (en particulier car les citoyens n’ont pas d’autre
choix que de s’adresser au service en question et il y a dès lors lieu que ces acteurs qui ne
connaissent aucune concurrence sur le marché ne peuvent être lésés en raison du fait que
certains clients pourraient choisir de se diriger vers un autre opérateur plus soucieux de leurs
droits). Ces éléments – davantage développés ci-dessous – justifient d’infliger une amende
administrative, plutôt qu’une sanction plus faible telle l’avertissement ou la réprimande,
lesquels ne présentent pas l’effet dissuasif nécessaire pour prévenir de futures violations.
312. Compte tenu du contexte qui ressort d’une telle évaluation, la Chambre Contentieuse a
déterminé qu’une amende administrative constitue la sanction adéquate pour envoyer un
message fort, non seulement à la défenderesse, mais également à l'ensemble des acteurs du
secteur public qui offrent des biens et des services47, en particulier lorsque les clients et
usagers du service n’ont pas la possibilité de changer de fournisseur en cas de
mécontentement. Cette sanction est la preuve que la non-conformité aux exigences du RGPD
entraîne des sanctions sévères lorsque la gravité des violations le justifie, comme en l’espèce.
313. En l’espèce, la défenderesse a commis deux infractions au RGPD pour lesquelles la
Chambre Contentieuse estime que l’imposition d’une amende est justifiée :
- elle a traité et continue de traiter les données personnelles des appelants sans les avoir
suffisamment informés à propos du traitement de leurs données (et ce, notamment
dans le cadre des enregistrements en cause, mais aussi plus généralement), en
violation des articles 5 .1 a), 12.1, et 13 du RGPD, et ne les a ni informés ni mis en position
d’exercer en temps utile d’exercer leur droit d’opposition entre novembre 2018 et le 25
octobre 2022, en violation de l’article 12.2 (« Infractions Transparence/Loyauté ») ; et
- elle n’a pas conclu de contrat de sous-traitance avec Z sur une période qui s’est
prolongée sur presque 5 ans - à savoir, de janvier 2019 jusqu’à décembre 2023, en
violation de l’obligation de conclure un contrat de sous-traitance consacrée dans
l’article 28.3 du RGPD (« Infraction Sous-Traitance ») ;
ces infractions pour lesquelles la Chambre Contentieuse a décidé d’imposer une amende étant
ci-après conjointement appelées pour les besoins de cette section les « Infractions
Constatées »48.
314. En ce qui concerne les Infractions Transparence/Loyauté, la Chambre Contentieuse
considère que la violation des articles 5 .1 a), 12.1, et 13 du RGPD ainsi que de l’article 12.2 du
47
CEPD - Lignes Directrices 04/2022, paragraphe 142.
48
Cette simplification de la qualification en “Infractions Constatées” pour les besoins de cette section ne portent cependant
pas préjudice au fait que d’autres infractions (qui ne font cependant pas l’objet d’une amende) ont également été constatées)
Décision quant au fond 102/2026 — 78/105
RGPD doit être considérée comme tombant sous la qualification de « concours d’infractions ».
En effet, ces articles protègent le même intérêt juridique, puisque leur finalité ultime est de
prévenir la violation d’un intérêt commun, celui du principe de l’obligation d’information vis-à-
vis des personnes concernées pour leur permettre d’exercer leurs droits en temps utile. Il
ressort de l’analyse abstraite de ces dispositions que la violation prépondérante du cas
d’espèce est donc la violation des principes de transparence et de loyauté protégés par l’article
5.1 a) du RGPD. Dans un tel cas de concours d’infractions, le montant de l’amende est calculé
uniquement sur la base de la violation prépondérante, à savoir le montant maximal d’amende
applicable pour une violation de l’un des principes relatifs au traitement des données à
caractère personne repris à l’article 5 du RGPD. A cet égard, la Chambre Contentieuse fait valoir
que tous les articles visés tombaient par ailleurs également sous le champ d’application de
l’article 83.5 du RGPD (et en particulier 83.5, b)) donc sous le seuil le plus élevé pour les
amendes sous le RGPD.
315. Il n’est pas nécessaire de réaliser une analyse similaire pour l’Infraction Sous-Traitance, qui
consiste en la violation d’un seul article et donc d’un comportement unique passible de
sanction. Cependant, la Chambre Contentieuse a également évalué s’il y a lieu d’appliquer
l’article 83.3 du RGPD pour déterminer le montant maximal d’amende applicable pour les
Infractions Constatées
316. Bien que les Infractions Transparence/Loyauté et l’Infraction Sous-Traitance s’inscrivent
dans le même contexte (à savoir, les enregistrements d’appels à des fins de formation du
personnel), ces opérations de traitement sont considérées comme différentes et non-liées car
(i) la violation d’une de ces dispositions peut intervenir indépendamment de l’autre violation et
(ii) il ne s’agit pas d’agissements perpétrés dans une volonté unitaire et étroitement liée sur le
plan contextuel. A contrario, il n’y a aucun lien entre ces deux infractions distinctes, qui n’ont
pour seul lien qu’elles sont intervenues dans le cadre d’un même projet. En effet, faire signer un
contrat de sous-traitance et mettre en place l’information RGPD nécessaire pour les appelants
ne peuvent être considérés comme liés par la même intention.
317. Des amendes distinctes seront donc infligées par la Chambre Contentieuse pour les
Infractions Transparence/Loyauté et l’Infraction Sous-Traitance.
318. Sur cette base, la Chambre Contentieuse a retenu les montants suivants (qui peuvent se
cumuler) comme montants de départ :
a. pour les Infractions Transparence/Loyauté : en application de l’article 83.5 a) du RGPD,
la Chambre Contentieuse peut imposer une amende administrative allant jusqu’à
20.000.000 EUR ou, dans les cas d’une entreprise, jusqu’à 4% de son chiffre d’affaires
annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
Décision quant au fond 102/2026 — 79/105
b. pour l’Infraction Sous-Traitance : en application de l’article 83.4 a) du RGPD, la Chambre
Contentieuse peut imposer une amende administrative allant jusqu’à 10.000.000 EUR
ou, dans les cas d’une entreprise, jusqu’à 2% de son chiffre d’affaires annuel mondial
total de l’exercice précédent, le montant le plus élevé étant retenu.
319. La Chambre Contentieuse a ensuite examiné les facteurs de l’article 83.2.a), b) et g) à la
lumière des circonstances du cas d’espèce et a déterminé, sur la base de cet examen, le degré
de gravité de la violation :
a. En ce qui concerne les Infractions Transparence/Loyauté :
i. Concernant la nature de la violation (critère repris à l’article 83.2.g) du RGPD),
la Chambre Contentieuse fait remarquer que la transparence est l’un des
éléments clés pour assurer que les personnes concernées comprennent
comment leurs données sont utilisées. Dans une situation comme celle des
personnes appelant un call center, la transparence a notamment pour objectifs
de (i) éviter les pratiques opaques (à savoir, pas de traitement caché ou
incompréhensible des données), (ii) renforcer la confiance des appelants qui
savent à quoi s’attendre et peuvent décider en connaissance de cause et (iii)
permettre l’exercice des droits (comme le droit d’opposition). Ne pas informer
les appelants de tous les aspects des traitements, et notamment quant à leur
droit d’opposition avant qu’ils ne soient enregistrés constitue donc une atteinte
fondamentale aux objectifs couverts par le principe de transparence et de
loyauté.
ii. Concernant la gravité de la violation (critère repris à l’article 83.2.a) du RGPD),
la Chambre Contentieuse observe en premier lieu que le nombre
d’enregistrements et de personnes concernées par ces enregistrements est
extrêmement important.
A cet égard, la défenderesse dessert environ 2.500.000 habitants en Wallonie,
à savoir environ 2 sur 3 (pour environ 1.100.000 « vrais » clients) qui auraient pu
faire l’objet des traitements s’ils avaient dû appeler la défenderesse dans le
cadre du service essentiel qu’elle fournit. A cet égard, les Lignes Directrices
04/2022 précisent qu’il y a lieu de tenir compte « du nombre de personnes
concernées concrètement mais aussi le nombre de personnes concernées
potentiellement affectées doivent être pris en considération »49. Le traitement
49
Lignes Directrices 04/2022, p. 22, point (iv): “Le nombre de personnes concernées concrètement mais aussi le nombre de
personnes concernées potentiellement affectées doivent être pris en considération. Plus il y a de personnes concernées, plus
l’autorité de contrôle peut accorder d’importance à ce facteur. Dans de nombreux cas, on peut également estimer que la
violation prend une connotation «systémique» et qu’elle peut de ce fait affecter d’autres personnes concernées qui n’ont
introduit aucune réclamation ou aucun signalement auprès de l’autorité de contrôle, même à des moments différents.
L’autorité de contrôle peut, en fonction des circonstances du cas d’espèce, étudier le rapport entre le nombre de personnes
concernées affectées et le nombre total de personnes concernées dans ce contexte (par exemple, le nombre de citoyens, de
Décision quant au fond 102/2026 — 80/105
est donc important non seulement par rapport au nombre absolu de personnes
concernées, mais également en termes de proportion de la population d’une
région spécifique (67% des Wallons). La défenderesse ne peut être suivie
lorsqu’elle affirme que seuls les 1.100.000 clients effectifs auraient pu appeler.
En effet, au vu de la nature du service, d’autres membres du ménage que le client
repris sur le contrat (p. ex. l’épouse si le nom est au contrat du mari ou si le contrat
est au deux noms) pourraient appeler le call center. La seule correction à faire
selon la Chambre Contentieuse est liée aux personnes desservies incapables
d’appeler elles-mêmes (ex. enfants, personnes âgées, personnes ne s’exprimant
pas en français,…) Le nombre absolu de personnes étant susceptibles d’appeler
(qu’elle soit de 1,1 ou 2,5 millions, ou effectivement moins d’1 million) est par
ailleurs non pertinent ici dès lors que la Chambre Contentieuse estime
généralement que le seuil de gravité le plus important en ce qui concerne le
nombre de personnes touchées est atteint dès lors qu’environ 1.100.000
personnes auraient pu être affectées par le traitement. Au vu du nombre
important d’appels reçus quotidiennement par la SWDE (un collaborateur du
Front Office pouvant à lui seul traiter en moyenne 60 appels par jour) et que
l’infraction a débuté en novembre 2018, il apparait que des centaines de milliers
d’appelants ont pu être affectés par l’Infraction Transparence/Loyauté.
Le raisonnement de la défenderesse repris dans le formulaire de sanction ne
convainc par ailleurs pas : il n’y a pas lieu d’établir le nombre de personnes
effectivement enregistrées pour établir le nombre de personnes « victimes » des
Infractions Transparence/Loyauté. Une telle interprétation est contraire à celle
reprise dans les Lignes Directrices 04/2022 qui prévoient que le nombre de
personnes potentiellement concernées doit être pris en compte et utilisent à cet
égard à titre d’exemple que, dans le cas d’un problème de dossiers médicaux
laissés ouverts à certaines personnes autorisées, il n’y avait pas lieu de
considérer uniquement les 16 occurrences où un dossier avait été effectivement
consulté, mais de considérer que 95.000 dossiers étaient ainsi accessibles pour
en conclure que 95.000 personnes sont potentiellement concernées par la
violation50.
clients ou d’employés), de façon à trancher sur la question de savoir si la violation revêt un caractère systémique.” (l’APD
souligne)
50
Lignes Directrices 04/2022, voy. p. 22, point (iv) (reproduit dans la note de bas de page précédente), ainsi que l’exemple 5b
repris à la page 26: “Une autorité de contrôle a reçu une notification de violation de données à caractère personnel de la part
d’un hôpital. Il ressort de cette notification que plusieurs membres du personnel ont pu consulter des parties de dossiers
médicaux de patients auxquelles ils n’auraient pas dû avoir accès, en raison du service auquel ils sont affectés. L’hôpital avait
œuvré à l’élaboration de procédures pour réglementer l’accès aux dossiers médicaux des patients et avait mis en place des
mesures strictes de restriction d’accès. Ainsi, le personnel d’un service ne pouvait accéder qu’aux informations médicales
utiles pour ce service particulier. Qui plus est, l’hôpital avait investi dans des actions de sensibilisation de son personnel au sujet
de la protection de la vie privée. Toutefois, il s’est avéré qu’il existait certains problèmes concernant le suivi des autorisations.
Les membres du personnel transférés d’un service vers un autre pouvaient toujours accéder aux dossiers médicaux des
Décision quant au fond 102/2026 — 81/105
De plus, cette infraction ne se limite pas au fait que certaines personnes auraient
été enregistrées, mais découle notamment du fait qu’aucun des appelants
n’avait été informé correctement au moins jusqu’à la mise en place du nouveau
message le 25 octobre 2022 (en particulier de leur droit d’opposition). Après
cette date (et encore aujourd’hui), seuls les appelants qui disposent d’un accès à
internet sont mis en position d’obtenir l’information utile sur les traitements
« enregistrements ». Compte tenu de la durée de l’infraction ainsi que du nombre
d’appels quotidiens, il ne fait aucun doute que plusieurs centaines de milliers
d’appelants ont été affectés par le manque de transparence et jusqu’en octobre
2022, l’impossibilité de s’opposer à un enregistrement avant que celui-ci ne
démarre. La Chambre Contentieuse estime donc que la gravité au vu du nombre
de personnes concernées reste entièrement établie.
Les clients n’ayant pas été enregistrés à leur insu, le niveau de dommage avéré
reste cependant relativement modéré, avec pour conséquence des
enregistrements « acceptés » par les appelants qui souhaitaient simplement
appeler le call-center, sans qu’ils ne sachent qu’ils disposaient de la possibilité de
s’y opposer. Ce constat n’est en rien énervé par les améliorations décrites par la
défenderesse à l’appui de sa thèse selon laquelle le niveau de dommage n’aurait
pas été correctement évalué : comme la Chambre Contentieuse l’a noté, les
améliorations apportées ne permettent toujours pas, plus de 7 ans après le début
des enregistrements en novembre 2018 de s’assurer que tous les appelants ont
été correctement informés et peuvent en effet avoir accès à l’information.
En ce qui concerne les traitements, la Chambre Contentieuse considère que bien
que la plupart des enregistrements font uniquement l’objet d’échanges
basiques, elle ne peut pas exclure, comme l’a identifié le Service d’Inspection
dans le Rapport d’Enquête, que certains clients doivent donner des informations
plus personnelles ou financières lors de ces calls (notamment par rapport à leur
situation ou tout simplement des informations simples mais cependant plus
« délicates » comme un numéro de compte) et/ou sont simplement mal à l’aise du
fait d’être enregistrés et ensuite écoutés. En outre, la Chambre Contentieuse
souligne que le service offert par la SWDE est « tous publics » et qu’elle peut dans
patients de leur «ancien» service et l’hôpital n’avait aucune procédure établie permettant d’actualiser les autorisations en
fonction des nouveaux postes occupés par les membres du personnel. Une enquête interne menée par l’hôpital a révélé qu’au
moins 150 membres du personnel (sur 3 500) disposaient d’autorisations erronées, affectant au moins 20 000 des 95 000
dossiers médicaux de patients. L’hôpital a pu démontrer qu’à 16 reprises au moins, des membres du personnel avaient utilisé
leurs autorisations pour consulter des dossiers médicaux de patients. L’autorité de contrôle considère qu’il y a eu violation de
l’article 32 du RGPD. Pour évaluer la gravité du cas d’espèce, l’autorité de contrôle a tout d’abord noté qu’une violation de
l’article 32 du RGPD figure parmi les violations de l’article 83, paragraphe 4, du RGPD, et qu’elle tombe donc sous le coup du
niveau inférieur de l’article 83 du RGPD. Ensuite, l’autorité de contrôle a apprécié les circonstances du cas d’espèce. À cet
égard, l’autorité de contrôle a estimé que, même si le nombre de personnes concernées affectées par la violation n’était que
de 16, ce nombre aurait pu être porté à 20 000 dans les circonstances du cas d’espèce et même à 95 000, compte tenu de la
nature systémique du problème.” (l’APD souligne)
Décision quant au fond 102/2026 — 82/105
ce cadre traiter des appels provenant de personnes vulnérables (personnes
âgées, personnes en situation de maladie ou handicap, public qui ne maitrise pas
correctement la langue française, etc.), qui auront aussi plus tendance à appeler
le call center plutôt que d’utiliser les outils en ligne de la défenderesse pour régler
leur problème. Contrairement à ce qu’affirme la défenderesse dans la réaction
au formulaire de sanction, la Chambre Contentieuse ne considère pas que la
défenderesse traitait des informations sensibles : elle a simplement décrit les
informations susceptibles d’être partagées, sans que ce critère ne soit
déterminant pour l’appréciation de la sanction (ce critère étant neutre en
l’occurrence car il ne concerne ni des données qui ne peuvent qu’être
strictement basiques, ni des catégories spéciales de données), de sorte que
cette circonstance n’est pas pertinente pour l’appréciation (à la hausse ou à la
baisse) du montant de l’amende.
iii. Concernant la durée de la violation (critère repris à l’article 83.2.a) du RGPD), la
Chambre Contentieuse fait remarquer que la violation s’étend sur plusieurs
années. Entre le 13 novembre 2018 et le 25 octobre 2022, l’information donnée
lors des appels était gravement lacunaire. Depuis le 25 octobre 2022, cette
information a certes été améliorée, mais reste non conforme au RGPD jusqu’à
présent. La violation s’étend donc sur plus de 7 ans (entre novembre 2018 et mai
2026), malgré des améliorations. Il ne s’agit donc pas d’une violation qui ne peut
pas simplement se justifier par des contraintes techniques ou opérationnelles
qui auraient nécessité une période d’adaptation des processus. A cet égard, la
Chambre Contentieuse note que l’argumentation de la défenderesse repose sur
le fait qu’elle avait bien une contrainte technique réelle avant la mise en place de
l’outil Y, dès lors que la solution de téléphonie en place à l’époque a choisi de
commencer les enregistrements avant la mise en place du logiciel Y qui
permettait aux appelants de s’opposer aux enregistrements. A cet égard, la
défenderesse affirme dans sa réponse au formulaire de sanction que :
« Avant la mise en place de l’outil Y, la solution de téléphonie utilisée par la
SWDE (…) ne permettait pas d’intégrer une fonctionnalité permettant à
l’appelant de refuser l’enregistrement de manière automatisée en amont
de la communication. Cette limitation n’était pas imputable à un manque de
diligence de la SWDE, mais bien aux capacités techniques de l’outil en place.
Consciente de cette limitation, la SWDE n’est pas restée inactive. Elle a,
dès septembre 2021, entrepris des démarches auprès de son prestataire
afin d’identifier des solutions permettant d’offrir aux appelants une
opposition de la manière la plus simple possible. Il est toutefois apparu
Décision quant au fond 102/2026 — 83/105
qu’une telle fonctionnalité ne pouvait être implémentée qu’à la condition
préalable de procéder à une migration technique de la solution existante.
La SWDE a dès lors engagé ce processus de migration, lequel impliquait
nécessairement :
▪ des développements techniques,
▪ des tests de stabilité,
▪ et une mise à niveau globale de l’infrastructure de téléphonie.
Une fois cette migration réalisée, la SWDE a relancé, en juillet 2022,
l’implémentation de la solution Y, laquelle a été effectivement déployée le
25 octobre 2022. » (la Chambre Contentieuse souligne)
La Chambre Contentieuse note les éléments suivants à cet égard et les a
réconciliés avec les éléments infractionnels constatés :
▪ la SWDE disposait d’un outil qui ne permettait pas de mettre en place
un système qui permettait aux appelants de s’opposer à
l’enregistrement (et reconnait avoir été consciente des limites du
logiciel), mais a cependant poursuivi dans son projet d’enregistrement.
La défenderesse n’explique cependant pas quelles étaient les
contraintes lui imposant de lancer les enregistrements plutôt que
d’attendre d’avoir mis en place un logiciel permettant le refus des
enregistrements au préalable et donc conforme au RGPD ;
▪ nonobstant ce qui précède, la Chambre Contentieuse note que la
défenderesse aurait pu prendre de simples mesures permettant
d’améliorer fortement sa conformité au RGPD avant de changer de
logiciel. Il lui aurait notamment suffi d’adapter le message préenregistré
pour prévenir les appelants qu’ils pouvaient informer l’opérateur s’ils ne
souhaitaient pas être enregistrés. Cette simple mesure aurait permis
aux appelants d’être informés de leur droit d’opposition et de pouvoir
l’exercer très rapidement dans la conversation. La défenderesse a
cependant négligé de le faire.
▪ Les enregistrements ont débuté en novembre 2018 et la SWDE, alors
qu’elle était « consciente des limites du logiciel », considère ne pas être
restée inactive alors qu’elle a commencé à entreprendre les démarches
pour mettre fin à cette non-conformité en septembre 2021, soit
presque 3 ans après le début des enregistrements en novembre 2018.
Rien ne justifie cependant un tel délai pour décider de prendre les
Décision quant au fond 102/2026 — 84/105
mesures nécessaires pour remédier à une non-conformité connue,
laquelle n’a été qu’effectivement corrigée en octobre 2022.
▪ la défenderesse reconnait ici explicitement avoir été « consciente des
limites du logiciel », ce qui signifie donc qu’elle avait conscience de
l’infraction, mais a quand même choisi de débuter et poursuivre les
enregistrements.
iv. Concernant le caractère intentionnel ou négligent des violations (critère repris
à l’article 83.2.b) du RGPD) : selon la Chambre Contentieuse, il n'y a pas
d'intention - manifeste - dans le chef de la défenderesse d'enfreindre
délibérément ses obligations de transparence vis-à-vis de ses clients, mais
l’élément moral de l’infraction est cependant établi en vertu des critères issus de
la jurisprudence de la CJUE51. La négligence requiert un élément de conscience,
mais pas un élément de volonté. Cet élément de conscience est rempli lorsque
le destinataire d’une disposition ne pouvait pas ignorer le caractère infractionnel
de son comportement, qu’il ait ou non conscience de violer certaines
dispositions du RGPD. Dès lors, le facteur décisif est de savoir si le destinataire
d’une disposition était en mesure de savoir que son comportement était illégal,
et non s’il en avait effectivement conscience. Il est attendu du responsable de
traitement qu’il s’informe et se familiarise avec le droit et les obligations qui lui
sont applicables, dans le cadre de son devoir de diligence. A cet égard, l’article 13
du RGPD est extrêmement clair et précise quelle information doit être donnée
(notamment les droits) et à quel moment elle doit être donnée (“au moment où
les données sont obtenues”52). Par ailleurs, l’obligation de transparence fait
l’objet de Lignes Directrices Transparence, qui clarifient le contenu de cette
obligation.
Dès lors que la SWDE pouvait facilement déterminer qu’elle n’informait pas les
appelants de manière conforme au RGPD, la Chambre Contentieuse considère
que (i) le fait de ne donner aucune information autre que “Dans le cadre de
l’amélioration de nos services, cet appel peut être enregistré” et (ii)) le fait de ne
mettre aucun mécanisme en place pour informer les appelants de s’opposer à
l’enregistrement témoignent d’une négligence par rapport à l’application des
règles applicables, en particulier car la défenderesse reconnait elle-même avoir
été consciente des limites du logiciel (mais a choisi de démarrer et poursuivre
les enregistrements sur une période étendue).
51
Voir l'arrêt C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, point 78.
Comme expliqué dans la section relative à l’information des appelants, la défenderesse n’avait pas pris suffisamment de
52
mesures pour s’assurer que tous les appelants avaient reçu une information avant leur premier contact avec la SWDE.
Décision quant au fond 102/2026 — 85/105
v. Concernant les catégories de données à caractère personnel concernées par
les violations (critère repris à l’article 83.2.g) du RGPD), comme décrit plus
haut, bien que les données à caractère personnel partagées par les appelants ne
sont en règle générale pas de nature sensible ou particulière, la Chambre
Contentieuse a déjà estimé qu'elles appartiennent néanmoins à des catégories
de données à caractère personnel dont les personnes concernées pourraient ne
pas souhaiter qu’elles soient enregistrées (et réécoutées), notamment des
informations bancaires et/ou des informations plus personnelles sur la situation
financière (p.ex. perte d’emploi ou maladie de longue durée qui justifie un défaut
de paiement) ou familiale de l’appelant (p.ex. changement d’adresse suite à un
divorce, coupure du compteur suite à un décès…). Cette catégorie est donc
considérée comme neutre, car il n’y a pas lieu de prendre en compte le fait que le
traitement porte en règle générale sur des catégories spéciales de données. La
critique de la défenderesse selon laquelle le type de données traitées a été pris
en considération deux fois est par ailleurs non avenue, en particulier car ce
critère a été considéré (les deux fois) comme n’influant pas sur la sanction au vu
des données traitées lors des appels.
vi. À la lumière des éléments exposés ci-avant, la Chambre Contentieuse conclut
que la violation constatée est de gravité moyenne. Pour cette catégorie de
gravité, le CEPD fixe un montant de départ compris entre 10% à 20% du montant
maximum légal prévu à l’article 83. 5 du RGPD. En conclusion, en ce qui
concerne les Infractions Transparence/Loyauté, la Chambre Contentieuse
fixera le montant de départ pour le calcul ultérieur entre 10% à 20% du
montant maximal légal qui est repris à l'article 83.5 du RGPD.
b. En ce qui concerne l’Infraction Sous-Traitance :
i. Concernant la nature de la violation (critère repris à l’article 83.2.g) du RGPD),
la Chambre Contentieuse note que le but de l’article 28.3 du RGPD est que les
personnes restent protégées même lorsque leurs données sont traitées par un
prestataire externe et notamment d’assurer (i) la confidentialité (empêcher tout
accès non autorisé aux données personnelles), (ii) l'intégrité et la sécurité
(protéger les données contre la perte, l’altération ou la divulgation), (iii) la
transparence et le contrôle (permettre aux personnes concernées d’exercer
leurs droits (accès, rectification, effacement, limitation du traitement,
portabilité)) et (iv) la responsabilisation (s’assurer que tout traitement par le sous-
traitant est conforme à la finalité et aux instructions du responsable de
traitement). Dans ce cadre, cette absence de contrat peut être considérée
comme présentant un certain risque pour les personnes concernées. En l’espèce
Décision quant au fond 102/2026 — 86/105
cependant, il apparait que Z est un prestataire également soumis au RGPD et que
de ce fait, ce dernier était plus à même d’être au courant des principes de
traitement, rendant ainsi les possibilités de violations graves moins probables.
Les données n’ont par ailleurs jamais quitté l’Union européenne, ce qui réduit
encore les risques potentiels.
ii. Concernant la gravité de la violation (critère repris à l’article 83.2.a) du RGPD),
la Chambre Contentieuse renvoie premièrement à ses constatations reprises
pour les Infractions Transparence/Loyauté en ce qui concerne les appelants. En
ce qui concerne les employés enregistrés, la Chambre Contentieuse note que
bien que les données soient de nature strictement professionnelles, l’outil est
utilisé par les chefs d’équipe pour évaluer les collaborateurs concernés, ce qui
peut rendre le traitement plus invasif. Aussi, dans ce cadre, les employés doivent
être considérés comme des personnes vulnérables. Ce constat n’est pas énervé
par le fait que le prédécesseur de l’APD (à savoir, la Commission de la Protection
de la Vie Privée) a rendu un avis (avis 18/2013 du 5 juin 2013) qui précise qu’un
système permet l’enregistrement des conversations entre ses employés et ses
clients n’est pas incompatible avec la loi, pour autant que ce système n’aboutisse
à sanctionner les travailleurs. Cependant, rien dans cet avis n’indique que les
employés ne seraient pas des personnes concernées vulnérables ou que le
traitement n’est pas invasif. Au contraire, c’est précisément car le système ne
permettait pas de sanctionner (ou récompenser) des travailleurs sur la base des
enregistrements et qu’il était limité à leur offrir un coaching que ce système a été
considéré comme ne violant pas les règles applicables à la surveillance des
travailleurs. Il en va de même pour la circonstance que les écoutes auraient été
limitées à certains agents et proportionnées : aucune de ces circonstances
n’explique ou ne justifie que le contrat article 28 du RGPD n’a pas été signé. En
effet, dès lors que les enregistrements ont été réalisés par l’intermédiaire d’un
sous-traitant, peu importe le nombre de traitements ou le nombre de personnes
concernées, il fallait un contrat de sous-traitance. A cet égard, la Chambre
Contentieuse note que si les traitements n’avaient pas été proportionnés
(notamment s’ils pouvaient conduire à des sanctions des employés plutôt qu’à
un simple coaching) ou réalisés en dehors du call center, il n’en est pas moins
qu’ils ont cependant été enregistrés, ces circonstances n’étant pas pertinentes
dans le cadre de l’appréciation de l’Infraction Sous-Traitance : ces constats
auraient fait l’objet de chefs d’infractions différents.
iii. Concernant la durée de la violation (critère repris à l’article 83.2.a) du RGPD), la
Chambre Contentieuse constate que la violation s’étend entre au moins le 10
janvier 2019 et décembre 2023 (date à laquelle la défenderesse a indiqué dans
Décision quant au fond 102/2026 — 87/105
ses conclusions que le contrat avait été effectivement signé). Il ne s’agit donc
pas d’une violation qui ne peut pas simplement se justifier par des contraintes
techniques ou opérationnelles qui auraient nécessité une période d’adaptation
des processus, d’autant plus que les clauses art. 28 RGPD, dont le contenu est
défini dans le RGPD, doivent être considérées comme des clauses standards au
sein d’une organisation aussi importante que la SWDE, en particulier lorsqu’ils
sont négociés avec un sous-traitant établi dans l’Union européenne et
également soumis au RGPD. S’il s’agit d’un manque de coordination
administrative comme l’affirme la SWDE, il n’en est pas moins que cette dernière
a été trop longue que pour être considérée comme un simple oubli acceptable
ou justifié par des contraintes impérieuses. La Chambre Contentieuse ne peut
suivre le raisonnement de la SWDE selon lequel elle ne serait pas restée passive
dans ce cadre : au contraire, elle estime qu’aucune raison objective (autre que la
passivité et la nonchalance de la défenderesse) ne peut justifier qu’un contrat ne
soit pas finalisé et signé pendant une période de près de 5 ans. Bien que la
Chambre Contentieuse puisse reconnaitre la nécessité de processus internes de
validation et de coordination entre parties contractantes et la possible nécessité
d’adapter les processus internes et admettre une certaine tolérance à cet égard,
il n’en reste pas moins que les clauses « RGPD » article 28 n’ont pas été finalisées
et signées pendant presque 5 ans en l’espèce.
iv. Concernant le caractère intentionnel ou négligent des violations (critère repris
à l’article 83.2.b) du RGPD), selon la Chambre Contentieuse, il n'y a pas
d'intention - manifeste - dans le chef de la défenderesse d'enfreindre
délibérément son obligation de conclure un contrat de sous-traitance avec Z,
mais l’élément moral de l’infraction est cependant établi en vertu des critères
issus de la jurisprudence de la CJUE53. La Chambre Contentieuse renvoie à cet
égard aux explications relatives à la négligence développées dans le cadre des
Infractions Transparence/Loyauté. A cet égard, l’article 28.3 du RGPD est
extrêmement clair quant au contenu de l’obligation qu’il comporte : il est
nécessaire que les parties soient liées par un contrat ou un autre acte juridique
qui définit les obligations des parties. En l’espèce, le contrat n’ayant pas été
signé, le sous-traitant ne peut pas être considéré comme étant lié par les
obligations d’un simple template n’ayant jamais fait l’objet d’un accord signé. Dès
lors que l’étendue des obligations pouvait être facilement déterminée (et
comprise), en particulier car elle faisait notamment l’objet d’un point spécifique
dans les Lignes Directrices 07/2020 (dont la version finale a été publiée le 7
53
Voir l'arrêt C-807/21, Deutsche Wohnen, ECLI:EU:C:2023:950, point 78.
Décision quant au fond 102/2026 — 88/105
juillet 2021, soit plus de 2 ans avant la signature effective des clauses RGPD par
la SWDE et Z), la Chambre Contentieuse considère que cet absence de contrat
signé entre les parties pour répondre aux obligations de l’article 28.3 témoigne
d’une négligence par rapport à l’application de cette règle. La circonstance que
l’existence de Z était mentionnée dans l’AIPD Ecoutes Téléphoniques n’est à cet
égard non pertinente : le but d’un contrat est de régler les responsabilités et les
tâches de chaque partie, en l’occurrence pour s’assurer de la conformité RGPD.
En l’absence d’un contrat signé, la SWDE ne disposait pas de document lui
permettant d’agir contre son sous-traitant et de s’assurer qu’il respectait ses
obligations RGPD, la SWDE ne pouvant certainement pas se baser en justice sur
une AIPD pour ce faire.
v. Concernant les catégories de données à caractère personnel concernées par
les violations (critère repris à l’article 83.2.g) du RGPD) :
i. En ce qui concerne les appelants, la Chambre Contentieuse renvoie aux
constatations faites dans le cadre des Infractions Transparence/Loyauté,
également applicables à l’Infraction Sous-Traitance.
ii. En ce qui concerne les employés enregistrés, les données traitées se
limitent à des données purement et strictement professionnelles.
iii. Elle estime qu’au vu de la nature des données traitées, il n’y a pas lieu d’en
tirer un critère qui justifierait que l’infraction ne soit pas qualifiée de gravité
faible.
vi. À la lumière des éléments exposés ci-avant, la Chambre Contentieuse conclut
que la violation constatée est de gravité faible. Pour cette catégorie de gravité,
le CEPD fixe un montant de départ compris entre 0% à 10% du montant
maximum légal prévu à l’article 83.4 du RGPD. En conclusion, la Chambre
Contentieuse fixera le montant de départ pour le calcul ultérieur entre 0% à 10%
du montant maximal légal qui est repris à l'article 83.4 du RGPD.
320. Afin de connaître le montant maximal applicable, la Chambre Contentieuse a tenu compte
du chiffre d’affaires de la défenderesse. Les comptes annuels ont été consultés le 24 mars
2026 sur le site web de la Banque Nationale de Belgique (« BNB »). En l’espèce, bien que l’année
de référence soit 2025, le bilan n’étant pas encore disponible pour l’exercice 2025 (étant
généralement déposé en juin/juillet de l’année qui suit l’exercice), le seul élément objectif et
vérifiable à disposition de la Chambre Contentieuse est le chiffre d’affaires pour l’exercice
2024. En l’absence de données plus récentes, la Chambre Contentieuse retient ce chiffre
d’affaires comme base pour son calcul. Dans le cas d’espèce, il apparaît des comptes annuels
Décision quant au fond 102/2026 — 89/105
de la SWDE tels que déposés auprès de la BNB le 27 juin 202554que le chiffre d’affaires de
l’entreprise est établi à EUR 568.128.807 pour l’année 2024. Compte tenu du fait que le chiffre
d’affaires de la défenderesse est resté stable au cours des années précédentes, la Chambre
Contentieuse estime que le chiffre d’affaires de l’exercice 2024 peut être pris en considération.
Elle note également que compte tenu du chiffre d’affaires de ces dernières années qui est resté
relativement stable et autour de EUR 550.000.000, la défenderesse reste de toute façon dans
la même catégorie d’entreprises selon les classifications pas chiffre d’affaires effectuées par
le CEPD (à savoir, entreprises avec un chiffre d’affaires de plus de EUR 500.000.000).
321. La défenderesse indique dans sa réponse au formulaire de sanction que le critère du chiffre
d’affaires pour une autorité publique serait inadéquat et que la Chambre Contentieuse aurait
dû dès lors se baser sur les montants forfaitaires prévus aux articles 83.4 et 83.5 du RGPD. La
Chambre Contentieuse ne partage cependant cette analyse. A cet égard, elle note que les
Lignes Directrices 04/2022 prévoient qu’elles s’appliquent « au calcul de l’amende à infliger aux
autorités et organismes publics, à l’exception du chapitre 4.3. Les autorités de contrôle ont
néanmoins toute latitude pour appliquer une méthode analogue à celle décrite dans ledit
chapitre. En outre, le chapitre 6 ne s’applique pas au calcul de l’amende à infliger aux autorités
et organismes publics lorsque le droit national prévoit des montants maximaux légaux
différents et que l’autorité ou l’organisme public visé n’agit pas en tant qu’entreprise au sens du
chapitre 6.2.1. ». Sur cette base, elle estime que la SWDE étant une « entreprise publique
autonome » (avec un chiffre d’affaires), il y a lieu de lui appliquer les mêmes règles que celles qui
s’appliquent aux entreprises, malgré sa qualité d’autorité publique. La Chambre Contentieuse
note également que, même si ce n’est pas le cas pour la SWDE, d’autres entreprises publiques
(ou autorités offrant des biens et services) pourraient quant à elles bénéficier de ces régimes
accordant des réductions des montants maximaux en fonction de leur chiffre d’affaires. Dès
lors, décider sur la base de la situation de la SWDE (en tant qu’acteur spécifique desservant en
eau 2/3 de la population wallonne, au contraire des autres distributeurs d’eau en Wallonie qui
ont des chiffres d’affaires bien plus modestes) de ne pas prendre en compte le chiffre d’affaires
(car il s’agit d’une autorité publique) pourrait être préjudiciable à d’autres entités publiques qui
atteignent des seuils moindres qui leur permettent de bénéficier des réductions ancrées dans
les Lignes Directrices 04/2022.
322. Dans le cadre du formulaire de sanction, la Chambre Contentieuse avait également tenu
compte d’une circonstance propre à la situation de la défenderesse, afin d’assurer un
traitement équitable à la défenderesse. En effet, la défenderesse effectue également des
tâches liées à l’exercice d’une prérogative de puissance publique et ne devrait pas être mise
dans une position moins favorable par rapport aux autres autorités publiques qui ne font
qu’exercer une prérogative de puissance publique (et qui bénéficient dès lors d’une exemption
54
Disponible via https://consult.cbso.nbb.be/consult-enterprise/0230132005
Décision quant au fond 102/2026 — 90/105
totale d’amende en vertu de l’article 221 §2 de la LTD car elles n’offrent jamais de biens et de
services sur un marché). En effet, le call center de la défenderesse est (probablement)
également utilisé pour des appels liés à sa mission d’établir, percevoir, recouvrir, exempter et
restituer la taxe sur le déversement des eaux usées industrielles et domestiques, pour
lesquelles elle exerce purement une prérogative de puissance publique et n’offre aucun bien
ou service sur un marché et pour lesquels les traitements auraient pu bénéficier de l’exemption
d’amende. En l’absence de données à cet égard, la Chambre Contentieuse avait fixé en équité
un pourcentage de 30% des appels relatifs aux questions liées aux taxes, et avait invité
spécifiquement la défenderesse à fournir des informations supplémentaires pour lui permettre
d’adapter ce chiffre, ce qu’elle n’a pas fait (et a par ailleurs continué à appliquer cette réduction
de 30%). En l’absence de précisions supplémentaires de la part de la défenderesse, la Chambre
Contentieuse avait donc proposé d’imposer une amende qui équivaut à 70% du montant qu’elle
aurait imposé si la défenderesse n’effectuait aucun traitement en lien avec une activité pour
laquelle elle aurait pu bénéficier de l’exemption d’amende administrative
323. A la suite d’une seconde analyse, la Chambre Contentieuse estime cependant que la
défenderesse n’a cependant pas soulevé un élément crucial pour son analyse : la SWDE
dispose d’un chiffre d’affaires « hors assainissement », qui est précisément le chiffre d’affaires
hors taxes collectées pour le compte de et reversées à d’autres organismes comme la Société
Publique de la Gestion de l’Eau. En effet, la SWDE présente un chiffre d'affaires "hors
assainissement" pour distinguer clairement ses revenus propres, issus de la distribution d'eau
potable, de ceux qu'elle perçoit pour le compte de tiers concernant l'égouttage et l’épuration
des eaux usées, qui est une mission distincte souvent gérée par d’autres organismes (comme
la SPGE ou des intercommunales) bien que facturée via la SWDE. Le chiffre d’affaires lié aux
activités pour lesquelles la SWDE est susceptible de se voir imposer une amende liée aux
activités liées à la production et distribution d’eau devrait donc être le chiffre d’affaires hors
assainissement (soit EUR 345.575.000 selon les montants arrondis dans le rapport financier
2024 de la SWDE55, la Chambre Contentieuse estimant que ce montant reste valable pour la
base de calcul en 2025 pour les mêmes raisons que celles exposées ci-dessus pour la prise en
compte du chiffres d’affaires tel que repris à la BNB) et hors activités d’analyse ponctuelles
de l’eau (soit EUR 114.766 en 2024 selon les conclusions de la défenderesse), pour lequel un
autre call center que celui dans lequel les traitements litigieux ont eu lieu doit être appelé et qui
n’a pas fait l’objet de l’enquête (et pour lesquels il n’y a eu aucun constat de violation). La part
de son chiffre d’affaires liée des seules tâches pour lesquelles elle peut faire l’objet d’une
amende est dès lors connu et s’élève donc à environ 40% du chiffre d’affaires total (plutôt que
les 30% initialement prévus par la Chambre Contentieuse et acceptés par la défenderesse). Sur
la base de ce qui précède, le chiffre d’affaires pris en compte pour l’établissement de l’amende
55
Disponible sur https://www.swde.be/sites/default/files/2025-05/swde rapport financier 2024 bat.pdf et consulté le 24
avril 2026.
Décision quant au fond 102/2026 — 91/105
s’élève à EUR 345.460.234. Selon les Lignes Directrices 04/2022, s’agissant d’une entreprise
dont le chiffre d’affaires est compris entre EUR 250.000.000 et EUR 500.000.0000 la
Chambre Contentieuse peut donc procéder aux calculs sur la base d’une somme comprise
entre 40% et 100% du montant maximal de départ fixé, en raison de la prise en compte d’un
chiffre d’affaires tel que révisé. Si la Chambre Contentieuse avait dû suivre le raisonnement à
titre principal de la défenderesse selon lequel le chiffre d’affaires est inadéquat pour les
autorités publiques car cette dernière n’avait pas elle-même relevé que le chiffre d’affaires
devait être réduit de la partie assainissement (qui ne prend donc pas en compte les taxes
devant être versées à d’autres organismes), la Chambre Contentieuse note que la
défenderesse n’aurait pas pu profiter de cette réduction institutionalisée par le CEPD (qui peut
s’élever à 60% du montant)56.
324. En application de l’article 83.2 du RGPD, la Chambre Contentieuse n’a retenu aucune
circonstance aggravante et a retenu les circonstances atténuantes suivantes :
a. Article 83.2.c) du RGPD – Mesures prises pour atténuer le dommage : la défenderesse
a pris des mesures destinées à remédier aux Infractions Constatées en cours d’enquête,
avant même la fin de cette dernière et l’ouverture de la procédure au fond devant la
Chambre Contentieuse, ce qui a permis d’éviter des dommages futurs, sans impact
toutefois sur les violations déjà consommées. Elle note cependant que les Infractions
Transparence/Loyauté n’a pas encore fait l’objet d’une mise en conformité complète. Ce
facteur a toutefois été retenu pour diminuer de manière significative les amendes que la
Chambre Contentieuse impose à la défenderesse.
b. Article 83.2.d) du RGPD - Degré de responsabilité de la défenderesse: la défenderesse
a pris des mesures destinées à remédier aux Infractions Constatées au cours de
l’enquête, avant même la fin de cette dernière et l’ouverture de la procédure au fond
devant la Chambre Contentieuse, sans toutefois entièrement remédier à l’Infraction
Loyauté/Transparence. Ce facteur a été également retenu pour diminuer de manière
significative les amendes que la Chambre Contentieuse impose à la défenderesse.
c. Article 83.2.f) du RGPD - Degré de coopération établi avec l'autorité de contrôle en
vue de remédier à la violation et d'en atténuer les éventuels effets négatifs : à
nouveau, la Chambre Contentieuse constate que la défenderesse a pris les mesures
nécessaires destinées à remédier aux Infractions Constatées avant l’ouverture de la
procédure au fond devant la Chambre Contentieuse. Ce facteur a été retenu pour
56
La Chambre Contentieuse note toutefois que dans le cadre du formulaire de sanction, la défenderesse avait bénéficié de
réductions supplémentaires qui ne seront plus appliquées une seconde fois : (i) réduction de 30% pour prendre en compte les
activités pour les lesquelles la SWDE pouvait bénéficier d’une exemption (portée à 39,15% sur la base du chiffre d’affaires
recalculé) et (ii) réduction de 50% pour prendre en compte le fait qu’en ayant plus de EUR 500.000.000 de chiffres d’affaires,
la défenderesse n’avait pu bénéficier d’aucune correction liée à l’importance de son chiffre d’affaires (portée maintenant à
60%). La Chambre Contentieuse note cependant que la nouvelle façon de calculer les réductions d’amende sont plus
favorables dans la décision que dans le formulaire de sanction. De telle sorte, il n’y a pas lieu d’appliquer de façon absolue un
pourcentage de 13,2% au chiffre d’affaires révisé comme le prétend pourtant la défenderesse dans sa réaction au formulaire
de sanction.
Décision quant au fond 102/2026 — 92/105
diminuer de manière significative les amendes que la Chambre Contentieuse impose à
la défenderesse.
d. Article 83.2.k) du RGPD - Toute autre circonstance aggravante ou atténuante : la
Chambre Contentieuse constate que la défenderesse n’a tiré aucun bénéfice
économique (ou évité une perte financière) dans la cadre des Infractions Constatées. Elle
note également que plus globalement, la défenderesse a travaillé à sa conformité RGPD
au cours de l’enquête, non seulement pour les Infractions Constatées mais aussi les
autres violations constatées par la Chambre Contentieuse dans le cadre du dossier. Bien
qu’il y ait eu négligence, la Chambre Contentieuse note cependant la bonne foi et la
bonne volonté de la défenderesse au cours de l’enquête pour se remédier aux
manquements identifiés lors de l’enquête. Tous ces éléments sont de nature à justifier
d’une minoration de l’amende.
325. Dans le cadre du formulaire de sanction, la Chambre Contentieuse n’avait retenu aucune
circonstance aggravante en application des Lignes Directrices 04/2022 et en avait conclu
qu'aucune autre circonstance n'est pertinente au point de devoir être prise en compte en tant
que circonstance aggravante ou atténuante57.
57 Les autres critères repris à l’article 83.2 du RGPD ne sont pas applicables dans le cadre de ce dossier, à savoir:
- Violations précédentes pertinentes (art. 83.2.e) du RGPD) et respect des mesures correctives antérieures (art. 83.2.i) du
RGPD) : ces deux critères sont non-applicables dans ce dossier, la défenderesse n’ayant jamais fait l’objet d’une décision de la
Chambre Contentieuse. A cet égard, la Chambre Contention rappelle que les Lignes Directrices 04/2022 prévoient en leur
paragraphe 94 que « L’existence de violations commises précédemment peut être considérée comme un facteur aggravant
dans le cadre du calcul de l’amende. L’importance accordée à ce facteur doit être déterminée selon la nature et la fréquence
des violations antérieures. L’absence de violations commises précédemment ne saurait toutefois être considérée comme un
facteur atténuant, étant donné que le respect du RGPD est la norme. Si aucune violation n’a été commise précédemment, ce
facteur peut être réputé neutre » (la Chambre Contentieuse souligne). Dès lors, la défenderesse ne peut être suivie lorsqu’elle
affirme que l’absence de violations précédentes constitue un élément particulièrement significatif qui doit être apprécié dans
la sanction. Cet élément n’est en fait apprécié qu’en ce qu’il ne caractérise pas une situation de récidive qui justifie que la
sanction soit plus élevée, le respect du RGPD étant la norme à laquelle toutes les entreprises sont soumises.
- Manière dont l’autorité de contrôle a eu connaissance de la violation (art. 83.2.h) du RGPD) : le dossier ayant débuté par une
plainte suivie d’une enquête, ce critère est neutre. A cet égard, la Chambre Contention rappelle que les Lignes Directrices
04/2022 prévoient en leur paragraphe 99 que « Lorsque l’autorité de contrôle a pris connaissance de la violation, par exemple
à la suite d’une plainte ou au cours d’une enquête, cet élément devrait également, en règle générale, être considéré comme
un facteur neutre. L’autorité de contrôle peut estimer qu’il s’agit d’une circonstance atténuante si le responsable du traitement
ou le sous-traitant a notifié la violation de sa propre initiative, avant que l’autorité de contrôle n’en prenne connaissance » (la
Chambre Contentieuse souligne). Il n’y a dès lors pas lieu de considérer une quelconque circonstance atténuante ou
aggravante à cet égard.
- Application de codes de conduite ou de certifications approuvés (art. 83.2.j) du RGPD) : ce critère est non-applicable dans ce
dossier, la défenderesse n’étant pas soumise à des codes de conduite ou mécanismes de certification et n’a pas vocation à
considérer une circonstance atténuante. La situation de la défenderesse est différente de celle de l’établissement hospitalier
qui a fait l’objet de la décision de la Cour des marchés 2025/AR/74 : en effet, dans l’affaire en question, il s’agissait d’établir si
un hôpital avait mis en place des mesures de sécurité suffisantes, ce qui peut être une évaluation difficile en raison de la
terminologie large de l’article 32 du RGPD et de l’absence de mesures concrètes reprises dans cet article. Cependant ici, la
Chambre Contentieuse qu’il s’agissait d’obligations de résultat, dont la plupart était non sujettes à interprétation (p.ex. informer
les appelants et en particulier de leur droit d’opposition ainsi que de mettre en place un contrat avec le sous-traitant, qui étaient
des obligations reprises mot pour mot dans le RGPD). Aussi la Chambre Contentieuse constate qu’il existe des lignes
directrices du CEPD qui auraient pu éclairer la défenderesse sur l’étendue de ces obligations à cet égard : (i) les Lignes
Directrices Transparence qui précèdent le début des enregistrements, ainsi que (ii)Lignes Directrices 07/2020, dont la
première version date de 2020 et la version finale de juillet 2021. Au contraire de l’établissement hospitalier, elle disposait donc
de recommandations officielles lui permettant de s’éclairer sur le contenu de ses obligations. Dès lors, cette circonstance avait
dû être retenue, la Chambre Contentieuse considère qu’elle aurait dû l’être (au regard des critères développés dans l’arrêt
2025/AR/74) considéré comme un facteur aggravant, mais considère cependant qu’en l’espèce et suivant les Lignes
Directrices 04/2022, ce critère doit être réputé neutre.
Décision quant au fond 102/2026 — 93/105
326. La défenderesse a également soulevé les six circonstances atténuantes supplémentaires
suivantes : (i) l’objet social de la défenderesse, (ii) l’impact direct de l’amende sur les usagers du
service public, (iii) l’atteinte à la mission d’intérêt général de la SWDE, (iv) l’absence de but
lucratif et l’impossibilité « d’effet dissuasif classique », (v) le caractère public de la SWDE et le
contrôle déjà exercé par les autorités ainsi que (vi) les ressources déjà déployées pour répondre
à l’enquête depuis 2020, la sensibilisation des membres de la SWDE dans le cadre de la
procédure et les mesures prises pour améliorer sa conformité dont la désignation d’un DPO
externe professionnel.
La Chambre Contentieuse estime que ces circonstances atténuantes supplémentaires (bien
qu’elles se recoupent parfois ou avaient déjà été – partiellement - couvertes soit par les
circonstances atténuantes déjà retenues par la Chambre Contentieuse soit à titre de facteurs
influençant le caractère proportionné de l’amende à l’étape suivante) sont suffisamment
pertinentes pour procéder à une réévaluation à la baisse des amendes à infliger. Dans
l’hypothèse où des éléments visant à réduire l’amende pour respecter l’effectivité, la
proportionnalité ou la dissuasion dans le cadre du formulaire de sanction ont maintenant été
pris en considération à cette étape en tant que circonstance atténuante pour réduire l’amende,
ils ne serviront plus à encore diminuer une seconde fois sur le même motif le montant lors de la
considération de la proportionnalité et la dissuasion des amendes.
327. Après avoir pris en compte les circonstances atténuantes qu’elle avait déjà soulevées ainsi
que les circonstances atténuantes supplémentaires proposées par la SWDE, la Chambre
Contentieuse estime que ces dernières circonstances atténuantes non directement soulevées
par la défenderesse sont également pertinentes : (i) l’origine des faits date de novembre 2018
(soit peu de temps après l’entrée en vigueur du RGPD, à un moment où la tolérance aux
infractions était plus grande en raison de la méconnaissance du texte et de l’absence de
guidance), (ii) les faits et l’enquête se sont en partie déroulés pendant la crise du COVID-19 où
les équipes avaient d’autres priorités et devaient trouver de nouvelles façons de travailler et
communiquer et (iii) la défenderesse a pu vraiment commencer à améliorer sa mise en
conformité après le plus gros de la crise COVID.
328. En l’espèce, compte tenu (i) de la circonstance spécifique aux activités de la défenderesse
prises en considération et (i) des circonstances atténuantes, la Chambre Contentieuse fixe le
montant final et total (ensuite arrondi) des amendes à :
a. Pour les Infractions Transparence/Loyauté : EUR 120.000 ; et
b. Pour l’Infraction Sous-Traitance : EUR 1.200.
329. Après vérification, la Chambre Contentieuse a ajusté ces montants pour que les amendes
administratives prononcées pour les Infractions Constatées soient effectives, proportionnées
et dissuasives dans chaque cas spécifique.
Décision quant au fond 102/2026 — 94/105
a. En ce qui concerne l’effectivité : le considérant 148 du RGPD souligne que les amendes
administratives doivent être infligées "[a]fin de renforcer l'application des règles du
présent règlement". L'amende infligée doit dès lors être suffisamment élevée pour
réaliser cette finalité. En particulier, une amende est jugée effective si elle atteint les
objectifs pour lesquels elle a été imposée, tels que restaurer le respect des règles,
sanctionner les comportements illicites ou les deux.
En l’espèce, les deux amendes visent à sanctionner principalement (i) le comportement
particulièrement négligent de la défenderesse, (ii) la durée prolongée sur laquelle se sont
étendues les violations et (iii) le fait qu’il s’agisse d’un traitement qui concerne plus de
100.000 personnes concernées (sans possibilité pour ces dernières de changer de
fournisseur pour marquer leur désaccord par rapport au non-respect de leurs droits par
la défenderesse).
Aussi, les Infractions Transparence/Loyauté se poursuivent encore à l’heure actuelle car
les citoyens qui appellent le call center de la défenderesse mais qui ne disposent pas d’un
accès à internet sont en mesure de consulter l’information et ne sont pas non plus
informés de comment obtenir cette information sans un tel accès (alors que le service
offert par la défenderesse est universel et elle ne peut donc présumer que tous les
habitants desservis ont accès à internet).
Pour sa défense, la Chambre Contentieuse note que la SWDE indique que les salves de
questionnaires du Service d’Inspection l’auraient par ailleurs dissuadée de commettre
toute autre infraction. Toutefois, sans en tirer aucune conséquence autre que,
contrairement à ce qu’elle affirme, la SWDE n’a pas été suffisamment dissuadée de
commettre des infractions, la Chambre Contentieuse note déjà à la simple consultation
du site web FR de la défenderesse que la bannière cookies ainsi que l’information relative
aux cookies du site web à laquelle cette bannière renvoie sur la version française de la
défenderesse est uniquement disponible en anglais, soit une langue que la SWDE ne
peut supposer que ses clients maitrisent au vu des destinataires de ses services (qui
parlent français). La Chambre Contentieuse estime donc que rien qu’au niveau du
respect de la transparence vis-à-vis des clients, il y a lieu de considérer qu’une amende
peut être dissuasive (en ce qui concerne l’absence d’information « vie privée » pour les
clients ne disposant pas d’accès à internet dans le cadre des Infractions
Transparence/Loyauté, mais également par rapport à tous les clients visitant le site web
de la défenderesse et à qui cette dernière présente une bannière cookies en anglais),
principe dont la défenderesse affirme pourtant avoir déjà été assez dissuadée de ne pas
respecter.
Voy. à cet égard ci-dessous la capture d’écran de la page d’accueil de la SWDE, consultée
le 24 avril 2026 :
Décision quant au fond 102/2026 — 95/105
« Cookies settings » sur la capture d’écran ci-dessus mène à la bannière de second
niveau reprise sur la capture d’écran ci-dessous, également en anglais, et dont le lien
« More information » ne conduit pas le client vers la politique cookies de la SWDE, mais
bien sur le site du site du fournisseur de la solution utilisée pour la gestion des cookies
sur le site web (à savoir, https://cookiepedia.co.uk/giving-consent-to-cookies).
Ainsi, l’imposition d’une amende administrative d’un montant final combiné de EUR
121.200 constitue une mesure effective pour atteindre ces objectifs. La Chambre
Contentieuse considère que deux amendes de respectivement, EUR 120.000 et EUR
1.200 sont appropriées pour renforcer l'application des principes fondamentaux ayant
fait l'objet d'une violation.
Décision quant au fond 102/2026 — 96/105
b. En ce qui concerne la proportionnalité : Le principe de proportionnalité, tel que défini
par le RGPD, énonce que les mesures adoptées ne doivent pas dépasser ce qui est
approprié et nécessaire pour atteindre les objectifs légitimes de la réglementation en
question. Dans le cas des amendes, cela signifie que leur montant ne doit pas être
disproportionné par rapport aux buts visés, à la gravité de la violation, ainsi qu’à la taille
et à la capacité financière de l'entreprise concernée. La Chambre Contentieuse a
également pris en considération plusieurs critères pour déterminer si les amendes
qu’elle a l’intention d’infliger sont proportionnées :
- Viabilité économique et capacité financière de l'entreprise : Les amendes ne
doivent pas mettre en péril l’entreprise. En l’espèce, la défenderesse peut
supporter deux amendes combinées de EUR 121.200, qui représente environ
0,035% de son chiffre d’affaires (recalculé) de EUR 345.460.234.
- Preuve de la perte de valeur : Aucune indication ne laisse présager que
l'imposition de l'amende mettrait en danger la viabilité de l'entreprise, entraînant
une perte significative de la valeur de ses actifs ou menaçant sa capacité à
poursuivre ses activités de manière viable. En l'absence de telles preuves tangibles
démontrant cette corrélation, une minoration de l'amende ne paraît pas justifiée.
Au vu des moyens financiers dont elle dispose, la défenderesse ne devrait pas
pouvoir affirmer que les amendes proposées seraient de nature à affecter la
poursuite de sa mission de manière viable, et diminuera de manière indéniable la
qualité, la continuité ou la résilience du service public fourni.
- Contexte particulier : Le contexte économique particulier peut être pris en
considération par exemple si le secteur en cause traverse une crise conjoncturelle,
ou si les entreprises rencontrent des difficultés à mobiliser des capitaux ou à
obtenir des crédits en raison de la conjoncture économique. Dans ce cadre, la
Chambre Contentieuse note que la Belgique a amorcé une politique d'austérité
majeure, visant environ 25 à 30 milliards d'euros d'économies d'ici 2028 pour
assainir ses finances publiques, avec pour l’un des piliers des coupes budgétaires,
dans le but de diminuer le poids de l'appareil public et des dépenses sociales, avec
un impact potentiel sur les services publics. A cet égard, ce critère doit être pris en
compte pour diminuer le montant des amendes envisagées.
Dans le cas d'espèce, plusieurs critères, tels que la capacité financière de la
défenderesse et le contexte économique et social dans lequel elle opère, indiquent que
les deux amendes proposées (pour un montant combiné de EUR 121.200, soit 0,035%
du chiffre d’affaires recalculé) peuvent faire l’objet d’une correction supplémentaire. La
Chambre Contentieuse, décide donc d’encore réduire chacune des amendes : (i) de EUR
120.000 à EUR 85.000 pour les Infractions Transparence/Loyauté et (ii) de 1.200 à
Décision quant au fond 102/2026 — 97/105
1.000 pour l’Infraction Sous-Traitance (la Chambre Contentieuse considérant qu’une
amende de moins de EUR 1.000 ne peut être considérée comme dissuasive dans ce
contexte et pour un acteur comme la SWDE). En effet, la Chambre Contentieuse
considère que les Infractions Constatées ne devraient pas aboutir à une amende qui
dépasse le seuil symbolique de 0,025% du chiffre d’affaires recalculé d’une autorité
publique comme la défenderesse, et considère que les nouveaux montants sont
maintenant appropriés.
Une réduction plus importante ne lui parait pas opportune en particulier au vu des
circonstances spécifiques relatives aux Infractions Constatées telles que décrites plus
haut dans la section relative à l’effectivité de l’amende, ainsi que du fait que les
Infractions Constatées s’inscrivent dans un contexte plus global d’autres infractions
constatées pour lesquelles la Chambre Contentieuse a déjà choisi de ne pas imposer
d’amende. Cette minoration supplémentaire porte les montants finaux révisés à :
i. EUR 85.000 pour les Infractions Transparence/Loyauté ; et
ii. EUR 1.000 pour l’Infraction Sous-Traitance.
En conclusion, la Chambre Contentieuse considère que ces amendes sont maintenant
proportionnées, tout en restant effectives.
c. En ce qui concerne l’effet dissuasif : le caractère dissuasif de l'amende doit comporter
deux dimensions. Elle doit dissuader la personne contre laquelle l'amende est infligée de
réitérer les violations constatées à l'avenir mais également dissuader d'autres
personnes de répéter les comportements infractionnels commis par la première
personne. Plusieurs facteurs établissent l'effet dissuasif d'une amende : la nature, le
montant de l'amende et la probabilité que l'amende soit infligée sont déterminants à cet
égard. Une amende doit être suffisamment élevée pour avoir un impact financier sur
l'entreprise qui commet la violation, tout en restant proportionnée à la gravité de la
violation. Si une autorité de contrôle estime qu'une amende n'est pas suffisamment
dissuasive, elle peut envisager de la majorer. Dans certains cas, elle peut même appliquer
un multiplicateur de dissuasion pour renforcer son effet dissuasif. Ce multiplicateur peut
être ajusté à la discrétion de l'autorité de contrôle afin de garantir que les objectifs de
dissuasion sont pleinement atteints. La Chambre Contentieuse estime cependant qu’il
n’est pas nécessaire d’augmenter les montants des amendes sur cette base. Les
amendes réduites à EUR 85.000 pour les Infractions Transparence/Loyauté et EUR
1.000 pour l’Infraction Sous-Traitance présentent le niveau de dissuasion approprié pour
empêcher la défenderesse de récidiver dans la violation des règles du RGPD.
Par ailleurs, la Chambre Contentieuse rejette fermement l’argument de la défenderesse
selon lequel l’imposition d’une amende malgré la coopération et les efforts progressifs
Décision quant au fond 102/2026 — 98/105
de mise en conformité serait contreproductive et de nature à inciter les défendeurs à ne
pas s’améliorer et/ou de dissuader la coopération avec les autorités de contrôle.
Précisément, la coopération de la défenderesse et son attitude ont été les facteurs les
plus déterminants pour établir un montant significativement réduit d’amende. En
particulier, la Chambre Contentieuse rappelle qu’en vertu de l’article 31 du RGPD, le
responsable du traitement et leurs représentants doivent coopérer avec l'autorité de
contrôle, à la demande de celle-ci, dans l'exécution de ses missions. En outre, ce manque
de coopération est par ailleurs l’un des paramètres pouvant justifier une majoration du
montant de l’amende éventuelle. Aussi, conformément à l’article 222, 7°, de la LTD, un
dossier peut être transmis au parquet du procureur du Roi de Bruxelles pour poursuites
au pénal lorsque le responsable du traitement, son préposé ou son mandataire font
obstacle aux missions légales de vérification et de contrôle de l’autorité de contrôle
compétente, de ses membres ou de ses experts, encourant ainsi une amende pénale de
EUR 2.500 à EUR 150.000 (décimes additionnels déjà inclus).
330. A cet égard, la Chambre Contentieuse rappelle également que la majorité des violations
constatées dans ce dossier n’ont pas fait l’objet d’amendes au vu des circonstances qui les
entouraient, dès lors que la Chambre Contentieuse a estimé qu’une réprimande était suffisante
pour rappeler la défenderesse à l’ordre pour ces violations, qu’elle estime plus mineures que les
Infractions Constatées. Le montant combiné des amendes doit donc aussi être mis en
perspective par rapport au contexte infractionnel général, qui ne se limite pas aux Infractions
Constatées qui sont les deux seules infractions faisant l’objet d’une amende.
331. Au l'évaluation susmentionnée ainsi que des circonstances propres à cette affaire, la
Chambre Contentieuse estime donc qu’il est approprié, en vertu des articles 58.2.i) et 83 du
RGPD et des articles 100, § 1er, 13° et 101 de la LCA, d'infliger à la défenderesse :
a. une amende administrative d'un montant de EUR 85.000 pour les Infractions
Transparence/Loyauté ; et
b. une amende administrative d'un montant de EUR 1.000 pour l’Infraction Sous-
Traitance.
332. La Chambre Contentieuse considère que le montant (combiné ou non) de ces deux
amendes, qui reste par ailleurs bien en deçà des montants maxima légaux applicables, est
proportionné à la gravité des Infractions Constatées dans les comportements en question.
333. A titre surabondant, la Chambre Contentieuse rappelle que le but principal de la réaction au
formulaire de sanction est d’éclairer cette dernière sur des circonstances de l’affaire et sur les
considérations à prendre en compte lorsqu’elle impose l’amende, et non pas de proposer un
nouveau calcul de l’amende, surtout lorsque celui-ci est profondément erroné et contraire à la
logique des Lignes Directrices 04/2022. Bien que la Chambre Contentieuse ne s’oppose pas à
Décision quant au fond 102/2026 — 99/105
ce qu’un tel calcul soit proposé, ce dernier ne peut être fantaisiste comme ce fut le cas en
l’espèce, car truffé d’erreurs méthodologiques dans le but de prendre en compte plusieurs fois
des correctifs apportés par la Chambre Contentieuse. Notamment, pour aboutir aux montants
proposés de EUR 5.280 pour les Infractions Transparence/Loyauté et EUR 264 pour
l’Infraction Sous-Traitance suite aux recalculs par la défenderesse, cette dernière avait
notamment appliqué un coefficient de 13,2% au montant maximum recalculé, obtenu en
comptabilisant à plusieurs reprises des réductions accordées pour aboutir aux montants
proposés (et en particulier la taille de l’entreprise), considérant toutefois que ce coefficient de
13,2% devrait toujours être appliqué au montant de départ tel quel l’avait recalculé.
Ceci a donc mené à des calculs biaisés et les montants proposés ne répondent par ailleurs plus
aux critères d’effectivité, de proportionnalité et de dissuasion des amendes. La Chambre
Contentieuse demande donc aux acteurs comme la défenderesse de faire preuve de bonne foi
lorsqu’ils choisissent de soumettre des recalculs des montants d’amendes envisagés, en
respectant la logique et la méthodologie utilisées par l’autorité et préconisée par la CEPD, et en
veillant en particulier à ce que ces calculs n’aient pour effet de reprendre (volontairement ou
non) en compte deux fois des éléments que la Chambre Contentieuse avait déjà pris en compte
pour réduire (drastiquement) l’amende.
VI. Publication et anonymisation/pseudonymisation de la décision
334. S’agissant d’un plaignant anonyme, la question de l’anonymisation de ses données
personnelles ne se pose pas ici, d’autant plus que sauf (rares) exceptions, l’identité des
plaignants n’est jamais publiée.
335. Contrairement à ce qu’affirme la défenderesse, la publication d’une décision (que cela soit
dans son intégralité ou sous forme pseudonymisée ou anonymisée) n’est pas une « mesure
exceptionnelle et dérogatoire qui doit faire l’objet d’une motivation renforcée », mais
simplement l’une des prérogatives accordées à la Chambre Contentieuse par l’article 100 § 1er,
16° de la LCA. Dans l’exercice de ce pouvoir, la Chambre Contentieuse doit cependant décider
« au cas par cas » de publier (ou non) la décision et a adopté à cet effet une politique de
publication58 (« Politique de Publication »), qui explique en détails les objectifs de la publication
d’une décision par la Chambre Contentieuse.
336. La Politique de Publication (p. 3) prévoit que :
58
APD (Chambre Contentieuse), « Politique de publication des décisions de la Chambre contentieuse », 23 décembre 2020,
disponible sur https://www.autoriteprotectiondonnees.be/publications/politique-de-publication-des-decisions-de-la-
chambre-contentieuse.pdf
Décision quant au fond 102/2026 — 100/105
« La Chambre Contentieuse part du principe que toutes ses décisions, sauf exceptions,
font l’objet d’une publication sur son site web, dans un objectif général de transparence,
mais également de visibilité et de responsabilité.
La publication dans un objectif de sanction est retenue au cas par cas, et dûment motivée
comme telle. » (la Chambre Contentieuse souligne)
337. Premièrement, la Chambre Contentieuse considère que la publication de la décision
(contenant le nom de la défenderesse) ne constitue pas une sanction en l’espèce mais est
simplement une mesure destinée à assurer la transparence. A cet égard, la Politique de
Publication prévoit que :
« En effet, la publication des données d’identification d’une personne morale dans une
décision de la Chambre contentieuse rendue publique, peut être vue comme lui causant un
préjudice, à tout le moins lorsque la décision rendue lui est désavantageuse. L’identification
peut donc, dans une certaine mesure, revêtir un caractère de sanction pour les parties
identifiées.
Du point de vue de la Chambre Contentieuse, ceci n’est pas toujours le cas. Dans certains
cas de figure, la publication des données d’identification est un élément nécessaire de la
décision, en raison du rôle spécifique du responsable du traitement dans l’économie ou
la société, ou revêt un caractère d’intérêt général, relatif au droit d’information du public.
Le principe de base est similaire à celui qui est appliqué aux données personnelles. Les
données d’identification se rapportant aux personnes morales seront toujours supprimées,
sauf exceptions. Les situations énumérés ci-dessous constituent des exemples
d’exceptions :
- la publication imposée comme sanction (qui requiert donc l’identification de la
personne morale sanctionnée) ;
- le maintien des données d’identifications à la demande de la personne morale ;
- l’identification de le personne morale revêt un caractère d’intérêt général. »
(pp. 5-6 – la Chambre Contentieuse souligne)
338. En particulier, la Chambre Contentieuse note également que dans le cas d’espèce, la
divulgation de l’identité de la défenderesse (i) ne porte pas atteinte au secret des affaires ou à
d’autres informations confidentielles, (ii) ne porte pas atteinte à la vie privée des associés
(comme cela pourrait notamment être le cas en particulier dans certaines petites structures)
et/ou à celle des employés de la défenderesse ou (iii) n’entraine pas de conséquences en
termes de sécurité. De plus, la Chambre Contentieuse note que la défenderesse n’est pas une
société cotée qui pourrait être impactée d’une quelconque manière par l’annonce d’une
décision qui déclaré une non-conformité au RGPD, assortie ou non d’une amende. Au contraire,
Décision quant au fond 102/2026 — 101/105
s’agissant d’un service d’intérêt public pour lesquels les utilisateurs n’ont pas le choix de leur
fournisseur, la Chambre Contentieuse note qu’il ne devrait même pas avoir d’impact
opérationnel et/ou financier sur la défenderesse (les utilisateurs ne pouvant changer de
fournisseur et n’allant pas adapter leurs habitudes de consommation d’eau en réponse aux
pratiques RGPD de la défenderesse).
339. En réponse à l’argument de la défenderesse selon lequel la publication de la décision
pourrait entrainer une potentielle perte de confiance des utilisateurs en un service pour lequel
ils ne peuvent changer de fournisseur (comme l’indique la défenderesse dans ses conclusions),
la Chambre Contentieuse considère cependant que cet argument doit être écarté en l’espèce
pour au moins deux raisons :
a. la perte de confiance éventuelle serait minime : la défenderesse offrant un service pour
laquelle le traitement de données personnelles est un accessoire du service principal et
non pas un service axé sur le traitement de données personnelles ou pour lequel ce
traitement est clé et/ou implique le traitement à grande échelle de données sensibles, la
Chambre Contentieuse considère que les utilisateurs seront moins enclins à juger ce
service sur la façon dont leurs données personnelles sont traitées que sur le service
offert en tant que tel (à savoir la production d’eau, pour lequel les clients s’inquiéteraient
plus de problèmes dans la distribution et/ou la qualité de l’eau, et notamment
récemment, la potentielle présence de PFAS dans l’eau59).
b. la défenderesse offrant un service d’intérêt économique général, la publication des
données d’identification est un élément nécessaire de la décision, notamment au regard
du rôle spécifique de la défenderesse dans la société, en ce qu’elle dessert environ 2
Wallons sur 3 et est donc un acteur incontournable pour une grosse partie de la
population belge francophone. Aussi, en particulier car certaines des infractions
touchent à un problème de manque de transparence vis-à-vis des personnes appelant le
numéro général de la défenderesse et vis-à-vis des employés de la SWDE qui a persisté
plusieurs années, la Chambre Contentieuse considère que la publication des données
d’identification de la défenderesse revêt un caractère d’intérêt général, relatif au droit
d’information du public en ce que leurs données personnelles ont été traitées en non-
conformité du RGPD et qu’ils ont des droits à cet égard. En l’absence de mécanisme
spécifique permettant à la Chambre Contentieuse lui permettant d’imposer à la
défenderesse d’informer les personnes concernées des violations dans le cas d’espèce
mais compte tenu du nombre de personnes impactées et de l’atteinte passée à leurs
droits que certains pourraient souhaiter faire valoir auprès du responsable de traitement,
59
https://www.swde.be/fr/leau-et-les-pfas-que-faut-il-savoir ; https://www.swde.be/fr/qualite-de-leau-ramillies-la-swde-
temoigne-devant-le-parlement-wallon ;
Décision quant au fond 102/2026 — 102/105
il y a lieu d’assurer un minimum de publicité à cette décision, ce que la Chambre
Contentieuse peut faire en la publiant sur son propre site web.
340. La défenderesse indique également dans ses conclusions que la publication de la décision
lui causerait un préjudice disproportionné. Par principe, toute publication d’une décision est
susceptible d’avoir un impact en termes de réputation pour une entreprise. La Chambre
Contentieuse constate donc que la publication est toujours en théorie susceptible de causer un
préjudice au responsable de traitement qui en fait l’objet. Cependant, la défenderesse reste en
défaut de démontrer en quoi ce préjudice serait disproportionné en l’espèce, en particulier au
vu du caractère d’intérêt général de cette publication. Le simple fait que la défenderesse
subisse un préjudice ne peut suffire en lui-même à ne pas permettre à la Chambre Contentieuse
de ne pas publier la version non anonymisée d’une décision.
341. Aussi, la Chambre Contentieuse note que la défenderesse reconnait elle-même que la
publication d’une décision de sanction est envisageable :
- si elle contribue à mettre fin à la pratique litigieuse ; ou
- si elle permet de limiter le préjudice subi par les tiers en les alertant de la situation.
A cet égard, la Chambre Contentieuse note que certaines des pratiques litigieuses n’ont pas
encore cessé. Dès lors, rien ne fait obstacle à la publication dès lors que cette dernière est de
nature à contribuer au respect des injonctions selon les critères proposés par la défenderesse
elle-même.
342. En ce qui concerne une éventuelle pseudonymisation des données d’identification de la
défenderesse, cette question n’est pas pertinente dès lors que la Chambre Contentieuse
estime qu’il y a lieu de la publier avec les données d’identification de la défenderesse. Par
ailleurs, au vu de la description du contexte et au vu de la nature spécifique des activités de la
défenderesse qui ont justifié certaines prises de position de la Chambre Contentieuse dans ce
cadre, (i) une totale anonymisation priverait les citoyens d’informations essentielles leur
permettant de comprendre certaines considérations de la décision (p.ex. missions de la
défenderesse et services de distribution d’eau, nombre et types de citoyens recevant les
services, statut en ce qui concerne l’application des sanctions, etc.) et (ii) laisser ces
informations essentielles aurait pour conséquence que la défenderesse resterait de toute
façon facilement identifiable.
343. Par contre, la Chambre Contentieuse estime qu’il n’est pas nécessaire de publier les
données d’identification du sous-traitant Z pour les besoins du dossier dès lors que cette
publication ne revêt pas un caractère d’intérêt général (les employés connaissant déjà
spécifiquement l’identité de ce sous-traitant). Les personnes concernées pouvant s’adresser
directement au responsable de traitement pour leurs questions éventuelles, il n’est pas
Décision quant au fond 102/2026 — 103/105
nécessaire de communiquer l’identité du sous-traitant ici dans la mesure où il n’est pas
l’interlocuteur principal des personnes concernées.
344. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données après l’avoir expurgée des données d’identification directes du plaignant et du
sous-traitant Z.