1/21
Chambre Contentieuse
Décision quant au fond 107/2024 du 23 août 2024
Dans son arrêt du 22 janvier 2025 (2024/AR/1615), la Cour des marchés a partiellement annulé cette décision et
a, en vertu de son pouvoir de pleine juridiction, réduit à EUR 5.000 l'amende administrative imposée par la Chambre
Contentieuse
Numéro de dossier : DOS-2022-02420
Objet : Plainte relative à une réponse octroyée avec un retard de plus de 14 mois à
compter de l’exercice du droit d’accès du plaignant
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président, et de messieurs Dirk Van Der Kelen et Christophe Boeraeve, membres;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, ci-après « le plaignant » ;
La défenderesse : Y, ci-après « la défenderesse »
1
Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023
modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le
01/06/2024.
Conformément à l’article 56 de la loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers de médiation,
requêtes, inspections et procédures devant la Chambre Contentieuse initiés à partir de cette date :
https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-des-
donnees.pdf.
Les dossiers initiés avant le 01/06/2024 comme en l’espèce sont soumis aux dispositions de la LCA non-modifiée par la Loi
du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date.
Décision quant au fond 107/2024 — 2/21
I. Faits et procédure
1. Le 7 juin 2022, le plaignant introduit une plainte auprès de l’Autorité de protection des
données contre la défenderesse.
2. La plainte concerne la suite donnée à l’exercice de son droit d’accès par le plaignant.
3. Le plaignant était un client de la défenderesse – cette dernière étant une entreprise de
télécommunications. Entre le 27 janvier 2021 et le 26 février 2021, la défenderesse modifie
plusieurs des abonnements et facturations du plaignant, ce dernier n’ayant pourtant pas
effectué de demande de ce type.
4. Le 27 août 2021, au terme d’une procédure de médiation entamée par le plaignant le 26 juin
2021 auprès du Service de médiation pour les télécommunications, l’Ombudsman clôt la
procédure, estimant que toutes les informations utiles demandées par le plaignant lui ont
été communiquées. Dans le cadre de cette procédure, la défenderesse a informé le plaignant
que les désagréments subis dans le cadre de ses différents abonnements et facturations
auprès d’elle prennent leur source dans une erreur humaine. Suite à cette réponse, le
plaignant a déclaré encore attendre une clarification exacte de la situation.
5. Le 25 janvier 2022, celui-ci contacte la défenderesse par le biais de son chat Messenger, lui
demandant le contact de son Délégué à la Protection des Données (DPO ci-après). Celle-ci
lui répond ne pas disposer d’adresse email de DPO mais de tout de même traiter sa demande
dans le chat.
6. Le même jour, le plaignant indique vouloir exercer son droit d’accès sur base de l’article 15
du RGPD, et spécifie vouloir être informé pour une période allant du 1 er janvier 2021 au 31
décembre 2021. Il précise aussi qu’il souhaite une réponse selon un format de tableau qu’il
indique dans le chat, reprenant pour chaque accès à ses données à caractère personnel les
éléments suivants : date, employé ou « numéro d’employé », et raison(s) de l’accès.
7. Toujours le même jour, la défenderesse demande au plaignant de clarifier sa demande.
Celui-ci répond le lendemain que sa demande est simple et claire.
8. Le 13 mars 2022, le plaignant rappelle à la défenderesse sa demande d’accès, et informe que
sans retour de sa part avant la fin du mois de mars 2022, une plainte sera déposée à l’APD.
Le même jour, la défenderesse, toujours via le chat, demande davantage d’explications au
plaignant afin de pouvoir effectuer les vérifications nécessaires. Le plaignant répond en
expliquant qu’il souhaite savoir qui, parmi les employés de la défenderesse, a accédé à ses
données personnelles. La défenderesse répond ne pas avoir la possibilité de le savoir, et que
la demande se situe « au-delà de [son] champs d’intervention ». Le plaignant indique de
nouveau que sa demande est adressée au DPO, et que sans retour de sa part avant la fin du
mois de mars, il introduira une plainte à l’APD. L’employé (en charge du chat) de la
Décision quant au fond 107/2024 — 3/21
défenderesse répond en invitant le plaignant à s’adresser à elle de nouveau pour toute autre
demande.
9. Le 9 juin 2022 la plainte est déclarée recevable par le Service de Première Ligne sur la base
des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en
vertu de l'article 62, § 1er de la LCA.
10. Le 27 février 2023 la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
À la même date, les parties concernées sont informées par envoi recommandé des
dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont
également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs
conclusions. La date limite pour la réception des conclusions en réponse de la défenderesse
a été fixée au 10 avril 2023, celle pour les conclusions en réplique du plaignant au 1er mai
2023 et celle pour les conclusions en réplique de la défenderesse au 22 mai 2023.
11. Le 2 mars 2023, la défenderesse accepte de recevoir toutes les communications relatives à
l'affaire par voie électronique et manifeste son intention de recourir à la possibilité d'être
entendu, ce conformément à l'article 98 de la LCA. Elle sollicite par le même courriel une
copie du dossier (art. 98, §2, 3° LCA), laquelle lui est transmise le 14 mars 2023.
12. Le 22 mars 2023, le plaignant accepte de recevoir toutes les communications relatives à
l'affaire par voie électronique.
13. Le 28 mars 2023, la défenderesse donne suite à la demande d’accès du plaignant en
fournissant les logs d’activité relatifs au contrat du plaignant recouvrant toute l’année 2021.
Pour des motifs de sécurité et de confidentialité, la défenderesse a anonymisé tous les
« logins ».
14. Le 7 avril 2023, la Chambre Contentieuse reçoit les conclusions en réponse de la part de la
défenderesse. Cette dernière ayant déposé des conclusions de synthèse, son argumentaire
est résumé au point 16 ci-après.
15. Le 30 avril 2023, la Chambre Contentieuse reçoit les conclusions en réplique de la part du
plaignant. En résumé, voici ce que le plaignant y défend :
- Il demande à ce qu’il soit déclaré que sa plainte est fondée ;
- Les droits dont il tire des articles 12 et 15 du RGPD n’ont pas été respectés par la
défenderesse étant entendu qu’elle ne lui a pas permis de contacter son DPO, qu’elle a
répondu à sa demande d’accès avec un an et demi de retard, et qu’elle n’a jamais répondu
concernant les finalités pour lesquelles ses employés ont accédé au compte et aux
données à caractère personnel du plaignant ;
Décision quant au fond 107/2024 — 4/21
- D’infliger une sanction plus sévère qu’un avertissement, compte tenu du nombre de
demandes et rappels qu’il a formulés ;
- D’anonymiser toutes les données à caractère personnel qui lui sont relatives ;
- De ne pas anonymiser la défenderesse.
16. Le 22 mai 2023, la Chambre Contentieuse reçoit les conclusions de synthèse de la part de
la défenderesse. En résumé, celle-ci y défend ce qui suit :
- Il ne lui incombait pas de donner accès aux informations demandées par le plaignant
étant entendu : (i) que les données à caractère personnel des employés de la
défenderesse ne constituent pas des données à caractère personnel du plaignant lui-
même et que les mêmes employés ne peuvent pas être considérés en tant que
destinataires des données au sens de l’art. 15.1.c)2 du RGPD, (ii) que le plaignant disposait
de toutes les informations au moment du dépôt de la présente plainte étant entendu que
l’adresse de contact du DPO de la défenderesse était trouvable sur le site Internet de
cette dernière et que les réponses aux autres demandes qu’il a émises ont été portées à
sa connaissance le 30 juillet 2021, et (iii) que le droit conféré par l’article 15 du RGPD ne
constitue pas un droit absolu, et qu’il peut ainsi rencontrer certaines limites lorsqu’il est
mis en balance avec les droits et libertés de tiers (article 15.4 RGPD), tel qu’en l’espèce
où les droits et libertés des employés de la défenderesse prévalent sur le droit d’accès
du plaignant ;
- Le manquement au délai de réponse prévu par l’article 12.3 du RGPD ne peut à lui seul
entraîner une sanction ;
- La Chambre Contentieuse ne peut prendre de décision relative aux manquements
allégués par le plaignant dans son courriel du 23 mars mais qui ne figuraient pas dans la
lettre d’invitation à conclure qu’elle a adressée aux parties le 27 février 2023 étant
entendu qu’il ne peut être attendu de la part de la défenderesse de s’en défendre
convenablement ;
- De déclarer les manquements allégués par le plaignant non-fondés si la Chambre
Contentieuse venait toutefois à les examiner.
17. Le 29 avril 2024, les parties sont informées du fait que l'audition aura lieu le 31 mai 2024.
18. Le 31 mai 2024, les parties sont entendues par la Chambre Contentieuse.
19. Le 10 juin 2024, le procès-verbal de l’audition est soumis aux parties.
2
Il ressort des conclusions de la défenderesse que c’est l’article 15.1.b) du RGPD qui a été cité. Toutefois, il apparaît à la lecture
de celles-ci que la défenderesse visait l’article 15.1.c) du même Règlement.
Décision quant au fond 107/2024 — 5/21
20. Le 12 juin 2024, la Chambre Contentieuse reçoit de la défenderesse quelques remarques de
forme relatives au procès-verbal, lesquelles sont annexées à celui-ci conformément à
l’article 54 alinéa 2 du Règlement d’ordre intérieur.
21. Le 17 juin 2024, la Chambre Contentieuse reçoit du plaignant quelques remarques relatives
au procès-verbal. Celles-ci appellent à des changements substantiels du procès-verbal,
lesquels ne peuvent être effectués dès lors que les débats se sont clôturés à la fin de
l’audition.
22. Le 3 juillet 2024, la Chambre Contentieuse fait connaître à la défenderesse son intention de
procéder à l'imposition d'une amende administrative ainsi que le montant de celle-ci, afin de
donner à la défenderesse l'occasion de se défendre avant que la sanction soit effectivement
infligée.
23. Le 22 juillet 2024, la Chambre Contentieuse reçoit la réaction de la défenderesse
concernant l'intention d'infliger une amende administrative et le montant de celle-ci. Le
contenu de la réaction de la défenderesse est résumé aux points 85 et suivants.
II. Motivation
II.1. Quant à la violation alléguée au droit d’accès (article 15 du RGPD)
II.1.1. Quant au contenu de la suite accordée au droit d’accès par la défenderesse
24. La Chambre Contentieuse rappelle que l’article 4, 1) du RGPD définit une donnée à caractère
personnel comme « toute information se rapportant à une personne physique identifiée ou
identifiable (ci-après dénommée « personne concernée ») ; est réputée être une «personne
physique identifiable» une personne physique qui peut être identifiée, directement ou
indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro
d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs
éléments spécifiques propres à son identité physique, physiologique, génétique, psychique,
économique, culturelle ou sociale ; […] ».
25. Un traitement de données à caractère personnel désigne « toute opération ou tout ensemble
d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des
données ou des ensembles de données à caractère personnel, telles que la collecte,
l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la
modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la
diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion,
la limitation, l’effacement ou la destruction »3.
3
RGPD, art. 4.2.
Décision quant au fond 107/2024 — 6/21
26. Aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du
responsable de traitement la confirmation que des données à caractère personnel la
concernant sont ou ne sont pas traitées. Lorsque c’est le cas, la personne concernée a le
droit d’obtenir l’accès auxdites données à caractère personnel ainsi qu’à une série
d’informations listées à l’article 15.1 a) à h) telles que la finalité du traitement de ses données,
les destinataires éventuels de ses données ainsi que des informations relatives à l’existence
de ses droits, dont celui de demander la rectification ou l’effacement de ses données ou
encore celui de déposer plainte auprès de l’APD.
27. Le troisième paragraphe de l’article 15 précise que « le responsable du traitement fournit une
copie des données à caractère personnel faisant l’objet d’un traitement. […] ». Ce paragraphe
consacre un seul et même droit avec le premier paragraphe du même article4. De plus, il
ressort de la jurisprudence de la CJUE que ce droit implique la possibilité pour la personne
concernée d’obtenir « la reproduction d’extraits de documents voire de documents entiers
ou encore d’extraits de bases de données […] »5 si cela s’avère indispensable. Toutefois, la
lecture de ce droit ne peut être dissociée de celle de l’article 15.4 qui prévoit qu’une mise en
balance doit être effectuée avec les droits et libertés d’autrui, le cas échéant.
28. La Chambre Contentieuse rappelle que le droit d’accès constitue une exigence essentielle
du droit à la protection des données, puisqu’il constitue la « porte d’entrée » qui permet
l’exercice des autres droits conférés par le RPGD à la personne concernée 6.
29. Dans la présente affaire, il apparaît que le plaignant a exercé son droit d’accès le 25 janvier
2022, demande à laquelle la défenderesse a donné suite le 28 mars 2023 en fournissant au
plaignant une version partiellement anonymisée des logs d’activité relatifs à son contrat
s’étendant sur toute l’année 2021. La défenderesse ajoute dans ses conclusions que le
plaignant avait déjà posé des questions similaires à celles se trouvant dans sa demande
d’accès dans le cadre de la procédure de médiation (voy. point 4), laquelle s’est close le 27
août 2021 étant entendu que l’Ombudsman a considéré que toutes les informations utiles
avaient été communiquées au plaignant.
30. À cet égard, il doit être clarifié qu’en aucune manière un responsable de traitement pourrait
être déchargé de son obligation de donner suite à l’exercice du droit d’accès au seul motif
que le plaignant disposait déjà des informations demandées antérieurement à l’exercice
dudit droit. L’article 12.5 dispose certes qu’il peut notamment être refusé de donner suite à
l’exercice de l’un des droits visés aux articles 15 à 22 du RGPD lorsque la demande de la
personne concernée est manifestement infondée ou excessive, cependant aucune de ces
4
CJUE, arrêt du 4 mai 2023, Österreichische Datenschutzbehörde, C-487/11, point 32.
5
CJUE, arrêt du 12 janvier 2023, Österreichische Post AG, C-154/12, point 41.
6
CJUE, arrêt du 12 janvier 2023, Österreichische Post AG, C-154/12, points 37 et 38 ; CJUE, arrêt du 20 décembre 2017, Nowak,
C-434/16, point 57 ; CJUE, arrêt du 17 juillet 2014, YS et al., C-141/12 et C-372/12, point 44 ; CJUE, arrêt du 7 mai 2009, Rijkeboer,
point 52.
Décision quant au fond 107/2024 — 7/21
deux exceptions n’a été invoquée par la défenderesse. En tout état de cause l’usage de l’une
de ces exceptions doit, en vertu de l’article 12.4 du RGPD, faire l’objet d’une communication
à la personne concernée dans les plus brefs délais, et au plus tard « dans un délai d’un mois à
compter de la réception de la demande […] » – celle-ci étant absente des échanges entre le
plaignant et la défenderesse.
31. Concernant le contenu de la suite accordée à la demande d’accès, le plaignant déclarait dans
ses conclusions demeurer insatisfait (a) en ce qu’il n’a pas obtenu d’explications
supplémentaires quant aux finalités des traitements effectués par les employés de la
défenderesse, et (b) en ce qu’il n’a pas obtenu l’identité des employés de la défenderesse
ayant procédé auxdits traitements. Le plaignant a toutefois explicitement déclaré à
l’occasion de l’audition qui s’est tenue le 31 mai 2024 (voy. point 18) être satisfait de la
réponse que la défenderesse lui a transmise à la suite de sa demande d’accès effectuée le
25 janvier 2022 – mais non pas des modalités avec lesquelles la réponse lui a été délivrée.
La Chambre Contentieuse estime néanmoins important de réaliser l’examen ci-dessous,
celle-ci n’étant nullement dessaisie de l’examen du respect du RPGD par le fait qu’une partie
de la plainte soit devenue sans objet7.
a) L’accès aux finalités des traitements
32. D’une part, il ressort des pièces du dossier que la défenderesse a communiqué une version
partiellement anonymisée des logs d’activité s’étendant sur toute l’année 2021 relatifs au
contrat du plaignant en date du 28 mars 2023. En outre, le plaignant a déclaré être satisfait
des données qu’il a reçues à la suite du courriel du 28 mars 2023.
33. Dès lors, il apparaît à la Chambre Contentieuse que la demande du plaignant relative aux
finalités des traitements a été épuisée.
b) L’accès à l’identité des employés ayant procédé aux traitements
34. D’autre part, la Chambre Contentieuse constate que la défenderesse a refusé de donner
accès aux données à caractère personnel relatives à ses employés (voy. points 7 et 16) –
demande effectuée le 25 janvier 2022 par le plaignant.
35. La Chambre Contentieuse rappelle à cet égard que les données à caractère personnel des
employés ne constituent pas des données à caractère personnel de la personne concernée,
ce qui, partant, les place hors d’atteinte de l’article 15 du RGPD 8. Toutefois, précise le
considérant 63 du RGPD, cela ne saurait amener un responsable du traitement à « refuser
toute communication d’informations à la personne concernée. ».
7
Décision de la Chambre Contentieuse 63/2020 du 22 septembre 2020, point 16.
8
CJUE, arrêt du 22 juin 2023, Pankki S., C-579/21, point 83.
Décision quant au fond 107/2024 — 8/21
36. Par ailleurs, il ressort également de la jurisprudence de la CJUE que, eu égard au rôle
essentiel que joue le droit d’accès pour les personnes concernées, ces dernières peuvent
accéder aux données à caractère personnel des employés d’un responsable du traitement
ayant traité leurs données à caractère personnel si cela s’avère nécessaire à l’exercice des
autres droits qui leur sont garantis par le RGPD9. De surcroît, une mise en balance doit être
réalisée entre le droit d’accès de la personne concernée en question et – tel que cela est
inscrit à l’article 15.4 du RGPD – les droits et libertés d’autrui (correspondant, en
l’occurrence, aux employés de la défenderesse).
37. La Chambre Contentieuse précise encore que la CJUE opère une distinction entre l’employé
qui agit selon les instructions et sous l’autorité de son employeur, et l’employé qui agit en
dehors du respect des instructions et de l’autorité de son employeur – le premier bénéficiant
d’une protection de son identité supérieure au second10. Toutefois, cette distinction n’a, pour
le cas présent, aucune espèce d’incidence.
38. En effet, la Chambre Contentieuse relève que le plaignant ne démontre pas, dans ses
conclusions, d’un quelconque intérêt à obtenir l’identité des employés ayant traité par erreur
ses données à caractère personnel. Plus encore, le plaignant indique dans ses conclusions
éprouver un intérêt à connaître les finalités des traitements effectués de ses données à
caractère personnel, mais non pas nécessairement l’identité des employés ayant réalisé ces
traitements. Au cours de l’audition tenue le 31 mai 2024, le plaignant a affirmé n’éprouver
d’intérêt ni pour l’accès aux finalités des traitements effectués de ses données, ni pour
l’identité des employés ayant réalisé ceux-ci.
39. Par voie de conséquence, la Chambre Contentieuse considère que les droits et libertés des
employés de la défenderesse prévalent sur le droit du plaignant à accéder à leur identité.
40. En toute hypothèse, la Chambre Contentieuse rappelle, soulignant le raisonnement tenu par
la défenderesse, que les employés de la défenderesse ne sauraient être considérés comme
étant des destinataires au sens de l’article 15.1.c) du RGPD 11.
41. Dès lors, il ne saurait pas non plus être donné suite à la demande initiale du plaignant –
relative à l’identité des employés de la défenderesse – sur la base de cette disposition.
II.1.2. Quant aux modalités relatives à l’exercice du droit d’accès (articles 12.2, 12.3 et
15 du RGPD)
42. En vertu de l'article 12.1 du RGPD, il appartient au responsable du traitement de prendre «
des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que
9
CJUE, arrêt du 22 juin 2023, Pankki S., C-579/21, point 83.
10
Ibid., point 73 ; Voir aussi Décision de la Chambre Contentieuse 89/2023 du 28 juin 2023, point 22.
11
CJUE, arrêt du 22 juin 2023, Pankki S., C-579/21, point 73.
Décision quant au fond 107/2024 — 9/21
pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui
concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible et aisément accessible, en des termes clairs et simples [...]. ».
43. De plus, il incombe au responsable du traitement de faciliter l’exercice des droits de la
personne concernée (article 12.2 du RGPD) et de lui fournir des informations sur les mesures
prises à la suite d’une demande formulée en application des articles 15 à 22 du RGPD, dans
les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception
de la demande. L’article 12.3 du RGPD prévoit que ce délai peut, au besoin, être prolongé de
deux mois, compte tenu de la complexité et du nombre de demandes. Dans un tel cas, le
responsable du traitement informe la personne concernée de cette prolongation et des
motifs du report dans un délai d’un mois à compter de la réception de la demande.
44. En son considérant 59, le RGPD précise qu’afin de faciliter l’exercice, par la personne
concernée, des droits dont elle bénéfice en vertu du même Règlement, « Le responsable du
traitement devrait également fournir les moyens de présenter des demandes par voie
électronique, en particulier lorsque les données à caractère personnel font l’objet d’un
traitement électronique. ». À cet égard, la Chambre Contentieuse a auparavant déjà eu
l’occasion de dire « [qu’]En toute hypothèse, la personne concernée ne devrait pas être
pénalisée de quelque manière que ce soit pour n’avoir pas adressé sa demande à la bonne
adresse. »12.
45. En outre, dans ses Lignes directrices 01/2022 relatives au droit d’accès 13, le Comité
européen de la protection des données (« CEPD ») explique que cette possibilité de
prolongation du délai de réponse constitue une dérogation à la règle générale et qu'elle peut
seulement intervenir dans certaines circonstances de manière exceptionnelle. Par ailleurs,
le CEPD fait remarquer que si un responsable de traitement se voit souvent contraint de
prolonger ce délai, cela pourrait indiquer une défaillance dans sa procédure de traitement
des demandes d’accès.
46. Il découle de tout ceci que la défenderesse a l’obligation de donner suite à l’exercice du droit
d’accès du plaignant issu de l’article 15 du RGPD dans le respect des modalités de l’article 12
du RGPD, ces deux articles étant intrinsèquement liés.
47. Sur la base des pièces du dossier, la Chambre Contentieuse relève deux choses. D’une part,
elle relève que dans sa réponse du 25 janvier 2022 au plaignant, la défenderesse a affirmé
ne pas disposer d’adresse électronique dédié à son DPO. De plus, dans une réponse du 13
12
Décision de la Chambre Contentieuse 41/2020 du 29 juillet 2020, point 83.
13
CEPD, Guidelines 01/2022 on data subject rights - Right of access, du 28 mars 2023, point 162, disponible sur :
https://edpb.europa.eu/system/files/2023-04/edpb guidelines 202201 data subject rights access v2 en.pdf
Décision quant au fond 107/2024 — 10/21
mars 2022, la défenderesse a déclaré au plaignant que sa demande d’accès se situe en
dehors de son champ d’intervention.
48. De cette manière, la Chambre Contentieuse conclut que la défenderesse n’a pas facilité
l’exercice des droits de la personne concernée conformément à l’article 12.2 du RGPD en
ce que bien qu’il existait un canal de communication électronique, elle n’a pas été en mesure
de répondre à la demande du plaignant ou à la rediriger auprès – à titre d’exemple – de son
DPO telle qu’elle aurait dû le faire afin de garantir toute l’effectivité de l’article 12.2 du RGPD
et donc, de l’article 15 du RGPD exercé par le plaignant. Pour le dire autrement, la
défenderesse n’a pas offert au plaignant des réponses ou un traitement de sa demande
d’une qualité suffisante. Ce constat ne saurait être altéré par le fait que l’adresse
électronique du DPO était incluse, au moment des faits, dans la politique de confidentialité
de la défenderesse.
49. Surabondamment, concernant le canal de communication utilisé lors des échanges entre le
plaignant et la défenderesse entre le 25 janvier 2022 et le 13 mars 2022, la Chambre
Contentieuse tient à rappeler à titre strictement informatif et sans que cela ne puisse
constituer une quelconque prise de position de sa part qui pourrait aboutir à une sanction
que la défenderesse doit, en plus de garantir que les réponses accordées aux plaignants via
le chat Facebook soient d’une qualité suffisante, s’assurer que ce canal de communication
réponde aux exigences de sécurité appropriées telles que définies aux articles 5.1.f), 24, 25
et 32 du RGPD.
50. D’autre part, et tel que cela a déjà été mentionné ci-avant (voy. point 29), elle relève que le
plaignant a exercé son droit d’accès le 25 janvier 2022 – demande à laquelle la défenderesse
a fait suite utile le 28 mars 2023, soit durant le cours de la présente procédure.
51. Le plaignant insiste dans ses conclusions sur le fait qu’il a été donné suite à sa demande
d’accès avec plus de 14 mois de retard.
52. La défenderesse, sans pour autant nier le retard avec lequel elle a donné suite à la demande
d’accès du plaignant, relève qu’il ne pourrait lui être adressée de sanction sur la base du seul
manquement à l’article 12.3 du RGPD.
53. À cet égard, et sans ignorer ce que contiennent les arrêts de la Cour des Marchées
2019/AR/1006 du 9 octobre 2023 et 2019/AR/1234 du 23 octobre 2023, la Chambre
Contentieuse n’en souligne pas moins que l’exercice des droits des personnes concernées
ne peut être véritablement effectif que si le responsable de traitement est contraint de
répondre à l’exercice de tels droits dans un délai raisonnable, lequel a été fixé par le
législateur européen à un mois, sauf exceptions. Affirmer le contraire reviendrait à
permettre au responsable de traitement de ne pas réagir ou de réagir trop tardivement en
telle sorte que l’exercice du droit par la personne concernée s’avérerait totalement vain.
Décision quant au fond 107/2024 — 11/21
L’article 12 du RGPD est, au même titre que les droits de la personne concernée consacrés
au Chapitre III du RGPD, par ailleurs explicitement sanctionné par l’article 83.5 b) du RGPD 14
sans que l’article 12.3. n’en soit exclu. Il est utile de préciser que l’article 83.5.b) du RGPD
dédie le niveau supérieur des sanctions visées par l’article 83 du même Règlement.
54. La Chambre Contentieuse relève que la violation des articles 12.3 et 15 du RGPD est
indéniable, en ce que la défenderesse ne conteste pas avoir répondu à la demande d’accès
du plaignant avec 14 mois de retard. En ayant répondu à la demande d’accès du plaignant
bien au-delà du délai fixé par l’article 12.3 du RGPD, la défenderesse s’est rendue coupable
d’une violation continue du droit d’accès du plaignant 14 mois durant.
55. Par voie de conclusion, la Chambre Contentieuse conclut que la défenderesse a violé les
articles 12.2, 12.3 et 15 du RGPD en ce que le plaignant n’a obtenu de suite à sa demande
d’accès qu’avec plus de 14 mois de retard de la part de la défenderesse, notamment parce
qu’elle n’a pas facilité l’exercice du droit d’accès du plaignant. Par ailleurs, la Chambre
Contentieuse souligne que cette réponse a été accordée au plaignant dans le cadre de
l’échange des conclusions des parties dans la présente procédure, sans quoi la violation des
droits du plaignant se serait vraisemblablement prolongée. Toutefois, le constat relatif aux
articles 12.2 et 12.3 n’entre pas en ligne de compte dans la détermination de la sanction
étant entendu que ces deux dispositions n’étaient pas incluses dans la lettre par laquelle la
Chambre Contentieuse a invité les parties à conclure (voy. point 10).
II.2. Quant aux autres griefs
56. La Chambre Contentieuse note bien les arguments des parties concernant les griefs
supplémentaires ayant trait aux articles 5, 6 et 7.1 du RGPD.
57. Toutefois, et tel que l’a rappelé la défenderesse dans ses conclusions, la Chambre
Contentieuse a délimité le cadre des débats au seul article 15 du RGPD. Partant, il ne lui
apparaît pas opportun de faire l’examen de ces griefs supplémentaires étant entendu que la
constatation de la véracité de l’une d’entre-elles ne saurait servir de base à la prise de
sanction à l’encontre de la défenderesse.
III. Mesures correctrices et sanctions
III.1. Éventail de sanctions
58. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
14
Groupe 29, Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, WP 260, points 30-32 et 48.
Décision quant au fond 107/2024 — 12/21
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits
;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un
organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données.
59. Quant à l’amende administrative qui peut être imposée en exécution de l’article 83 du RGPD
et des articles 100, 13° et 101 LCA, l’article 83 du RGPD prévoit :
« 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en
vertu du présent article pour des violations du présent règlement, visées aux paragraphes 4,
5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ;
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2,
points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour
décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas
d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de
la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées
et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;
Décision quant au fond 107/2024 — 13/21
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu
des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et
dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées
à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet,
le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».
III.2. Quant à l’imposition d’une amende administrative
60. L’article 58.2 du RGPD confère aux autorités de contrôle le pouvoir de prendre une ou
plusieurs mesures correctives à l’égard de responsables de traitement. Conformément à
l’article 58.2.i) du RGPD, une autorité de contrôle peut, selon les circonstances de chaque
cas, imposer une amende administrative en plus ou à la place des mesures correctives
susmentionnées.
61. À cet égard, l'article 83.1 du RGPD requiert qu'une amende imposée par une autorité soit,
dans chaque cas, effective, proportionnée et dissuasive. L'article 83.2 du RGPD énonce un
certain nombre de critères qui doivent être dûment pris en compte dans un cas concret. Par
ailleurs, l’amende la plus élevée s’applique conformément à l'article 83.5.b) du RGPD. En
effet, en cas de violation des droits de la personne concernée (en l’espèce, le droit d’accès
garanti par l’article 15 RGPD) la Chambre Contentieuse peut imposer une amende
administrative allant jusqu’à 20.000.000 EUR ou, dans les cas d’une entreprise, jusqu’à 4%
de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus
élevé étant retenu.
Décision quant au fond 107/2024 — 14/21
62. Une sanction imposée par l'APD sous forme d'amende doit être motivée convenablement,
l'importance de cette sanction devant d'une part tenir compte des circonstances du cas
d’espèce et d'autre part être proportionnée à l'infraction constatée ainsi qu’à la qualité de
l'auteur de l'infraction et sa situation financière. Toutefois, aucune disposition légale
n’impose à la Chambre contentieuse de se prononcer sur l'ensemble des critères prévus à
l'article 83 du RGPD précité, ni à indiquer les éléments chiffrés relatifs au mode de
détermination du montant de la sanction infligée 15. La motivation de l’amende sur la base
d’un résumé détaillé de chaque élément pris en considération pour la détermination de
l’amende est donc facultative, mais a été réalisée dans cette affaire.
63. En l’espèce, l’amende administrative se justifie par le fait que la défenderesse, dont le chiffre
d’affaire est établi à (…EUR) pour l’année 2023, a violé l’article 15 du RGPD durant une
période de 14 mois. Cette violation a été provoquée par l’incapacité de deux employés de la
défenderesse à traiter convenablement la demande d’accès formulée par le plaignant,
dénotant ainsi d’une négligence grave – et cela malgré le fait que le traitement de données
à caractère personnel constitue l’une de ses activités de base. Par ailleurs, la Chambre
Contentieuse tient compte du fait que bien que la défenderesse ait fini par donner à la
demande d’accès du plaignant une réponse satisfaisante, cette dernière a pris cours lors de
l’échange de conclusions des parties. Ces éléments – davantage développés ci-dessous –
justifient d’infliger une amende administrative, plutôt qu’une sanction plus faible telle
l’avertissement ou la réprimande.
III.2.1. Le calcul du montant de base
64. Nature, gravité et durée de la violation (article 83, paragraphe 2, point a) du RGPD) –
Premièrement, la Chambre Contentieuse relève que la défenderesse a enfreint le droit
d’accès du plaignant. Outre l'article 15 du RGPD, le droit d'accès figure également à l'article
8.2 de la Charte européenne des droits fondamentaux et constitue donc l'un des éléments
essentiels du droit fondamental à la protection des données ; il s'agit en d'autres termes de
la « passerelle » qui renforce le contrôle des personnes concernées sur les données les
15
En ce sens l’arrêt du Conseil d'État français, 10ème - 9ème chambres réunies, 14/05/2024, 472221, dispose que « 8. Il résulte
des dispositions qui précèdent que, dans l'hypothèse où la légalité d'une décision administrative repose sur la prise en compte
d'un certain nombre de considérations, le respect de l'exigence de motivation qu'elles prévoient ne conduit son auteur à ne
devoir énoncer que celles sur lesquelles se fonde la décision qu'il a prise. Il ne résulte en outre d'aucune disposition que la
formation restreinte de la CNIL devrait procéder à une explicitation du montant des sanctions qu'elle prononce. Il suit de là que
la formation restreinte de la CNIL, qui n'avait ni à se prononcer sur l'ensemble des critères prévus à l'article 83 du RGPD précité,
ni à indiquer les éléments chiffrés relatifs au mode de détermination du montant de la sanction infligée, mais s'est notamment
fondée de façon précise sur les critères prévus aux a et k du 2 de l'article 83 du RGPD ainsi que sur le modèle d'affaires de la
société requérante et le poids qu'elle représente dans son secteur économique, n'a pas insuffisamment motivé sa décision »,
et « 11. La formation restreinte de la CNIL, en prononçant une amende de 3 millions d’euros, a respecté les règles fixées par
l’article 20 de la loi du 6 janvier 1978, cité au point 9. En outre, il ne résulte d’aucune disposition, comme il est dit au point 8,
qu’elle devrait procéder à une explicitation du montant des sanctions qu’elle prononce. Par suite, la formation restreinte de la
CNIL n’a pas méconnu le principe de légalité des délits et des peines ».
Décision quant au fond 107/2024 — 15/21
concernant et permet l'exercice d'autres droits conférés à la personne concernée par le
RGPD, tels que le droit d'opposition et le droit d'effacement.
65. L’effectivité du droit d’accès est garanti par les modalités fixées par l’article 12 du RGPD,
celui-ci étant intrinsèquement lié à l’article 15 du RGPD entre autres. Dès lors, en ne donnant
une suite satisfaisante à la demande d’accès du plaignant que 14 mois suivant la date à
laquelle le plaignant a exercé son droit d’accès, la défenderesse s’est rendue coupable d’une
violation continue de l’article 15 du RGPD pendant plus de 14 mois.
66. Deuxièmement, concernant la gravité de la violation, la Chambre Contentieuse remarque
tout d’abord que la défenderesse est une entreprise de télécommunications, et que le
traitement des données à caractère personnel constitue donc l’une de ses activités de base.
Aussi, et tel que cela a été exposé dans les paragraphes ci-dessus, il y a eu une atteinte
continue durant 14 mois de l’article 15 du RGPD, celui-ci constituant pourtant la porte
d’entrée à l’exercice d’autres droits.
67. Troisièmement, quant à la durée de la violation, celle-ci a pris cours durant plus de 14 mois.
L’article 12.3 du RGPD dispose que le responsable du traitement réponde « dans les
meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception
de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la
complexité et du nombre de demandes. ». À cet égard, la Chambre Contentieuse précise,
d’une part, que la prolongation du délai susmentionnée ne doit être utilisée qu’à titre
exceptionnel – ce qui autrement pourrait indiquer le besoin pour le responsable de
traitement de développer ses procédures de traitement des demandes – et, d’autre part, que
le responsable de traitement doit répondre à une demande d’accès dans un délai inférieur à
un mois s’il est en mesure de le faire.
68. Caractère délibéré ou négligent de la violation (article 83, paragraphe 2, point b) du
RGPD) – L’on distingue la violation causée par négligence de la violation causée
délibérément. Le caractère délibéré d’une violation implique la rencontre de deux conditions,
à savoir la connaissance d’une violation ainsi que la volonté de l’engendrer. La négligence se
définit, a contrario, par l’absence de caractère intentionnel dans la réalisation de l’infraction,
bien que le principe de diligence n’ait pas été respecté.
69. La Chambre Contentieuse précise qu’un seuil élevé est fixé pour considérer une violation
comme étant délibérée. De surcroît, la négligence peut également être appréciée par
degrés.
70. En l’espèce, il ne ressort pas d’intentionnalité dans le manquement commis à l’article 15 du
RGPD. Toutefois, eu égard aux capacités financières et humaines de la défenderesse, ainsi
que du fait que les traitements de données à caractère personnel constituent l’une des
activités de base dans le chef de la défenderesse, la Chambre Contentieuse considère que
Décision quant au fond 107/2024 — 16/21
la défenderesse a commis une négligence sérieuse. Cela est d’autant plus vrai que
l’incapacité à savoir répondre à une demande d’accès émise par le plaignant s’est
manifestée chez deux employés de la défenderesse.
71. Catégories de données à caractère personnel concernées par la violation (article 83,
paragraphe 2, point g) du RGPD) – Il ne ressort pas des pièces du dossier que d’autres
données que des données d’identification aient été traitées par le responsable du
traitement.
72. Classification de la gravité de la violation et fixation du montant de départ adéquat –
L’appréciation des éléments ci-dessus – à savoir la nature, la gravité et la durée de la
violation, ainsi que le caractère délibéré ou négligent de la violation et les catégories de
données à caractère personnel concernées – permet de déterminer le degré de gravité de
la violation dans son ensemble. Selon cette évaluation, la gravité de la violation peut être
qualifiée de « faible », « moyenne » ou « élevée ».
73. En l’espèce, il y a tout d’abord lieu de relever que la violation de l’article 15 figure parmi les
violations listées à l’article 83.5 du RGPD, tombant ainsi sous le coup du niveau supérieur de
l’article 83 du même Règlement. Aussi, il convient de relever que les traitements de données
à caractère personnel qui ont motivé le plaignant à faire exercice de son droit d’accès
constituent l’une des activités de base dans le chef de la défenderesse. De plus, le plaignant
a reçu une réponse plus de 14 mois après l’exercice de son droit d’accès, et ce pendant
l’échange des conclusions dans la présente procédure. Toutefois, il ne ressort pas de l’affaire
que des données autres que des données d’identification auraient été traitées par la
défenderesse. De plus, la violation ne concerne que la seule personne du plaignant. De
surcroît, le dommage subi par ce dernier est faible étant entendu qu’il disposait déjà d’une
partie des réponses qu’il demandait à la défenderesse et qu’il n’avait pas droit d’accéder à
d’autres informations demandées, à savoir l’identité des employés ayant traité ses données
à caractère personnel. En tout état de cause, la violation commise par la défenderesse
trouve sa source dans une négligence forte de la part de celle-ci.
74. À la lumière des éléments exposés ci-avant, la Chambre Contentieuse conclut que la
violation constatée est de gravité faible. Dès lors, pour le calcul du montant ultérieur, il sera
fixé un montant de départ compris entre 0% et 10% du montant maximum légal prévu à
l’article 83.5 du RGPD.
75. Le chiffre d’affaires de la défenderesse s’élevant à (…) EUR pour l’année 2023, la Chambre
Contentieuse établit comme montant de calcul de base la somme de 100.000 EUR.
Décision quant au fond 107/2024 — 17/21
III.2.2. Circonstances atténuantes et aggravantes
76. Mesures prises pour atténuer le dommage subi par le plaignant (article 83.2.c) du RGPD) –
En ce qui concerne les mesures prises pour atténuer le dommage subi par le plaignant, la
Chambre Contentieuse reconnaît que la défenderesse a fini par octroyer une réponse
complète et satisfaisante au plaignant. Cependant, il ne saurait être ignoré que cette
réponse a été accordée après que les parties aient été invitées à soumettre leurs
conclusions.
77. Degré de responsabilité de la défenderesse compte tenu des mesures techniques et
organisationnelles mises en œuvre conformément aux articles 25 (article 83.2.d) du
RGPD) – La Chambre Contentieuse, évaluant le niveau de responsabilité de la défenderesse,
constate que cette dernière est entièrement responsable de la gestion des demandes des
personnes concernées qu’elle reçoit, en ce compris le droit d’accès.
78. Cette responsabilité englobe divers aspects, notamment l'efficacité de l'exécution des
demandes, la définition des codes spécifiques pour répondre de manière appropriée aux
demandes formulées en vertu des articles 15 à 22 du RGPD, ainsi que la compréhension et
la mise en œuvre de procédures claires et effectives par l’ensemble du personnel, des
directeurs au personnel interne.
79. La Chambre Contentieuse relève que la défenderesse disposait au moment des faits d’un
point de contact avec son délégué à la protection des données. Cela n’a toutefois pas
empêché à ce que la demande d’accès du plaignant reçoive une suite utile que plus de 14
mois après sa manifestation, ceci notamment en raison du fait que la défenderesse n’a pas
transmis la demande du plaignant auprès de son DPO, et même qu’elle ait déclaré – à tort –
au plaignant ne pas disposer de point de contact DPO.
80. Violations commises précédemment par le responsable de traitement (article 83.2.e) du
RGPD) – La Chambre Contentieuse ne relève pas de violation à l’article 15 du RGPD
commise précédemment par la défenderesse, ou de toute autre violation qui serait
pertinente en l’espèce. Ce critère est alors réputé neutre, étant entendu que le respect des
normes du RGPD est la norme.
81. Degré de coopération avec l’autorité de contrôle (article 83.2.f) du RGPD) – La Chambre
Contentieuse constate que la défenderesse s’est montrée tout à fait coopérative à son
égard. Ce critère est réputé neutre, dès lors qu’il s’agit d’un devoir général établi par l’article
31 du RGPD.
82. Manière avec laquelle l’autorité de contrôle a pris connaissance de la violation (article
83.2.h) du RGPD) – La Chambre Contentieuse a pris connaissance de la violation par le biais
d’une plainte. Ce critère est réputé neutre.
Décision quant au fond 107/2024 — 18/21
83. Toute autre circonstance aggravante ou atténuante (art. 83.2.k) du RGPD) – Il ne ressort
pas d’autre circonstance aggravante ou atténuante du cas d’espèce.
III.2.3. Le caractère effectif, disproportionné et dissuasif de l’amende
84. Une amende est jugée effective si elle atteint ses objectifs, tels que restaurer le respect des
règles et sanctionner les comportements illicites. En l’espèce, l’amende vise à sanctionner
le comportement négligent et grave de la défenderesse. De plus, elle vise à dissuader
d'autres violations similaires à l'avenir. La violation prolongée des droits fondamentaux du
plaignant, malgré la demande d’accès du plaignant et de multiples rappels, démontre la
nécessité d'une réponse ferme de la part de la Chambre Contentieuse. Dans ce cas, la
défenderesse, avec un chiffre d'affaires de plus de (… d’euros), peut supporter une amende
de 100.000 EUR (moins de 0,01% du chiffre d'affaires retenu) sans compromettre sa
viabilité économique. La Chambre Contentieuse a recherché un montant d’amende final
dissuasif, afin d’empêcher la défenderesse de récidiver dans la violation des règles du RGPD.
De plus, elle cherche également à dissuader d'autres entreprises de commettre des
violations similaires.
III.2.4. Réaction de la défenderesse au formulaire de sanction
85. À titre liminaire, la défenderesse fait valoir les circonstances du cas d’espèce. Elle déclare
qu’il s’agit d’une infraction ponctuelle et isolée, mais non pas d’une infraction qui serait de
nature systémique. Cette violation prendrait sa source non dans une intention délibérée ou
encore d’une négligence grave, mais d’une simple négligence. Elle ajoute que le nombre de
personnes concernées par la violation ne se limite qu’au seul plaignant, ce dernier ayant subi
un préjudice extrêmement limité – ceci se justifiant notamment en raison du fait que la
violation au RGPD commise ne concerne que de simples données d’identification. À cet
égard, la défenderesse relève que bien que le droit d’accès constitue la « passerelle » à
l’exercice des autres droits conférés par le RGPD, le plaignant n’a pas fait usage de ces
mêmes droits après avoir obtenu une réponse à sa demande d’accès le 28 mars 2023. En
tout état de cause, la défenderesse relève avoir corrigé la violation qu’elle a commise, et à
avoir mis en place des mesures additionnelles en interne, dont notamment des formations à
son service clientèle afin de permettre aux employés qui y opèrent de mieux reconnaître les
demandes d’accès, mais aussi à mieux les traiter. Enfin, la défenderesse fait valoir le fait
qu’elle reçoit en moyenne 150 demandes d’accès par an, et que, par conséquent, il se peut
que des demandes reçoivent des réponses au-delà des délais prévus par l’article 12.3 du
RGPD en raison de la survenance d’erreurs humaines.
86. La défenderesse conteste (i) le choix d’imposition d’une amende administrative ainsi que (ii)
son montant.
Décision quant au fond 107/2024 — 19/21
(i) Concernant le choix d’imposition d’une amende administrative
87. D’une part, la défenderesse rappelle les arrêts de la Cour des marchés par lesquels cette
dernière a jugé que la seule violation des délais établis par les articles 12.3 et 12.4 du RGPD
ne peuvent motiver le fait d’infliger une sanction.
88. D’autre part, la défenderesse dénonce une disproportion entre le choix de l’imposition d’une
amende administrative et les faits présentés ci-avant. La défenderesse expose en effet que
la Chambre Contentieuse dispose d’un large panel de sanctions. Cependant, elle considère
que la Chambre Contentieuse ne justifierait pas de la raison pour laquelle l’imposition d’une
amende administrative serait nécessaire en l’espèce, et la raison pour laquelle d’autres
sanctions, telles la réprimande ou l’avertissement, ne seraient pas appropriées.
(ii) Le montant de l’amende administrative
89. En dernière analyse, la défenderesse considère en effet que le montant de l’amende est
totalement démesuré par rapport à la gravité des faits de l’espèce.
III.2.5. Montant d’amende définitif
90. À la lumière de la réaction de la défenderesse, la Chambre Contentieuse décide de maintenir
le montant d’amende tel qu’il a été communiqué à la défenderesse le 3 juillet 2024, à savoir
100.000 EUR.
91. La défenderesse fait en effet valoir comme seuls éléments nouveaux le fait d’avoir adopté
des mesures additionnelles en interne afin d’éviter qu’une telle violation puisse se reproduire
à l’avenir, et l’information relative au nombre de demandes d’accès qu’elle reçoit en
moyenne par an (150).
92. Tout d’abord, la Chambre Contentieuse fait remarquer que l’organisation de formations
adéquates à la destination du personnel en vue de lui permettre de mieux traiter les
demandes d’exercice de droits des personnes concernées est ce qui est attendu d’un
responsable de traitement, et ce notamment lorsqu’il occupe une telle position dans le
marché. Le respect du RGPD étant la norme, cet élément ne saurait être apprécié autrement
que comme un critère neutre.
93. En outre, la Chambre Contentieuse tient à insister sur le fait que le traitement de données à
caractère personnel constitue une activité de base de la défenderesse, et qu’au regard de
son secteur d’activité, sa taille et le nombre de clients dont la défenderesse traite les
données à caractère personnel, les risques qui en découlent sont d’autant plus élevés.
Partant, la défenderesse se doit d’être davantage vigilante à la protection des données à
caractère personnel, et d’adopter des procédures robustes afin de garantir le respect des
Décision quant au fond 107/2024 — 21/21
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire18. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.19, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
18
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
19
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.