1/12
Chambre Contentieuse
Décision quant au fond 11/2019 du 25/11/2019
N° de dossier : DOS-2018-06502
Objet : Plainte à l’encontre d’un candidat aux élections communale pour non-respect du
principe de finalité dans le cadre de l’envoi de courriers de propagande électorale
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Y. Poullet et C. Boeraeve, membres, laquelle reprend l’affaire dans
cette composition ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement Général sur la
Protection des Données), ci-après RGPD;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le règlement d'ordre intérieur de l’Autorité de protection des données tel qu'approuvé par la
Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Décision quant au fond 11/2019 du 25/11/2019- 2/12
I. Rétroactes de la procédure
Vu la plainte déposée le 21 octobre 2018 par X auprès de l’Autorité de protection des données ;
Vu la décision du 29 novembre 2018 du Service de première ligne de l’Autorité de protection des
données déclarant la plainte recevable et la transmission de celle-ci à la Chambre Contentieuse à cette
même date ;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 19 décembre 2018 de demander
une enquête au service d’inspection en application des articles 63,2° et 94, 1° LCA ;
Vu la saisine de l’Inspecteur général à cette même date ;
Vu le rapport et procès-verbal d’enquête de l’Inspecteur général transmis le 4 avril 2019 à la Chambre
Contentieuse dont les constats sont reproduits dans cette décision (voir point III) ;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 15 mai 2019 de considérer que
le dossier était prêt pour traitement quant au fond en vertu des articles 95 § 1er, 1° et 98 LCA ;
Vu la communication, le 20 mai 2019, du rapport et procès-verbal d’enquête de l’Inspecteur général
aux parties et l’invitation de la Chambre Contentieuse aux parties à faire valoir leurs arguments selon
un calendrier établi ;
Vu les conclusions du plaignant, Monsieur X, reçues le 12 juin 2019 ;
II. Les faits et l’objet de la plainte
Le plaignant, Monsieur X, est un habitant de la commune de ….
Monsieur Y est, à l’époque des faits, candidat aux élections communales de 2018 à …. Il est échevin
sortant depuis 12 ans et vétérinaire.
Dans sa plainte, Monsieur X expose qu’Il a reçu un courrier de propagande électorale de la part de
Monsieur Y, courrier qui lui est adressé à l’adresse qu’il habitait du temps où il était client chez ce
dernier en sa qualité de vétérinaire. Ledit courrier mentionne notamment ce qui suit :
« Chère cliente, cher client, madame, monsieur,
...
Décision quant au fond 11/2019 du 25/11/2019- 3/12
Comme il y a six ans, à la veille des élections communales, je vous écris pour vous demander
de m’accorder votre confiance. Avec l’aide du collège, je pense avoir obtenu un bilan très
positif dans mes échevinats.
( …)
Santé : toutes les campagnes de stérilisation des chats errants sur notre commune, cette
campagne commence à porter ses fruits. Primes pour la stérilisation et l’identification des
chats domestiques (vous pouvez encore en bénéficier). Mise en lien des médecins avec une
structure médicale au forfait. Ma démarche est en train d’aboutir à la création d’un centre
médical à ...
Je vous remercie pour votre confiance.
Dr Y, médecin vétérinaire, échevin à … depuis 12 ans
Monsieur X se plaint de la réutilisation par Monsieur Y de son fichier client à des fins électorales. Il en
veut pour preuve que l’adresse à laquelle ledit courrier lui est adressé est celle à laquelle il résidait du
temps où elle se rendait chez Monsieur y en qualité de vétérinaire. Il indique avoir une autre adresse
depuis et ne plus être client chez Monsieur Y depuis plus de 10 ans.
III. Le rapport et procès-verbal d’enquête de l’Inspecteur général
Aux termes de son rapport et procès-verbal d’enquête, l’Inspecteur général fait les constats suivants :
Constatation 1 : « Dans son courrier de réponse [soit en réponse à une demande de renseignement
de l’Inspecteur général], Mr Y mentionne que le registre des électeurs et le listing émanant de son
fichier client ont servi à envoyer des lettres personnalisées de propagande électorale à des clients et
autres personnes. Il écrit « A posteriori, je reconnais que je ne pouvais pas utiliser mon listing
« client » vu le RGPD qui a été mis en place quelques semaines avant le courrier » ».
Constatation 2 : « Le listing émanant du fichier clients de Mr Y mentionne en ce qui concerne l’adresse
du plaignant « … » tandis que le registre des électeurs indique « ….».
.
...
Décision quant au fond 11/2019 du 25/11/2019- 4/12
IV. Quant à la compétence de l’APD, en particulier de la Chambre Contentieuse
Quant à la compétence de l’Autorité de protection des données, en particulier de la
Chambre Contentieuse
En application de l’article 4 § 1er de la LCA, l'Autorité de protection des données est responsable du
contrôle du respect des principes fondamentaux de la protection des données à caractère personnel,
dans le cadre de la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données
(LCA) et des lois contenant des dispositions relatives à la protection du traitement des données à
caractère personnel.
En application de l’article 33 §1er de la LCA, la Chambre Contentieuse est l’organe de contentieux
administratif de l’Autorité. Elle est saisie des plaintes que le Service de première ligne lui transmet en
application de l’article 62 § 1er LCA, soit des plaintes recevables dès lors que conformément à l’article
60 alinéa 2 LCA, ces plaintes sont rédigées dans l'une des langues nationales; contiennent un exposé
des faits et les indications nécessaires pour identifier le traitement de données à caractère personnel
sur lequel elles portent et relèvent de la compétence de l'Autorité de protection des données.
Dans un arrêt du 23 octobre 20191, La Cour des marchés confirme à cet égard que:
“De bevoegdheid van de GBA strekt zich enkel uit tot het oordelen over een correcte naleving van de
AVG en de Belgische privacywetgeving zoals duidelijk omschreven in de GBA-wet”.
[Traduction : La compétence de l'APD se limite uniquement à se prononcer sur le respect correct du
RGPD et de la législation belge en matière de vie privée, comme le spécifie clairement la loi APD]2.
En conséquence, l’Autorité de protection des données n’est pas compétente pour se prononcer sur
une possible violation du règlement d’ordre intérieur du Conseil communal (article 75-17) qui ne serait
pas constitutive d’un manquement aux règles de protection des données ou sur la validité d’une
décision d’irrecevabilité d’une demande d’interpellation citoyenne introduite par le plaignant, deux
griefs invoqués par le plaignant aux termes des conclusions qu’il a déposées qui ne portent pas sur le
respect des principes fondamentaux de la protection des données à caractère personnel à l’égard de
traitements de données personnelles identifiés et tels que définis à l’article 4 1) et 2) du Règlement
général sur la protection des données (RGPD) .
1
Hof van Beroep Brussel, sectie Marktenhof, 19de kamer A, kamer voor marktzaken, arrest dd. 23 oktober 2019.
2
Traduction libre réalisée par le Secrétariat de l’Autorité de protection des données en l’absence de traduction officielle.
...
Décision quant au fond 11/2019 du 25/11/2019- 5/12
V. Sur les motifs de la décision
Sur le manquement à l’obligation de traiter les données de manière compatible avec les
finalités pour lesquelles elles ont été collectées
En sa qualité de responsable de traitement, Monsieur Y est tenu de respecter les principes de
protection des données et doit être en mesure de démontrer que ceux-ci sont respectés (principe de
responsabilité – article 5.2. du RGPD). Il doit par ailleurs mettre en œuvre toutes les mesures
nécessaires à cet effet (article 24 du RGPD).
Le principe de finalité est un principe angulaire de la protection des données. Consacré dès 1981 à
l’article 5 b) de la Convention pour la protection des personnes à l'égard du traitement automatisé des
données à caractère personnel du Conseil de l’Europe (STE 108), il est énoncé à l’article 6 § 1 b) de
la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données ainsi qu’à l’article 4 § 1, 2° de la Loi du 8 décembre 1992 relative à la
protection de la vie privée à l'égard des traitements de données à caractère personnel . Lors de la
consécration du droit à la protection des données au rang de droit fondamental par la Charte des
droits fondamentaux en 2000, il a été énoncé au titre d’élément clé de ce droit. Ce principe a, en toute
logique, été repris à l’article 5.1.b) du RGPD au titre des Principes relatifs au traitement des données
à caractère personnel (Chapitre II).
L’article 5 § 1 b) du RGPD dispose ainsi que :
« 1. Les données à caractère personnel doivent être : ( …) b) collectées pour des finalités
déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière
incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt
public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas
considéré conformément à l’article 89 paragraphe 1, comme incompatible avec les finalités
initiales » (limitation des finalités).
En d’autres termes, ce principe exige que les données soient collectées pour des finalités déterminées,
explicites et légitimes, et ne soient pas traitées ultérieurement de manière incompatible avec ces
finalités. Le traitement ultérieur de données à caractère personnel pour d'autres finalités que celle(s)
pour laquelle (lesquelles) ces données ont été collectées initialement n'est autorisé que si ce
traitement ultérieur est compatible avec les finalités pour lesquelles les données à caractère personnel
ont été collectées initialement, compte tenu du lien entre les finalités pour lesquelles elles ont été
collectées et les finalités du traitement ultérieur envisagé, du cadre dans lequel les données à caractère
personnel ont été collectées, des conséquences possibles du traitement ultérieur envisagé pour la
...
Décision quant au fond 11/2019 du 25/11/2019- 6/12
personne concernée et de l'existence de garanties appropriées. Une finalité compatible est par
exemple une finalité que la personne concernée peut prévoir ou qui peut être considérée comme
compatible en vertu d'une disposition légale (voy. l’article 6.4. du RGPD).
Dans sa note « Elections » publiée dès le début des années 2000 sur son site Internet et mise à jour
à la suite de l’entrée en application du RGPD 3, l’Autorité de protection des données mentionne que :
« Toutefois, les partis politiques et leurs candidats à une élection peuvent être tentés d'avoir
recours à des données à caractère personnel recueillies dans le cadre d'autres traitements
dont la finalité première n'avait rien à voir avec la propagande électorale. Cela vaut aussi bien
pour des données extraites de fichiers du secteur public (comme le Registre national, des
données de fichiers du personnel de la fonction publique, une liste des personnes aidées par
un CPAS, des données obtenues dans le cadre de l'exercice d'un mandat d'échevin, ...) que
pour des données de fichiers du secteur privé (fichier clients d'une entreprise, liste des
membres d'une association, ...)
La note poursuit en indiquant :
« Dans cette optique, il n'est donc pas permis de réutiliser les données à caractère personnel
enregistrées dans les fichiers précités dans un but de propagande électorale. Un tel traitement
est incompatible avec les finalités pour lesquelles ces données ont été initialement récoltées,
ce qui est punissable en vertu de l'article 83.5 du RGPD ».
Toute utilisation ultérieure incompatible est interdite sauf deux exceptions prévues à l’article 6.4. du
RGPD. Lorsque la personne concernée a donné son consentement au traitement ultérieur pour une
finalité distincte ou lorsque le traitement se base sur une disposition légale qui constitue une mesure
nécessaire et proportionnée dans une société démocratique notamment pour la garantie de finalités
importantes d'intérêt public, le responsable du traitement a tout de même la possibilité de traiter
ultérieurement ces données à caractère personnel pour d'autres finalités, qu’elles soient compatibles
ou non avec les finalités initiales.
La Chambre Contentieuse précise à cet égard que le consentement de la personne concernée doit
porter sur le traitement ultérieur pour une finalité distincte et non constituer, le cas échéant, la base
de légitimité du premier traitement. Autrement dit, il importe peu à cet égard que le traitement de
3
Traitement de données à caractère personnel à des fins d’envois personnalisés de propagande électorale et respect de la vie
privée des citoyens : principes fondamentaux,
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Note_elections_RGPD.pdf
...
Décision quant au fond 11/2019 du 25/11/2019- 7/12
données initial soit lui-même fondé sur le consentement. Quoi qu'il en soit, il faut veiller à ce que la
personne concernée soit informée de telles autres finalités et de ses droits. 4
Aux termes du courrier en réponse qu’il adresse à l’Inspecteur général (courrier reçu le 13 mars 2018
par ce dernier), Monsieur Y ne conteste pas avoir eu recours aux données personnelles du fichier client
qu’il maintient en sa qualité de vétérinaire pour adresser à ces clients (liste de 654 personnes au total)
un courrier les invitant à voter pour lui aux élections communales d’octobre 2018. La Chambre
Contentieuse note à cet égard les déclarations écrites qu’il a faites par courrier reçu le 13 mars 2019
au cours de l’Inspection ainsi que les termes utilisés dans le courrier électoral litigieux qui débutent
par « Cher client » et se terminent pas une signature qui fait état de sa qualité de vétérinaire. Le
rapport de l’Inspecteur général du 4 avril 2019 en fait également état.
Comme la Chambre Contentieuse l’a décidé dans sa décision 4/2019 du 28 mai 20195, cette utilisation
ultérieure de données personnelles est incompatible avec la finalité première du traitement, soit la
maintenance d’un fichier client, et n’est pas autorisée par le RGPD.
En conclusion, il résulte de ce qui précède qu’en utilisant un fichier professionnel constitué au départ
des données personnelles de clients le consultant en qualité de vétérinaire pour adresser à ces clients
un courrier dans le contexte des élections communales d’octobre destiné à les inviter à voter pour lui,
Monsieur Y a traité lesdites données à caractère personnel de manière incompatible avec la finalité
initiale de la collecte de telles données - fut-ce celle-ci licite - et ce, en méconnaissance des articles 5
§ 1 b) et 6.4. du RGPD.
La Chambre Contentieuse rappelle de manière générale que tout traitement de données à caractère
personnel – en ce compris la collecte initiale mais également la conservation des données collectées
notamment – doit s’appuyer sur une des bases de licéité prévues à l’article 6 du RGPD. Les droits,
d’information notamment, de la personne concernée tels que prévus au Chapitre III du RGPD doivent
par ailleurs être respectés.
Les données ne peuvent en outre, en application de l’article 5 § 1 e) du RGPD être conservées sous
une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas
celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
4
Traitement de données à caractère personnel à des fins d’envois personnalisés de propagande électorale et respect de la vie
privée des citoyens : principes fondamentaux :
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Note_elections_RGPD.pdf
5
Cette décision a été publiée: https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/BETG04-
2019ANO_FR.pdf
...
Décision quant au fond 11/2019 du 25/11/2019- 8/12
VI. Sur les mesures correctrices et les sanctions
Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1. 1° classer la plainte sans suite ;
2. 2° ordonner le non-lieu ;
3. 3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.
Quant à l’amende administrative qui peut être imposée en exécution des articles 83 du RGPD et des
articles 100, 13° et 101 LCA, l’article 83 du RGPD prévoit :
« Article 83 du RGPD
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en
vertu du présent article pour des violations du présent règlement, visées aux paragraphes 4,
5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points
a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider
du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce,
des éléments suivants :
...
Décision quant au fond 11/2019 du 25/11/2019- 9/12
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou
de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées
et le niveau de dommage qu'elles ont subi;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu
des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles
25 et 32;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le
sous-traitant;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs;
g) les catégories de données à caractère personnel concernées par la violation;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et
dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées
à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet,
le respect de ces mesures;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes
de certification approuvés en application de l'article 42; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation.
Quant à la nature de la violation (article 83.2.a) du RGPD) la Chambre Contentieuse a rappelé que le
respect du principe de finalité est un principe essentiel et fondateur de la protection des données. Ce
principe, consacré à l’article 5 du RGPD (Chapitre II – Principes ; Article 5 - principes relatifs au
traitement des données à caractère personnel) est d’application non pas uniquement depuis l’entrée
en application du RGPD le 24 mai 2018 mais bien depuis l’entrée en application dès 1993 de la Loi du
8 décembre 1992 relative aux traitements des données à caractère personnel qui l’a précédé. Le non-
respect de ce principe fondamental est, selon la Chambre Contentieuse, constitutif d’un manquement
grave.
La Chambre Contentieuse relève que Monsieur Y fait amende honorable tout en indiquant que le RGPD
a été mis en place quelques semaines avant son envoi. Ce dernier élément ne résiste toutefois pas à
l’analyse. A l’époque des faits, le respect du principe de finalité était d’application depuis plus de 25
ans déjà.
...
Décision quant au fond 11/2019 du 25/11/2019- 10/12
Quant à l’intention dans le chef de Monsieur Y, celle-ci est avérée. Il n’a pas agi par négligence mais
délibérément utilisé la liste de ses clients en sa qualité de vétérinaire pour contacter ces derniers dans
le contexte des élections communales d’octobre 2018 à …
Quant à la finalité du traitement (art. 83.2.a) du RGPD), la Chambre Contentieuse constate qu’elle
consiste à inciter les destinataires du courrier à voter pour un candidat en particulier. Si tel est bien
entendu le but de toute campagne électorale, le respect des lois dans le contexte de celle-ci est
particulièrement important. A cet égard, le Comité européen de la protection des données (CEPD) a
récemment rappelé l’importance des règles de protection des données dans le contexte électoral en
ces termes: « le respect des règles de protection des données, en ce compris dans le contexte des
activités et campagnes électorales, est essential à la protection de la démocratie. C’est également un
moyen de préserver la confiance des citoyens et l’intégrité des élections »6.
La qualité d’échevin de Monsieur Y depuis 2006 aurait, comme l’a souligné la Chambre Contentieuse
dans sa décision 04/2019 du 28 mai 2019 déjà citée 7, par ailleurs dû s’accompagner d’un
comportement exemplaire au regard du respect de la législation, en ce compris celle de la protection
des données, tout particulièrement dans le contexte électoral. Cette qualité de mandataire public déjà
au moment des faits est retenue par la Chambre Contentieuse dans l’appréciation de la gravité du
manquement. Monsieur Y ayant par ailleurs été élu depuis octobre 2018 en qualité de conseiller
communal, la Chambre Contentieuse prend également cet élément en compte dans l’appréciation du
caractère effectif que doit présenter toute sanction en application de l’article 83 du RGPD.
La Chambre Contentieuse estime par ailleurs que si les catégories de données à caractère personnel
traitées, (article 83.2. g) du RGPD), (nom, prénom et adresse postale) ne sont pas de nature à porter
une atteinte irrémédiable à la vie privée et la protection des données des destinataires de ces courriers,
en revanche, dans le contexte électoral et eu égard à la finalité du traitement déjà évoquée, le nombre
6
Voy. European Data Protection Board (EDPB), Statement 2/2019 on the use of personal data in the course of political
campaigns (13 March 2019): “Compliance with data protection rules, including in the context of electoral activities and political
campaigns, is essential to protect democracy. It is also a means to preserve the trust and confidence of citizens and the integrity
of elections”.
7
La décision de la Chambre des litiges 04/2019 du 28 mai 2019 énonce à cet égard ce qui suit : « Cela [lisez le respect des
règles fixées par le RGPD] s'applique à tout responsable du traitement et a fortiori au titulaire d'un mandat public tel qu'un
bourgmestre. Le citoyen doit avoir la certitude que les données qu'il confie au titulaire d'un mandat public dans l'exercice de
ses fonctions ne seront pas utilisées à d'autres fins, en violation de la loi. Qui plus est, il s'agit en l'espèce d'une utilisation à
des fins personnelles du titulaire de ce mandat. On doit pouvoir attendre d'un bourgmestre qu'il ait connaissance des obligations
découlant du RGPD ou qu'il se renseigne correctement à ce sujet. Le fait que les médias soient très attentifs à l'application du
RGPD a également son importance. La Chambre Contentieuse estime qu'un bourgmestre doit montrer l'exemple quand il s'agit
de respecter la loi ».
...
Décision quant au fond 11/2019 du 25/11/2019- 11/12
de personnes concernées (654) - a fortiori eu égard au nombre d’électeurs potentiel d’une commune
comme celle de … - n’est pas négligeable.
Enfin, la Chambre Contentieuse s’interroge sur la référence explicite dans le courrier litigieux à une
prime pour la stérilisation et l’identification des chats dont les clients de Monsieur Y pourraient toujours
bénéficier et qui inviterait, fut ce indirectement, à une visite chez le vétérinaire dont il pourrait donc
retirer un avantage financier (article 83.2.k) du RGPD) .
La Chambre contentieuse précise que les autres critères listés à l’article 83.2. du RGPD ne sont, dans
cette affaire, pas de nature à aboutir à une amende administrative d’un montant autre que celui
qu’elle fixe aux termes de la présente décision.
En conclusion, au regard des éléments développés ci-dessus propres à cette affaire, la Chambre
Contentieuse estime que les faits constatés et le manquement constitué aux articles 5 § 1 b) et 6.4.
du RGPD, justifient qu’au titre de sanction effective, proportionnée et dissuasive telle que prévue à
l’article 83 du RGPD et compte tenu des facteurs d’appréciation listés à l’article 83.2. du RGPD, une
réprimande (article 100 § 1er, 5° LCA), assortie d’une amende administrative d’un montant de 5000
euros (article 100 § 1er, 13 et 101 LCA) soit prononcée l’encontre de Monsieur Y.
Pour tous les motifs précités, et afin de rappeler à l’ensemble des mandataires publics le droit
applicable à la protection des données à caractère personnel et l’interdiction d’utiliser des fichiers de
citoyens pour des finalités autres et incompatibles avec les finalités pour lesquelles elles ont été
initialement recueillies, la Chambre Contentieuse estime indispensable de rendre publique sa décision
sur la base de l’article 100 § 1, 16° LCA en omettant toutefois toutes les données qui permettent
l’identification directe des parties. Ce faisant, l’Autorité de protection des données agit conformément
au souhait du législateur prévu à l’article 7, 2° de la Loi du 5 mai 2019 modifiant le Code d’instruction
criminelle et le Cde judiciaire en ce qui concerne la publication des jugements et des arrêts , anticipant
ainsi l’entrée en vigueur de cette disposition (M.B. 16 mai 2019).
PAR CES MOTIFS,
La Chambre Contentieuse de l'Autorité de protection des données décide, après délibération, de :
- Prononcer à l’encontre de Monsieur Y une réprimande sur la base de l’article 100 § 1er, 5°
LCA ;
- Prononcer à l’encontre de Monsieur Y une amende administrative d’un montant de 5000
euros en application des articles 100 § 1er, 13° et 101 LCA ;
...
Décision quant au fond 11/2019 du 25/11/2019- 12/12
- Rendre publique sa décision sur la base de l’article 100 § 1, 16° LCA en la publiant sur son
site Internet https://www.autoriteprotectiondonnees.be/ en omettant toutefois tout élément
permettant l’identification directe des parties.
En vertu de l’article 108, § 1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés dans un délai de 30 jours à compter de sa notification, avec l'Autorité de protection des
données en tant que défenderesse.
Hielke Hijmans
Président de la Chambre Contentieuse