1/8
Chambre Contentieuse
Décision 11/2023 du 13 février 2023
Numéro de dossier : DOS-2022-03252
Objet : Plainte relative à l’exercice des droits d’opposition en matière de marketing
direct et à l’effacement des données
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke
Hijmans, président;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, ci-après « le plaignant » ; .
.
La défenderesse : Y, ci-après : « la défenderesse ». .
Décision 11/2023 - 2/8
I. Faits et procédure
1. Aux termes de sa plainte, le plaignant indique avoir été client auprès de la défenderesse
jusqu’en décembre 2021.
2. Il indique que malgré le fait qu’il n’était plus client auprès de la défenderesse, il a continué à
recevoir après cette date des appels téléphoniques depuis divers numéros de téléphone (… et
… par exemple) lui proposant des services de la défenderesse. Il ajoute avoir, en réponse à ces
appels, demandé la suppression de ses données personnelles sans que ses demandes orales
ne soient suivies d’effet.
3. Le plaignant rapporte s’être alors adressé au mois d’avril 2022 au délégué à la protection des
données (DPO) de la défenderesse. Il ne produit cependant pas sa demande. Interrogé sur ce
point dans le cadre de la mise en état du dossier, le plaignant a indiqué qu’il lui semble avoir
adressé sa demande via un formulaire en ligne dont il n’a pas de trace.
4. Le plaignant produit par contre la réponse reçue du DPO de la défenderesse le 22 avril 2022.
Aux termes celle-ci, le DPO indique qu’à la suite de la requête du plaignant, « nous pouvons vous
confirmer qu’entre-temps votre adresse e-mail et votre numéro de téléphone mobile ont été
effacés du système CRM de [lisez la défenderesse] et que votre compte (…) a également été
supprimé ». La défenderesse ajoute que conformément à l’article 17.3. du RGPD et à sa
politique de confidentialité, cette suppression n’est pas absolue. Elle ajoute que dès lors que le
plaignant est un ex-client, elle est autorisée à conserver des données relatives aux services
fournis (par exemple des factures) à des fins comptables et fiscales dans le respect des délais
de prescription prévus. Le DPO conclut en indiquant qu’il va cependant de soi que ces données
ne seront pas utilisées pour contacter le plaignant à des fins de démarchage.
5. Nonobstant les garanties reçues de la part du DPO de la défenderesse, le plaignant dénonce
recevoir encore et toujours des appels non sollicités de la part de la défenderesse (au mois de
juillet par exemple) ou lui proposant à tout le moins des services de la défenderesse, ce point
n’étant pas entièrement clair dans sa requête.
6. Le 9 août 2022, la plainte est déclarée recevable par le SPL de l’APD sur la base des articles 58
et 60 de la LCA1 et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62,
§ 1er de la LCA2.
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a
été déclarée recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite
de cette plainte, le dossier lui a été transmis.
Décision 11/2023 - 3/8
II. Motivation
7. Il apparait en l’espèce que la défenderesse traitait des données à caractère personnel
relatives au plaignant, son adresse e-mail et son numéro de téléphone portable à tout le
moins et ce, comme indiqué par la défenderesse dans son e-mail du 22 avril 2022. Ces
informations sont des données à caractère personnel relatives au plaignant au sens de
l’article 4.1. du RGPD en ce qu’elles permettent de l’identifier, ici directement. Le plaignant
est dès lors une « personne concernée » au sens de l’article 4.1. (deuxième partie) du RGPD.
8. Ces données ont par ailleurs fait l’objet d’un traitement automatisé par la défenderesse au
sens de l’article 4.2. du RGPD.
9. Le RGPD confère à toute personne concernée un certain nombre de droits (dont le droit
d’opposition et le droit à l’effacement pertinents dans le cas d’espèce) dont les modalités
d’exercice et les obligations corrélatives pour le responsable de traitement sont détaillées à
l’article 12 du RGPD. La Chambre Contentieuse rappelle ici l’article 12.3. en exécution duquel
le responsable de traitement qui se voit adresser une demande d’exercice des droits
(articles 15 à 22) est, sauf exception, tenu de fournir à la personne concernée des
informations sur les mesures prises à la suite de sa demande dans un délai d’un mois.
Lorsque la demande s’avère particulièrement complexe, ce délai peut être prolongé de deux
mois mais l’auteur de la demande d’exercice du droit ne doit pas moins en être averti dans le
délai d’1 mois.
Quant au droit d’opposition en matière de prospection (« direct marketing »)
10. Le RGPD ne définit pas ce qu’il faut entendre par « traitement à des fins de prospection » ou
à des fins de « direct marketing » selon la terminologie anglaise. Dans sa Recommandation
01/2020 du 17 janvier 2020 relative aux traitements de données à caractère personnel à des
fins de marketing direct, l’APD indique qu’il y a lieu de comprendre « marketing direct »
comme « toutre communication, sollicitée ou non sollicitée, visant la promotion d’une
organisation ou d’une personne, de services, de produits, que ceux-ci soient payants ou
gratuits, ainsi que de marques ou d’idées, adressée par une organisation ou une personne
agissant dans un cadre commercial ou non commercial, directement à une ou plusieurs
personnes physiques dans un cadre privé ou professionnel, par n’importe quel moyen,
impliquant le traitement de données à caractère personnel » (page 8 de la Recommandation
– définition).
11. Le traitement d’un numéro de téléphone portable ou d’une adresse e-mail3 telle celle du
plaignant pour lui envoyer des offres promotionnelles de certains produits constitue un
traitement de donnée personnelle à des fins de prospection (direct marketing) au sens de
3
Voy. à cet égard la Décision 64/2020 de la Chambre Contentieuse (point 23) :
https://autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-64-2020.pdf
Décision 11/2023 - 4/8
l’article 21.2. du RGPD4. La personne concernée est dans ce cas fondée à exercer son droit
d’opposition en application de l’article 21.2 du RGPD. Le plaignant indique aux termes de sa
plainte qu’il ne souhaitait plus être contacté par la défenderesse et a, à plusieurs reprises,
tenté sans succès de s’opposer audit traitement (points 1-3) tant oralement que via, affirme
t’-il, un formulaire ligne.
12. En conséquence, la défenderesse était, prima facie, tenue de fournir au plaignant des
informations sur les mesures prises à la suite de l’exercice de son droit d’opposition dans le
délai d’un mois à compter de la réception de sa demande comme prévu à l’article 12.3. du
RGPD5. Le DPO de la défenderesse a ainsi confirmé le 22 avril 2022 au plaignant que son
numéro de téléphone et son e-mail ne seraient plus traités à des fins de démarchage
(prospection commerciale / marketing direct). En application de l’article 21.3 du RGPD 6,
lorsque la personne concernée s'oppose au traitement à des fins de prospection, les
données à caractère personnel ne peuvent en effet plus être traitées à ces fins.
13. Nonobstant cet engagement, le plaignant se plaint de ce qu’il continue à recevoir des appels
promotionnels de la part de la défenderesse.
Quant aux conséquences du droit d’opposition en termes d’effacement
14. En conséquence de l’exercice du droit d’opposition basé sur l’article 21.2 du RGPD par le
plaignant, la défenderesse était non seulement tenue de cesser le traitement des données
du plaignant à des fins de marketing mais également dans l’obligation, en application de
l’article 17.1 c) du RGPD7, d’effacer le numéro de téléphone du plaignant dans les meilleurs
délais, idéalement dans un délai d’un mois8. Ce n’est que s’il traite cette même donnée pour
une autre finalité et à l’appui d’une base de licéité propre que le responsable de traitement,
ici présumément la défenderesse, est autorisé à la conserver.
4
Article 21.2. du RGPD : Le responsable du traitement notifie à chaque destinataire auquel les données à caractère
personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute
limitation du traitement effectué conformément à l’article 16 à l'article 17, paragraphe 1, et à l'article 18 à moins qu'une telle
communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement fournit à la
personne concernée des informations sur ces destinataires si celle-ci en fait la demande.
5
Article 12.3. du RGPD: Le responsable du traitement fournit à la personne concernée des informations sur les mesures
prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause
dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois,
compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de
cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.
6
Article 21.3. du RGPD : . Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les données à
caractère personnel ne sont plus traitées à ces fins.
7
Article 17.1. c) du RGPD : La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les
meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces
données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique: (…) la personne
concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le
traitement, ou la personne concernée s'oppose au traitement en vertu de l’article 21, paragraphe 2;
8
Voy. à cet égard la Décision 62/2021 de la Chambre Contentieuse (points 14 et s.) :
https://autoriteprotectiondonnees.be/publications/avertissement-62-2021.pdf
Décision 11/2023 - 5/8
15. En application de l’article 19 du RGPD9, le responsable de traitement est également tenu de
notifier tout effacement de données à caractère personnel effectué (conformément à
l’article 17.1 c) du RGPD – voy. ci-dessus) à chaque destinataire auquel les données à
caractère personnel auraient été communiquées.
16. En l’espèce, la plainte et les pièces du dossier semblent révéler que le traitement du numéro
de téléphone portable du plaignant s’est poursuivi aux fins de prospection malgré
l’opposition de ce dernier et les assurances données par le DPO de la défenderesse.
Quant à la décision de la Chambre Contentieuse
17. La Chambre Contentieuse estime que sur la base des faits susmentionnés, il y a lieu de
conclure que la défenderesse peut avoir commis une violation des dispositions du RGPD, en
particulier des articles 21.2., 21.3. et 17.1.c) du RGPD combinés à l’article 12.3. du RGPD. Ce
constat justifie l’adoption par la Chambre Contentieuse d’une décision à son encontre en
application de l’article 95, § 1er, 5° de la LCA, consistant plus précisément à lui ordonner de
donner suite à la demande d’exercice du droit d’opposition du plaignant dans un délai d’un
mois à dater de la notification de la présente décision et ce, à l’appui de la motivation qui
précède de même que de donner suite à son droit à l’effacement dans les limites fixées par
le dispositif de la présente décision.
18. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant dans
le cadre de la « procédure préalable à la décision de fond »10. Il ne s’agit donc pas d’une
décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
19. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait qu’elle peut avoir commis une violation des dispositions du RGPD et de lui
permettre d’encore se conformer aux dispositions précitées.
20. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
21. Si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et
estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui pourraient
9
Article 19 du RGPD : Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel
ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du
traitement effectué conformément à l'article 16, à l'article 17, paragraphe 1, et à l'article 18, à moins qu'une telle
communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement fournit à la
personne concernée des informations sur ces destinataires si celle-ci en fait la demande.
10
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
Décision 11/2023 - 6/8
conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une demande
de traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et
ce dans le délai de 30 jours après la notification de la présente décision. Le cas échéant,
l’exécution de la présente décision sera suspendue pendant la période susmentionnée.
42. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugeront utiles. Le cas échéant,
la présente décision sera définitivement suspendue.
43. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA11.
44. Enfin, sans que cela ne constitue quelle que mesure correctrice ou sanction que ce soit au
sens de l’article 95 de la LCA, la Chambre Contentieuse rappelle à la défenderesse qu’elle
est tenue de mettre en place les mesures techniques et organisationnelles nécessaires pour
permettre l’exercice des droits des personnes concernées, notamment des procédures de
suivi des demandes d’exercice des droits. Ces procédures sont d’autant plus importantes
que la défenderesse traite un volume considérable de données de par la nature de ses
activités et de par le nombre de personnes concernées par celles-ci.
11
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires
des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 11/2023 - 7/8
III. Publication de la décision
44. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données (APD). Toutefois, il n’est pas nécessaire à cette fin que les données
d’identification des parties soient directement mentionnées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément
aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner
à la défenderesse de se conformer à la demande du plaignant d'exercer ses droits,
dans les meilleurs délais et au plus tard dans les 30 jours de la notification de la
présente décision, plus précisément :
o son droit d’opposition (art. 21.2 du RGPD) et en conséquence, (a) de cesser tout
traitement des données à caractère personnel du plaignant à des fins de
prospection (article 21.3 du RGPD) ainsi que (b) de procéder à l’effacement des
données personnelles du plaignant (article 17.1 c) du RGPD), sauf à pouvoir se
prévaloir d’une base de licéité distincte autorisant le traitement des données
du plaignant pour une autre finalité et (c) de se conformer à son obligation de
notification telle que prévue à l’article 19 du RGPD, soit de notifier l’effacement
effectué à tout destinataire éventuel des données à caractère personnel du
plaignant ;
- d'ordonner à la défenderesse d'informer par e-mail, l'Autorité de protection des
données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le
même délai de 30 jours, via l'adresse e-mail [email protected] ; et
- si la défenderesse ne se conforme pas en temps utile à ce qui lui est demandé ci-
dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de
la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données (APD) comme partie
défenderesse.
Décision 11/2023 - 8/8
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire (C. jud.)12.
La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à
l'article 1034quinquies du C. jud.13, ou via le système d'information e-Déposit du ministère de la
Justice (article 32ter du C. jud.).
(sé.) Hielke HIJMANS
Président de la Chambre Contentieuse
12
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
13
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.