1/8
Chambre Contentieuse
Décision 11/2024 du 22 janvier 2024
Numéro du dossier : DOS-2023-02597
Objet: Plainte relative à l’absence de réponse à l’exercice du droit d’accès concernant la
consultation du Registre National
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel, ci-après « LTD » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, Belgique, ci-après « le plaignant » ; .
.
La partie défenderesse : Y, Belgique, ci-après « la défenderesse ». .
Décision 11/2024 — 2/8
I. Faits et procédure
1. Le 14 juin 2023, le plaignant a introduit une plainte auprès de l’Autorité de protection des
données (ci-après « APD ») contre la défenderesse, Y
2. Cette plainte concerne l’absence de réponse à la demande d’accès du plaignant concernant
la consultation du Registre National (ci-après « RN ») par la défenderesse.
3. Le 23 mars 2023, la défenderesse a consulté le RN du plaignant.
4. Le 14 juin 2023, dans le formulaire de plainte initiale, le plaignant a expliqué qu’il n’a obtenu
aucune réponse quant aux raisons de la consultation de son RN et sur l’identité de la
personne ayant effectué cette consultation.
5. Le 3 juillet 2023, le Service de Première Ligne (ci-après « SPL ») a encouragé le plaignant à
exercer ses droits auprès de la défenderesse et fournir une copie de cette correspondance.
6. A une date inconnue, le plaignant aurait pris contact avec la défenderesse pour lui demander
l’identité de la personne qui a consulté son RN ainsi que les motifs d’une telle consultation.
7. Le 7 août 2023, la défenderesse a répondu au plaignant que c’était bien un professionnel qui
a effectué la consultation de son RN. Selon la défenderesse, cette consultation est permise
par la délibération n° 22/2012 du 14 mars 2012 du Comité sectoriel du Registre national de
la Commission de la Protection de la Vie privée. Et, en vertu de cette autorisation la
défenderesse peut avoir un accès permanent aux informations visées à l'article 3, premier
et deuxième alinéa de la loi du 8 août 1983 organisant un Registre national des personnes
physiques. La défenderesse a précisé que cet accès est autorisé dans le seul but de
communiquer aux professionnels de cet ordre les informations dont ils ont besoin dans le
cadre des tâches qu'ils remplissent en tant qu'au (..) conformément à ladite loi. Toutefois, la
défenderesse a expliqué ne pas pouvoir communiquer l'identité du professionnel ayant
consulté ses données en raison du secret professionnel conformément à l'article 11 de ladite
loi. Par ailleurs, la défenderesse a expliqué ne pas être compétent pour examiner si, dans le
cadre de cette consultation, ce professionnel a respecté les obligations légales et
déontologiques. Dès lors, la défenderesse a informé le plaignant que « .. » de l’Ordre dont
dépend ce professionnel concerné effectuera ces vérifications et le bilan lui sera
communiqué.
8. Le 29 septembre 2023, le plaignant a expliqué au SPL ne pas être satisfait de la réponse de
la défenderesse. Elle a également affirmé que, depuis le 7 août 2023, elle n’aurait pas encore
été contacté au sujet des vérifications que devait effectuer la défenderesse.
Décision 11/2024 — 3/8
9. Le 27 octobre 2023, la plainte est déclarée recevable par le SPL sur la base des articles 58
et 60 de la LCA1 et la plainte est transmise à la Chambre Contentieuse en vertu de l'article
62, § 1er de la LCA2.
II. Motivation
10. En application de l’article 4, § 1er de la LCA, l'APD est responsable du contrôle des principes
de protection des données contenus dans le RGPD et d’autres lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.
11. En application de l’article 33, § 1er de la LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est saisie des plaintes que le SPL lui transmet en
application de l’article 62, § 1er de la LCA, soit des plaintes recevables. Conformément à
l’article 60 alinéa 2 de la LCA, les plaintes sont recevables si elles sont rédigées dans l'une
des langues nationales, contiennent un exposé des faits et les indications nécessaires pour
identifier le traitement de données à caractère personnel sur lequel elles portent et qui
relèvent de la compétence de l'APD.
12. En application des articles 51 et s. du RGPD et de l’article 4, § 1er de la LCA, il revient à la
Chambre Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer
un contrôle effectif de l’application du RGPD et de protéger les libertés et droits
fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux
des données à caractère personnel au sein de l'Union.
13. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
14. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur
base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95,
§ 1er de la LCA, la Chambre Contentieuse décide de la suite à donner à la plainte ; en
l’occurrence, la Chambre Contentieuse décide sur la base de l’article 58.2.a) du RGPD et
de l’article 95, § 1er, 4° de la LCA, d’adresser un avertissement concernant un éventuel
manquement aux articles 12.3, 12.4 et l’article 15 du RGPD (droit d'accès), pour les
raisons exposées ci-après. De plus, conformément à l'article 58.2.c) du RGPD et l'article
95, § 1er, 5° de la LCA, la Chambre Contentieuse décide d’ordonner à la partie
défenderesse de se conformer à la demande de la personne concernée d'exercer ses
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été déclarée
recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de cette plainte,
le dossier lui a été transmis.
Décision 11/2024 — 4/8
droits, plus précisément le droit d'accès, et ce dans un délai de 30 jours à compter de la
notification de la présente décision.
15. La Chambre Contentieuse prend en considération le grief soulevé par le plaignant au sujet
de l'absence de réponse de la part de la partie défenderesse à sa demande d'accès, dont la
date précise n’a pas été spécifiée, mais dont la réponse fournie par la défenderesse le 7 aout
2023 (voir point 7) ainsi que les recommandation du SPL en date du 3 juillet 2023 (voir point
5) confirment clairement son exercice, conformément à l’ article 15 du RGPD.
16. L’article 4.7) du RGPD définit le « responsable du traitement » comme étant « la personne
physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou
conjointement avec d’autres, détermine les finalités et les moyens du traitement » 3.
17. La Chambre Contentieuse rappelle que le responsable du traitement doit donner suite à la
demande formulée en application des articles 15 à 22 du RGPD par la personne concernée,
en l’espèce une demande d'accès prévue par l’article 15 du RGPD, et ce dans le respect des
conditions fixées à l’article 12 du RGPD 4.
18. En vertu de l'article 12.1 du RGPD, il appartient au responsable du traitement de prendre «
des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que
pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui
concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible et aisément accessible, en des termes clairs et simples [...]. ».
19. La Chambre Contentieuse souligne également qu’il incombe au responsable du traitement
de fournir à la personne concernée des informations sur les mesures prises à la suite d’une
demande formulée en application des articles 15 à 22 du RGPD, dans les meilleurs délais et
en tout état de cause dans un délai d’un mois à compter de la réception de la demande 5.
L’article 12.3 du RGPD prévoit que ce délai peut, au besoin, être prolongé de deux mois,
compte tenu de la complexité et du nombre de demandes 6. Dans un tel cas, le responsable
du traitement informe la personne concernée de cette prolongation et des motifs du report
dans un délai d’un mois à compter de la réception de la demande7.
20. Dans l’hypothèse où le responsable du traitement ne donne pas suite à la demande formulée
par la personne concernée, il informe celui-ci sans tarder et au plus tard dans un délai d’un
mois à compter de la réception de la demande des motifs de son inaction et de la possibilité
3
Selon l’article 4, 2) du RGPD, un « traitement » de données à caractère personnel désigne « toute opération ou tout ensemble d'opérations
effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles
que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation,
l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion,
la limitation, l'effacement ou la destruction ».
4
RGPD, art. 12.
5
RGPD, art. 12.2 et 12.3.
6
RGPD, art. 12.3.
7
RGPD, art. 12.3.
Décision 11/2024 — 5/8
d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours
juridictionnel8.
21. En outre, la Chambre rappelle aussi qu’en sa qualité de responsable du traitement, la partie
défenderesse est tenue de respecter les principes de protection des données et doit être en
mesure de démontrer que ceux-ci sont respectés. Elle doit par ailleurs mettre en œuvre
toutes les mesures nécessaires à cet effet (principe de responsabilité – articles 5.2 et 24 du
RGPD).
22. Enfin, la Chambre Contentieuse rappelle que le droit d’accès 9 est une des exigences
majeures du droit à la protection des données, il constitue la « porte d’entrée » qui permet
l’exercice des autres droits que le RGPD confère à la personne concernée, tel le droit à la
rectification, le droit à la limitation du traitement ou le droit à l’effacement.
23. Aux termes de l’article 15.3 du RGPD, la personne concernée a en outre le droit d’obtenir une
copie des données à caractère personnel qui font l’objet du traitement. L’article 15.4 du
RGPD prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui.
24. Sur la base des pièces étayant la plainte, la Chambre Contentieuse constate que le plaignant
a effectivement exercé son droit d'accès, conformément à l’article 15.1 du RGPD (voir points
5, 6, 7, 15). Les recommandations du SPL datées du 3 juillet 2023, combinées à la réponse
de la défenderesse en date du 7 août 2023, confirment clairement l’exercice de ce droit. La
Chambre Contentieuse ajoute que la défenderesse a indiqué, dans son courrier du 7 août
2023, que le « .. » de l’Ordre dont dépend ce professionnel concerné procédera à des
vérifications et communiquera le bilan résultant de ces vérifications. La Chambre
Contentieuse remarque que le plaignant a soumis sa plainte à l’APD le 29 septembre 2023,
dépassant ainsi les délais de réponse attribués au responsable du traitement en vertu des
articles 12.3 et 12.4 du RGPD. Enfin, la Chambre Contentieuse souligne que si la partie
défenderesse avait pleinement respecté les exigences énoncées à l'article 12 du RGPD, elle
aurait pris en compté la demande d’accès en communiquant ledit bilan susmentionné (voir
point 8). Cette démarche aurait potentiellement évité au plaignant d'entamer une procédure
devant l’APD.
25. Suite à l’analyse susmentionnée, la Chambre Contentieuse estime que la partie
défenderesse pourrait avoir commis une violation des dispositions suivantes : l’article 15 du
8
RGPD, art. 12.4.
9
Aux termes de cet article 15, la personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à
caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès aux dites données à caractère personnel ainsi
que les informations suivantes (article 15.1. du RGPD) : les finalités du traitement (a), les catégories de données à caractè re personnel (b), les
destinataires ou catégories de destinataires des données (c), la durée de conservation (d), une information relative aux autres droits que
confère le RGPD (e), le droit d’introduire une plainte auprès de l’autorité de protection des données (f), toute information relative à la source
des données lorsque celles-ci n’ont pas été collectées auprès de la personne concernée (g) et l’existence d’une prise de décision automatisée
(h). L’article 15.2 du RGPD prévoit que si les données sont transférées vers un pays tiers ou une organisation internationale, la personne
concernée a le droit d'être informée des garanties appropriées concernant ce transfert, conformément à l'article 46 du RGPD. L’article 15.3.
du RGPD prévoit que le responsable du traitement doit fournir une copie des données à caractère personnel faisant l'objet du traitement. Il
peut facturer des frais raisonnables pour des copies supplémentaires. Si la personne concernée fait sa demande par voie électronique, les
informations doivent être fournies sous une forme électronique courante, sauf si la personne demande autrement.
Décision 11/2024 — 6/8
RGPD, combinées aux articles 12.3 et 12.4 du RGPD ; ce qui justifie la prise d’une décision
prima facie par la Chambre Contentieuse qui se décline comme suit : en vertu de l'article
58.2.c) du RGPD et de l'article 95, §1er, 5° de la LCA, d’ordonner à la partie défenderesse de
se conformer à la demande du plaignant d’exercer son droit d'accès.
26. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant,
dans le cadre de la « procédure préalable à la décision de fond »10 et ne constitue pas une
décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
27. La présente décision a pour but d’informer la partie défenderesse, présumée responsable
du traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
28. Si toutefois la partie défenderesse n’est pas d’accord avec le contenu de la présente
décision prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou
juridiques qui pourraient conduire à une autre décision, elle peut adresser à la Chambre
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans le délai de 30 jours après la notification de la
présente décision prima facie. Le cas échéant, l’exécution de la présente décision est
suspendue pendant la période susmentionnée.
29. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
30. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA11.
31. Enfin, la Chambre Contentieuse attire encore l’attention sur ce qui suit :
10
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
11
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 11/2024 — 7/8
Si une des deux parties souhaite recourir à la possibilité de consulter et de copier le dossier
(article 95, § 2, 3° de la LCA), elle doit s'adresser au secrétariat de la Chambre Contentieuse,
de préférence via l’adresse e-mail [email protected], afin de fixer un rendez-
vous. Si une copie du dossier est demandée, les pièces seront si possible transmises par voie
électronique ou, à défaut, par courrier ordinaire
III. Publication de la décision
32. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la partie défenderesse d’un traitement sur le fond
conformément aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, §1er, 5° de la LCA,
d'ordonner à la partie défenderesse de se conformer à la demande de la personne
concernée d'exercer ses droits, plus précisément le droit d'accès, en fournissant le
résultat du bilan tel qu’indiqué dans le courriel du 7 aout 2023 ; et ce dans le délai de
30 jours à dater de la notification de la présente décision ;
- d'ordonner à la partie défenderesse d'informer par e-mail l'Autorité de protection
des données (Chambre Contentieuse) de la suite qui est donnée à cette décision,
dans le même délai, via l'adresse e-mail [email protected] ; et
- si la partie défenderesse ne se conforme pas en temps utile à ce qui lui est demandé
ci-dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s.
de la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire12. La requête interlocutoire doit être
12
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro
d’entreprise;
Décision 11/2024 — 8/8
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.13, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
13
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au
greffier de la juridiction ou déposée au greffe.