1/7
Chambre Contentieuse
Décision 128/2023 du 5 septembre 2023
Numéro de dossier : DOS-2023-03274
Objet : Plainte relative à l’absence de réaction à une demande d’accès et d’effacement
exercée dans le cadre d’un démarchage immobilier
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X ci-après « le plaignant » ; .
.
La défenderesse : L’AGENCE Y, ci-après : « la défenderesse ». .
Décision 128/2023 — 2/7
I. Faits et procédure
1. Le 2 août 2023, le plaignant a introduit une plainte auprès de l’Autorité de protection des
données (ci-après « l’APD ») contre la défenderesse, une agence spécialisée dans le marché
immobilier pour les expatriés à Bruxelles et ses environs.
2. L’objet de la plainte concerne l’absence de réaction à une demande d’accès et d’effacement
exercée dans le cadre d’un démarchage immobilier.
3. Le 10 juin 2023, le plaignant reçoit un e-mail de la défenderesse sur sa boîte de messagerie
privée. Ce courriel concerne la location de son bien immobilier, identifié sous la référence
« … ». Cette communication s'inscrit dans un démarchage direct pour la mise en location de
l’appartement du plaignant. La défenderesse prétend avoir recueilli des informations sur des
biens potentiellement intéressants pour sa clientèle, ainsi que des renseignements sur des
individus avec qui elle aurait déjà collaboré. Selon la défenderesse, le nom du plaignant aurait
été cité par une source qu’ils connaissent, sans divulguer l’identité de cette source. De plus,
la défenderesse souligne que le plaignant peut exprimer son désir de ne plus être contacté
en répondant au même courriel.
4. Dans le cadre de sa plainte, le plaignant précise n’avoir pas rendu publique la mise en location
de son bien, à l'exception d'une publication sur un groupe Facebook (sans mention de son e-
mail) et sur un intranet professionnel d'une institution non spécifiée. La démarche de la
défenderesse le surprend, car elle ne devrait pas avoir connaissance de ces informations.
5. Toujours le 10 juin 2023, le plaignant répond à la défenderesse en soulevant deux questions ;
Il demande explicitement à la défenderesse de révéler la personne ou la société qui leur a
transmis ses données, et il exige que toutes les données le concernant soient effacées
immédiatement. D’après le plaignant, la défenderesse n’a pas respecté le délai légal de 30
jours pour fournie une réponse adéquate à sa demande.
6. Le 9 août 2023, la plainte est déclarée recevable par le Service de Première Ligne (ci-après
« SPL ») sur la base des articles 58 et 60 de la LCA 1 et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA2.
II. Motivation
7. En application de l’article 4, § 1er de la LCA, l'APD est responsable du contrôle des principes
de protection des données contenus dans le RGPD et d’autres lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été déclarée
recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de cette plainte,
le dossier lui a été transmis.
Décision 128/2023 — 3/7
8. En application de l’article 33, § 1er de la LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est saisie des plaintes que le SPL lui transmet en
application de l’article 62, § 1er de la LCA, soit des plaintes recevables. Conformément à
l’article 60 alinéa 2 de la LCA, les plaintes sont recevables si elles sont rédigées dans l'une
des langues nationales, contiennent un exposé des faits et les indications nécessaires pour
identifier le traitement de données à caractère personnel sur lequel elles portent et qui
relèvent de la compétence de l'APD.
9. En application des articles 51 et s. du RGPD et de l’article 4, § 1er de la LCA, il revient à la
Chambre Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer
un contrôle effectif de l’application du RGPD et de protéger les libertés et droits
fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux
des données à caractère personnel au sein de l'Union.
10. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
11. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur
la base des compétences qui lui ont été attribuées par le législateur en vertu de l’article
95, § 1er de la LCA, la Chambre Contentieuse décide de la suite à donner à la plainte, en
l’occurrence d'ordonner à la défenderesse, conformément à l'article 58.2.c) du RGPD et
l'article 95, § 1er, 5° de la LCA, de se conformer à la demande de la personne concernée
d'exercer ses droits, plus précisément le droit d’accès et le droit à l'effacement, introduits
par le plaignant le 10 juin 2023, conformément aux article 15.1 et 17.1 du RGPD ; et ce,
pour les raisons exposées ci-dessous.
12. La Chambre Contentieuse prend en considération le grief soulevé par le plaignant au sujet
de l'absence de réponse de la part de la défenderesse à sa demande d'accès (visant à obtenir
l’identité des individus et/ou entités ayant partagé ses données personnelles) ainsi qu’à sa
demande d’effacement ; toutes deux exercées le 10 juin 2023, conformément aux articles
15.1 et 17.1 du RGPD, à la suite de la réception d’un courriel envoyé par la défenderesse à des
fins de « marketing direct » 3 (ci-après « le courriel litigieux ») .
3
APD, Recommandation n° 01/2020 du 17 janvier 2020 relative aux traitements de données à caractère personnel à des fins de mar keting
direct, p. 8, disponible sur le site Internet de l'APD. Le RGPD ne définit pas ce qu’il y a lieu d’entendre par « marketing direct » (prospection).
Jusqu’à présent, il n’existe pas de définition légale officielle ou généralement acceptée de cette notion au niveau européen. L’APD a précisé
son interprétation de cette notion légale dans la recommandation n° 01/2020 : « Toute communication, sollicitée ou non sollicitée, visant la
promotion d’une organisation ou d’une personne, de services, de produits, que ceux-ci soient payants ou gratuits, ainsi que de marques ou
d’idées, adressée par une organisation ou une personne agissant dans un cadre commercial ou non commercial, directement à une ou
plusieurs personnes physiques dans un cadre privé ou professionnel, par n’importe quel moyen, impliquant le traiteme nt de données à
caractère personnel. » Par « marketing direct », on entend donc plusieurs formes de promotion, comme des bulletins d’information par e-mail,
des appels téléphoniques, des SMS ou des e-mails commerciaux ou de la publicité en ligne et ce, dans un contexte commercial ou non.
Décision 128/2023 — 4/7
13. L’article 4.7) du RGPD définit le « responsable du traitement » comme étant « la personne
physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou
conjointement avec d’autres, détermine les finalités et les moyens du traitement » 4.
14. La Chambre Contentieuse rappelle que le responsable du traitement doit donner suite à la
demande formulée en application des articles 15 à 22 du RGPD par la personne concernée,
en l’espèce une demande d’accès prévue par l’article 15 du RGPD et d’effacement prévue
par l’article 17 du RGPD, et ce dans le respect des conditions fixées à l’article 12 du RGPD 5.
15. En vertu de l'article 12.1 du RGPD, il appartient au responsable du traitement de « prendre
des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que
pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui
concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible et aisément accessible, en des termes clairs et simples [...]. ».
16. La Chambre Contentieuse souligne également qu’il incombe au responsable du traitement
de fournir à la personne concernée des informations sur les mesures prises à la suite d’une
demande formulée en application des articles 15 à 22 du RGPD, dans les meilleurs délais et
en tout état de cause dans un délai d’un mois à compter de la réception de la demande 6.
L’article 12.3 du RGPD prévoit que ce délai peut, au besoin, être prolongé de deux mois,
compte tenu de la complexité et du nombre de demandes 7. Dans un tel cas, le responsable
du traitement informe la personne concernée de cette prolongation et des motifs du report
dans un délai d’un mois à compter de la réception de la demande8.
17. Dans l’hypothèse où le responsable du traitement ne donne pas suite à la demande formulée
par la personne concernée, il informe celui-ci sans tarder et au plus tard dans un délai d’un
mois à compter de la réception de la demande des motifs de son inaction et de la possibilité
d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours
juridictionnel9.
18. Sur la base des pièces étayant la plainte, la Chambre Contentieuse constate que le plaignant
a effectivement exercé ses droits d’accès et d'effacement le 10 juin 2023, conformément
aux articles 15.1 et 17.1 du RGPD, en réponse au courriel litigieux reçu à la même date. De
plus, la Chambre Contentieuse remarque que le plaignant a soumis sa plainte à l’APD le 2
août 2023, dépassant ainsi les délais de réponse attribués au responsable du traitement en
vertu des articles 12.3 et 12.4 du RGPD. Par ailleurs, il est pertinent de noter que les griefs
4
Selon l’article 4, 2) du RGPD, un « traitement » de données à caractère personnel désigne « toute opération ou tout ensemble d'opérations
effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles
que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation,
l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion,
la limitation, l'effacement ou la destruction ».
5
RGPD, art. 12.
6
RGPD, art. 12.2 et 12.3.
7
RGPD, art. 12.3.
8
RGPD, art. 12.3.
9
RGPD, art. 12.4.
Décision 128/2023 — 5/7
exprimés dans sa réponse au courriel litigieux sont en tout point concordants avec ceux
présentés dans sa plainte déposée auprès de l’APD. Enfin, la Chambre Contentieuse
souligne que si la défenderesse avait pleinement respecté les exigences énoncées dans
l'article 12 du RGPD, elle aurait pris en compté la demande d’accès et d’effacement. Cette
démarche aurait potentiellement évité au plaignant d'entamer une procédure devant l’APD.
19. Suite à l’analyse susmentionnée, la Chambre Contentieuse estime que la défenderesse
pourrait avoir commis une violation des dispositions suivantes : les articles 15 et 17 du RGPD,
combinées aux articles 12.3 et 12.4 du RGPD ; ce qui justifie la prise d’une décision prima
facie par la Chambre Contentieuse conformément à l’article 95 de la LCA, plus précisément
l’article 95, § 1er, 5° de la LCA, en réponse à la plainte déposée par le plaignant, dans le cadre
de la « procédure préalable à la décision de fond »10 et pas une décision sur le fond de la
Chambre Contentieuse au sens de l’article 100 de la LCA.
20. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, de la possibilité d'une éventuelle violation des dispositions du RGPD, afin de lui
offrir l’opportunité de se conformer aux dispositions précitées.
21. Si toutefois la défenderesse n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui
pourraient conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une
demande de traitement sur le fond de l’affaire via l’adresse e-mail litigationchamber@apd-
gba.be, et ce dans le délai de 30 jours après la notification de la présente décision. Le cas
échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
22. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
23. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA11.
10
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
11
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
Décision 128/2023 — 6/7
III. Publication de la décision
24. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond
conformément aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner
à la défenderesse de se conformer à la demande de la personne concernée
d'exercer ses droits, plus précisément le droit d’accès qui implique la révélation de
l’identité des individus et/ou entités ayant partagé les données de la personne
concernée, ainsi que le droit à l'effacement, nécessitant la suppression desdites
données, et ce dans le délai de 30 jours à dater de la notification de la présente
décision ;
- d'ordonner à la défenderesse d'informer par e-mail l'Autorité de protection des
données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans
le même délai, via l'adresse e-mail [email protected] ; et
- si la défenderesse ne se conforme pas en temps utile à ce qui lui est demandé ci-
dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de
la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire12. La requête interlocutoire doit être
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
12
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro
d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
Décision 128/2023 — 7/7
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.13, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
13
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recomma ndée au
greffier de la juridiction ou déposée au greffe.