1/8
Chambre Contentieuse
Décision quant au fond 13/2019 du 17 décembre 2019
N° de dossier : DOS-2019-04234
Objet : Droits de la personne concernée, non retrait de courrier recommandé - amende
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Romain Robert et Dirk Van Der Kelen ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA) ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante :
1. Faits et procédure
1. La plainte de la plaignante contre le responsable du traitement a été déclarée recevable par le Service
de première ligne le 14 août 2019.
Décision quant au fond 13/2019 - 2/8
2. La plainte et les faits qu’elle relate se synthétisent comme suit. La plaignante a eu recours aux services
du responsable du traitement spécialisé dans les soins infirmiers spécialisés pour recevoir plusieurs
soins de santé. Elle a reçu de l’administratrice déléguée du responsable de traitement (une a.s.b.l.),
un courrier daté du 13 mai 2019, dans lequel cette dernière informe les utilisateurs des services du
responsable du traitement de sa présence, aux côtés de deux autres personnalités politiques, sur une
liste électorale pour les élections régionales du 29 mai 2019).
3. Suite à ce fait, la plaignante a tenté d’exercer ses droits d’accès (elle-même) et à l’effacement (par
l’intermédiaire de son conseil) auprès du responsable du traitement, et allègue que celui-ci n’y a
donné aucune suite.
4. Dans ce contexte, le conseil de la plaignante a introduit une plainte auprès de l’Autorité.
5. Le 26 août 2019, en vertu de l’article 95, § 1er, 1° et de l’article 98 de la loi du 3 décembre 2017
portant création de l'Autorité de protection des données, la Chambre Contentieuse décide qu'en ce
qui concerne la plainte introduite par la plaignante, le dossier peut être traité sur le fond. Un calendrier
d’échange de conclusions est fixé par cette décision et les parties en sont informées par courriers
recommandés avec accusé de réception datés du 26 août 2019 et envoyés le même jour.
6. Le courrier recommandé (avec accusé de réception) envoyé à l’attention du responsable du traitement
sera renvoyé à la Chambre contentieuse par bpost comme « NON RECLAME ». Le même courrier sera
renvoyé le 1er octobre 2019 par recommandé avec accusé de réception également, au responsable
du traitement. Ce courrier sera également renvoyé à la Chambre contentieuse par bpost comme
« NON RECLAME ».
7. Entre-temps, la plaignante aura communiqué ses conclusions par courrier du 15 octobre 2019 reçu le
16 octobre 2019. Elle y développe tout d’abord les raisons pour lesquelles elle estime qu’il y a eu dans
le chef du responsable du traitement une violation des articles 12 et 15 du RGPD, qui serait d’autant
plus grave qu’il est question du traitement de catégories particulières de données visées à l’article 9
du RGPD. Elle expose également en quoi selon elle il y a eu violation de l’article 17 du RGPD (le
responsable du traitement ne démontrant pas sur quelle base, au titre de l’article 6 du RGPD, elle
traite les données, celles-ci le seraient illicitement en particulier vu que celle-ci se serait éloignée des
finalités du traitement en adressant un courrier à tendance politique, les données devant en
conséquence être supprimées). Vu les services offerts à la plaignante par le responsable du
traitement, la plaignante suppose qu’il traite des catégories particulières de données à caractère
personnel visées à l’article 9 du RGPD. Elle demande que le responsable du traitement se conforme
aux demandes de la plaignante et ce, sous.
...
Décision quant au fond 13/2019 - 3/8
2. Saisine
8. La plaignante a explicitement introduit auprès de l’Autorité une plainte pour violation des articles 12
et 15 du RGPD par le responsable du traitement .
9. La plaignante termine l’exposé des faits de sa plainte (, par ces deux alinéas :
« Par son courrier du 13 mai 2019, l’ASBL Y s’est totalement éloignée des finalités de
traitement qui sont légitimement attendues par les utilisateurs d’une plateforme de soins
infirmiers.
Par un courrier du 12 août 2019, la plaignante a également (par l’intermédiaire de son conseil)
sollicité l’effacement de ses données à caractère personnel. Elle entend toutefois porter plainte
auprès de l’Autorité de Protection des Données pour les manquements au droit d’accès et au
droit à la transparence qui lui sont pourtant reconnu par les articles 12 et 15 du RGPD ».
10. Dans ses conclusions, la plaignante « sollicite donc qu’il soit ordonné à la partie défenderesse de se
conformer à ses demandes relatives à l’exercice de ses droits , s’agissant de la violation alléguée des
articles 12 et 15 du RGPD, et elle « sollicite donc l’effacement de l’ensemble des données à caractère
personnel qui la concernent et qui sont encore détenues par la partie défenderesse », s’agissant de
la violation alléguée de l’article 17 du RGPD. Elle soutient dans ses conclusions qu’aucune suite n’a
été réservée à ses demandes, et termine demandant à la Chambre contentieuse de :
Déclarer la plainte recevable et fondée ;
Ordonner au responsable de traitement de se conformer aux demandes de la plaignante afin
de lui permettre d’exercer ses droits dans le mois de la décision sous peine d’astreinte de 1000
EUR par jour de retard ;
Ordonner l’effacement des données de la plaignante détenues par le responsable de
traitement et la notification de celui-ci à la plaignante dans le mois de la décision sous peine
d’astreinte de 1000 EUR par jour de retard.
11. Sur la base de ces éléments (plus haut, points nos 8 à 10), la Chambre contentieuse est uniquement
saisie des faits allégués suivants : l’absence de suivi donné par le responsable du traitement, aux
demandes d’exercice de ses droit d’accès et droit à l’effacement de la plaignante, en violation des
articles 12, 15 et 17 du RGPD. Pour le surplus, la plaignante demeurerait libre de saisir l’Autorité d’une
...
Décision quant au fond 13/2019 - 4/8
nouvelle plainte s’il s’avérait ultérieurement, que le responsable du traitement n’a pas traité les
données à caractère personnel la concernant conformément au RGPD.
3. Motifs de la décision quant aux manquements
12. L’article 15 du RGPD dispose que :
« 1. La personne concernée a le droit d'obtenir du responsable du traitement la confirmation
que des données à caractère personnel la concernant sont ou ne sont pas traitées et,
lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations
suivantes:
a) les finalités du traitement;
b) les catégories de données à caractère personnel concernées;
c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel
ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des
pays tiers ou les organisations internationales;
d) lorsque cela est possible, la durée de conservation des données à caractère personnel
envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée;
e) l'existence du droit de demander au responsable du traitement la rectification ou
l'effacement de données à caractère personnel, ou une limitation du traitement des données
à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce
traitement;
f) le droit d'introduire une réclamation auprès d'une autorité de contrôle;
g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne
concernée, toute information disponible quant à leur source;
h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22,
paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique
sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la
personne concernée.
2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une
organisation internationale, la personne concernée a le droit d'être informée des garanties
appropriées, en vertu de l'article 46, en ce qui concerne ce transfert.
3. Le responsable du traitement fournit une copie des données à caractère personnel faisant
l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de frais
raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée
par la personne concernée. Lorsque la personne concernée présente sa demande par voie
...
Décision quant au fond 13/2019 - 5/8
électronique, les informations sont fournies sous une forme électronique d'usage courant, à
moins que la personne concernée ne demande qu'il en soit autrement.
4. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et libertés
d'autrui ».
13. L’article 17, 1. du RGPD prévoit notamment que la personne concernée a le droit d’obtenir du
responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel
la concernant dans une série d’hypothèses qu’il définit, et pour autant que l’une des hypothèses de
l’article 17,3. ne soit pas rencontrée en l’espèce.
14. Dans le cas de demandes d’exercice de son droit d’accès par la personne concernée conformément à
l’article 15 du RGPD et de son droit à l’effacement des données conformément à l’article 17 du RGPD,
l’article 12, 3., du RGPD, dispose que :
« Le responsable du traitement fournit à la personne concernée des informations sur les mesures
prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais
et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin,
ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.
Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du
report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne
concernée présente sa demande sous une forme électronique, les informations sont fournies par voie
électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit
autrement ».
15. En l’espèce, la plaignante a adressé par courrier recommandé à l’attention du responsable du
traitement daté du 7 juin 2019, une demande d’exercice de son droit d’accès en vertu de l’article 15
du RGPD. Elle y a en substance demandé une copie des données qui seraient traitées à son sujet
ainsi qu’une série d’informations, à savoir les catégories de données détenues, les finalités de
traitement, la durée de conservation des données et les catégories de destinataires auxquels les
données sont communiquées. L’adresse reprise dans ce courrier est la suivante : ASBL Y …. .
16. La plaignante a communiqué une pièce selon laquelle le 29 juin 2019, l’envoi recommandé n’aurait
pas été réclamé par son destinataire et aurait en conséquence été renvoyé vers l’expéditeur.
17. Le conseil de la plaignante a à son tour envoyé un courrier, ordinaire cette fois, daté du 12 août 2019
au responsable du traitement dans lequel en substance, il constate qu’à l’expiration d’un délai d’un
mois, il n’a pas été donné suite à la demande de la plaignante, met formellement en demeure le
...
Décision quant au fond 13/2019 - 6/8
responsable du traitement de supprimer les données à caractère personnel concernant la plaignante,
et informe de la saisine de l’Autorité d’une plainte pour des manquements aux articles 12 et 15 du
RGPD. Il s’agit d’un courrier simple, envoyé à l’adresse mentionnée ci-dessus.
18. La plaignante allègue qu’il n’a pas non plus, été donné suite à ce courrier.
19. Aucun élément du dossier ne permet de mettre en doute qu’il n’a pas été donné de suite aux deux
demandes adressées par la plaignante à l’attention du responsable du traitement. Au contraire, les
développements suivants démontreront que la Chambre contentieuse a également rencontré des
difficultés en vue de contacter le responsable du traitement.
20. Dans ce contexte, la Chambre contentieuse constate sur la base des pièces du dossier, que dans le
délai d’un mois consacré dans l’article 12, 3. du RGPD, le responsable du traitement est demeuré
silencieux et n’a informé la plaignante ni des mesures prises à la suite de ses demandes en application
des articles 15 et 17 du RGPD, ni des motifs pour lesquels ce délai devrait être prolongé, et n’a
communiqué aucune information à la plaignante au titre de l’article 15 du RGPD. En conséquence, le
responsable du traitement a manqué aux obligations consacrées dans les articles 12, 3., et 15 du
RGPD.
4. Motifs de la décision quant aux mesures correctrices
21. Il importe de contextualiser le manquement aux articles 12, 3., et 15 (plus haut, points nos 12-20)
en vue d’identifier les mesures correctrices les plus adaptées. Dans le premier courrier adressé au
responsable du traitement, la plaignante relève qu’elle « utilise actuellement les services de [l’a.s.b.l.]
pour des prises de sang ». Dans le courrier adressé par l’administratrice déléguée du responsable du
traitement à la plaignante, Mme Z apparaît dans sa signature comme « infirmière spécialisée en
Oncologie ». Dans ses conclusions, la plaignante explique souffrir de graves problèmes de santé, avoir
fait appel aux services du responsable du traitement et que des infirmiers se sont donc rendus chez
elle à plusieurs reprises afin de procéder à différents soins.
22. Au regard de ces éléments, c’est à juste titre que la plaignante considère dans ses conclusions qu’il
est probable que le responsable du traitement traite des catégories particulières de données visées à
l’article 9 du RGPD, à savoir en l’occurrence, des données concernant la santé. La Chambre
contentieuse considère qu’il apparaît des pièces du dossier que le responsable du traitement traite
des données concernant la santé.
...
Décision quant au fond 13/2019 - 7/8
23. Or le régime juridique réservé au traitement de telles données dans l’article 9 du RGPD est motivé
par le risque important que ce type de traitement peut comporter pour les droits et libertés des
personnes concernées. Le considérant n° 51 du RGPD dispose à ce sujet que les « données à
caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et
des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont
traitées pourrait engendrer des risques importants pour ces libertés et droits ».
24. S’agissant du traitement de catégories particulières de données, l’importance de pouvoir en vérifier
le traitement licite par l’exercice de son droit d’accès est d’autant plus grande pour la plaignante. En
l’espèce en outre, eu égard au courrier relatif aux élections qu’elle a reçu et l’auteure de celui-ci (plus
haut, point n° 2), à savoir une administratrice du responsable du traitement, la plaignante peut
légitimement s’inquiéter de savoir si le responsable du traitement a connu ou pas une violation de
données, et à juste titre, considérer qu’une fuite de données pourrait avoir des conséquences
néfastes sur sa situation . Le silence du responsable du traitement en est d’autant plus préoccupant.
25. Dès lors que le responsable du traitement n’a pas répondu aux demandes de la plaignante, la Chambre
contentieuse considère qu’il convient tout d’abord, en vertu de l’article 100, § 1 er, 6° de la LCA,
d’ordonner au responsable e traitement, dans les 20 jours ouvrables à compter de la notification de
la présente (la date d’envoi de la présente décision par le greffe vaut date de notification) et donc
nonobstant les délais consacrés dans l’article 12 du RGPD en raison du contexte juste évoqué : dans
un premier temps, de se conformer à la demande de droit d’accès de la plaignante, conformément
aux articles 12 et 15 du RGPD ; et dans un deuxième temps, de se conformer à la demande
d’effacement de la plaignante, conformément aux articles 12 et 17 du RGPD.
26. Ensuite, la Chambre contentieuse considère qu’en l’occurrence, le manquement aux articles 12, 3., et
15 du RGPD, pris en considération dans son contexte, justifie l’imposition d’une amende administrative
conformément aux articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD. La nature du traitement
(article 83, 2., a) du RGPD), telle qu’elle ressort de son contexte (plus haut, points nos 21-24),
implique également que le manquement aux articles 12, 3., et 15 du RGPD est grave. La Chambre
contentieuse ne dispose pas d’éléments, dans le dossier, en vue de l’appréciation des b) à k) de
l’article 83, 2., du RGPD. Elle considère qu’en l’espèce, une amende de 2000 EUR pour ce manquement
est effective, proportionnée et dissuasive conformément à l’article 83, 1., du RGPD.
27. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les
décisions de la Chambre Contentieuse, cette décision est sera publiée sur le site Internet de l'Autorité
de protection des données moyennant la suppression des données d’identification directe des parties
et des personnes citées.
...
Décision quant au fond 13/2019 - 8/8
PAR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE,
en vertu de l’article 100, § 1er, 6° de la LCA, ordonne à l’a.s.b.l. Y, dans les 20 jours
ouvrables à compter de la notification de la présente (la date d’envoi de la présente décision
par le greffe vaut date de notification) :
dans un premier temps, de se conformer à la demande de droit d’accès de la
plaignante, conformément aux articles 12 et 15 du RGPD, nonobstant les délais
consacrés dans l’article 12 du RGPD ;
et dans un deuxième temps, de se conformer à la demande d’effacement de la
plaignante, conformément aux articles 12 et 17 du RGPD, nonobstant les délais
consacrés dans l’article 12 du RGPD ;
en vertu des articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD, impose à l’a.s.b.l.
Y, une amende de 2000 EUR pour manquement aux articles 12, 3., et 15 du RGPD, en
raison des manquements précités ;
et enfin, décide que la présente décision sera notifiée à l’a.s.b.l. Y par courrier
recommandé avec accusé de réception et par courrier ordinaire.
28. La présente décision peut faire l'objet d'un recours dans un délai de trente jours, à compter de la
notification, à la Cour des marchés 1 (article 108, § 1er de la LCA), avec l’Autorité de protection des
données comme défendeur.
Hielke Hijmans
Président de la Chambre Contentieuse
1
La Cour d’appel de Bruxelles.