1/11
Chambre Contentieuse
Décision 135/2022 du 22 septembre 2022
N° de dossier : DOS-2019-05983
Objet : Plainte relative à l’exercice d’un droit d’accès à l’encontre d’une société – co-
responsabilité – classement sans suite
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel (ci-après LTD) ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, Ci-après « le plaignant » ;
La défenderesse : […], société de droit anglais de la défenderesse,
[….] société de droit belge de la défenderesse
Ci-après « la défenderesse » ;
Décision 135/2022 - 2/11
I. Faits et procédure
1. Le 25 novembre 2019, le plaignant dépose plainte auprès de l’Autorité de protection des
données (APD).
2. Sa plainte concerne l’exercice de son droit d’accès (article 15 du RGPD) et les suites jugées
inadéquates réservées à cette demande par la défenderesse.
3. Le plaignant rapporte ainsi que le 26 septembre 2019, il a adressé une demande d’accès
auprès du service client de la défenderesse, demandant à récupérer toutes les données liées
à ses deux comptes (…) et (…). Un échange d’e-mails en date du 28 septembre 2019 a suivi
cette demande au terme duquel la défenderesse a vérifié l’identité du plaignant et l’a
informé de ce qu’une suite serait donnée à sa requête en vue d’obtenir une copie de ses
données personnelles dans un délai d’un mois en accord avec la règlementation applicable
en matière de protection des données. Ces premiers échanges d’e-mails ont eu lieu avec une
personne utilisant une adresse mail .be et se présentant comme étant en charge des
comptes clients auprès de la défenderesse (customer accounts).
4. A défaut de suite donnée à ces premiers échanges, le plaignant a adressé un rappel à la
défenderesse le 4 novembre 2019, soit plus d’un mois après sa demande initiale du 26
septembre 2019 (point 3 ci-dessus).
5. En réponse, le plaignant a reçu cette fois un courriel daté du 7 novembre 2019 envoyé depuis
l’adresse privacy@[...].uk , signé par la Privacy team de la défenderesse, et l’informant qu’à la
suite de sa demande d’effacement, toute les données personnelles que la défenderesse
détenait « et qui entrent dans le champ d’application de votre (lisez « son ») droit à
l’effacement en vertu de la règlementation relative à la protection des données avaient été
supprimées » (extrait du courriel produit). La défenderesse y précise encore qu’elle a avisé
de cet effacement tous les tiers qui traitaient des données du plaignant pour son compte,
renvoyant à cet égard à sa politique de confidentialité. Enfin, la défenderesse indique que le
droit à l’effacement n’implique pas nécessairement que toutes les données personnelles
soient effacées dès lors que dans certaines circonstances, des exceptions prévues par le
RGPD peuvent jouer. La défenderesse renvoie à cet égard le plaignant aux informations
disponibles sur le site de la Commission Nationale Informatique et Libertés (CNIL) soit
l’autorité française de protection des données. Si le plaignant devait ne pas être satisfait de
la réponse reçue, la défenderesse l’invite enfin à déposer plainte auprès de la CNIL,
renvoyant une fois encore à sa politique de confidentialité.
6. Le jour même, soit le 7 novembre 2019, le plaignant a par retour de mail objecté qu’il n’avait
pas demandé la suppression de ses données mais bien l’accès à celles-ci. Aux termes de sa
plainte, le plaignant indique que ce dernier courriel est resté sans réponse de la part de la
défenderesse.
Décision 135/2022 - 3/11
7. Le 3 décembre 2019, le Service de Première Ligne (SPL) de l’APD déclare la plainte
recevable sur la base des articles 58 et 60 de la LCA, et transmet celle-ci à la Chambre
Contentieuse conformément à l’article 62, § 1 de la LCA.
8. Lors de sa séance du 17 décembre 2019, la Chambre Contentieuse décide de demander une
enquête au service d’inspection (SI). Le 20 décembre 2019, la Chambre Contentieuse saisit
l’inspecteur général d’une demande d’enquête. A cette même date, le plaignant est informé
de ce que l’inspection a été saisie.
9. Aux termes de son rapport d’enquête du 3 mars 2020, l’Inspecteur général constate ce qui
suit :
- La société de droit belge de la défenderesse est co-responsable du traitement avec la
société de droit anglais de la défenderesse établie au Royaume-Uni (ci-après ensemble
« la défenderesse »). Cette co-responsabilité résulte de la politique de confidentialité
disponible sur le site de la société de droit belge de la défenderesse ;
- Le plaignant a reçu un e-mail de la Privacy team de la défenderesse (voy. point 5) lui
confirmant la suppression de ses données personnelles en réponse à sa demande d’en
obtenir copie. Il est par ailleurs fait référence dans cet e-mail à la CNIL pour ce qui est de
l’introduction d’une plainte éventuelle. Le SI conclut à cet égard à un manquement aux
articles 12.1., 12.2., 15.1. et 15.3. du RGPD dans le chef de la défenderesse .
- la défenderesse a indiqué au SI que ces manquements relevaient tous deux d’une erreur
humaine, le gestionnaire de la demande ayant selon toute vraisemblance dû utiliser le
mauvais modèle francophone à disposition.
- Afin d’éviter que le problème survenu ne se reproduise, la défenderesse indique mettre
en place des formations complémentaires et la mise sur pied d’un processus
automatique de gestion des demandes d’exercice des droits tirés du RGPD.
- Enfin, le SI constate que deux autres plaintes étaient répertoriées dans le système de
coopération (guichet unique - IMI1) des autorités de protection des données de l’Union
européenne à l’encontre de la défenderesse . Dans ces plaintes l’Information
Commissionner britannique (ICO) est identifié comme autorité chef de file au sens de
l’article 56.1. du RGPD (Lead Supervisory Authority - LSA) en raison de l’implantation de
l’établissement principal de la défenderesse au Royaume-Uni (via la société de droit
anglais de la défenderesse - voy. ci-dessous).
1
Le système d’information du marché intérieur (IMI) est un outil en ligne qui facilite l’échange d’informations entre les
autorités publiques intervenant dans l’application pratique du droit de l’Union. L’IMI aide les autorités à remplir leurs
obligations en matière de coopération administrative transfrontière dans de nombreux domaines relevant du marché
unique, dont le domaine de la protection des données (RGPD).
Décision 135/2022 - 4/11
10. A l’examen du rapport d’Inspection et des pièces de l’enquête, la Chambre Contentieuse
constate que ledit rapport mentionne que la société de droit anglais de la défenderesse (UK)
et la société de droit belge de la défenderesse (BE) sont co-responsables de traitement sans
toutefois en tirer de conclusion quant à l’identification de la LSA et de la compétence de
l’APD. Le rapport du SI établit que la politique de confidentialité de la défenderesse
mentionne la possibilité pour chaque plaignant de déposer plainte auprès de l’ICO et/ou de
l’APD. Cette possibilité n’emporte toutefois pas la compétence de l’une ou l’autre (ni de l’une
et l’autre par ailleurs) autorité de protection des données comme LSA. Cette double
possibilité est simplement l’expression de ce que le plaignant a le choix de déposer sa plainte
auprès de son autorité de contrôle de proximité laquelle peut, selon les critères de
détermination du RGPD être LSA ou simple « autorité concernée » (CSA) au sens de l’article
4.22. c) du RGPD avec dans ce dernier cas, obligation de transférer la plainte à la LSA dans le
cadre du mécanisme de coopération entre les autorités de protection des données ( guichet
unique – articles 56 et s. ) mis en place par le RGPD.
11. Pour déterminer quelle est l’autorité de protection des données chef de file (LSA) en cas de
traitement transfrontalier au sens de l’article 4.23 du RGPD comme en l’espèce et de co-
responsables de traitement, la Chambre Contentieuse se réfère aux Lignes directrices du
Comité européen de la protection des données (CEPD) sur l’identification de la LSA2. Ces
lignes directrices énoncent ainsi ce qui suit :
« Le règlement général ne couvre pas spécifiquement la question de la
détermination d’une autorité chef de file lorsque plusieurs responsables du
traitement établis dans l’Union déterminent conjointement les finalités et les
moyens du traitement, c’est-à-dire en cas de responsables conjoints du traitement.
L’article 26, paragraphe 1, et le considérant 79 indiquent clairement que, dans cette
situation, les responsables conjoints du traitement définissent de manière
transparente leurs obligations respectives aux fins d’assurer le respect des
exigences du règlement. Par conséquent, pour pouvoir bénéficier du principe de
guichet unique, les responsables conjoints du traitement doivent désigner celui de
leurs établissements (parmi ceux où les décisions sont prises) qui aura le pouvoir de
faire appliquer les décisions concernant le traitement à l’égard de l’ensemble des
responsables conjoints du traitement. Cet établissement sera alors considéré
comme l’établissement principal pour les traitements impliquant des responsables
conjoints du traitement. L’accord entre les responsables conjoints du traitement
2
Groupe de travail Article 29, Lignes directrices concernant la désignation d’une autorité de contrôle chef de file d’un
responsable du traitement ou d’un sous-traitant, WP 244 du 5 avril 2017. L’EDPB a repris ces lignes directrices à son compte
par décision du 25 mai 2018 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-identifying-
controller-or-processors-lead_en
Décision 135/2022 - 5/11
est sans préjudice des règles en matière de responsabilité établies par le règlement
général, en particulier à l’article 82, paragraphe 4 (point 2.1.3.) ».
12. A défaut d’accord au sens de l’article 26 du RGPD3 à sa disposition, la Chambre Contentieuse
s’est appuyée sur différents éléments de la plainte pour considérer que c’était la société de
droit anglais de la défenderesse (UK) qui devait être considérée comme l’établissement
principal au regard des décisions en matière de traitement de données (responsable de
traitement) et de leur application.
13. Ces éléments étaient les suivants :
a. Dans les différents pays de l’Union européenne dans lesquels la défenderesse offre
ses services, chacune des politiques de confidentialité mentionne que le
responsable de traitement est la société de droit anglais de la défenderesse (UK) et
la société locale du pays concerné en tant que responsables conjoints (SPRL de
droit belge de la défenderesse en Belgique, la SAS la défenderesse en France etc.
);
b. La société de droit anglais de la défenderesse (UK) est donc « commune » dans
chaque cas ;
c. Dans le cadre de la présente plainte, après une première intervention du service
client « local (belge en l’espèce – voy. point 3), le relais a été pris par la Privacy team
au Royaume-Uni (point 4) qui dépend de la société de droit anglais de la
défenderesse, laquelle soutient les services locaux en matière de réponse à fournir
aux demandes d’exercice des droits tirés du RGPD ;
d. Dans le cadre de l’enquête menée par le SI, la défenderesse a produit à cet égard
des documents internes qui expliquent la procédure d’exercice des droits avec un
système « d’escalation » vers la Privacy team (équipe centrale de support pour les
questions de données personnelles basée au Royaume-Uni). la défenderesse
explique par ailleurs que cette procédure a été préparée par la société mère au
Royaume-Uni.
e. Ainsi qu’il a été mentionné au point 9 ci-dessus, l’autorité de protection des
données italienne (Garante) a également reçu une plainte mettant en cause la
défenderesse et a considéré que l’ICO était LSA, ce que l’ICO a accepté.
14. A l’appui de ce qui précède, la Chambre Contentieuse a, par conséquent, saisi l’ICO de la
plainte reçue du plaignant en date du 20 novembre 2020. A l’époque, nonobstant la sortie
3
Comme mentionné par le CEPD dans l’extrait cité au point 11, l’article 26 du RGPD exige que les responsables conjoints
définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du RGPD,
notamment en ce qui concerne l’exercice des droits de la personne concernée, et leurs obligations respectives quant à la
communication des informations visées aux articles 13 et14 par voie d’accord entre eux, et ce, sauf exceptions.
Décision 135/2022 - 6/11
du Royaume -Uni de l’Union européenne, l’ICO participait encore et ce jusqu’au 31 décembre
2020 au mécanisme de coopération (guichet unique) mis en place aux termes du Chapitre
VII du RGPD4.
13. Le 11 janvier 2021, la Chambre Contentieuse en a informé le plaignant.
14. Dans le courant de l’année 2021, une autorité de protection des données auprès de laquelle
plainte avait également été déposée contre la défenderesse a informé ses homologues
qu’elle s’était attachée à vérifier si la défenderesse avait désigné un nouvel établissement
principal dans l’Union européenne post – Brexit, après la sortie de l’ICO du mécanisme de
coopération et du guichet unique. L’autorité de protection des données de l’état membre de
l’UE à 27 dans lequel ce nouvel établissement principal aurait été établi deviendrait LSA, en
ce compris pour les plaintes en cours d’examen, (fusse cet examen inachevé par l’ICO,)
déposées avant la sortie de l’ICO du guichet unique auprès d’autorités de protection des
données de l’UE.
15. Les autorités de protection des données n’ont pas établi que la défenderesse avait désigné
de nouvel établissement principal dans l’UE et conclu qu’en conséquence, chacune des
autorités de protection des données saisie d’une plainte était désormais compétente pour
la traiter.
16. La Chambre Contentieuse partage cette analyse et fonde sa compétence à son appui. En
effet, le mécanisme du guichet unique (et partant la compétence d’une autorité chef de file
- LSA), suppose l’existence d’un traitement transfrontalier au sens de l’article 4.23 du RGPD
ainsi que l’existence d’un établissement principal ou d’un établissement unique du
responsable de traitement dans l’UE (article 56.1. du RGPD). 5 A défaut d’établissement
principal de la défenderesse dans l’UE comme à la suite du Brexit, chaque autorité de
protection des données est compétente à son égard pour autant que le RGPD soit
d’application.
17. En l’espèce s’agissant de co-responsables de traitement, l’APD se considère à ce jour
compétente à l’égard de chacune des entités, que ce soit la société de droit anglais de la
défenderesse ou la société de droit belge de la défenderesse. En effet, si l’influence
factuelle dominante de la société de droit anglais de la défenderesse a justifié, avant la sortie
de l’ICO du mécanisme du guichet unique, que l’examen de la plainte lui soit confié en qualité
de LSA (voy. supra), il n’en demeure pas moins que les deux entités sont co-responsables de
traitement soumises au RGPD ce qui justifie que l’APD (via sa Chambre Contentieuse),
4
Withdrawal of the United Kingdom from the European Union exclusion from the EU decision making and decision-shaping
as of the withdrawal date and exceptions provided for in the withdrawal agreement. (Annex). Ref. Ares(2020)469682-
24/01/2020.
5
Conformément à l'accord sur l'Espace économique européen (EEE), à compter du 20 juillet 2018, les pays de l'EEE, l'Islande,
le Lichtenstein et la Norvège, font également partie de l'EDPB et du système du guichet unique.
Décision 135/2022 - 7/11
désormais compétente post Brexit, leur adresse conjointement la présente décision. Pour
besoin de la présente décision, il n’est pas nécessaire de préciser la relation entre ces deux
entités.
II. Motivation
15. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur la
base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95, § 1
de la LCA, la Chambre Contentieuse décide de la suite à donner au dossier. En l’espèce, la
Chambre Contentieuse décide de procéder au classement sans suite de la plainte,
conformément à l’article 95, § 1, 3° de la LCA, pour les raisons exposées ci-après.
16. En matière de classement sans suite, la Chambre Contentieuse est tenue de motiver sa
décision par étape6 et de:
- prononcer un classement sans suite technique si le dossier ne contient pas ou pas
suffisamment d’éléments susceptibles d’aboutir à une sanction ou s’il comporte un
obstacle technique l’empêchant de rendre une décision;
- ou prononcer un classement sans suite d’opportunité, si malgré la présence
d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du
dossier ne lui semble pas opportune compte tenu des priorités de l’APD telle que
spécifiées et illustrées dans la Politique de classement sans suite de la Chambre
Contentieuse7.
17. En cas de classement sans suite fondé sur plusieurs motifs, ces derniers (respectivement,
classement sans suite technique et classement sans suite d’opportunité) doivent être
traités par ordre d’importance8.
18. En l’occurrence, la Chambre Contentieuse décide de procéder à un classement sans suite de
la plainte pour un motif d’opportunité. La décision de la Chambre Contentieuse repose plus
précisément sur les raisons ci-après pour lesquelles elle considère qu'il est inopportun de
poursuivre l’examen de la plainte, et décide en conséquence de ne pas procéder, entre
autres, à un traitement de l’affaire quant au fond.
19. La Chambre Contentieuse relève que les constatations du SI ont été faites (entre le 20
décembre 2019 et le 3 mars 2020) à une date à laquelle la compétence de l’APD n’était, à
6
Cour des marchés (Cour d’appel de Bruxelles), 2 septembre 2020, arrêt 2020/AR/329, p. 18.
7
À cet égard, la Chambre Contentieuse renvoie à sa politique de classement sans suite telle que développée et publiée sur
le site de l’Autorité de protection des données: https://www.autoriteprotectiondonnees.be/publications/politique-de-
classement-sans-suite-de-la-chambre-contentieuse.pdf.
8
Cf. Titre 3 – Dans quels cas ma plainte est-elle susceptible d’être classée sans suite par la Chambre Contentieuse? de la
politique de classement sans suite de la Chambre Contentieuse.
Décision 135/2022 - 8/11
tout le moins vis-à-vis de de droit anglais de la défenderesse, pas établie. La Chambre
Contentieuse n’estime donc pas pouvoir de manière certaine s’appuyer sur lesdits constats.
20. La Chambre Contentieuse est par ailleurs d’avis que ces manquements pourraient être
constitutifs d’une erreur humaine. Les premiers échanges de mails avec le plaignant joints à
la plainte attestent en effet de la prise en compte du RGPD et de la connaissance des délais
pour lui répondre. La réponse fournie ensuite par la « Privacy team » quant à la demande
d’effacement, si elle est certes inadéquate compte tenu de la demande d’accès formée par
le plaignant et non d’effacement, atteste - elle aussi- de la prise en compte du RGPD. Compte
tenu de l’ensemble des circonstances concrètes de l’espèce (du temps écoulé, de l’objet de
la plainte et de l’absence d’impact sociétal ou personnel élevé pour le plaignant en l’espèce
(il s’agit de données relatives à des comptes d’utilisateur auprès de la défenderesse), la
Chambre Contentieuse conclut que la poursuite d’un examen au fond serait
disproportionnée. Elle entend toutefois ainsi qu’il sera précisé au point 24 communiquer
cette décision à la défenderesse pour information et conscientisation.
21. En effet, sans préjudice des considérations qui précèdent, la Chambre Contentieuse n’en
est pas moins, à l’appui des seules pièces jointes à la plainte, en mesure de relever que, prima
facie, la défenderesse n’a pas donné de suite adéquate à la demande d’accès du plaignant,
supprimant les données personnelles de celui-ci au lieu de lui en adresser copie et ce, en
violation des articles 15.1 (confirmation de ce que des données sont traitées et éléments
d’information) et 15.3. (copie des données) du RGPD. Partant, la défenderesse n’a par
ailleurs, et toujours prima facie, pas respecté le prescrit de l’article 12.3. du RGPD (la réponse
à une demande d’exercice d’un droit doit se faire, sauf exceptions, dans un délai d’un mois).
22. Nonobstant sa décision de classer sans suite, la Chambre Contentieuse rappelle dès lors ce
qui suit, rappel qui, sans constituer une quelconque mesure correctrice ou sanction au sens
des articles 95 ou 100 de la LCA, vise à informer la défenderesse au mieux :
- La mise en place de procédures effectives pour donner suite aux demande d’exercice
des droits des personnes concernées participe des obligations des responsables de
traitement (conjoints) et de l’effectivité desdits droits ;
- Comme le souligne le CEPD dans ses Lignes directrices relatives au droit d’accès 9,
“where two or more controllers process data jointly, the arrangement of the joint
controllers regarding their respective responsibilities with regards to the exercise of
data subject’s rights, especially concerning the answer to access requests, does not
9
Comité européen de la protection des données (CEPD), Guidelines 01/2022 on data subject’s rights – right of access,
version 1.0. du 18 janvier 2022. Ce texte n’existe qu’en anglais: https://edpb.europa.eu/system/files/2022-
01/edpb_guidelines_012022_right-of-access_0.pdf Ce document a été soumis à consultation publique. Il n’est donc pas
exclu qu’une version amendée de ces lignes directrices soit publiée dans le futur.
Décision 135/2022 - 9/11
affect the rights of the data subjects towards the controller to whom they address their
request (point 34)” 10
- Toujours selon le CEPD, “the controllers should be proactively ready to handle the
requests for access to personal data. This means that the controller should be prepared
to receive the request, assess it properly (this assessment is the subject of this section
of the guidelines) and provide an appropriate reply without undue delay to the requesting
person. The way the controllers will prepare themselves for the exercise of access
requests should be adequate and proportionate and depend on the nature, scope,
context and purposes of processing as well as the risks to the rights and freedoms of
natural persons, in accordance with Art. 24 GDPR. Depending on the particular
circumstances, the controllers may for example in some cases be required to implement
an appropriate procedure, the implementation of which should guarantee the security of
the data without hindering the exercise of the data subject ’s rights (point 42)”11.
- Enfin, comme le souligne également le CEPD dans ses Lignes directrices déjà citées, et
sans remettre en cause sa conclusion selon laquelle une erreur humaine a pu se produire
en l’espèce, la Chambre Contentieuse rappelle que « the controller shall not deliberately
escape the obligation to provide the requested personal data by erasing or modifying
personal data in response to a request for access. If, in the course of processing the
access request, the controller discovers inaccurate data or unlawful processing, the
controller has to assess the state of the processing and to inform the data subject
accordingly before complying with its other obligations (point 39)”12.
10
Voy. les Lignes directrices relatives au droit d’accès précitées. Traduction libre : « Lorsque deux ou plus de deux
responsable de traitement traitent des données conjointement, l’arrangement des co-responsables de traitement relatif
à leurs responsabilités respectives à l’égard de l’exercice des droits des personnes concernées (tout particulièrement à
l’égard de la réponse à donner à une demande d’accès), ne peut affecter les droits de la personne concernée à l’égard du
responsable de traitement auquel elle a adressé sa demande (point 34) ».
11
Voy. les lignes directrices du CEPD relatives au droit d’accès déjà citées. Traduction libre : « Les responsables de
traitement devraient être proactivement prêts à traiter les demandes d’accès aux données personnelles. Ceci signifie que
le responsable de traitement devrait être préparé à recevoir la demande, à l’examiner de manière adéquate (cet examen est
abordé dans la présente section) et à fournir une réponse pertinente dans le meilleur délai à la personne requérante. La
manière dont les responsables de traitement se préparent à ces demandes d’exercice du droit d’accès devrait être
adéquate, proportionnée et dépendre de la nature, de l’étendue, du contexte et de la finalité des traitements ainsi que des
risques pour les droits et libertés des personnes physiques conformément à l’article 24 du RGPD. En fonction des
circonstances, les responsables de traitement pourraient par exemple parfois être tenus de mettre en place une procédure
spécifique, laquelle mise en place devrait garantir la sécurité des données sans empêcher l’exercice des droits de la
personne concernée (point 42) » .
12
Voy. les lignes directrices du CEPD relatives au droit d’accès déjà citées. Traduction libre : « Le responsable de traitement
ne peut se soustraire délibérément à son obligation de fournir les données personnelles en effaçant ou en modifiant les
données à fournir en réponse à la demande d’accès. Si dans le cadre du processus de réponse à telle demande, le
responsable de traitement découvre que les données sont inexactes ou qu’elles sont traitées de manière illicite, le
responsable de traitement doit examiner le traitement et en informer la personne concernée avant de se conformer à ses
autres obligations (point 42) ».
Décision 135/2022 - 10/11
- S’agissant de la réponse donnée quant à l’effacement, la Chambre Contentieuse
rappelle qu’il importe que la personne ait connaissance des données qui ont été effacées
et que si des exceptions sont d’application, elles doivent être formulées de manière
pertinente au égard de la situation d’espèce.
III. Publication et communication de la décision
23. Compte tenu de l'importance de la transparence en ce qui concerne le processus
décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le
site Internet de l'APD. Il n’est toutefois pas nécessaire à cette fin que les données
d’identification des parties soient directement mentionnées.
24. Conformément à sa politique de classement sans suite, la Chambre Contentieuse
communiquera la décision à la défenderesse13. En effet, la Chambre Contentieuse a décidé
de communiquer les décisions de classement sans suite à la partie défenderesse par défaut.
La Chambre Contentieuse s’abstient toutefois d’une telle communication lorsque le
plaignant a demandé l’anonymat vis-à-vis de la partie défenderesse et lorsque la
communication de la décision à cette dernière, même pseudonymisée, risque néanmoins de
permettre sa ré-identification14. Ceci n’est pas le cas dans la présente affaire.
POUR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération,
de classer la présente plainte sans suite en application de l’article 95, § 1, 3° de la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (Cour
d'appel de Bruxelles), avec l'Autorité de protection des données (APD) comme partie
défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire (C. jud)15. La requête interlocutoire
13
Cf. Titre 5 – Le classement sans suite sera-t-il publié? La partie adverse en sera-t-elle informée? de la politique de
classement sans suite de la Chambre Contentieuse.
14
Ibidem.
15
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
Décision 135/2022 - 11/11
doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C.
jud.16, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
Pour lui permettre d’envisager toute autre voie d’action possible, la Chambre Contentieuse renvoie
le plaignant aux explications fournies dans sa politique de classement sans suite17.
(Sé). Hielke HIJMANS
Président de la Chambre Contentieuse
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
16
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.
17
Cf. Titre 4 – Que puis-je faire si ma plainte est classée sans suite ? de la politique de classement sans suite de la Chambre
Contentieuse.