1/8
Chambre Contentieuse
Décision 143/2022 du 11 octobre 2022
Numéro de dossier : DOS-2022-03313
Objet : Plainte relative à l’exercice d’un droit d’accès
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke
Hijmans, président;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, Ci-après « le plaignant » ; .
.
La défenderesse : Y, Ci-après : « la défenderesse ». .
Décision 143/2022 - 2/8
I. Faits et procédure
1. Le 10 août 2022, le plaignant a introduit une plainte auprès de l’Autorité de protection des
données (APD) mettant en cause la défenderesse.
2. Aux termes de celle-ci, le plaignant dénonce une réponse insatisfaisante de la part de la
défenderesse à l’exercice de son droit d’accès (articles 15 et 12 du RGPD).
3. Il ressort de la plainte et des pièces y annexées que le 7 juillet 2022, le plaignant a sollicité de
la défenderesse une copie de toutes les données personnelles qu’elle détenait à son sujet
en application de l’article 15.3. du RGPD.
4. Aux terme de ce même courrier, le plaignant indiquait également souhaiter recevoir une
copie des documents mails, notes, procès-verbaux dans lesquels il était identifié
directement et indirectement et en particulier, selon les termes mêmes de sa plainte, ce qui
suit :
- Les documents internes et ceux envoyés à l’extérieur, y compris les PV de tous
ordres ;
- Son dossier administratif ;
- Son dossier disciplinaire ;
- Les emails, y compris et de façon non exhaustive, ceux échangés à son propos avec
la direction, son administration, le Pouvoir Organisateur, le Segec , le DPO, …
- Les notes internes manuelles ou sous format papier ;
- Les journaux informatiques (Logs) ;
- …
5. Enfin, toujours aux termes de ce courrier du 7 juillet 2022, le plaignant sollicite que lui soient
précisés, pour chaque traitement : le traitement lié, sa finalité, sa base légale, la source des
données personnelles et les personnes à qui ces données ont été transférées. La Chambre
Contentieuse note que ces éléments font référence à ceux listés à l’article 15.1 du RGPD.
6. Le plaignant indique que le courrier recommandé qu’il a adressé à ces fins à la défenderesse
lui est revenu et n’a donc pas été réceptionné. Aucune suite n’a été donnée à sa demande
dans le délai d’un mois.
7. Aux termes de sa plainte le plaignant dénonce donc un manquement tant à l’article 15
(paragraphes 1 et 3) qu’à l’article 12.3. du RGPD. Pour autant que de besoin, la Chambre
Contentieuse rappelle qu’en toute hypothèse, la formulation d’une demande d’accès (ou
d‘exercice de tout autre droit par ailleurs) – même incomplète ou fondée sur une disposition
erronée ou à l’appui d’une mauvaise compréhension ou interprétation du droit invoqué – ne
Décision 143/2022 - 3/8
peut servir de prétexte au responsable de traitement pour ne pas y donner une suite utile.
En d’autres termes, le responsable de traitement sollicité ne peut se retrancher derrière la
formulation de la demande pour ne pas y donner un effet utile et ainsi satisfaire à son
obligation de faciliter l’exercice des droits des personnes concernées (article 12.2 du RGPD1).
8. Le 12 août 2022, la plainte est déclarée recevable par le Service de Première Ligne (SPL) de
l’APD sur la base des articles 58 et 60 de la LCA2 et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA3.
9. A la réception de la plainte, la Chambre Contentieuse a constaté qu’aux termes du formulaire
de plainte déposé, le plaignant sollicitait que son identité soit masquée.
10. Cette demande du plaignant fait suite à la possibilité qui lui est donnée de cocher la case « Je
demande de masquer mes données» du formulaire. Cette possibilité est toutefois
accompagnée de la mention suivante : « Vos coordonnées peuvent être masquées pour le
responsable du traitement s’il existe un risque sérieux que la communication de votre
identité à la partie adverse conduise à des conséquences préjudiciables. Si vous voulez
utiliser cette possibilité, vous devez cocher la case ci-dessous et donner votre justification.
Si votre anonymat fait obstacle au traitement de votre plainte, l’Autorité pourra demander
votre accord de divulguer vos coordonnées tout de même ou le cas échéant classer votre
plainte sans suite ».
11. Le 9 septembre 2022, la Chambre Contentieuse a exposé au plaignant qu’au vu de l’objet de
sa plainte (droit d’accès) et des pièces déposées ainsi que pour permettre un examen
adéquat de celle-ci, la Chambre Contentieuse sollicitait son accord pour divulguer son
identité et autres données à caractère personnel le concernant qu’il avait communiquées à
l’APD lors de l’introduction de sa plainte. Elle lui a par ailleurs précisé que ces données
pourraient dès lors être transmises à l’établissement scolaire (soit à la défenderesse) qu’il
mettait en cause.
12. Toujours aux termes de son courriel du 9 septembre 2022, la Chambre Contentieuse a
précisé au plaignant que cette demande faisait suite à l’information qui lui est fournie aux
termes du formulaire de plainte selon laquelle, si son anonymat fait obstacle au traitement
de la plainte, l’APD pourra demander l’accord du plaignant de divulguer ses coordonnées ou,
le cas échéant, en cas de maintien de la demande d’ « anonymat » (à comprendre comme une
demande de confidentialité à l’égard de la partie mise en cause), classer la plainte sans suite.
En l’espèce, dès lors que le plaignant sollicitait qu’une suite soit donnée à sa demande
11
Voy. la décision 41/2020 de la Chambre Contentieuse (point 42).
2
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a
été déclarée recevable.
3
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite
de cette plainte, le dossier lui a été transmis.
Décision 143/2022 - 4/8
d’accès aux données personnelles le concernant, la Chambre Contentieuse a indiqué au
plaignant qu’elle n’était pas en mesure de traiter sa plainte sans avertir son employeur (soit
la défenderesse) de son identité.
13. Le jour même, soit le 9 septembre 2022, le plaignant a marqué son accord sur la levée de
son « anonymat ».
II. Motivation
14. Le RGPD confère à toute personne concernée (art. 4.1. du RGPD) un droit d’accès tel que
formulé à l’article 15 du RGPD.
15. Aux termes de cet article 15, la personne concernée a notamment le droit d’obtenir du
responsable de traitement la confirmation que des données à caractère personnel la
concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès aux dites données à
caractère personnel ainsi que les informations suivantes (article 15.1. du RGPD) : les finalités
du traitement (a), les catégories de données à caractère personnel (b), les destinataires ou
catégories de destinataires des données (c), la durée de conservation (d), une information
relative aux autres droits que confère le RGPD (e), le droit d’introduire une plainte auprès de
l’autorité de protection des données (f), toute information relative à la source des données
lorsque celles-ci n’ont pas été collectés auprès de la personne concernée (g) et l’existence
d’une prise de décision automatisée (h).
16. L’article 15.3. du RGPD prévoit pour sa part que le responsable de traitement fournit une
copie des données à caractère personnel faisant l’objet d’un traitement.
17. Ainsi que la Chambre Contentieuse a déjà eu l’occasion de le souligner4 le droit d’obtenir une
copie porte sur les données à caractère personnel de la personne concernée. En d’autres
termes, l’article 15.3 exige du responsable du traitement qu’il fournisse une copie des
données à caractère personnel traitées à la personne concernée. Ce droit à l’obtention d’une
copie des données n’emporte pas le droit pour la personne concernée d’obtenir une copie
du document original contenant ces données puisque dans certains cas, la communication
de ce document pourrait porter atteinte aux droits et libertés d’autrui (voy. point 19 ci-
dessous et la référence à l’article 15.4. du RGPD).
18. En l’espèce, la Chambre Contentieuse est d’avis que le plaignant est fondé à exercer son
droit d’accès auprès de la défenderesse - laquelle est présumée responsable de traitement
en sa qualité d’employeur du plaignant - et à obtenir une réponse de sa part dans le respect
des modalités de l’article 12 du RGPD, en particulier de l’article 12.3. qui exige du responsable
de traitement qu’il donne suite à la demande d’accès qui lui est adressée dans un délai d’un
4
Voy. la décision 41/2020 de la Chambre Contentieuse (point 39).
Décision 143/2022 - 5/8
mois à compter de sa réception, sauf prolongation. Dans ce dernier cas, le responsable de
traitement – ici présumément la défenderesse – doit en informer la personne concernée, ici
le plaignant.
19. La Chambre Contentieuse ajoute que si la défenderesse entendait s’appuyer sur une
exception dont elle estimait pouvoir bénéficier 5, elle n’en était pas moins tenue de répondre
au plaignant dans les mêmes délais que ceux mentionnés au point 18 ci-dessus, en
application de l’article 12.4 du RGPD. En effet, aux termes de cette disposition, « si le
responsable du traitement ne donne pas suite à la demande formulée par la personne
concernée, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter
de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une
réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel ».
20. La Chambre Contentieuse estime que sur la base des faits susmentionnés rapportés par le
plaignant et des pièces produites, il y a lieu de conclure que la défenderesse peut avoir
commis une violation des dispositions du RGPD, en particulier des articles 15.1 et 15.3.
combinés à l’article 12.3.du RGPD.
21. Ce constat justifie l’adoption par la Chambre Contentieuse d’une décision à son encontre en
application de l’article 95, § 1er, 5° de la LCA, consistant plus précisément à lui ordonner de
donner suite à la demande d’accès du plaignant dans un délai d’un mois à dater de la
notification de la présente décision et ce, à l’appui de la motivation qui précède.
22. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la seule plainte introduite par le
plaignant dans le cadre de la « procédure préalable à la décision de fond »6. Il ne s’agit donc
pas d’une décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
23. La présente décision a pour but d’informer la défenderesse du fait qu’elle peut avoir commis
une violation des dispositions du RGPD et de lui permettre d’encore se conformer aux
dispositions précitées. La Chambre Contentieuse attire à cet effet l’attention de la
défenderesse sur l’existence de Lignes directrices du Comité européen de la protection des
données relatives au droit d’accès 7.
24. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
5
L’article 15.4. prévoit à cet égard que le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui.
D’autres exceptions prévues par les législations nationales peuvent exister pour autant qu’elles répondent aux conditions
fixées à l’article 23 du RGPD.
6
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
7
Comité européen de la protection des données, Guidelines 01/2022 on data subject rights – right of access – version 1.0
du 18 janvier 2022 https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-012022-
data-subject-rights-right_en . Ce document n’existe qu’en anglais. Ila été soumis à une consultation publique dont les
résultats sont en cours d’examen. A l’issue de cet examen, il n’est pas exclu que les lignes directrices soient complétées,
voire amendées sur certains points.
Décision 143/2022 - 6/8
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
25. Si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et
estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui pourraient
conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une demande
de traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et
ce dans le délai de 30 jours après la notification de la présente décision. Le cas échéant,
l’exécution de la présente décision sera suspendue pendant la période susmentionnée.
26. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
arguments sous la forme de conclusions et à joindre au dossier toutes les pièces qu'elles
jugeront utiles. Le cas échéant, la présente décision sera définitivement suspendue.
27. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA8.
III. Publication de la décision
28. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’APD. Toutefois, il n’est
pas nécessaire à cette fin que les données d’identification des parties soient directement
mentionnées.
8
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires
des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 143/2022 - 7/8
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément
aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner
à la défenderesse de se conformer à la demande du plaignant d'exercer ses droits,
plus précisément son droit d’accès (article 15.1 et 15.3. du RGPD), et ce dans les
meilleurs délais et au plus tard dans les 30 jours de la notification de la présente
décision ;
- d'ordonner à la défenderesse d'informer par e-mail, l'Autorité de protection des
données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le
même délai de 30 jours, via l'adresse e-mail [email protected] ; et
- si la défenderesse ne se conforme pas en temps utile à ce qui lui est demandé ci-
dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de
la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données (APD) comme partie
défenderesse.
Décision 143/2022 - 8/8
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire (C. jud.)9. La requête interlocutoire
doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C.
jud.10, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé.) Hielke HIJMANS
Président de la Chambre Contentieuse
9
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
10
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.