Sağlık Randevu Platformunda Kimlik Numarası İşlenmesi

1/34

Chambre Contentieuse

Décision quant au fond 149/2023 du 10 novembre 2023
Aux termes d’un arrêt du 8 mai 2024 (2023/AR/1519), la requérante (plaignante devant la Chambre
Contentieuse) est déboutée de son recours déclaré partiellement irrecevable et partiellement non-fondé

Numéros de dossiers : DOS-2020-05649 et DOS-2021-05271

Objet : Plaintes relatives aux traitements de données à caractère personnel opérés par
une plateforme de prise de rendez-vous médicaux et paramédicaux en ligne

La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président, et de messieurs Dirk Van Der Kelen et Yves Poullet, membres, reprenant
l’affaire en cette composition;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;

Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») ;

Vu la Loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après
« LRN ») ;

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces des dossiers ;

A pris la décision suivante concernant :

La plaignante n°1 : Madame X1, (DOS-2020-05649) ;

Le plaignant n°2 : Monsieur X2, (DOS-2021-05271) ;

Les défenderesses : La société Y1, représentée par Maitres Florence Garcet et Claire
Vandesande, avocates, dont le cabinet est établi à 4000 Liège, rue des
Augustins, 32, ci-après « la première défenderesse » (DOS-2020-05649 et
DOS-2021-05271) ;

La société Y2, ci-après « la seconde défenderesse » (DOS-2020-05649) ;

Ci-après désignées ensemble comme « les défenderesses ».

Décision quant au fond 149/2023 — 2/34

I. Faits et procédure

I.1. Quant à la plainte de la plaignante n°1 (DOS-2020-05649)

1. Le 4 décembre 2020, la plaignante n°1 introduit une plainte auprès de l’Autorité de
protection des données (APD) contre les défenderesses.

2. Aux termes de sa plainte et des précisions fournies en termes de conclusions et lors de
l’audition (voy. infra), la plaignante n°1 rapporte les faits suivants.

3. Début octobre 2020, souhaitant prendre rendez-vous avec sa dentiste sans l’appeler par
téléphone, la plaignante n°1 constate que le site […] (ci-après «Z» ou « la plateforme » ou « la
plateforme Z ») permet de prendre directement rendez-vous en ligne avec des
professionnels de santé. Les coordonnées de sa dentiste se trouvent référencées sur la
plateforme, la plaignante n°1 crée un compte pour pouvoir prendre rendez-vous avec elle.

4. La plaignante n°1 rapporte que ce n’est qu’après la création de son compte qu’elle a reçu
l’information selon laquelle il ne lui était pas possible de prendre rendez-vous avec sa
dentiste, seules les coordonnées de cette dernière étant référencées sur le site sans
possibilité de prise de rendez-vous avec elle via la plateforme elle-même.

5. Pour la bonne compréhension de la présente décision, la Chambre Contentieuse précise ici
d’emblée que la plateforme « Z» a pour objectif de faciliter la prise de contact rapide entre
les patients et les professionnels des soins de santé – dont des médecins mais pas
uniquement - notamment par le biais de prises de rendez-vous en ligne. Lorsqu’un patient
accède à la plateforme, deux options s’offrent à lui :

- Soit seules les coordonnées du praticien recherché figurent sur la plateforme sans
possibilité de prise de rendez-vous avec lui via celle-ci. On parle alors de
« praticien/professionnel non-inscrit ». Dans ce cas, le patient peut prendre rendez-vous
avec ce praticien via les canaux de contact propres à celui-ci au départ des coordonnées
référencées sur la plateforme. Aucun compte n’est nécessaire à cet effet.

- Soit il est possible de prendre un rendez-vous directement via la plateforme avec le
praticien recherché. On parle alors de « praticien/professionnel inscrit » sur la
plateforme. Pour prendre un tel rendez-vous, le patient doit créer un compte patient
pour lequel il lui est demandé de fournir les données personnelles suivantes : son nom,
son prénom, son adresse e-mail, son numéro de téléphone et son Numéro de Registre
National (NRN).

6. Le 21 octobre 2020, n’ayant pas pu prendre rendez-vous avec sa dentiste ( non-inscrite) via
la plateforme, la plaignante n°1 demande la suppression de son compte et des données à
caractère personnel qu’elle a transmises à l’occasion de la création de celui-ci. Aux termes
du courriel adressé à cet effet à l’adresse e-mail info@[…], la plaignante n°1 fait par ailleurs

Décision quant au fond 149/2023 — 3/34

part de son interrogation quant à l’obligation de fournir son NRN lors de la création de son
compte.

7. La plaignante n°1 indique ne pas avoir reçu de réponse à cette demande d’effacement.

8. Via une société spécialisée en droit de la protection des données, la plaignante n°1 demande
le 22 octobre 2020 quelles sont les bases légales sur lesquelles reposent les différents
traitements de données effectués depuis la plateforme, les motifs du traitement du NRN
ainsi que l’identité exacte du responsable de traitement. La plaignante n°1 rapporte que
cette demande est également restée sans réponse.

9. Aux termes de sa plainte introduite à l’APD le 4 décembre 2020, soit 1 mois et demi après
l’envoi des demandes susvisées, la plaignante n°1 dénonce tant l’absence de suite donnée à
sa demande d’effacement que ses interrogations quant aux bases légales des différents
traitements de données opérés par la plateforme, dont son NRN.

10. Le 5 janvier 2021 la plainte n°1 est déclarée recevable par le Service de Première Ligne
(SPL) de l’APD sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la
Chambre Contentieuse en vertu de l'article 62, § 1 er de la LCA.

11. Le 2 février 2021, conformément à l’article 96, § 1er de LCA, la demande de la Chambre
Contentieuse de procéder à une enquête est transmise au Service d’Inspection (SI).

12. Le 9 mai 2022 l’enquête du SI est clôturée, le rapport est joint au dossier et celui-ci est
transmis par le SI au Président de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA).

13. Le contenu du rapport du SI peut être résumé comme suit :

- La première défenderesse est seule responsable de traitement au sens de l’article 4.7.
du RGPD à l’exclusion de la seconde défenderesse. Dans le cadre de son analyse,
l’Inspecteur général mentionne un manque de clarté quant à l’identification du
responsable de traitement dans la Politique de confidentialité de la plateforme (article
13.1.a) du RGPD) ;

- Au titre d’observations liminaires, le SI relève d’une part que la plateforme a fait l’objet
d’une évaluation en avril 2020 par le Secrétariat général. Le SI relève que « certains
manquements identifiés par le Secrétariat Général ne paraissent pas avoir fait l’objet de
la mise en conformité préconisée » (page 10 du rapport d’enquête). Le SI pointe à cet
égard des lacunes quant à l’information relative à la base de licéité du traitement (article
13.1.c) du RGPD) et au délai de conservation des données ( 13.2.a) du RGPD). Le SI relève
d’autre part que la plateforme traite selon lui un volume important de données de santé
au sens de l’article 9 du RGPD.

- Au départ des faits dénoncés dans la plainte, le SI déclare ensuite constater, dans le
périmètre de celle-ci, un certain nombre de manquements au RGPD :

Décision quant au fond 149/2023 — 4/34

o une violation par la première défenderesse de l’article 12 du RGPD en ce qu’elle
n’a fourni aucune information à la plaignante n°1 à la suite de sa demande
d’effacement du 21 octobre 2020;

o une violation par la première défenderesse des articles 7.3. in fine et 12.1. du
RGPD en ce qu’en sa qualité de responsable de traitement, elle ne rend pas la
suppression d’un « compte patient » aussi simple que la création de ce compte
et partant, ne facilite pas l’exercice des droits des personnes concernées, en
l’espèce, le droit à l’effacement de la plaignante;

o une violation par la première défenderesse des articles 15.1 et 19 du RGPD, en ce
qu’en sa qualité de responsable de traitement, elle n’a pas donné confirmation à
la plaignante n°1 que des données à caractère personnel la concernant n’étaient
plus traitées ni n’a notifié à la plaignante n°1 l’effacement de ses données ;

o une violation par la première défenderesse des articles 5.1 a), 5.2. et 6 du RGPD
en ce qu’en sa qualité de responsable de traitement, la première défenderesse
ne peut valablement invoquer son intérêt légitime (article 6.1. f) du RGPD) pour
le référencement des professionnels de santé « non-inscrits » sur la plateforme ;

o une violation potentielle par la première défenderesse en sa qualité de
responsable de traitement, de l’article 32 du RGPD en ce que l’utilisation par la
première défenderesse de systèmes tels que Cloudflare, Amazon Web Services
et Runcloud pour gérer son infrastructure ne constitue pas une mesure
technique appropriée permettant de garantir un niveau de sécurité adapté au
risque présenté par son activité1.

14. Le 15 juin 2022, la Chambre Contentieuse décide, en vertu de l’article 95, § 1er, 1° et de l’article
98 de la LCA, que le dossier peut être traité sur le fond.

15. A cette même date, les parties sont informées par envoi recommandé des dispositions telles
que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées,
en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date
limite pour la réception des conclusions en réponse des défenderesses a été fixée au 10 août
2022, celle pour les conclusions en réplique de la plaignante n°1 au 1er septembre 2022 et
celle pour les conclusions en réplique des défenderesses au 23 septembre 2022.

16. Les parties sont invitées à se défendre au regard des constats et griefs suivants retenus2
par la Chambre Contentieuse :

1
Le SI nuance toutefois ce constat en introduction de son rapport indiquant qu’il a constaté certains aspects sans toutefois
effectuer de revue complète de tous les aspects relevant de l’obligation de sécurité du traitement.

2
Dans le cadre de son appréciation propre, la Chambre Contentieuse est libre de retenir l’un ou l’autre constat de l’inspection
pour les inclure dans la liste des griefs sur lesquels elle demande aux parties de se défendre dans la lettre basée sur l’article 98
de la LCA précitée. Il ne peut être tiré d’autre conclusion de l’abandon de l’un ou l’autre grief que le fait que la Chambre

Décision quant au fond 149/2023 — 5/34

- La qualification de la première défenderesse comme seule responsable du traitement
au sens de l’article 4.7 du RGPD ;

- Un manquement aux articles 13.1. a), 13.1 c) et 13.2 du RGPD dans le chef de la première
défenderesse en ce que la Politique de confidentialité de la plateforme ne mentionne
pas adéquatement l’identité et les coordonnées du responsable du traitement (article
13.1. a) du RGPD), ne mentionne pas la base juridique des traitements de données opérés
– en ce compris de données relatives à la santé au sens de l’article 4.19 du RGPD – (article
13.1. c) du RGPD) et ne mentionne pas les délais de conservation des données
personnelles traitées (article 13.2. a) du RGPD plus précisément) ;

- Un manquement à l’article 12 du RGPD en ce que la première défenderesse n’a fourni
aucune information à la plaignante n°1 à la suite de sa demande d’exercice de droit à
l’effacement ;

- Un manquement aux articles 7.3 in fine et 12.1 du RGPD, en ce que la première
défenderesse n’a pas rendu la suppression d’un « compte patient » aussi simple que la
création de ce compte (il n’est donc pas aussi simple de retirer son consentement que
de le donner) et partant, ne facilite pas l’exercice des droits des personnes concernées ;

- Un manquement aux articles 5.1. a), 5.2. et 6 du RGPD en ce que l’intérêt légitime invoqué
par la première défenderesse au titre de base de licéité de traitement des professionnels
référencés mais « non-inscrits » sur la plateforme, n’est pas valablement invoquée.

17 La Chambre Contentieuse invite également les parties à faire valoir leurs arguments
relativement à la base de licéité qui fonde le traitement par la première défenderesse du
NRN questionnée par la plaignante n°1 aux termes de sa plainte. La Chambre Contentieuse
informe par ailleurs les parties qu’une plainte portant sur cette même question est
également pendante devant la Chambre Contentieuse (DOS-2021-05271 – plainte n°2 ci-
après).

18. Le 2 août 2022, la première défenderesse accepte de recevoir toutes les communications
relatives à l'affaire par voie électronique. Elle sollicite par le même courrier une copie du
dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 4 août 2022

Contentieuse ne juge pas opportun de faire conclure les parties à leur égard. Il ne peut en être déduit que la Chambre
Contentieuse confirme la conformité au RGPD sur ces aspects. Au regard de cette appréciation propre, la Chambre
Contentieuse précise que la LCA ne l’enjoint pas à recourir au Service d’inspection. En effet, la Chambre contentieuse décide
souverainement si, à la suite du dépôt d’une plainte, une enquête est nécessaire ou non (article 63,2° de la LCA et art. 94, 1° de
la LCA). En ce sens, l’article 94, 3° LCA prévoit explicitement qu’une fois saisie, la Chambre contentieuse peut traiter la plainte
sans avoir recours au Service d’inspection. Elle a ainsi un pouvoir d’appréciation de la plainte qui est indépendant de l’inspection
(Cour des marchés (19e ch. A), 7 décembre 2022, 2022/AR/560 et 2022/AR/564 ; Cour des marchés (19e ch. A), 7 décembre
2022, 2022/AR/556).

Décision quant au fond 149/2023 — 6/34

19. Le 10 août 2022, la plaignante n°1 demande une copie du dossier (art. 95, §2, 3° LCA),
laquelle lui est transmise le 11 août 2022.

20. Le 10 août 2022, la Chambre Contentieuse reçoit les conclusions en réponse de la première
défenderesse. La première défenderesse ayant déposé des conclusions en réplique et de
synthèse, son argumentaire est résumé au point 22 ci-après.

21. Le 1er septembre 2022, la Chambre Contentieuse reçoit les conclusions en réplique de la
plaignante n°1. En résumé, elle y défend ce qui suit :

- La première et la seconde défenderesses sont des responsables de traitement
conjoints (article 4.7. du RGPD) compte tenu d’un faisceau d’éléments desquels il
résulte que la seconde défenderesse n’est pas uniquement un investisseur dans le
projet de la première défenderesse ;

- L’identification du responsable de traitement aux termes de la Politique de
confidentialité de la plateforme n’est pas suffisamment claire et ne répond pas aux
exigences de l’article 13.1. a) du RGPD dès lors que la première défenderesse n’est
pas mentionnée en tant que telle. Seules deux personnes physiques,
administrateurs de la première défenderesse y sont renseignées dans les données
de contact ;

- L’article 13.1. c) du RGPD n’est pas respecté en ce que la Politique de confidentialité
de la plateforme ne mentionne pas les bases juridiques pour chaque traitement
individualisé, se limitant à mentionner l’article 6.1. du RGPD dans sa globalité et ne
faisant aucune référence à l’article 9.2. a) du RGPD pour les différents traitements
de données de santé opérés via la plateforme ;

- La Politique de confidentialité de la plateforme ne contient pas d’information sur
les délais de conservation des données (article 13.2. a) du RGPD) ;

- N’ayant pas été informée des mesures prises à la suite de sa demande
d’effacement, il y a eu manquement à l’article 12.3. du RGPD ;

- Les articles 7.3. in fine et 12.2. du RGPD sont violés dès lors que la suppression d’un
compte s’avère plus complexe que la création de celui-ci. En outre, deux
procédures distinctes co-existent pour exercer le droit à l’effacement d’une part et
pour exercer les autres droits d’autre part ;

- La plaignante n°1 indique se rallier entièrement au raisonnement du SI quant à
l’invalidité de l’intérêt légitime (article 6.1.f) du RGPD) pour le traitement des
données personnelles des praticiens non-inscrits telle sa dentiste et partager dès
lors le constat de violation des articles 5.1.a), 5.2. et 6 du RGPD par les
défenderesses ;

Décision quant au fond 149/2023 — 7/34

- Sa plainte est recevable en ce compris à l’égard du traitement de son NRN dès lors
que le principe de droit « ne bis in idem » invoqué par la première défenderesse est
inapplicable en l’espèce.

- Quant à la base de licéité du traitement du NRN, la plaignante n°1 souligne que le
traitement du NRN est en principe interdit sauf dans les cas prévus par la Loi du 8
août 1983 organisant un Registre national des personnes physiques (LRN – article
5) et en principe soumis à l’autorisation du ministre de l’Intérieur (article 8.1.). La
dispense d’autorisation prévue à l’article 8.3. de la LRN dont se prévaut la première
défenderesse n’est pas d’application dès lors que l’introduction du NRN sur la
plateforme ne permet ni d’identifier ni d’authentifier la personne comme requis par
ledit article 8.3.

22. Le 23 septembre 2022, la Chambre Contentieuse reçoit les conclusions en réplique et de
synthèse de la première défenderesse. En résumé, celle-ci y défend ce qui suit.

- Le seul fait pour la seconde défenderesse d’agir comme investisseur/actionnaire
n’implique pas ipso facto qu’elle soit responsable de traitement au sens de l’article
4.7 du RGPD. Dans les faits, la seconde défenderesse n’a pris aucune décision
relative ni aux finalités ni aux moyens des traitements de données personnelles
opérés dans le cadre de la plateforme ;

- Soulignant que le SI ne retient pas formellement de manquements aux articles
13.1a), 13.1c) et 13.2. du RGPD au regard de la Politique de confidentialité de la
plateforme, la première défenderesse n’en expose pas moins (sans reconnaître un
quelconque manquement) qu’elle entend rédiger une nouvelle Politique de
confidentialité qui clarifiera les éléments d’information concernés par les articles
susvisés ;

- Elle a effectivement fait droit à la demande d’effacement de la plaignante n°1, seul
l’e-mail de confirmation de l’effacement intervenu n’a pas été adressé à cette
dernière ;

- Il n’est pas moins aisé de supprimer un compte que d’en créer un, les deux
procédures s’effectuant, sans être formellement identiques, en plusieurs étapes
et nécessitant des démarches actives dans les deux cas (article 7.3. in fine) ;

- L’action de l’APD à l’égard de la base de licéité des traitements de données des
professionnels non-inscrit est irrecevable. La plainte de la plaignante n°1 ne
concernant selon la première défenderesse nullement cette question, celle-ci
aurait dû faire l’objet d’une procédure distincte. La première défenderesse estime
ne pas avoir à se justifier quant à ce dans le cadre de la présente procédure et vis-
à-vis de la plaignante n°1. Subsidiairement, elle expose les motifs pour lesquels elle

Décision quant au fond 149/2023 — 8/34

estime pouvoir s’appuyer sur son intérêt légitime au sens de l’article 6.1.f) du RGPD
pour fonder ces traitements (voy. également infra point 88).

- S’agissant de la question de la base de licéité du traitement du NRN, elle s’étonne
que cette question puisse faire l’objet de deux procédures distinctes (tant dans le
cadre de la plainte n°1 que de la plainte n°2 – voy. infra et point 32), soulignant
qu’elle a déjà conclu sur cette problématique dans le cadre de la plainte n°23.
Poursuivre une partie pour des faits identiques sans avoir apporté une solution
définitive au premier litige n’est selon elle pas compatible avec le droit au procès
équitable consacré par l’article 6 de la Convention européenne des droits de
l’homme (CEDH). Partant, la première défenderesse juge la demande de la
plaignante n°1 (et de l’APD) irrecevable sur ce point. Subsidiairement, la première
défenderesse renvoie aux conclusions qu’elle a déposées dans le cadre de la plainte
n°2 sur cet aspect (point 46).

23. Le 2 août 2023, la Chambre Contentieuse notifie aux parties que l'audition aura lieu le 15
septembre 2023.

24. Dans ce même courrier, les parties sont informées que le 14 juin 2023, la Chambre
Contentieuse a adopté la décision 75/20234. Compte tenu de cette décision5 inconnue des
parties à l’époque où elles ont été invitées à conclure, la Chambre Contentieuse donne aux
parties la possibilité de conclure additionnellement sur sa prise de position dans cette
décision 75/2023, en particulier sur les aspects qui seraient pertinents au regard de la
plainte n°1 et ce, jusqu’au 31 août 2023.

25. Le 31 août 2023, en réponse à la possibilité qui lui a été donnée, la première défenderesse
dépose de dernières conclusions.

26. Elle y précise que celles-ci remplacent la motivation qu’elle a développée dans ses
précédentes conclusions au regard de la base de licéité invoquée de l’intérêt légitime
(article 6.1.f) du RGPD) pour le traitement des données de professionnels de santé « non-
inscrits ». La première défenderesse y maintient qu’elle était fondée à s’appuyer sur l’article
6.1. f) du RGPD pour traiter les données des professionnels de santé non-inscrits.

27. Néanmoins, la première défenderesse indique avoir, à la suite d’une veille juridique
scrupuleuse, pris connaissance dès l’été de la décision 75/2023 de la Chambre Contentieuse

3
La Chambre Contentieuse explicite à cet égard que la présente décision aborde par ordre chronologique d’introduction de
chacune des plaintes, d’abord le déroulé de la procédure relative à la plainte n°1 introduite en 2020 et ensuite, le déroulé de la
procédure relative à la plainte n°2 déposée en 2021. Cela étant, la plainte n°2 n’ayant pas été envoyée au service d’inspection
dont le rapport a été communiqué à la Chambre Contentieuse le 9 février 2022, les parties à cette seconde plainte ont été
invitées à conclure avant les parties à la plainte n°1 alors même que la plainte n°2 a donc été introduite postérieurement à la
plainte n°1.
4
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-75-2023.pdf
5
Il a également été précisé aux parties qu’un recours en annulation avait été introduit contre cette décision devant la Cour des
marchés. Voy. également la mention qui en est faite sur la décision publiée dès l’introduction du recours :
https://www.gegevensbeschermingsautoriteit.be/publications/beslissing-ten-gronde-nr.-75-2023.pdf.

Décision quant au fond 149/2023 — 9/34

et avoir pris la décision de s’appuyer désormais sur le consentement desdits
professionnels et avoir entamé un processus de recueil du consentement de ces derniers
dès l’été. La première défenderesse produit par ailleurs la dernière version de la Politique de
confidentialité de la plateforme mise en ligne en août 2023, laquelle fait désormais
référence à la demande de consentement précitée des professionnels non-inscrits.

28. Le 15 septembre 2023, la plaignante n°1 et les représentants de la première défenderesse
sont entendus par la Chambre Contentieuse, la seconde défenderesse ne comparaissant
pas. Ils exposent chacun l’argumentaire développé en termes de conclusions. A l’invitation
de la Chambre Contentieuse, la première défenderesse montre les modalités de création
et de suppression de compte au départ de la plateforme. Elle expose également la version
test de la plateforme qui travaillera désormais sans demander le NRN, la première
défenderesse renonçant, au vu des deux plaintes notamment, à travailler avec cet
identifiant. Elle confirme ce qu’elle avait indiqué n conclusion, soit le recueil progressif du
consentement des professionnels de santé non -inscrits et l‘abandon de la base de licéité de
l’intérêt légitime.

29. Le 28 septembre 2023, le procès-verbal de l’audition est soumis aux parties présentes à
celle-ci. La seconde défenderesse en reçoit copie pour information.

30. A la date du 6 octobre 2023, la Chambre Contentieuse ne reçoit de la première
défenderesse et de la plaignante n°1 présentes à l’audition aucune remarque relative au
procès-verbal.

I.2. Quant à la plainte du plaignant n°2 (DOS-2021-05271)

31. Le 31 juillet 2021, le plaignant n°2 introduit une plainte (ci-après la plainte n°2) auprès de
l’APD contre la première défenderesse.

32. Aux termes de sa plainte, le plaignant n°2 rapporte qu’il a constaté que pour pouvoir prendre
un rendez-vous sur la plateforme « Z », il faut - au moment de la création de son compte sans
lequel aucun rendez-vous ne peut être pris - obligatoirement communiquer son NRN et que
cette pratique lui semble contraire à la loi.

33. Le plaignant n°2 produit le courriel qu’il a adressé à la première défenderesse le 17 juillet
2021 dans lequel il souligne qu’il est selon lui (sic) « strictement interdit de par la Loi, à une
société privée comme la vôtre, de demander le Numéro national. Il vous est demandé de
retirer ce champ obligatoire pour prendre rendez-vous ».

34. Le jour même, la première défenderesse lui répond que (sic) « votre numéro national est
demandé par mesure de sécurité et il est totalement crypté dans notre base de données
donc inutilisable par un tiers. Un numéro national est beaucoup plus difficile à deviner par
quiconque qu’une adresse email et donc plus sécurisant. Surtout dans le cadre d’une
application liée aux soins de santé ».

Décision quant au fond 149/2023 — 10/34

35. Ainsi qu’il a été mentionné au point 32, le plaignant n°2, insatisfait de la réponse reçue,
dépose plainte auprès de l’APD le 31 juillet 2021.

36. Le 16 août 2021, sa plainte est déclarée recevable par le SPL de l’APD sur la base des articles
58 et 60 de la LCA et transmise à la Chambre Contentieuse en vertu de l'article 62, § 1 er de
la LCA.

37. Il ne ressort pas de la plainte déposée que le plaignant n°2 aurait communiqué son NRN à
la première défenderesse. Il semble au contraire que le plaignant n°2 ait renoncé à créer un
compte au motif que son NRN lui était demandé. Dans ses conclusions (point 46 infra), la
première défenderesse indique en ce sens qu’elle n’est pas en mesure de déterminer si le
plaignant n°2 a effectivement pris rendez-vous via la plateforme. Elle ajoute qu’à tout le
moins, lorsqu’une recherche est lancée au départ de son nom dans la base de données de la
plateforme, il est constaté qu’il ne dispose d’aucun compte sur celle-ci. En d’autres termes,
il semble donc que la première défenderesse n’ait pas traité de données à caractère
personnel relatives au plaignant n°2 (dont son NRN). Ce dernier n’est donc pas une personne
concernée au sens des articles 4.1. et 77 du RGPD.

38. Cette absence de qualité ne prive toutefois pas le plaignant n°2 de son droit de déposer
plainte à l’APD à l’appui de l’article 77 du RGPD complété par les articles 58 et suivants de la
LCA6. A cet égard, la Chambre Contentieuse rappelle que dans un arrêt du 7 octobre 20217,
la Cour de cassation a ainsi énoncé :

« 3. Il ressort incontestablement de l'ensemble des dispositions légales
susmentionnées qu'une personne concernée a le droit d'introduire une plainte
auprès de l'Autorité de protection des données contre une pratique de traitement
dont elle estime qu'elle viole ses droits en vertu du RGPD (...). C'est également le cas
lorsque les données à caractère personnel de la personne concernée elle-même
n'ont pas été traitées mais que cette dernière n'a pas obtenu l'avantage ou le
service car, précisément en raison de l'existence de la pratique constituant
présumément une violation, elle a refusé de consentir au traitement »8

6
L’article 56 de la LCA dispose ce qui suit : Toute personne peut déposer une plainte ou une requête écrite, datée et signée
auprès de l'Autorité de protection des données. IL doit être lu en combinaison avec les critères de recevabilité de la plainte
détaillés à l’article 60 de la LCA lesquels n’incluent pas la condition d’être une personne concernée. Il n’en existe pas moins
des limites à la recevabilité d’une plainte liée à l’intérêt à agir du plaignant comme décrit par la Chambre Contentieuse aux
termes de sa Note relative à la position du plaignant dans la procédure devant la Chambre Contentieuse et dans un certain
nombre de ses décisions. Voy. par exemple : Décision quant au fond 30/2020 du 8 juin 2020 (points 4-7) ; Décision quant au
fond 80/2020 du 17 décembre 2020 (points 44-52) ; Décision quant au fond 63/2021 du 1er juin 2021 (points 10-18) ; Décision
quant au fond 117/2021 du 22 octobre 2021 (points 29-35) ; Décision 49/2022 du 5 avril 2022 (points 7-12) ; Décision quant au
fond 106/2022 du 27 juin 2022 . https://www.autoriteprotectiondonnees.be/publications/note-relative-a-la-position-du-
plaignant-dans-la-procedure-au-sein-de-la-chambre-contentieuse.pdf
7
https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4/FR?HiLi=eNpLtDK2qs60MrAutjI2sFJKT01PLUvNK05K
LU7OSC3KzcxLL04sLckvyixJzSxRss60MoSqdHd1dw1z9Qt2cg129nAN8vX0cw92DA3xD/IMcfUMAak0gqkkYGYtAFHdLHE
=
8
Voy. à cet égard la décision 126/2021 de la Chambre Contentieuse :
https://www.autoriteprotectiondonnees.be/publications/classement-sans-suite-n-126-2021.pdf. C’est la Chambre
Contentieuse qui souligne.

Décision quant au fond 149/2023 — 11/34

39. En l’espèce, le plaignant n°2 dénonce effectivement une pratique puisque le NRN est
demandé pour toute création de compte auprès de la plateforme. Cette plainte n°2 est par
ailleurs la seconde que l’APD reçoit à ce sujet, la première étant celle de la plaignante n°1
dont question ci-dessus (DOS-2020-05649).

40. Le 21 janvier 2022, la première défenderesse et le plaignant n°2 ( soit les parties concernées
par cette plainte n°2) sont informées par envoi recommandé des dispositions telles que
reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en
vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite
pour la réception des conclusions en réponse de la première défenderesse a été fixée au 4
mars 2022, celle pour les conclusions en réplique du plaignant n°2 au 28 mars 2022 et celle
pour les conclusions en réplique de la première défenderesse au 19 avril 2022.

41. Aux termes de cette lettre, la première défenderesse et le plaignant n°2 sont invités à faire
valoir leurs arguments au regard des manquements potentiels au RGPD que révèlent la
pratique du traitement du NRN dénoncée, soit un manquement potentiel aux articles 5.1.a)
(principe de licéité), 5.1.c) (minimisation des données), 5.1.e) (durée de conservation limitée),
6.1. (licéité), 12 (transparence), 13 (obligation d’information), 5.2. et 24
(responsabilité/accountability) et 32 (obligation de sécurité) du RGPD ainsi qu’aux
dispositions corollaires de la LRN en particulier son article 5 (autorisation de traitement).

42. Le 22 février 2022, la première défenderesse demande une copie du dossier (art. 95, §2, 3°
LCA), laquelle lui est transmise le 25 février 2022.

43. A cette même date, la première défenderesse accepte de recevoir toutes les
communications relatives à l'affaire par voie électronique.

44. Le 3 mars 2022, la Chambre Contentieuse reçoit les conclusions en réponse de la première
défenderesse. La première défenderesse ayant déposé des conclusions en réplique et de
synthèse, le résumé de son argumentation est exposé au point 46 ci-dessous.

45. Le 13 avril 2022, la première défenderesse fait part de sa demande d'être entendue, et ce
conformément à l'article 98 de la LCA.

46. Le 15 avril 2022, la Chambre Contentieuse reçoit les conclusions en réplique et de synthèse
de la première défenderesse. En résumé, elle y défend ce qui suit :

- Le traitement du NRN s’appuie sur le consentement libre de la personne concernée
(article 5.1. a) et 6 du RGPD) : le patient est en effet libre de créer ou non un compte. Il
peut également bénéficier du service d’information de la plateforme et contacter le
professionnel de santé de son choix par les canaux communication propres à ce dernier
sur la base des informations de contact ainsi mises à sa disposition ;

- Lorsqu’une recherche est lancée au départ du nom du plaignant n°2 dans la base de
données de la plateforme, il est constaté qu’il ne dispose d’aucun compte sur celle-ci

Décision quant au fond 149/2023 — 12/34

- Le choix de recourir au NRN est motivé par l’absolue nécessité d’identifier le patient de
manière certaine et unique. Il n’y a donc pas d’atteinte au principe de minimisation (article
5.1. c) du RGPD) au regard du traitement de ce NRN ;

- Les données ne sont conservées que le temps nécessaire à l’identification et
l’authentification du patient et supprimées dès la désinscription de ce dernier de la
plateforme (article 5.1.e) du RGPD) ;

- S’agissant des obligations de transparence et d’information, un onglet spécifique est
dédié à l’information quant au traitement du NRN sur la plateforme (FAQ –
confidentialité). Les raisons pour lesquelles ce NRN est demandé y sont décrites ;

- En optant pour le traitement du NRN à des fins d’identification et d’authentification
unique de la personne concernée, la première défenderesse a correctement mis en
œuvre l’article 32 du RGPD, tenant compte des risques liés à la nature des données
traitées. Toutes les données traitées (dont le NRN) sont reprises dans une base de
données cryptée et protégée (article 32 du RGPD) ;

- Il résulte des mesures mises en place (information et sécurisation plus particulièrement)
que la première défenderesse a respecté les obligations qui lui incombent en exécution
des articles 5.2. et 24 du RGPD ;

- S’agissant du respect de la LRN, la première défenderesse ne traite le NRN qu’à des fins
d’identification et d’authentification de l’utilisateur de la plateforme. Elle est donc
dispensée d’autorisation préalable du ministre de l’Intérieur en application de l’article
8.3. de la LRN. La première défenderesse ajoute qu’elle ne consulte aucunement le
Registre National des personnes physiques et les données qui y sont reprises (pages 15
de ses conclusions – dernier paragraphe) et que partant, elle n’est pas soumise à l’article
5 de la LRN.

47. Le 2 août 2023, la première défenderesse et le plaignant n°2 sont informés du fait que
l'audition aura lieu le 15 septembre 2023. Il est à noter qu’en réponse à l’invitation à
l’audition, le plaignant n°2 – qui n’a pas conclu – indique qu’il n’avait d’autre intention en
déposant sa plainte que de signaler un manquement potentiel à l’APD. Pour autant que de
besoin, la Chambre Contentieuse précise que cette affirmation ne remet nullement en cause
la recevabilité de sa plainte (points 36-39) et ne doit pas non plus être interprétée comme
un retrait de celle-ci. A supposer même qu’elle soit conçue comme telle par le plaignant n°2,
la Chambre Contentieuse demeure libre de poursuivre l’examen de la plainte nonobstant un
tel retrait dès lors qu’elle considérerait le manquement dénoncé suffisamment grave ou
révélateur de l’existence d’une pratique susceptible de porter atteinte aux principes

Décision quant au fond 149/2023 — 13/34

fondamentaux de la protection des données 9 à caractère personnel comme c’est le cas en
l’espèce.

48. Le 15 septembre 2023, la première défenderesse est entendue par la Chambre
Contentieuse. Le plaignant n°2 ne comparaît pas.

49. Le 28 septembre 2023, le procès-verbal de l’audition est communiqué à la première
défenderesse. Le plaignant n°2 en reçoit une copie pour information.

50. A la date du 6 octobre 2023, la Chambre Contentieuse ne reçoit de la première
défenderesse aucune remarque relative au procès-verbal.

I.3. Quant à la jonction des plaintes n°1 et n°2

51. Par la présente décision, la Chambre Contentieuse décide de joindre les plaintes n°1 et n°2
qu’elle considère liées par un rapport si étroit qu’il y a intérêt à prendre une décision unique
à leur égard afin de garantir la cohérence de ses décisions. Les deux plaintes, si elles sont
certes introduites par des plaignants ( n°1 et n°2) distincts, n’en visent pas moins la même
plateforme et dénoncent en outre un grief commun lié au traitement du NRN ainsi qu’il a été
mentionné aux points 9 (plainte n°1) et 32 (plainte n°2) ci-dessus. En d’autres termes,
l’objectif de cohérence que poursuit la Chambre Contentieuse dans le traitement des
plaintes qui lui sont soumises s’oppose à leur examen séparé.

II. Motivation

II.1. Quant à la qualification de la seconde défenderesse (DOS-2020-05649)

II.1.1. Le point de vue du SI et des parties

52. Comme évoqué au point 1, la plaignante n°1 introduit sa plainte à la fois contre la première
et la seconde défenderesses qu’elle qualifie de responsables de traitement conjoints au
sens de l’article 4.7. du RGPD.

53. La plaignante n°1 est en effet d’avis qu’un faisceau d’indices sérieux et concordants plaident
en faveur de cette thèse : (1) en 2018, la seconde défenderesse - dont la création et la gestion
de sites internet fait partie des domaines d’activité - a massivement investi dans le projet de
création de la plateforme tant d’un point de vue financier qu’opérationnel, (2) « la plateforme
Z » s’identifiait au moment des faits dénoncés dans sa Politique de confidentialité comme
étant la copropriété de la première et de la seconde défenderesses, dédiant à cette dernière
une page sur son site en sa qualité d’investisseur unique et lui offrant ainsi une véritable

9
Voy. la Politique de classement sans suite de la Chambre Contentieuse
https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambre-
contentieuse.pdf

Décision quant au fond 149/2023 — 14/34

vitrine, (3) les deux sociétés sont étroitement liées, deux entités de la seconde défenderesse
étant administratrices de la première défenderesse.

54. Ainsi qu’il a été rapporté ci-dessus, le SI retient la qualité de responsable de traitement
dans le seul chef de la première défenderesse (point 13). La première défenderesse
partage cette analyse et se qualifie de seule « responsable de traitement » au regard des
traitements de données opérés par la plateforme (point 22).

II.1.2. L’appréciation de la Chambre Contentieuse

55. La Chambre Contentieuse n’est pas liée par la qualité que se reconnait la première
défenderesse, ni par celle que lui attribuerait le SI. Elle se doit d’apprécier la réalité de cette
qualification et le cas échéant de l’écarter s’il devait résulter de son analyse que celle-ci ne
peut être retenue10.

56. La Chambre Contentieuse rappelle qu’est défini comme un responsable de traitement « la
personne physique ou morale ou toute autre entité qui seule ou conjointement avec
d’autres, détermine les finalités et les moyens du traitement de données à caractère
personnel » (article 4.7. du RGPD). Il s’agit d’une notion autonome, propre à la réglementation
en matière de protection des données dont l’appréciation doit se faire au départ des critères
qu’elle énonce : la détermination des finalités du traitement de données concerné ainsi que
celle des moyens de celui-ci.

57. La Chambre Contentieuse rappelle également que le critère essentiel pour qu’il y ait –
comme le plaide la plaignante n°1 - responsabilité conjointe du traitement est la participation
conjointe de deux entités ou plus dans la détermination des finalités et des moyens d’un
traitement. Plus précisément, la participation conjointe doit englober, d’une part, la
détermination des finalités et de l’autre, la détermination des moyens. Une participation
conjointe à cette détermination implique que plus d’une entité exerce une influence
déterminante sur la question de savoir si, dans quel but et comment le traitement a lieu. Dans
la pratique, la participation conjointe peut prendre la forme d’une décision commune prise
par deux entités ou plus ou découler de décisions convergentes adoptées par celles-ci au
sujet des finalités et des moyens essentiels du traitement.

58. En l’espèce, la Chambre Contentieuse relève que les éléments fournis par la plaignante n°1
montrent certes, comme le souligne le SI et comme ne le conteste pas la première
défenderesse, que la seconde défenderesse a investi dans le projet de création de la
plateforme par la première défenderesse (alors jeune start-up). La qualité de responsable
conjoint suppose toutefois, ainsi qu’il vient d’être rappelé, une participation à la
détermination des finalités et des moyens des traitements. Le seul fait de soutenir
financièrement un projet n’emporte pas nécessairement qu’il y ait détermination de ces

10
Voy. en ce sens Bruxelles (Cour des marchés), 8 juin 2022, 2022/AR/42, p. 6.

Décision quant au fond 149/2023 — 15/34

finalités et moyens au travers de décisions communes ou convergentes des défenderesses
sur les traitements de données. Lorsque, dans ses Lignes directrices relatives aux notions
de responsable de traitement et de sous-traitant, le CEPD souligne que tous les types de
partenariat, de coopération ou de collaboration n’impliquent pas que les entités soient des
responsables conjoints du traitement, il présuppose que ces entités jouent chacune un rôle
au regard des traitements de données ; rôle qui selon le cas, emportera la qualification de
responsable de traitement conjoint ou non. En l’espèce, la Chambre Contentieuse estime
qu’il n’y a pas d’élément qui atteste même d’un quelconque rôle de la seconde
défenderesse au regard des traitements de données en tant que tels.11 La participation de
la seconde défenderesse est financière et ni les pièces produites par la plaignante n°1 ni les
constats du SI ne permettent à la Chambre contentieuse de conclure que la seconde
défenderesse a effectivement participé à la détermination de la finalité et des moyens
des traitements de données opérés par la plateforme.

59. En conclusion de ce qui précède, la Chambre Contentieuse conclut que la seconde
défenderesse n’est pas responsable de traitement (conjoint) au sens de l’article 4.7. du
RGPD au regard des traitements de données de la plateforme.

60. La Chambre Contentieuse note qu’en cours de procédure, la première défenderesse a
clarifié l’identification et les coordonnées du responsable de traitement (article 13.1. a) du
RGPD) dans sa Politique de confidentialité en prévoyant désormais une clause qui ne
mentionne plus les noms des personnes physiques qui étaient ses administrateurs à
l’époque. Elle a également retiré la mention « co-propriétaires de la plateforme » au regard
de ceux-ci. Ces informations étrangères aux qualification des rôles en matière de protection
des données n’ont pas nécessairement leur place dans une politique de confidentialité et
risquent à tout le moins de créer une confusion.

II.2. Quant au manquement à l’article 12.3. du RGPD par la première défenderesse : l’absence
d’information relative au suivi de la demande d’exercice du droit à l’effacement de la
plaignante n°1 (DOS-2020-05649)

II.2.1. Le point de vue du SI et des parties

61. Ainsi qu’il a été exposé aux points 7, 9 et 21 ci-dessus, la plaignante n°1 dénonce l’absence
de réponse de la première défenderesse à sa demande d’effacement du compte patient
qu’elle avait créé et de l’ensemble des données personnelles la concernant qu’elle avait
communiquées à l’occasion de la création de celui-ci.

62. Aux termes de son rapport d’enquête (point 13), le SI indique qu’il a pu prendre connaissance
d’une capture d’écran qui attesterait que la plaignante n°1 n’est plus répertoriée dans la base
de données de la première défenderesse. Le SI n’en relève pas moins que la première

11
https://edpb.europa.eu/system/files/2023-10/edpb guidelines 202007 controllerprocessor final fr.pdf

Décision quant au fond 149/2023 — 16/34

défenderesse reconnaît – comme cette dernière l’écrit dans ses conclusions (point 22) - ne
pas avoir confirmé à la plaignante n°1 que ses données personnelles avaient effectivement
été effacées.

II.2.2. L’appréciation de la Chambre Contentieuse

63. Il n’est donc pas contesté que la première défenderesse s’est abstenue de fournir à la
plaignante n°1 des informations sur les mesures prises à la suite de sa demande
d’effacement dans les meilleurs délais et en tout état de cause dans le délai d'un mois à
compter de la réception, le 21 octobre 2020, de sa demande comme le requiert l’article 12.3.
du RGPD.

64. La Chambre Contentieuse insiste à cet égard sur le fait que donner suite à l’exercice du droit
à l’effacement de la personne concernée emporte non seulement l’obligation d’effacer les
données la concernant lorsque les conditions de cet effacement sont réunies (article 17.1 b)
du RGPD en l’espèce – retrait du consentement) mais également celle d’informer la
personne concernée sur les mesures prises à la suite de la demande d’effacement, dans les
meilleurs délais et en tout état de cause dans le délai d'un mois à compter de la réception de
la demande (article 12.3. du RGPD).

65. A l’appui de ce qui précède, la Chambre Contentieuse conclut à un manquement à l’article
12.3. du RGPD dans le chef de la première défenderesse.

66. La Chambre Contentieuse relève que la demande d’effacement de la plaignante n°1 est
consécutive au fait qu’elle n’aurait pu constater que la dentiste qu’elle cherchait à
contacter n’était pas inscrite sur la plateforme qu’après avoir créé son compte (en
octobre 2020). A cet égard, la plaignante n°1 a, le 9 janvier 2021, informé l’APD qu’à la suite
d’un changement sur le site, un pop-up avertissait désormais le patient que le praticien n’est
pas inscrit sur la plateforme. Saisi de la plainte le 2 février 2021, le SI indique qu’il n’a pas été
en mesure de constater la situation à laquelle la plaignante n°1 expose avoir été confrontée.
La première défenderesse défend pour sa part que ce pop-up a toujours existé.

67. La Chambre Contentieuse n’est pas en mesure de constater un éventuel manquement au
RGPD qui découlerait de la situation décrite par la plaignante n°1. Elle n’en insiste pas
moins, sans que ceci ne constitue une quelconque mesure correctrice ou sanction au sens
de l’article 100 de la LCA, qu’il doit être parfaitement clair pour le patient que la création d’un
compte n’est requise que s’il peut entrer en contact via la plateforme avec un praticien
inscrit sur celle-ci. Ainsi, l’information selon laquelle un praticien est ou non inscrit (et donc
l’information qu’il est ou non possible de prendre RDV avec ce dernier via la plateforme) doit
être accessible avant la création de tout compte. A défaut, le respect dû par la première

Décision quant au fond 149/2023 — 17/34

défenderesse à son obligation de transparence 12 et à son devoir de loyauté pourraient être
questionnés (articles 12.1 et 5.1. a) du RGPD). La Chambre Contentieuse relève à cet égard
que la première défenderesse a précisé qu’outre le pop-up en place, il est, à la suite d’une
modification apportée en cours de procédure, désormais explicitement prévu dans sa
Politique de confidentialité qu’il n’est pas nécessaire de créer un compte pour consulter les
données de contact des professionnels de santé, qu’ils soient inscrits ou non-inscrits.

68. S’agissant plus généralement de la politique d’effacement et des délais de conservation
des données, la Chambre Contentieuse rappelle que les autorités de protection des données
sont d’avis que tant les éléments d’information prévus au §1 er des articles 13 et 14 du RGPD
que ceux prévus au §2 de ces mêmes articles doivent être communiqués à la personne
concernées13. Ainsi, les délais de conservation des données prévu à l’article 13.2. a) et 14.2. a)
du RGPD doivent toujours être portés à la connaissance des personnes concernées. La
Chambre Contentieuse note à cet égard que la première défenderesse a modifié sa Politique
de confidentialité en cours de procédure et que celle-ci prévoit désormais des délais de
conservation en fonction des catégories de traitements.

II.3. Quant au manquement à l’article 7.3. in fine du RGPD et à l’article 12.1. du RGPD par la
première défenderesse (DOS-2020-05649) : le retrait du consentement et la
facilitation de l’exercice des droits

II.3.1. Le point de vue du SI et des parties

a) Quant au retrait du consentement (article 7.3. in fine)

69. Aux termes de son rapport d’enquête (point 13), le SI conclut à une violation par la première
défenderesse, des articles 7.3 in fine du RGPD en ce que la première défenderesse ne
rendrait pas la suppression d’un «compte patient» aussi simple que la création de ce compte.

70. Le SI détaille à cet égard que la création d’un compte nécessite simplement une saisie de
données personnelles sur la plateforme et une sécurisation du compte via la réception d’un
SMS. A l’inverse, la suppression d’un compte ne peut s’effectuer directement sur le site et
nécessite l’envoi d’un courriel à l’adresse suppression@[…] ou une prise de contact avec la
première défenderesse depuis la plateforme par le biais du chatbot. Cette différence
constitue selon le SI une violation de l’article 7.3. du RGPD aux termes duquel il doit être
« aussi simple de retirer que de donner son consentement ».

71. La plaignante n°1 souscrit à l’analyse du SI (point 21).

12
Voy. à cet égard le point 10 des Lignes directrices du CEPD relatives à la transparence ( Groupe Article 29, WP 260 repris à
son compte par le CEPD lors de sa session inaugurale du 25 mai 2018 : https://edpb.europa.eu/our-work-tools/our-
documents/article-29-working-party-guidelines-transparency-under-regulation en) qui souligne que : « un aspect primordial
du principe de transparence mis en lumière dans ces dispositions est que la personne concernée devrait être en mesure de
déterminer à l’avance ce que la portée et les conséquences du traitement englobent afin de ne pas être pris au dépourvu à un
stade ultérieur quant à la façon dont ses données à caractère personnel ont été utilisées ».
13
Voy. les Lignes directrices du CEPD relatives à la transparence (https://edpb.europa.eu/our-work-tools/our-
documents/article-29-working-party-guidelines-transparency-under-regulation en) déjà citées (point 23).

Décision quant au fond 149/2023 — 18/34

72. Dans ses conclusions, la première défenderesse expose qu’au moment des faits, le patient
qui choisissait de créer un compte était invité à communiquer les données d’identification
déjà citées (point 5). Le patient recevait alors un SMS avec un code qu’il devait introduire sur
la plateforme afin de confirmer la création de son compte. Concrètement, le patient devait
cliquer sur un premier lien, lequel le dirigeait vers un second, vers un troisième et enfin vers
un 4ème ( procédure en 4 étapes). Une fois cliqué sur le dernier lien « Inscription »), le candidat
à la création d’un compte était invité à fournir les données susvisées. S’en suivait une double
vérification via l’introduction du code SMS reçu.

73. Quant à la suppression du compte, la première défenderesse expose que le retrait de son
consentement par le patient exigeait au moment des faits que ce dernier envoie un e-mail à
l’adresse dédiée à cet effet suppression@[…] mentionnée sur la FAQ « Comment supprimer
mes données ? ». Le patient devait ainsi cliquer sur 4 liens ( procédure en 4 étapes), le dernier
Lien l’amenant vers l’email de suppression ». Il pouvait également utiliser le chatbot.

b) Quant à la facilitation de l’exercice des droits

74. Le SI estime en outre qu’il découle de son constat quant au retrait du consentement (point
13), que la première défenderesse ne facilite pas l’exercice du droit à l’effacement prévu à
l’article 17 du RGPD, dont celui de la plaignante n°1 (pages 18 et 19 du rapport du SI). Alors
que le SI introduit son raisonnement au départ de l’article 12.2 du RGPD (page 17 du rapport
d’enquête), il conclut à une violation de cette obligation en se référant par erreur selon la
Chambre Contentieuse à l’article 12.1 du RGPD et non à l’article 12.2. RGPD qui consacre
cette obligation.

75. La plaignante n°1 ajoute que le fait que la première défenderesse renseigne deux adresses
de contact, une générale pour l‘exercice des droits info@[…] et une spécifique à l’exercice du
droit d’effacement suppression@[…] n’a pas non plus facilité l’exercice de son droit à
l’effacement. Elle pointe que de surcroît, la Politique de confidentialité de la première
défenderesse ne reflète pas correctement ces procédures.

76. Concluant au regard de l’article 12.1 du RGPD comme soulevé par le SI, la première
défenderesse expose qu’une information claire est donnée quant aux modalités de retrait
du consentement.

II.3.2. L’appréciation de la Chambre Contentieuse

a) Quant au retrait du consentement (article 7.3. in fine)

77. La Chambre Contentieuse rappelle que l’article 7.3 in fine du RGPD dispose que le
responsable du traitement doit veiller à ce qu’il soit aussi simple pour la personne concernée
de retirer que de donner son consentement, et à ce que cela puisse être fait à tout moment.

Décision quant au fond 149/2023 — 19/34

78. Ainsi que l’énonce le Comité européen de la protection des données (CEPD) dans ses Lignes
directrices 05/2020 consacrées au consentement 14, le RGPD accorde une place importante
au retrait du consentement.

79. Le CEPD n’en souligne pas moins que le RGPD ne précise toutefois pas que la personne
concernée doit toujours pouvoir donner et retirer son consentement moyennant la même
action (point 113) . Toutefois, le CEPD est d’avis que « lorsque le consentement est obtenu
par voie électronique uniquement par un clic, une frappe ou en balayant l’écran, les
personnes concernées doivent, en pratique, pouvoir retirer ce consentement par le même
biais. Lorsque le consentement est obtenu au moyen d’une interface utilisateur spécifique
au service (par exemple moyennant un site internet, une application, un compte avec
identifiant, l’interface d’un dispositif IdO ou par courrier électronique), il est évident qu’une
personne concernée doit pouvoir retirer son consentement moyennant la même interface
électronique, dès lors que changer d’interface à la seule fin de retirer son consentement
nécessiterait des efforts inutiles » (point 114).

80. Enfin, le CEPD ajoute que « le RGPD considère l’existence d’un retrait facile comme un
aspect nécessaire à un consentement valable. Si le droit de retrait ne remplit pas les
exigences du RGPD, le mécanisme de consentement du responsable du traitement n’est pas
conforme au RGPD. Comme mentionné à la rubrique 3.1 sur la condition d’un consentement
éclairé, le responsable du traitement doit informer la personne concernée du droit de retrait
du consentement avant qu’elle ne donne son consentement, conformément à l’article 7,
paragraphe 3 du RGPD. Dans le cadre de l’obligation de transparence, le responsable du
traitement doit en outre informer les personnes concernées de la façon dont elles peuvent
exercer leurs droits » (point 116).

81. Il n’apparait pas à la Chambre Contentieuse que la démarche à suivre pour la suppression
de son compte et l’effacement de ses données par un patient soit moins aisée que les étapes
à suivre pour s’inscrire sur la plateforme. Ainsi qu’il a été exposé ci-dessus par la première
défenderesse (points 72-73 ), dans chacun des cas, plusieurs étapes sont nécessaires. Si la
création du compte peut se faire au départ de la plateforme, elle ne se fait pas « en un simple
clic » ou en quelques clics sur celle-ci mais nécessite également la réception d’un code par
SMS à réintroduire ensuite. L’envoi d’un e-mail au départ de la plateforme ainsi que
l’utilisation possible du chatbot pour demander la suppression dudit compte ne sont, selon
la Chambre Contentieuse, pas constitutifs d’une procédure moins aisée en ce que ces
démarches peuvent également se faire au départ du site et nécessitent également plusieurs
étapes. Comme rappelé ci-dessus (point 79), les procédures par lesquelles le consentement
est donné et retiré ne doivent pas être strictement identiques. A l’examen de chacune d’elle,
la Chambre Contentieuse n’est pas d’avis que la procédure de suppression du compte est

14
Comité européen de la protection des données (CEPD), Lignes directrices 05/2020 sur le consentement au sens du
règlement (UE) 2016/679 : https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent fr.pdf

Décision quant au fond 149/2023 — 20/34

caractérisée par un degré de difficulté plus grand que celui de la création du compte. La
Chambre Contentieuse en conclut que la première défenderesse ne s’est pas rendue
coupable d’un manquement à l’article 7.3 in fine du RGPD.

82. Sans que cet élément n’intervienne dans la conclusion qui précède, la Chambre
Contentieuse prend note que la première défenderesse a, en cours de procédure, soit après
les faits dénoncés, ajouté un bouton sur lequel il suffit de cliquer pour demander la
suppression du compte et clarifié la procédure de demande de suppression de compte dans
sa Politique de confidentialité.

b) Quant à la facilitation de l’exercice des droits (article 12.2. du RGPD)

83. Quant à l’article 12.2. du RGPD (voy. la remarque au point 74 ci-dessus), la Chambre
Contentieuse fait simplement remarquer ce qui suit sans que cela ne constitue une
quelconque mesure correctrice et /ou sanction au sens de l’article 100 de la LCA.

84. La mise en place de procédures internes et standardisées dédiées à l’exercice des droits
des personnes concernées en matière de protection des données est essentielle et de
nature à contribuer à l’application effective de ces droits. Elle facilite assurément leur
exercice comme le requiert l’article 12.2. du RGPD. Pour autant, lorsque dans le contexte
d’une telle procédure une adresse de contact dédiée à l’exercice de ces droits existe, il ne
peut être fait grief aux personnes concernées d’utiliser un autre canal de communication
pour adresser leurs demandes. Aucune conséquence préjudiciable pour la personne
concernée ne peut être tirée du fait – même dans l’hypothèse où elle en aurait correctement
été informée – qu’elle n’aurait pas utilisé le formulaire adéquat ou se serait adressée au
responsable de traitement par une autre voie, via une adresse e-mail erronée par exemple15.
En l’espèce, la première défenderesse a à cet égard relevé que la plaignante n°1 avait
adressé sa demande suppression à l’adresse générale de la plateforme et non à l’adresse
dédiée à l’exercice du droit à l’effacement mais que ceci n’avait eu aucune incidence sur le
traitement de sa demande de suppression, ses données ayant été effacées. La Chambre
Contentieuse relève que, sauf exception16, c’est effectivement l’attitude qui est attendue
des responsables de traitement.

15
Voy. les Lignes directrices du CEPD relatives à la transparence (WP 260 du Groupe de l’Article 29 reprises à son compte par
l’EDPB lors de sa session inaugurale du 25 mai 2018) : https://edpb.europa.eu/our-work-tools/our-documents/article-29-
working-party-guidelines-transparency-under-regulation en et celles relatives au droit d’accès (Lignes directrices 01/2022)
https://edpb.europa.eu/system/files/2023-04/edpb guidelines 202201 data subject rights access v2 en.pdf
16
Voir les Lignes directrices 01/2022 du CEPD relatives au droit d’accès : https://edpb.europa.eu/system/files/2023-
04/edpb guidelines 202201 data subject rights access v2 en.pdf (points 53 et s.).

Décision quant au fond 149/2023 — 21/34

II.4. Quant au manquement aux articles 5.1. a) , 5.2. et 6 du RGPD par première
défenderesse : la base de licéité du traitement des données des professionnels de santé
non-inscrits (DOS-2020-05649)

II.4.1. Le point de vue du SI et des parties

85. Aux termes de son rapport d’enquête, le SI conclut que la première défenderesse ne peut
s’appuyer sur l’article 6.1.f) du RGPD au titre de base de licéité pour les traitements de
données des professionnels de santé non-inscrits notamment parce qu’il n’est pas satisfait
au test de pondération (voy. infra) en ce que « la publication des données de contact de ces
médecins sur Internet (que ce soit par un service officiel tel que la Banque Carrefour des
Entreprises ou non) ne leur permet pas de s’attendre raisonnablement à ce que ces données
soient traitées et en l‘espèce reproduites sans leur consentement, sur le site web d’une
entreprise privée proposant des solutions informatiques à des médecins moyennant
différents tarifs d’abonnement (…) (page 26 du rapport) ».

86. La plaignante n°1 déclare pour sa part se rallier entièrement à l’analyse du SI.

87. Quant à la première défenderesse, elle défend à titre principal que ce grief aurait dû faire
l’objet d’une procédure distincte dès lors qu’il ne ressort pas de la plainte déposée par la
plaignante n°1. Il est dès lors irrecevable à ses yeux.

88. A titre subsidiaire, la première défenderesse plaide (1) qu’elle poursuit un intérêt légitime (qui
consiste à permettre aux patients d’entretenir plus facilement des contacts avec les
professionnels de la santé de leur choix), (2) que les données quelle traite relativement aux
professionnels de santé non-inscrits sont nécessaires à la réalisation de l’intérêt qu’elle
poursuit (soit la mise à disposition de coordonnées pour une information et une éventuelle
prise de contact) et (3) que l’exercice de pondération qu’elle a opéré lui permet de conclure
qu’elle peut s’appuyer sur cet intérêt légitime. La première défenderesse indique avoir ainsi
tenu compte la nature publique et professionnelle des données (reprises de la Banque
Carrefour des Entreprises (BCE) et de Google), de l’absence d’atteinte manifeste à la vie
privée des praticiens concernés ni à aucun autre de leurs droits fondamentaux, de l’absence
d’atteinte dans leur situation physique, économique ou sociale (au contraire, un bénéfice en
terme de visibilité leur serait procuré), de leurs attentes raisonnables et de l’existence d’un
droit d’opposition dans leur chef. Le résultat de cette pondération l’autorisait à conclure
qu’elle satisfaisait aux 3 tests de finalité (1), de nécessité (2) et de pondération (3) requis
par l’article 6.1. f) du RGPD. La première défenderesse défend donc qu’elle pouvait fonder
le traitement des données des professionnels de santé non-inscrits sur cette base de
licéité.

Décision quant au fond 149/2023 — 22/34

II.4.2. L’appréciation de la Chambre Contentieuse

89. Avec le SI, la Chambre Contentieuse est d’avis que la question de la base de licéité du
traitement des données des praticiens non-inscrits doit, en l’espèce, être considérée
comme faisant partie du périmètre de la plainte n°1 dès lors que (1) cette question est
soulevée – certes en des termes généraux - par la plaignante n°1 dans sa plainte, (2) que
cette dernière a, avant même le dépôt de celle-ci, interrogé la première défenderesse à ce
sujet sans recevoir de réponse et (3) que la demande d’effacement de la plaignante n°1 est
consécutive au fait que la dentiste avec laquelle elle cherchait à prendre un rendez-vous
était précisément un professionnel de santé non-inscrit et qu’en raison de cette absence
d’inscription, la plaignante n°1 n’a pu prendre le rendez-vous envisagée. La Chambre
Contentieuse rappelle qu’en toute hypothèse, une fois saisi, le SI peut dans l’exercice de sa
compétence propre, élargir le périmètre de ses investigations.

90. Quant au fond, la Chambre Contentieuse rappelle que pour pouvoir s’appuyer sur la base de
licéité de "l'intérêt légitime" en application de l'article 6.1.f) du RGPD, le responsable du
traitement, soit la première défenderesse en l’espèce, doit démontrer que a) l’intérêt qu'il
poursuit via le traitement de données concerné peut être reconnu comme légitime (le "test
de finalité") ; b) que le traitement envisagé est nécessaire pour réaliser cet intérêt (le "test
de nécessité") et que c) la pondération de cet intérêt par rapport aux intérêts, libertés et
droits fondamentaux des personnes concernées pèse en sa faveur ou en faveur du tiers (le
"test de pondération").

91. La Chambre Contentieuse vérifiera si en l’espèce, il est satisfait à ces 3 tests en ce qui
concerne le traitement litigieux, soit la mise à disposition sur la plateforme de données
personnelles de professionnels de santé non-inscrits au sens déjà précisé, soit des
professionnels de santé dont la première défenderesse a fait figurer les nom, prénoms,
spécialité, adresse et numéro de téléphone professionnel sur la plateforme sans possibilité
de prendre un rendez-vous avec eux via celle-ci.

Quant au test de finalité (a) : est-il question d’un intérêt légitime ?

92. La Chambre Contentieuse rappelle que pour pouvoir être qualifié de « légitime », l’intérêt
poursuivi par le responsable de traitement (ou le tiers mais ce n’est pas l’hypothèse du cas
d’espèce) doit être licite au regard du droit, déterminé de façon suffisamment claire et
précise, être réel et présent (né et actuel) et non fictif ou hypothétique.

93. En mettant à la disposition des utilisateurs de la plateforme les coordonnées de médecins
et autres professionnels des de la santé même si leur agenda n’est pas lié à la plateforme, la
première défenderesse poursuit l’objectif de permettre aux patients de trouver et de
contacter facilement un professionnel de soins de santé en partageant des données
nécessaires à une prise de contact éventuelle avec ces derniers (voy. également infra). Ce
faisant, la Chambre Contentieuse est d’avis que la première défenderesse contribue au droit

Décision quant au fond 149/2023 — 23/34

de chaque patient d’accéder aux soins de santé ainsi qu’à son droit de consulter le praticien
(inscrit) de son choix comme garanti par l’article 6 de la Loi du 22 août 2002 relative aux
droits du patient. Les traitements de données opérés par la première défenderesse
s’inscrivent ainsi dans la poursuite d’un intérêt sociétal légitime auquel est couplé un
intérêt économique propre à la première défenderesse, légitime également, basé sur la
liberté d’entreprise notamment consacré par l’article 16 de la Charte des droits
fondamentaux de l’Union.

94. A l’appui de ce qui précède, la Chambre Contentieuse est d’avis que l’intérêt poursuivi par
la première défenderesse est légitime. Partant, il a été satisfait au « test de finalité » de
l’article 6.1.f) du RGPD.

Quant au test de nécessité (b) : le traitement est-il nécessaire ?

95. S’agissant du test de nécessité, la Chambre Contentieuse rappelle que la Cour de Justice
de l’Union européenne (CJUE) s'est prononcée entre autres dans l'arrêt « TK » sur cette
condition de nécessité du traitement, insistant sur l’interprétation stricte de cette condition
17
laquelle n’est par ailleurs pas propre à l’article 6.1. f) du RGPD mais commune à toutes les
bases de licéité listées à l’article 6.1 du RGPD à l’exception du consentement prévu à l’article
6.1. a).

96. La CJUE fait également observer que la condition tenant à la nécessité du traitement doit
être examinée conjointement avec le principe dit de "minimisation des données" consacré
à l’article 6, paragraphe 1, sous c), de la directive 95/46 aux termes duquel les données à
caractère personnel doivent être "adéquates, pertinentes et non excessives au regard des
finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées
ultérieurement”.

97. La CJUE a également clarifié que s'il existe des alternatives réalistes et moins intrusives au
traitement opéré, ce traitement n'est pas "nécessaire"18. En d’autres termes, le responsable
de traitement doit s’assurer qu’il n’existe pas de moyen moins intrusif d’atteindre son
objectif que de mettre en œuvre le traitement envisagé (par exemple un dispositif ne traitant

17
"S’agissant de la deuxième condition posée à l’article 7, sous f), de la directive 95/46, relative à la nécessité du recours
à un traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi, la Cour a rappelé que
les dérogations et les restrictions au principe de la protection des données à caractère personnel doivent s’opérer dans
les limites du strict nécessaire (arrêt du 4 mai 2017, Rīgas satiksme, C‑‑13/16, EU:C:2017:336, point 30 et jurisprudence
citée).

18
Cette condition impose à la juridiction de renvoi de vérifier que l’intérêt légitime du traitement des données poursuivi
par la vidéosurveillance en cause au principal, lequel consiste, en substance, à assurer la sécurité des biens et des
personnes et à prévenir la survenance d’infractions, ne peut raisonnablement être atteint de manière aussi efficace par
d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, en particulier
aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis par les articles 7 et 8
de la Charte." C’est la Chambre Contentieuse qui souligne.

Décision quant au fond 149/2023 — 24/34

pas de données personnelles, ou un traitement différent plus protecteur du droit à la privée
et à la protection des données personnelles de la personne concernée).

98. Cette jurisprudence formulée relativement aux articles 7 et 6 de la Directive 95/46/CE reste
pertinente à ce jour. L’article 6. 1 du RGPD reprend en effet les termes de l’article 7 de la
directive 95/46/CE - l’intérêt légitime du responsable de traitement y étant retenu (article 7
f) et article 6.1. f) , certes dans des termes un peu différents. L’article 5.1. c) du RGPD relatif
au principe de minimisation renforce quant à lui les termes de l’article 6.1.c) de la directive
95/46/CE auquel la CJUE renvoie également. Comme le souligne la première défenderesse,
le contexte de « vidéosurveillance » de l’arrêt TK est certes distinct de celui dans lequel le
traitement litigieux s’inscrit en l’espèce. Toutefois, cela ne justifie pas que les principes
qu’énoncent la CJUE au regard des conditions de l’intérêt légitime au titre de base de licéité
soient écartés. Ces exigences sont exprimées en termes généraux applicables tous
contextes confondus.

99. En l’espèce, la Chambre Contentieuse est d’avis que le traitement des données
personnelles des médecins non-inscrits est nécessaire à la réalisation de l’intérêt poursuivi
par la première défenderesse au travers de sa plateforme et consistant à mettre en lien des
(futurs) patients et des professionnels de santé. Quant aux données traitées, la Chambre
Contentieuse estime que le principe de minimisation est respecté : il s’agit en effet de
fournir aux utilisateurs de la plateforme (patients) des informations limitées et nécessaires
relatives à l’identité du praticien, à sa spécialité (est-il opportun de prendre un rendez-vous
ou non avec lui ? ), à sa proximité géographique ou à tout le moins sa localisation via son
adresse (est-il opportun de le contacter lui plutôt qu’un autre ?) ainsi que son numéro de
téléphone professionnel (pour permettre une prise de rendez-vous le cas échéant via la
plateforme mais également en direct via ce numéro).

Quant au test de pondération (c) :

100. La Chambre Contentieuse rappelle qu’outre les deux conditions précitées, l’article 6.1. f) du
RGPD ne peut être mobilisé que si les intérêts ou les libertés et droits fondamentaux de la
personne concernée ne prévalent pas sur l’intérêt poursuivi par le responsable du traitement
ou le tiers. En d’autres termes, le responsable de traitement doit opérer une mise en
balance, une pondération entre les droits et intérêts en cause, et vérifier dans ce cadre que
les intérêts (commerciaux, de sécurité des biens, de lutte contre la fraude, …) qu’il poursuit
ne créent pas de déséquilibre au détriment des droits et intérêts des personnes dont les
données sont traitées. Si les intérêts et droits de ces dernières prévalent, l'article 6.1. f) du
RGPD ne peut pas être utilisé.

101. Concrètement, le responsable de traitement doit tout d’abord identifier les conséquences
de toutes sortes que son traitement peut avoir sur les personnes concernées : sur leur vie
privée mais aussi, plus largement, sur l’ensemble des droits et intérêts couverts par la
protection des données personnelles. Il s’agit ainsi d’évaluer le degré d’intrusion du

Décision quant au fond 149/2023 — 25/34

traitement envisagé dans la sphère individuelle, en mesurant ses incidences sur la vie privée
des personnes (traitement de données sensibles, traitement portant sur des personnes
vulnérables, profilage, etc.) et sur leurs autres droits fondamentaux (liberté d’expression,
liberté d’information, liberté de conscience, etc.) ainsi que les autres impacts concrets du
traitement sur leur situation (suivi ou surveillance de leurs activités ou déplacements,
exclusion de l’accès à des services, etc.). Ces incidences doivent être mesurées afin de
déterminer, au cas par cas, l’ampleur de l’intrusion causée par le traitement dans la vie des
personnes. Le principe de minimisation des données sera également tenu en compte.

102. Le responsable de traitement doit ensuite tenir compte, dans la pondération entre son
intérêt légitime et les droits et intérêts des personnes concernées, des « attentes
raisonnables » de ces dernières. Cette prise en compte est essentielle s’agissant de
traitements qui peuvent être mis en œuvre sans le consentement préalable des
personnes : en l’absence d’un acte positif et explicite de leur part, l’intérêt légitime requiert
de ne pas surprendre les personnes dans les modalités de mise en œuvre comme dans les
conséquences du traitement.

103. En l’espèce, la Chambre Contentieuse constate que les données traitées sont effectivement
des données publiquement accessibles et professionnelles. Cette nature des données
traitées est un facteur qui peut contribuer à faire peser la balance en faveur du responsable
de traitement à la condition que les personnes concernées puissent raisonnablement
s’attendre à l’utilisation de leurs données pour la finalité poursuivie par ledit responsable de
traitement et ce, sans leur consentement préalable.

104. La Chambre Contentieuse est d’avis qu’en l’espèce, le traitement litigieux ne fait pas partie
des attentes raisonnables des professionnels de santé non-inscrits concernés. Les
coordonnés de ces derniers sont publiées sur leur propre site Internet ou sur celui de leur
cabinet, ou encore sur celui d’un hôpital au sein duquel ils effectuent des prestations. Ils ont
avec ce cabinet ou cet hôpital un lien direct. La Chambre Contentieuse part de l’idée qu’ils
ont marqué leur accord pour ces publications qui s’inscrivent dans le cadre de relations
professionnelles qu’ils ont eux-mêmes nouées. Ils ne peuvent en revanche pas
raisonnablement s’attendre à ce que leurs données soient republiées sur une plateforme
telle celle de la première défenderesse qui au-delà de la fonction « d’annuaire » qu’elle
propose pour ces professionnels de santé non-inscrits, poursuit plus généralement un
intérêt commercial en proposant différents services tarifés dont celui de la prise de rendez-
vous directement via la plateforme et la gestion de l’agenda électronique. Que la première
défenderesse ait pu penser qu’une visibilité accrue des professionnels de santé puisse leur
être bénéfique peut certes se concevoir. Toutefois, la Chambre Contentieuse conclut qu’en
l’espèce, le fait que le traitement ne puisse pas être considéré comme entrant dans les
attentes raisonnables de ces praticiens est déterminant et fait pencher la balance en faveur
des droits et libertés de ces derniers. Partant, il n’est pas satisfait au « test de pondération ».

Décision quant au fond 149/2023 — 26/34

Conclusion

105. Au terme de l’analyse qui précède, la Chambre Contentieuse conclut à une violation de
l’article 5.1. a) (exigence de licéité) et de l’article 6.1. du RGPD par la première
défenderesse en ce que celle-ci ne pouvait valablement s’appuyer sur la base de licéité de
l’article 6.1.f) du RGPD pour légitimer le traitement des données des professionnels de santé
non-inscrits sur sa plateforme et ne disposait donc pas de base de licéité valable pour fonder
lesdits traitements.

II.5. Quant au traitement du Numéro de Registre National (DOS-2020-05649 et DOS-2021-
05271)

II.5.1. Le point de vue des parties

106. Tant la plaignante n°1 que le plaignant n°2 dénoncent aux termes de leur plainte respective
le traitement du NRN par la première défenderesse et questionnent la licéité du traitement
de celui-ci au regard de la LRN.

107. La plaignante n°1 met en évidence que par principe, l’utilisation du NRN est interdite. Seules
les personnes limitativement énumérées à l’article 5.1. de la LRN peuvent, moyennant
autorisation du ministre de l’Intérieur, l’utiliser. Par dérogation, l’article 8.3. de la LRN prévoit
que « une autorisation d'utilisation du numéro de Registre national n'est pas requise si le
numéro de Registre national est exclusivement utilisé à des fins d'identification et
d'authentification d'une personne physique dans le cadre d'une application informatique
offerte par une institution privée ou publique de droit belge ou par les autorités, institutions
et personnes visées à l'article 5, § 1er ». La plaignante n°1 estime que c’est à tort que la
première défenderesse s’appuie sur cette dispense dès lors que l’introduction par le patient
de son NRN sur la plateforme ne permet ni de l’identifier, ni de l’authentifier (le NRN semble
plutôt être utilisé comme un numéro d’utilisateur de la personne concernée), la première
défenderesse n’ayant pas accès au Registre National ni à la carte d’identité électronique du
patient. Partant, il y a lieu de considérer selon la plaignante n°1 que la première défenderesse
traite le NRN des utilisateurs de la plateforme de manière illégale.

108. Quant à la première défenderesse, elle expose en termes de conclusions qu’elle a opté pour
le NRN pour identifier et authentifier les utilisateurs de la plateforme de manière sécurisée,
s’agissant d’un identifiant unique dont seule la personne concernée a, a priori, connaissance
(point 22). Elle jugeait en effet indispensable compte tenu des données (de santé) qui
pouvaient être échangées au travers de la plateforme entre un patient et un professionnel
de santé, que l’utilisateur soit identifié et authentifié de manière unique et certaine. La
première défenderesse indique qu’elle estimait pouvoir s’appuyer sur l’article 8.3. de la
LRN cité ci-dessus tout en énonçant qu’elle n’accède pas au Registre national.

Décision quant au fond 149/2023 — 27/34

109. Au cours de l’audition, la première défenderesse a indiqué , ainsi qu’il a déjà été mentionné
au point 28, qu’elle avait pris la décision de renoncer à demander le NRN aux utilisateurs de
la plateforme, rompant ainsi avec un choix qui avait été pris au moment de la création de la
plateforme par la précédente direction.

II.5.2. L’appréciation de la Chambre Contentieuse

110. L’article 87 du RGPD prévoit que « les États membres peuvent préciser les conditions
spécifiques du traitement d'un numéro d'identification national ou de tout autre identifiant
d'application générale. Dans ce cas, le numéro d'identification national ou tout autre
identifiant d'application générale n'est utilisé que sous réserve des garanties appropriées
pour les droits et libertés de la personne concernée adoptées en vertu du présent
règlement ».

111. En droit belge, le traitement du NRN qui constitue un tel numéro d’identification national
est strictement règlementé dans la LRN déjà citée19. Celle-ci détermine limitativement en
son article 5, les autorités, instances, organismes ou personnes qui peuvent y accéder.

112. L’article 8 de la LRN énonce quant à lui la nécessité d’être, sauf exception, autorisé par le
ministre de l’Intérieur à, comme en l’espèce, utiliser ce numéro. Une dispense d’autorisation
est prévue si, comme mentionné ci-dessus, le NRN est exclusivement utilisé « à des fins
d'identification et d'authentification d'une personne physique dans le cadre d'une
application informatique offerte par une institution privée ou publique de droit belge ou par
les autorités, institutions et personnes visées à l'article 5, § 1 er ».

113. Comme le soulignait la Commission de la protection de la vie privée (CPVP) 20 dans son avis
19/2018 du 28 février 201821 portant sur un avant-projet de loi introduisant notamment des
modifications à la LRN dont l’article 8.3. précité, « l’authentification d’une personne consiste
à vérifier qu’elle a bien l’identité qu’elle prétend avoir. C’est le certificat d’authentification
(comprenant le numéro de Registre national) présent sur la carte d’identité électronique qui
le permet par la technique de la cryptographie » (point 31 de l’avis).

114. En l’espèce, il ressort des explications fournies par la première défenderesse elle-même
qu’elle ne procédait pas à l’identification ou à l’authentification de l’utilisateur de la
plateforme au départ du NRN que ce dernier était invité à communiquer. En effet, la première
défenderesse admet ne pas accéder au Registre national. Elle ne procède donc pas, via un
accès aux données du RN et la lecture de la carte d’identité électronique, à la vérification de

19
En application de l’article 4.1 de la LCA, l’APD ( et la Chambre Contentieuse) a compétence pour contrôler le respect de la Loi
RN : « L'Autorité de protection des données est responsable du contrôle du respect des principes fondamentaux de la
protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives
à la protection du traitement des données à caractère personnel ».
20
L’APD a succédé à la Commission de la protection de la vie privée (CPVP) en exécution de la Loi du 3 décembre 2017 portant
création de l’Autorité de protection des données (LCA) : article 3.
21
Commission de la protection de la vie privée, Avis 19/2018 du 28 février 2018 relatif à l’avant-projet de loi portant des
dispositions diverses « Intérieur ».

Décision quant au fond 149/2023 — 28/34

l’identité de la personne ni ne vérifie que cette dernière est bien celle qu’elle prétend être. La
première défenderesse demande uniquement au patient d’introduire un « code » d’accès
(son NRN en l’occurrence) sans vérifier que celui-ci révèle son identité certaine. Il n’est
nullement exclu que cette personne mentionne un NRN qui n’est pas le sien, couplé à son
identité réelle ce que, sans lecture de la carte d’identité électronique, la première
défenderesse ne pourra détecter. Si la Chambre Contentieuse partage l’analyse de la
première défenderesse qu’ une identification et une authentification fortes sont nécessaires
compte tenu des traitements de données (sensibles le cas échéant) qui s’opèrent via la
plateforme, elle n’en conclut pas moins que c’est à tort que la première défenderesse
avance qu’elle se trouvait dans les conditions de dispense de l’article 8.3. de la LRN.

115. Ainsi, dans le cas même où comme en l’espèce, les utilisateurs de la plateforme consentent
à communiquer leur NRN, ce consentement, aussi conforme aux exigences des articles 6 et
7 du RGPD soit-il le cas échéant, ne suffit pas à en autoriser le traitement dès lors que le
traitement du NRN doit être licite et respecter les prescrits de la LRN, dont ses articles 5 et
8. La Chambre Contentieuse conclut qu’à défaut pour la première défenderesse de se
trouver dans les conditions de ces dispositions, elle n’était pas autorisée à utiliser ce NRN et
donc à le solliciter et ce, en violation des articles 5.1. a) et 6.1. du RGPD lus en combinaison
avec l’article 8 de la LRN.

116. La Chambre Contentieuse a pris note de la décision de la première défenderesse de
renoncer à demander le NRN aux utilisateurs de la plateforme. Elle rappelle que ce
changement n’efface pas le manquement passé et devra être reflété dans la Politique de
confidentialité de la première défenderesse.

III. Quant aux mesures correctrices et sanctions

117. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de:

1° classer la plainte sans suite;

2° ordonner le non-lieu;

3° prononcer une suspension du prononcé;

4° proposer une transaction;

5° formuler des avertissements ou des réprimandes;

6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits;

7° ordonner que l'intéressé soit informé du problème de sécurité;

8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;

9° ordonner une mise en conformité du traitement;

Décision quant au fond 149/2023 — 29/34

10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données;

11° ordonner le retrait de l'agréation des organismes de certification;

12° donner des astreintes;

13° donner des amendes administratives;

14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un
organisme international;

15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier;

16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données.

III.1. A l’égard de la première défenderesse ( DOS-2020-05649 et DOS-2020-05271)

III.1.1. Les manquements

118. Il résulte de ce qui précède que la première défenderesse s’est rendue coupable d’un
manquement à l’article 12.3. du RGPD (point 65), aux articles 5.1. a) (licéité) et 6.1 du RGPD
au regard du traitement des données des professionnels de santé non-inscrits (point 105)
ainsi qu’à l’article 5.1. a) (licéité) et 6.1. du RGPD lus en combinaison avec l’article 8 de la
LRN au regard du traitement du NRN des utilisateurs de la plateforme (point 115).

119. Il incombe à la Chambre Contentieuse de déterminer la mesure correctrice et/ou la sanction
la plus appropriée à ces manquements.

120. La Chambre Contentieuse précise au préalable ce qui suit au regard du principe « ne bis in
idem » invoqué par la première défenderesse au regard du grief tiré de la licéité du
traitement du NRN. La première défenderesse s’étonne en effet d’avoir été invitée à
conclure sur cette question dans le cadre des deux plaintes (point 22) et déclarait lors de
l’audition s’interroger sur le respect de ce principe par la Chambre Contentieuse si celle-ci
devait sanctionner par deux fois un même manquement sur une période identique.

121. La Chambre Contentieuse rappelle que le principe général de droit « non bis in idem »
emporte que « nul ne peut être poursuivi ou puni une deuxième fois en raison d’une infraction
(même autrement qualifiée) pour laquelle il a déjà été acquitté ou condamné par un jugement
définitif conformément à la loi et à la procédure pénale de chaque pays ». En d’autres termes,
de secondes poursuites sont interdites du chef de faits identiques ou substantiellement
identiques qui, ayant fait l’objet de poursuites antérieures, ont donné lieu à une décision
définitive d’acquittement ou de condamnation. Par ’’faits identiques ou substantiellement
identiques’’, il faut entendre un ensemble de circonstances de fait concrètes relatives à un

Décision quant au fond 149/2023 — 30/34

même suspect, qui sont indissociablement liées en temps et en lieu (Cass., 24 avril 2015,
n° F.14.0045.N ).

122. Le respect dû à ce principe général de droit ne fait en rien obstacle à ce que la Chambre
Contentieuse invite les parties concernées à se défendre au regard d’un même grief
soulevé dans différentes procédures pendantes et dans lesquelles elle n’a pas encore pris
de décision. La Chambre Contentieuse est libre d’inviter à conclure dans un dossier pendant
consécutif à une plainte même postérieure à une autre qui soulèverait le même grief au
cours de la même période temporelle. Elle demeure libre d’adopter ses décisions selon le
calendrier de priorités qu’elle établit. La Chambre Contentieuse ajoute que si eu égard au
cas d’espèce, la nature des sanctions qu’elle prononce peut, selon le cas, être qualifiée de
pénale, ce n’est pas nécessairement toujours le cas.

123. En l’espèce, la Chambre Contentieuse n’ayant encore pris aucune décision au regard de
l’une ou l’autre des plaintes n°1 et n°2, elle demeurait en toute hypothèse libre d’inviter les
parties à conclure au regard de ce grief de la licéité du traitement du NRN dans le cadre des
deux plaintes. S’agissant de la présente décision, la Chambre Contentieuse a, ainsi qu’il a été
exposé au point 51, décidé de joindre ces plaintes n°1 et n°2, notamment eu égard au grief
commun qu’elles soulevaient ainsi que d’adopter, comme il sera précisé ci-après, une
sanction unique au regard du manquement retenu au point 115 ci-dessus.

III.1.2. L’appréciation de la sanction /mesure correctrice adéquate par la Chambre
Contentieuse

124. Dans l’appréciation de la sanction la plus adéquate au regard des manquements constatés,
la Chambre Contentieuse prend en compte les éléments ci-après propres au cas d’espèce.
Ainsi, elle tient compte des décisions et changements amorcés par la première
défenderesse qui tant dans ses dernières conclusions (point 27) que lors de l’audition (point
28) a précisé qu’à la suite de la décision 75/2023 de la Chambre Contentieuse, elle avait
entamé un processus de recueil du consentement des professionnels de santé non-
inscrits. Dans le même sens, la première défenderesse a décidé de renoncer à demander le
NRN des utilisateurs de la plateforme au moment de la création du compte et présenté une
version test sans ce NRN lors de l’audition (point 28). La Chambre Contentieuse est
également sensible aux adaptations successives apportées par la première défenderesse
à sa Politique de confidentialité dans un souci de constante amélioration quant à la mise en
œuvre de ses obligations découlant du RGPD (points 60 et 68). Enfin, la Chambre
Contentieuse souligne de manière générale la bonne coopération de la première
défenderesse tant avec elle-même qu’avec le SI et ce nonobstant l’article 31 du RGPD qui
requiert un telle collaboration. Tous ces éléments ne sont toutefois pas de nature à
supprimer les manquements qu’elle a constatés (point 118) .

Décision quant au fond 149/2023 — 31/34

125. Sur cette base, la Chambre Contentieuse est d’avis qu’adresser une réprimande à la
première défenderesse pour les manquements constatés est approprié et tient à la fois
compte de la réalité de ces manquements et du fait que ceux-ci sont imputable à une jeune
start-up au nombre d’employés limité (2), qui tout au long de la procédure s’est montrée
désireuse de se mettre en conformité, a pris un certain nombre de décisions en ce sens et a
entamé les changements opérationnels consécutifs à ces décisions.

126. La Chambre Contentieuse ajoute que pour le surplus, elle n’est pas tenue d’exposer les
raisons pour lesquelles elle ne retient pas telle ou telle sanction, par exemple suggérée par
le plaignant.

127. En l’espèce, la Chambre Contentieuse entend toutefois réagir au fait que dans ses
conclusions de réplique et de synthèse, la première défenderesse défend que la Chambre
Contentieuse ne serait pas fondée à lui imposer une amende administrative pour des
motifs tirés du fait que l’amende n’est que la 13ème sanction dans l’énumération de l’article
100 de la LCA ainsi que du fait des considérations émises par la Cour des marchés (CdM)
quant à ce dans son arrêt du 27 janvier 2021 (RG 2020/AR/1333, p.19.) ainsi qu’à celle aux
termes desquelles, dans un arrêt du 26 mai 2021, la dite Cour écarterait la possibilité pour la
Chambre Contentieuse d’infliger une amende dès la première infraction commise par
inadvertance (GR 2021/AR/163).

128. La Chambre Contentieuse rappelle que l’article 58.2. du RGPD énonce que chaque autorité
de contrôle dispose du pouvoir d'adopter toutes les mesures correctrices listées. L’amende
administrative figure en avant dernière position ( 9ème – litera i)), juste avant la 10ème qui
permet d’ordonner la suspension des flux. Considérer qu’il existe une forme de hiérarchie
entre les mesures ne trouve aucun appui dans le texte du RGPD, que du contraire puisque le
litera j) précise que chaque autorité de contrôle peut imposer une amende administrative
en application de l'article 83, en complément ou à la place des mesures visées au présent
paragraphe, en fonction des caractéristiques propres à chaque cas. De plus, la mesure
visée au litera j) (suspension des flux) ne peut bien entendu pas être conditionnée par
l’existence préalable d’une amende qui aurait été imposée. Cela n’aurait aucun sens.

129. S’agissant de l’article 100.1. LCA pris en exécution du RGPD, le même raisonnement
s’applique. Il faut noter à cet égard que la LCA ne reprend pas les termes complets de l’article
58.2. du RGPD, à savoir que l’amende administrative peut être ordonnée en complément ou
à la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas. Certes l’amende est mentionnée en 13ème position au litera 13 mais
celui-ci doit être lu avec la précision qui a été omise par le législateur belge. Les mesures qui
sont visées aux litera 14, 15 et 16 (publicité de la décision) de l’article 100.1. LCA ne sont par
ailleurs pas conçues comme ne pouvant intervenir qu’« après une amende ».

130. En résumé, la place de l’amende dans la liste des mesure correctrices /sanctions prévues
dans le RGPD et la LCA ne signifie pas, a fortiori à l’appui du texte de l’article 58.2.i) du

Décision quant au fond 149/2023 — 32/34

RGPD lui-même, qu’il s’agit d’une mesure de dernier ressort conditionnée par l’adoption
préalable d’autres mesures correctrices/sanctions - jugées moins lourdes, même en cas de
premier manquement par négligence22.

131. La Chambre Contentieuse ajoute que depuis ces arrêts cités par la première défenderesse,
la CdM est revenue sur cette position. La CdM a en effet par la suite apporté plus de
précisions aux arrêts cités par la première défenderesse, notamment en rappelant la
possibilité d’imposer une amende (et même une amende plus élevée que le montant minimal
de la fourchette) au responsable de traitement commettant une infraction pour la première
fois 23.

132. Comme déjà mentionné, la Chambre Contentieuse doit en revanche adopter la mesure
correctrice et/ou la sanction appropriée au cas d’espèce.

133. Si la Chambre Contentieuse juge que la réprimande est en l’espèce une sanction appropriée
(point 125), les changements décidés mentionnés ci-dessus n’en doivent pas moins se
concrétiser pour mettre un terme aux manquements dénoncés aux articles 5.1. a) et 6 du
RGPD le plus rapidement possible. La CC assortit donc sa réprimande d’ordres de mise en
conformité conformément au dispositif ci-dessous et d’une interdiction de traitement des
données concernées au-delà d’une date butoir fixée au 15 janvier 2024. Il va de soi que la
première défenderesse devra en tirer toutes les conséquences par exemple, en termes
d’effacement desdites données à défaut de base de licéité qui en autoriserait le traitement
au-delà de cette date et d’adaptation de sa Politique de confidentialité.

134. La Chambre Contentieuse précise que quant au recueil du consentement des praticiens
non-inscrits, la première défenderesse peut solliciter le consentement de chaque
professionnel de santé concerné par l’envoi d’un courrier personnalisé.

III.2. A l’égard de la seconde défenderesse ( DOS-2020-05649)

135. La Chambre Contentieuse décide d’adopter une décision de classement sans suite à l’égard
de la seconde défenderesse.

22
Dans ses lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement (UE) 2016/679
(WP 253 du RGPD, l’EDPB a précisé à cet égard que : « L’appréciation du caractère effectif, proportionné et dissuasif dans chaque
cas devra également prendre en considération l’objectif poursuivi par la mesure corrective retenue, à savoir de restaurer le respect
des règles ou de sanctionner un comportement illicite (ou les deux) ».L’EDPB énonce également que les amendes sont un
instrument important que les autorités de contrôle devraient utiliser dans les circonstances appropriées. Les autorités de contrôle
sont encouragées à adopter une approche mûrement réfléchie et équilibrée lorsqu’elles appliquent des mesures correctives afin
de réagir à la violation d’une manière tant effective et dissuasive que proportionnée. Il ne s’agit pas de considérer les amendes
comme un recours ultime ni de craindre de les imposer, mais, en revanche, elles ne doivent pas non plus être utilisées de telle
manière que leur efficacité s’en trouverait amoindrie. Voy. également le considérant 148 du RGPD.
23
Voy. Cour des marchés, 7 juillet 2021, 2021/AR/320, publié sur le site de l’APD.

Décision quant au fond 149/2023 — 33/34

136. En matière de classement sans suite, la Chambre contentieuse doit motiver sa décision par
étape et:

- prononcer un classement sans suite technique si le dossier ne contient pas ou pas
suffisamment d’éléments susceptibles d’aboutir à une sanction ou s’il comporte un
obstacle technique l’empêchant de rendre une décision;

- ou prononcer un classement sans suite d’opportunité, si malgré la présence
d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du
dossier ne lui semble pas opportune compte tenu des priorités de l’APD telle que
spécifiées et illustrées dans la Politique de classement sans suite de la Chambre
Contentieuse.

137. En cas de classement sans suite sur la base de plusieurs motifs (respectivement, classement
sans suite technique et/ou d’opportunité), les motifs du classement sans suite doivent être
traités en ordre d’importance.

138. Dans le cas présent, la Chambre Contentieuse décide de procéder à un classement sans
suite pour motif technique tiré de l’absence de tout manquement au RGPD ou aux lois dont
elle est chargée de veiller au respect pouvant être constaté dans le chef de la seconde
défenderesse. En effet, celle-ci n’étant pas responsable de traitement (conjoint), ni sous-
traitant, aucun manquement ne lui est reproché en l’espèce au regard des griefs soulevés à
son encontre par la plaignante n°1.

139. Partant, la Chambre Contentieuse classe la plainte n°1 sans suite pour motif technique sur
la base de l’article 100.1.1° de la LCA.

IV. Publication de la décision

140. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données (APD). Toutefois, il n’est pas nécessaire à cette fin que les données
d’identification des parties soient directement mentionnées.