Erişim Talebinden Sonra İnsan Kaynakları Notlarının Silinmesi

1/32

Chambre Contentieuse

Décision quant au fond 15/2021 du 09 février 2021

N° de dossier : DOS-2018-06125

Objet : Plainte contre une SA pour réponse insatisfaisante à l’exercice de son droit d’accès

La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Yves Poullet et Christophe Boeraeve, membres, reprenant l’affaire
en cette composition ;

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces du dossier ;

A pris la décision suivante concernant :

Le plaignant : Monsieur X, ci-après « le plaignant ».

La partie défenderesse: la S.A. Y, (ci-après « la défenderesse »).

1. Rétroactes de la procédure

1. Vu la plainte introduite le 24 octobre 2018 par le plaignant à l’Autorité de protection des données
(APD) ;

Décision quant au fond 15/2021 - 2/32

2. Vu la décision du Service de Première Ligne de déclarer la plainte recevable et de la transférer à la
Chambre Contentieuse du 29 septembre 2018;

3. Vu la saisine de l’Inspection par courrier du 28 novembre2018;

4. Vu le rapport et procès-verbal d’enquête de l’Inspecteur général transmis le 9 juillet 2019 à la
Chambre contentieuse ;

5. Vu le courrier daté du 25 juillet 2019 de la Chambre Contentieuse informant les parties de sa
décision de considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article
98 LCA et leur communiquant un calendrier d’échange de conclusions ;

6. Vu les conclusions de la défenderesse, reçues le 6 septembre 2019;

7. Vu les observations du plaignant envoyées par email et indiquant qu’il s’abstient de conclure, reçues
le 7 octobre 2019 ;

8. Vu les conclusions en réplique de la défenderesse, reçues le 5 novembre 2019;

9. Vu l’invitation à l’audition adressée par la Chambre Contentieuse aux parties en application de
l’article 46 du Règlement d’ordre intérieur de l’APD et de l’article 93 de la LCA, concernant plus
spécifiquement l’articulation entre l’article 15.4 du RGPD et le considérant 63 du RGPD, ainsi que
de la mise en balance du droit d’accès et d’obtention des données avec les droits et libertés
d’autrui ;

10. Vu la note préparatoire à l’audition de la défenderesse du 4 septembre 2020;

11. Vu l’audition lors de la séance de la Chambre Contentieuse du 14 septembre2020 en présence de
Me De Ridder, conseil de la défenderesse en l’absence du plaignant ;

2. Les faits et l’objet de la plainte

12. La défenderesse est active dans le secteur de la consultation informatique. Le plaignant a intégré
la défenderesse en juin 2008 en tant qu’employé. Il y a par la suite exercé la fonction de consultant
senior. À partir de 2015, le plaignant est régulièrement absent. En 2016, il est élu représentant
des travailleurs.

13. En 2017, la partie défenderesse entame une procédure contre le plaignant devant le tribunal du
travail, au motif qu’il publierait des informations sur un blog privé avant qu’elles ne soient rendues
officielles par la partie défenderesse, pratique à laquelle il refuserait de mettre fin malgré demande
de la défenderesse en ce sens.

Décision quant au fond 15/2021 - 3/32

14. Dans un arrêt du 21 juin 2018, la Cour du Travail dit pour droit que la défenderesse ne peut
licencier le plaignant pour motifs grave, suite à quoi le plaignant réintègre ses fonctions au sein
de la défenderesse le 27 juin 2018.

15. Le 12 juillet 2018, le plaignant demande à son employeur, la défenderesse, l’exercice de son droit
d’accès et/ou copie à toutes les données personnelles enregistrées à son sujet 1. Le plaignant est
d’avis que la réponse de la défenderesse est insatisfaisante, suite à quoi il introduit sa plainte le 2
octobre 2018.

16. Le plaignant soulève également que la défenderesse prendrait des photos des employés lors
d’évènements de l’entreprise et publierait ces photos sur l’intranet de l’entreprise, sans demander
le consentements des employés.

17. Le 18 janvier 2019, les parties concluent une convention de transaction mettant fin à la relation
de travail.

3. Le rapport d’inspection du 9 juillet 2019

18. Dans un courrier du 6 mars 2019 au plaignant, l’Inspecteur général informe le plaignant des
éléments suivants :

 sa demande d’accès et de copie n’est pas retenue pour les points suivants :
o ses emails et logs IT car l’article 15, 4è alinéa du RGPD énonce que le droit d’accès
ne peut pas porter atteinte aux droits et libertés d’autrui, et que la copie de tous ses
emails et logs échappe au droit d’accès et outrepasse sa finalité;
o ses photos car il y a accès.
 sa demande d’accès et copie est retenue pour :
o les annotations dans son dossier RH et ses évaluations.

19. Le Service d’Inspection indique au plaignant que son ancien employeur a fait droit à la demande
d’accès et copie, et lui a fait savoir qu’il lui avait remis copie des données auxquelles le plaignant
n’a pas accès et pour lesquelles l’ancien employeur peut lui remettre copie.

20. Sa demande manque de précision quant au caractère ciblé ou non des photos du personnel prises
lors d’évènements de l’entreprise tel qu’évoqué par le plaignant dans sa plainte.

21. Enfin, l’Inspecteur Général demande au plaignant de lui envoyer différents documents pour étayer
sa plainte (preuve du courrier demandant l’exercice de ses droits à la défenderesse,

1
Voir point 2.1, page 14 à 15

Décision quant au fond 15/2021 - 4/32

correspondance avec la défenderesse s’ensuivant, et déclaration de confidentialité de la
défenderesse).

Aux termes de son rapport d’enquête du 9 juillet 2019, l’Inspecteur Général conclut en ces termes :

Constat 1

L’employeur a fait droit à la demande d’accès et copie, et lui a fait savoir qu’il lui avait remis
copie des données auxquelles le plaignant n’ a pas accès et pour lesquelles l’employeur peut
lui remettre copie.

Constat 2

Le plaignant n’a pas fait parvenir ni évoqué le règlement sur la protection des données des
travailleurs dans le cadre de leur contrat de travail (privacy policy).
Le 14 septembre 2020, les parties sont entendues par la Chambre Contentieuse. Le 12 octobre
2020, le procès-verbal de l’audition est soumis aux parties. Le 19 octobre 2020, la Chambre
Contentieuse reçoit les remarques du Conseil de la défenderesse relatives au procès-verbal,
qu'elle décide de reprendre dans sa délibération.

4. MOTIVATION

1. Quant à la procédure devant l’Autorité de protection des données, en particulier
devant la Chambre Contentieuse

22. En application de l’article 4 § 1erLCA, l'APD est responsable du contrôle des principes de protection
des données contenus dans le RGPD et d’autres lois contenant des dispositions relatives à la
protection du traitement des données à caractère personnel.

23. En application de l’article 33 § 1er LCA, la Chambre Contentieuse est l’organe de contentieux
administratif de l’APD.2 Elle est saisie des plaintes que le SPL lui transmet en application de l’article
62.1er LCA, soit des plaintes recevables dès lors que conformément à l’article 60 alinéa 2 LCA, ces
plaintes sont rédigées dans l'une des langues nationales, contiennent un exposé des faits et les
indications nécessaires pour identifier le traitement de données à caractère personnel sur lequel
elles portent et relèvent de la compétence de l'APD.

2 La nature administrative du contentieux devant la Chambre Contentieuse a été confirmée par la Cour des
marchés, juridiction d’appel des décisions de la Chambre Contentieuse. Voy. notamment l’arrêt du 12 juin 2019,
publié sur le site de l’APD, ainsi que la décision 17/2020 de la Chambre Contentieuse.

Décision quant au fond 15/2021 - 5/32

24. En application des articles 51 et s. du RGPD et de l’article 4 § LCA, il revient à la Chambre
Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer un contrôle effectif
de l‘application du RGPD et de protéger les libertés et droits fondamentaux des personnes
physiques à l'égard du traitement et de faciliter le libre flux des données à caractère personnel au
sein de l'Union.

25. Comme la Chambre Contentieuse a déjà eu l’occasion de l’énoncer 3, des traitements de données
sont opérés dans de multiples secteurs d’activité, notamment dans le cadre professionnel comme
dans le cas d’espèce.

26. Il n’en demeure pas moins que la compétence de l’APD en général, et de la Chambre Contentieuse
en particulier, est limitée au contrôle du respect de la règlementation applicable aux traitements
de données, quel que soit le secteur d’activité dans lequel ces traitements de données
interviennent.

27. Son rôle n’est pas de se substituer aux juridictions de l’ordre judiciaire dans l’exercice des
compétences qui sont les leurs, notamment en matière de droit du travail.

28. Dès lors, comme la défenderesse relève par ailleurs dans ses conclusions 4, la Chambre
Contentieuse n’est pas compétente pour se prononcer sur la question du respect de la convention
de transaction entre les parties, ayant mis fin à leur relation contractuelle.

1.1- Quant au droit au procès équitable et ses garanties procédurales dans le cadre de la procédure à
l’APD, et plus particulièrement devant la Chambre Contentieuse

29. La partie défenderesse soulève une violation du droit au procès équitable et des droits de la
défense, et en particulier des principes d’égalité des armes, du contradictoire et du droit d’être
entendu, dans la procédure devant l’APD5. Elle développe à cet égard deux arguments.

30. Dans ses conclusions, la partie défenderesse fait valoir qu’elle n’a « (…) à aucun moment été
contactée par l’APD au cours de l’enquête pour être entendue et pu donner sa version des faits.
L’enquête semble donc avoir été menée uniquement à charge de la défenderesse. L’APD n’a dès
lors pas pu tenir compte des arguments de la défenderesse dans le cadre de son enquête. Or, si

3 Voy. la décision 03/2020 de la Chambre Contentieuse et plus généralement la page le site Internet de
l’APD dédiée au traitement des données à caractère personnel des employés par leurs employeurs, disponible
sur https://www.autoriteprotectiondonnees.be/professionnel/themes/vie-privee-sur-le-lieu-de-travail/donnees-
des-travailleurs/traitement-de-donnees-des-travailleurs.
4 Décision 03/2020, point 3.14, p16

5 La Chambre note que les conclusions de synthèse (du 5 novembre 2019) déposées par Y diffèrent légèrement

du premier jeux de conclusions reçu (du 6 septembre 2019) à ce sujet. Le premier jeux de conclusion indique :
« Les droits de défenses et le droit à un procès équitable, qui doivent être garantis à Y, ont donc été violés»,
alors que les conclusions de synthèse indiquent que : « « Les droits de défenses et le droit à un procès équitable,
qui doivent être garantis à Y, ont donc été violés dans les premières phases du dossier » (nous soulignons). Cette
précision n’est pas anodine, comme il sera développé ci-dessous.

Décision quant au fond 15/2021 - 6/32

la défenderesse avait été contactée dans le cadre de l’enquête elle aurait pu communiquer les
informations supplémentaires nécessaires à l’APD et l’aider à faire la lumière sur ce dossier. »

31. Le deuxième argument développé par la défenderesse consiste en ce que le plaignant aurait
disposé de plus de temps pour la préparation de son dossier que la défenderesse. Cet argument
sera analysé en détail infra (voir « 1.2.4- Quant au grief selon lequel la défenderesse aurait disposé
de moins de temps que le plaignant pour préparer ses arguments »).

1.1.1. En droit

1.1.1.1.- Concernant le respect du droit au procès équitable, y compris les droits de la défense, devant
la Chambre Contentieuse

32. La Chambre Contentieuse note que la partie défenderesse fait référence à plusieurs dispositions
du RGPD concernant le droit au procès équitable et ses garanties procédurales.

33. Ses conclusions reprennent6 l’article 83.87 du RGPD ainsi que ses considérants 1488 et 129.

34. La Chambre Contentieuse suit la défenderesse quant à l’importance de l’application des garanties
procédurales liées au procès équitable dans les litiges devant elle. Elle observe aussi que lesdits
principes sont appliqués devant la Chambre Contentieuse. En effet, tant le principe du
contradictoire, que l’égalité des armes, et le droit d’être entendu sont scrupuleusement respectés
devant la Chambre Contentieuse.

35. Les parties ont en effet accès à toutes les pièces du dossier dès le début de la procédure litigieuse
(accès qui leur est rappelé via le courrier d’invitation à conclure, envoyé le 25 juillet 2019 par la
Chambre Contentieuse aux parties), ce qui garantit le respect du principe du contradictoire.

36. De même, les parties sont informées de leur droit à être entendu par le même courrier d’invitation
à conclure.

37. La défenderesse a par ailleurs fait savoir à la Chambre, de son initiative propre, qu’elle ne souhaitait
pas être entendue, sauf si la Chambre l’estimait utile.9

6 points 3.1 à 3.2, pp12-13

7 « L'exercice, par l'autorité de contrôle, des pouvoirs que lui confère le présent article est soumis à des garanties

procédurales appropriées conformément au droit de l'Union et au droit des États membres, y compris un recours
juridictionnel effectif et une procédure régulière » nous soulignons
8 « L'application de sanctions y compris d'amendes administratives devrait faire l'objet de garanties procédurales

appropriées conformément aux principes généraux du droit de l'Union et de la Charte, y compris le droit à une
protection juridictionnelle effective et à une procédure régulière. » nous soulignons
9 voy courrier du Conseil de la défenderesse du 13 novembre 2019.

Décision quant au fond 15/2021 - 7/32

38. Afin de palier à un manque d’informations concernant certains aspects du litige, la Chambre a par
ailleurs fait d’application en l’espèce de ce droit à convoquer les parties de sa propre initiative, lors
de l’audition du 14 septembre 2020. Le droit d’être entendu a par conséquent bien été respecté.

39. Dans la mesure où les parties disposent, dans le cadre de la procédure litigieuse devant la Chambre
Contentieuse, d’un délai égal pour conclure et répliquer, qu’elles ont toutes accès aux pièces du
dossier, qu’elles peuvent de façon égale faire application de leur droit à être entendu, il ne peut
être conclu que la défenderesse est placée dans une situation de « net désavantage » par rapport
au plaignant.10

40. La défenderesse ne peut être suivie dans son argumentation selon laquelle les principes du
contradictoire, d’égalité des armes, et le droit d’être entendu ne sont pas respectés devant la
Chambre Contentieuse.

41. Le grief selon lequel la procédure devant l’APD, et plus particulièrement devant la Chambre
Contentieuse, viole le droit au procès équitable est donc rejeté.

1.1.1.2- Considérations additionnelles concernant le respect du droit au procès équitable par la
Chambre Contentieuse

42. La Cour des Marchés a par ailleurs déjà estimé qu’une voie de recours suffisante existe dans le
chef des citoyens contre des décisions d’organes administratifs, par la possibilité d’introduire un
recours devant elle11.

43. La Cour a ajouté qu’un manque d’impartialité dans le chef d’une autorité administrative n’implique
pas nécessairement une violation de l’article 6.1 de la Convention Européenne des Droits de
l’Homme (ci-après « CEDH »), si un collège de droit disposant d’un pouvoir de pleins contentieux,
respectant lui-même les garanties de l’article 6 .1 CEDH, peut exercer un contrôle sur ladite
décision.

44. Selon la Cour, une violation du principe d’impartialité de l’administration dans une phase préalable
n’entraine par conséquent pas nécessairement une violation du droit au procès équitable si cette
violation peut être corrigée dans une phase ultérieure.

45. La possibilité d’introduire un recours devant une instance qui répond aux garanties de l’article 6
CEDH tend à permettre de telles corrections 12 .

10
Point 3.2, p13 des conclusions de la défenderesse.
11 “De wetgever heeft de burger een afdoend rechtmiddel tegen de handelswijze van bestuurlijke organen (te

dezen de GBA) gegeven door precies een verhaal voor de Marktenhof te voorzien”, Hof van Beroep Brussel, sectie
Marktenhof, 19de kamer A, kamer voor marktenzaken, 2019/AR/741, 12 juni 2019, p9
12 “Een gebrek aan objectieve of structurele onpartijdigheid door een administratieve overheid houdt niet
noodzakelijk een schending van artikel 6.1 EVRM in indien de beslissing van die overheid vervolgens kan worden
getoetst door een rechtscollege met volle rechtsmacht dat zelfs alle waarborgen van artikel 6.1 biedt. Een

Décision quant au fond 15/2021 - 8/32

46. Concernant spécifiquement la Chambre contentieuse de l’APD, la Cour des Marchés a récemment
décidé que :

« […] dan nog is deze rechtsbescherming door het rechtssubject slechts wettelijk afdwingbaar voor
een rechter (die deel uitmaakt) van de rechterlijke macht [...]. De wettelijke mogelijkheid om
beroep/verhaal in te stellen bij het Marktenhof strekt er toe aan de rechtzoekende de waarborg te
verlenen van artikel 6.1 EVRM en meer in het bijzonder van het verhaal voorzien in artikel 47 HGEU
[Handvest van de grondrechten van de Europese Unie]. » 13 (la Chambre souligne).

Traduction libre:

« […] cette protection juridique par la personne concernée n'est juridiquement applicable que par un
juge (qui fait partie) du pouvoir judiciaire [...]. La possibilité légale d'introduire un recours devant la
Cour des Marchés vise à offrir au justiciable la garantie de l'article 6.1 CEDH et, plus particulièrement,
du recours prévu à l'article 47 CDUE . »

47. Par conséquent, dans l’éventualité d’un manque d’impartialité par la Chambre Contentieuse, quod
non en l’espèce, et dans la mesure où la Cour des Marché exerce un contrôle de plein contentieux
sur les décisions de la Chambre, il ne pourrait ipso facto être conclu à un manquement dans la
procédure au droit au procès équitable.

1.1.1.3- Considérations additionnelles concernant la portée des droits de la défense et du principe du
contradictoire

48. A toutes fins utiles, deux observations additionnelles peuvent être faites au sujet de la portée des
droits de la défense et du principe du contradictoire.

49. S’il devait être conclu que l’enquête telle que menée par le Service d’Inspection (SI) (en tant
qu’organe de l’APD exerçant ses fonctions de manière indépendante de la Chambre Contentieuse)
ne devait pas répondre aux exigences du procès équitable car le SI n’aurait pas contacté une
partie durant l’enquête, comme indiqué supra, il convient de rappeler que le SI n’ a pas de pouvoir
de sanction. Son rôle se limite à effectuer des constatations et à les transmettre à la Chambre
Contentieuse via son rapport.

50. Par ailleurs, et à titre principal, s’il est vrai que les droits de la défense, qui comprennent le droit
d’être entendu, font partie des droits fondamentaux qui constituent l’ordre juridique de l’Union et

schending van het onpartijdigheidsbeginsel in een eerdere fase leidt bijgevolg niet noodzakelijk tot een
miskenning van het recht op een eerlijk proces indien deze schending nog kan worden rechtgezet in een latere
fase. Het organiseren van een beroep dor een instantie die voldoet aan alle waarborgen van artikel 6 EVRM strekt
ertoe om dergelijke rechtzettingen mogelijk te maken” , Cour des marchés, 2019/AR/741, 12 juni 2019, p10
13 Cour des marchés, 2 septembre 2020, 2020/AR/329.

Décision quant au fond 15/2021 - 9/32

sont ancrés dans la Charte14, il n’en demeure pas moins que, tel qu’enseigné par la CJUE, le droit
d'être entendu n'est pas absolu et une éventuelle restriction de ce droit peut être possible pour
une finalité d'intérêt général. Cette appréciation doit être faite in concreto :

« La Cour a toutefois déjà considéré que les droits fondamentaux, tels que le respect des droits de la
défense, n’apparaissent pas comme des prérogatives absolues, mais peuvent comporter des
restrictions, à condition que celles‑ci répondent effectivement à des objectifs d’intérêt général
poursuivis par la mesure en cause et ne constituent pas, au regard du but poursuivi, une intervention
démesurée et intolérable qui porterait atteinte à la substance même des droits ainsi garantis [..].

34 . En outre, l’existence d’une violation des droits de la défense doit être appréciée en fonction des
circonstances spécifiques de chaque cas d’espèce […].15 »

Concernant plus spécifiquement le droit d’accès aux documents et le respect du principe du
contradictoire, la CJUE a déjà indiqué que :

71. L'absence de communication d'un document ne constitue une violation des droits de la défense
que si l'entreprise concernée démontre, d'une part, que la Commission s'est fondée sur ce document
pour étayer son grief relatif à l'existence d'une infraction […]et, d'autre part, que ce grief ne pourrait
être prouvé que par référence audit document]. […]

73. Il incombe ainsi à l'entreprise concernée de démontrer que le résultat auquel la Commission est
parvenue dans sa décision aurait été différent si devait être écarté comme moyen de preuve à charge
un document non communiqué sur lequel la Commission s'est fondée pour incriminer cette entreprise.

74. En revanche, s'agissant de l'absence de communication d'un document à décharge, l'entreprise
concernée doit seulement établir que sa non-divulgation a pu influencer, au détriment de cette
dernière, le déroulement de la procédure et le contenu de la décision de la Commission […]) » 16

51. Le raisonnement de la Cour peut être appliqué par analogie au présent cas. Le Service d’Inspection
est libre de contacter les parties ou non, ce qu’il évalue de façon autonome. Par ailleurs, dans le
cas d’espèce et comme indiqué supra, le rapport du Service d’Inspection est entièrement favorable
à la défenderesse. Celle-ci n’a donc aucunement été affectée par le fait que le Service d’inspection
ne l’ai pas contacté dans le cadre de son enquête.

14voir, en ce sens, CJUE, 18 juillet 2013, Commission e.a./Kadi, C‑584/10 P, C‑593/10 P et C‑595/10 P,
ECLI:EU:C:2013:518, points 98 et 99.
15 CJUE, 10 septembre 2013, C-383/13 PPU, affaire G. et R., ECLI:EU:C:2013:533, points 33 s.
16 CJCE, 7 janvier 2004, Aalborg Portland A/S et a./ Commission, Aff. C-204/00, ECLI:EU:C:2004:6.

Décision quant au fond 15/2021 - 10/32

1.1.1.4 - Quant à l’autonomie de la Chambre Contentieuse par rapport aux autres organes de l’APD,
y compris du Service d’Inspection
52. Par soucis d’exhaustivité, il convient par ailleurs de constater que la partie défenderesse semble
confondre le rôle et les prérogatives de la Chambre Contentieuse avec celles des autres organes
de l’APD.

53. Comme indiqué supra, en application de l’article 33 § 1er LCA, la Chambre Contentieuse est
l’organe de contentieux administratif de l’APD. Il ne ressort nullement des dispositions relatives à
la procédure devant la Chambre Contentieuse (voir article 92 à 100 LCA) que celle-ci serait tenue
par les constats du SI. Par conséquent, la Chambre Contentieuse n’est nullement tenue par les
constats du SI.

54. À la lumière du fait que, comme indiqué supra, dans le cadre de la procédure devant la Chambre
Contentieuse les garanties procédurales liées au droit au procès équitable sont respectées, ce
constat (d’autonomie de la Chambre par rapport au SI) confirme le raisonnement de la Chambre
repris ci-dessus et tendant au rejet du grief de la défenderesse selon lequel la procédure devant
la Chambre violerait le droit au procès équitable.

1.1.1.5 - Concernant le cadre légal entourant les enquêtes menées par le Service d’Inspection

55. A toutes fins utiles, il convient par ailleurs de rappeler que le SI peut procéder à toute enquête,
toute audition, ainsi que recueillir toute information qu'il estime utile17 et n’est pas soumis à une
obligation générale d’entendre, particulièrement au regard du fait que son intervention dans la
procédure consiste à effectuer des constatations et qu’il ne dispose pas du pouvoir de sanctionner
une partie.

56. Dans le cas qui nous occupe, en se basant sur les documents remis par le plaignant et en ne
contactant pas la défenderesse lors de l’enquête, le SI est donc resté dans le cadre des
prescriptions légales imposées.

57. Un raisonnement similaire a déjà été tenu par la Cour de Marchés, dans une affaire où le plaignant
reprochait que la Chambre Contentieuse avait décidé d’un calendrier de conclusions, sans dépôt
au préalable des pièces de preuve par les parties. La Cour a estimé qu’aucune disposition légale
n’impose une telle obligation.

17 Voy Art. 72 et 76 LCA « L'inspecteur général et les inspecteurs peuvent demander par écrit toutes informations
utiles aux personnes qu'ils estiment nécessaire. L'inspecteur général et les inspecteurs déterminent le délai dans
lequel la réponse à sa demande d'information doit être fournie et peuvent à tout moment demander des
informations complémentaires » (nous soulignons)

Décision quant au fond 15/2021 - 11/32

58. Elle a par ailleurs ajouté que dans la mesure où le plaignant disposait de la possibilité de faire
valoir cet argument dans le cadre de ses conclusions à intervenir, il ne pouvait être conclu à une
illégalité de la procédure devant le Chambre Contentieuse 18.

1.1.1.6- Quant au grief selon lequel la défenderesse aurait disposé de moins de temps que le plaignant
pour préparer ses arguments

59. La défenderesse soulève par ailleurs une disproportion entre la manière dont le plaignant et elle-
même ont été traités dans le cadre de l’enquête, en ce que « L’APD et [le plaignant] ont disposé
de près de 10 mois pour constituer leur dossier et préparer leurs arguments dans le cadre du
traitement au fond du présent dossier. Alors que, à l’inverse, la défenderesse n’a appris que par
courrier du 25 juillet 2019 qu’une plainte concernant l’exercice – prétendument – infructueux de
son droit d’accès par l’un de ses travailleurs était prête pour traitement au fond. »

60. La Chambre Contentieuse entame la procédure litigieuse proprement dite par l’envoi d’une
invitation aux parties à conclure, suite à la remise par le SI de son rapport (dans les cas où un tel
rapport a été demandé par la Chambre ou rédigé d’initiative par le SI).

61. Cette invitation, envoyée au plaignant et à la partie défenderesse en date du 27 juillet 2019, fixait
le délai pour conclure dans le chef de la défenderesse au 6 septembre 2019 . La défenderesse
disposait donc de 6 semaines (et pas moins d’un mois comme avancé par les conclusions par la
défenderesse).

62. Un délai d’un mois (6 octobre 2019) a ensuite été laissé au plaignant pour transmettre ses
conclusions en réplique, suivit d’un nouveau délai d’un moi pour les conclusions en réplique de la
défenderesse.

63. Un délai de 30 jours constitue un délai standard, notamment dans la procédure administrative.
Ainsi, les délais accordés aux parties pour l’introduction de la requête et entre les jeux de
conclusions devant le Conseil d’Etat (hormis référé administratif) sont de 30 jours 19. Bien
qu’aucune obligation d’observer un délai de 30 jours ne s’impose à la Chambre – particulièrement
dans le cas où ce n’est pas nécessaire - la Chambre ne peut que constater qu’un délai supérieur
à ce délai standard a donc été laissé à la défenderesse pour conclure. Un délai de 30 jours a
ensuite été laissé au plaignant pour répondre à la défenderesse, suite à quoi celle-ci disposait à
nouveau de 30 jours pour ses conclusions en réplique.

64. Quant à l’argument tiré du fait que le courrier invitant les parties (dont la défenderesse) à conclure
ne comprend pas de développements quant au fond de la plainte, la Chambre rappelle que le
même courrier indique aux parties la possibilité de consulter le dossier administratif, lequel

18 Voy Marktenhof, ,2019/AR/741, 12 juni 2019, p12, publié sur le site de l’APD.
19 voy Arrêté royal du 30 novembre 2006 déterminant la procédure en cassation devant le Conseil d’Etat, articles

3, 13 et 14

Décision quant au fond 15/2021 - 12/32

comprend la plainte. La défenderesse a par ailleurs appliqué cette possibilité dès le 1er août 2019
et le dossier en entier lui a été mis à disposition le 5 août 2019.

65. La Cour des Marchés a par ailleurs déjà estimé qu’un calendrier de conclusions accordant un mois
aux parties, et dans lequel la défenderesse dispose du dernier droit de conclure est conforme au
droit de la défense .

Ce grief est donc infondé.

1.2- Quant à l’argument de la défenderesse selon lequel la plainte serait abusive

66. La partie défenderesse reproche également au plaignant un « détournement du droit de
plainte »20.

67. La partie défenderesse estime que dans la mesure où le plaignant a déposé trois plaintes à son
encontre, dans une période correspondant aux discussions sur les modalités financières de la
transaction à intervenir entre les deux parties, le plaignant tenterait de faire pression sur la
défenderesse.

68. Elle avance que sa plainte serait « manifestement abusive »21. Cette circonstance ne saurait être
retenue par la Chambre Contentieuse, dès lors que le plaignant est libre d’accéder à ses données
à caractère personnel à tout moment.

69. Le droit de déposer une plainte est garantie par l’article 77 RGPD et fait partie des fondements du
droit à la protection des données. Par définition, l’exercice par un citoyen de ce droit ne peut être
qualifié « abusif ». Ce grief est rejeté.

2. Quant aux motifs de la décision

2.1. Sur le manquement de la défenderesse à son obligation de donner suite à l’exercice
du droit d’accès du plaignant

70. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les principes
de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés. Elle
doit par ailleurs mettre en œuvre toutes les mesures nécessaires à cet effet (principe de
responsabilité – articles 5.2. et 24 du RGPD).

20 Voy. Conclusions de Y p. 14 points 3.7 à 3.8

21 Ibid.

Décision quant au fond 15/2021 - 13/32

71. A titre liminaire, la Chambre rappelle que le droit d’accès est une des exigences majeures du droit
à la protection des données, il constitue la « porte d’entrée » qui permet l’exercice des autres
droits que le RGPD confère à la personne concernée, tel le droit à la rectification, le droit d’accès. 22

72. Aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du responsable
de traitement la confirmation que des données à caractère personnel la concernant sont ou ne
sont pas traitées. Lorsque c’est le cas, la personne concernée a le droit d’obtenir l’accès aux dites
données à caractère personnel ainsi qu’à une série d’informations listées à l’article 15.1 a) - h)
telles que la finalité du traitement de ses données, les destinataires éventuels de ses données
ainsi que des informations relatives à l’existence de ses droits dont celui de demander la
rectification ou l’effacement de ses données ou encore celui de déposer plainte auprès de l’APD.

73. Aux termes de l’article 15.3 du RGPD, la personne concernée a en outre le droit d’obtenir une
copie des données à caractère personnel qui font l’objet du traitement. L’article 15.4 du RGPD
prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui.

74. L’article 12 du RGPD relatif aux modalités d’exercice de leurs droits par les personnes concernées
prévoit quant à lui notamment que le responsable du traitement doit faciliter l’exercice de ses
droits par la personne concernée (article 12.2 du RGPD) et lui fournir des informations sur les
mesures prises à la suite de sa demande dans les meilleurs délais et au plus tard dans le délai
d’un mois à compter de sa demande (article 12.3 du RGPD). Lorsque le responsable de traitement
n’a pas l’intention de donner suite à la demande, il doit notifier son refus dans un délai d’un mois
accompagné de l’information selon laquelle un recours contre ce refus peut être introduit auprès
de l’autorité de contrôle de protection des données (12.4 du RGPD).

75. Le plaignant a demandé à la défenderesse de lui communiquer toutes les données personnelles
enregistrées à son sujet, en précisant qu’il souhaitait être informé des raisons, objectifs, durée de
conservation etc. pour chaque donnée à caractère personnel conservée. Il a aussi spécifié que sa
demande concernait l’accès et copie à ses données à caractère personnel, en l’espèce :

 Toutes les évaluations le concernant ;
 Toute photo sur laquelle il pourrait être identifié ;
 Copie de ses emails contenus dans sa boite mail ;
 Toute note, annotation, commentaire faisant partie de son dossier des ressources
humaines ;
 Les logs IT le concernant.

22 Voir notamment décision 41/2020, point 47, et plus généralement la fiche thématique sur le droit d’accès du

site de l’APD, disponible sur https://www.autoriteprotectiondonnees.be/professionnel/rgpd-/droits-des-
citoyens/droit-d-acces

Décision quant au fond 15/2021 - 14/32

76. Le plaignant soulève également que la défenderesse prendrait des photos des employés lors
d’évènements de l’entreprise et publierait ces photos sur l’intranet de l’entreprise, sans demander
le consentement des employés.

77. Le 19 septembre 2018 la défenderesse fait parvenir au plaignant :

 La cartographie de ses données à caractère personnel, reprenant notamment les finalités de
traitement et les destinataires des données ;
 Le contenu des données à caractère personnel le concernant, traitées par la défenderesse ;
 Les CV le concernant ;
 Ses photos d’identité enregistrées par la défenderesse

78. Or, le 24 septembre 2018, le plaignant informe la défenderesse qu’il considère sa réponse
incomplète, dans la mesure où certaines données ne lui ont pas été communiquées, et la met en
demeure de lui communiquer ces autres données pour le 1er octobre 2018. Le plaignant identifie
les données qu’il estime manquantes de la façon suivante :

 les emails (dans lesquels il est soit destinataire soit expéditeur)
 les photos sur lesquelles il est identifiable
 ses évaluations
 les logs IT le concernant
 les annotations ou commentaires faisant partie de son dossier RH

79. Le 2 octobre 2018 la défenderesse répond au plaignant qu’ « une copie de toutes les données à
caractère personnel auxquelles tu n’as pas accès et dont nous devions te remettre copie t’a été
remise. Ce point est donc clos en ce qui nous concerne ».

80. La défenderesse ne conteste pas avoir refusé de donner suite à la demande d’accès telle que
spécifiée par le plaignant dans son courriel du 24 septembre 2018.

81. La Chambre Contentieuse examinera dès lors dans les paragraphes qui suivent la conformité de
ce refus au droit à la protection des données et à la vie privée dans le chef de la défenderesse.

2.2 Quant aux obstacles invoqués par la défenderesse à l’exercice du droit d’accès et de
copie du plaignant tel que précisé par celui-ci dans son courrier du 24 septembre 2018

82. La défenderesse invoque plusieurs obstacles à l’exercice du droit d’accès du plaignant tel que
précisé par celui-ci dans son courrier du 24 septembre 2018. Ces obstacles sont examinés ci-
dessous par catégorie de données à caractère personnel auxquelles le plaignant a demandé accès
et/ou copie.

2.2.1- Quant au refus du droit d’accès aux annotations ou commentaires dans le dossier
des ressources humaines du plaignant

2.2.1.1. Le point de vue de la partie défenderesse

Décision quant au fond 15/2021 - 15/32

83. La défenderesse se base en premier lieu sur l’article 15.4 RGPD, en ce qu’elle considère que l’accès
par le plaignant à ces données violerait la protection des données à caractère personnel des
anciens supérieurs hiérarchiques et responsable des ressources humaines du plaignant, auteurs
de ces notes ou commentaires. Dans ses conclusions de synthèse du 5 novembre 2019, elle ajoute
en outre que :

« Par ailleurs, et en tout état de cause, (la défenderesse) confirme que les notes en question ont été
supprimées du répertoire RH. (la défenderesse) ne pourrait donc pas être en mesure de communiquer
ces notes »23.

2.2.1.2. Position de la Chambre

a- Arrêt Nowak

84. Dans la mesure où il n’est pas contesté ni contestable que des annotations d’évaluation concernant
un employé sont des données personnelles, le RGPD est bien d’application.

85. La Chambre Contentieuse rappelle à cet égard que la notion de donnée à caractère personnel
englobe n’importe quel type d’informations : informations privées (intimes), publiques,
professionnelles ou commerciales, informations objectives ou subjectives.

86. Dans l’arrêt Nowak,24 la CJUE énonce clairement que la notion de données à caractère personnel
couvre tant les données qui résultent d’éléments objectifs, vérifiables et contestables que des
données subjectives qui contiennent une évaluation ou un jugement porté sur la personne
concernée.

87. C’est ainsi le cas des annotations d’un examen qui reflètent l’avis ou l’appréciation de l’examinateur
sur les performances individuelles d’un candidat, ou des données d’évaluation des employés, que
cette évaluation soit exprimée sous la forme de points, d’une échelle de valeurs ou par le biais
d’autres paramètres d’évaluation.25

88. Au-delà du cas d’espèce de l’arrêt Nowak (soit l’accès à un examen), l’arrêt vise tout avis ou
appréciation concernant la personne en cause. 26

b- Définition et contours du droit d’accès

89. La Chambre Contentieuse rappelle que l’article 15.4 du RGPD limite le droit à l’obtention d’une
copie27 dans les termes suivants : « le droit d’obtenir une copie ne porte pas atteinte aux droits et

23 point 4.30, p 22 conclusions de synthèse

24 Arrêt de CJEU, 20 décembre 2017, C-434/16, Nowak, ECLI:EU:C:2017:994.

25 Ibid, pt 27.

26 Ibid, pt 24.

27 Le paragraphe 1 de l’article 15, soit le droit d’accès, n’ est pas concerné par cette limitation.

Décision quant au fond 15/2021 - 16/32

libertés d’autrui ». Le considérant 63 du RGPD explicite à cet égard que « ce droit ne devrait pas
porter atteinte aux droits et libertés d’autrui, y compris au secret des affaires ou à la propriété
intellectuelle, notamment au droit d’auteur protégeant le logiciel. Cependant, ces considérations
ne devraient pas aboutir à refuser toute communication d’informations à la personne concernée
(…). » (nous soulignons)

90. En d’autres termes, la mise en balance du droit à l’obtention d’une copie avec les droits et libertés
d’autrui, ne peut aboutir à l’absence de toute communication d’information à la personne
concernée.

91. Dans son arrêt YS c. Minister voor immigratie du 17 juillet 2014, la CJUE28 met en exergue le
périmètre du droit d’accès en se référant à la protection du droit fondamental du droit à la vie
privée et de fait, de données à caractère personnel de la personne concernée.

92. La Cour spécifie ainsi le droit d’accès comme étant limité aux propres données à caractère
personnel de la personne concernée. Il ne permet pas d’accéder aux informations associées à ces
données. En effet, si des données figurant dans des documents constituent des données à
caractère personnel (par exemple, nom, prénom et adresse de messagerie professionnelle), au
regard du RGPD, le document qui en est le support n’est pas une donnée à caractère personnel 29.

93. La CJUE considère ainsi que (points 57-58) « Si la directive 95/46 impose ainsi aux États membres
d’assurer que chaque personne concernée puisse obtenir du responsable du traitement de
données à caractère personnel la communication de l’ensemble des données de ce type qu’il traite
la concernant, elle laisse à ces États le soin de déterminer la forme matérielle concrète que cette
communication doit prendre, pour autant que celle-ci est «intelligible», c’est-à-dire qu’elle permet
à la personne concernée de prendre connaissance de ces données et de vérifier que ces dernières
sont exactes et traitées de manière conforme à cette directive, afin que cette personne puisse, le
cas échéant, exercer les droits qui lui sont conférés […]).

Partant, dans la mesure où l’objectif poursuivi par ce droit d’accès peut être pleinement satisfait par
une autre forme de communication, la personne concernée ne saurait tenir ni de l’article 12, sous a),
de la directive 95/46 ni de l’article 8, paragraphe 2, de la Charte le droit d’obtenir une copie du
document ou du fichier original dans lequel ces données figurent. Afin de ne pas donner à la personne
concernée l’accès à des informations autres que les données à caractère personnel la concernant,
celle-ci peut obtenir une copie du document ou du fichier original dans lequel ces autres informations
ont été rendues illisibles. » (nous soulignons).

28
CJUE, YS c Minister voor immigratie, 17-7-2014, aff. jointes C-141/12 et C-372/12, ECLI:EU:C:2014:2081,
parag. 44
29
Legris, L., Chenaoui, H., « 13. - Le DPO et le droit d’accès » in Le Data Protection Officer, Bruxelles, Bruylant,
2020, p. 166

Décision quant au fond 15/2021 - 17/32

94. La Chambre Contentieuse est d’avis que, conformément à l’interprétation de la Cour de Justice de
l’Union Européenne dans ses arrêts susmentionnés30, que l’article 15.3 ne requiert pas qu’une
copie du document original soit fournie à la personne concernée.

95. L’article 15.3 exige du responsable du traitement qu’il fournisse une copie des données à caractère
personnel traitées à la personne concernée. Ce droit à l’obtention d’une copie des données
n’emporte pas le droit pour la personne concernée d’obtenir une copie du document original
contenant ces données puisque dans certains cas, la communication de ce document pourrait
porter atteinte aux droits et libertés d’autrui (voy. l’article 15.4 rappelé ci-dessus).

96. Cette position est aussi celle tenue par la Cour de Cassation Italienne, dans un arrêt du 14
décembre 2018, dans lequel celle-ci estime de même que le droit d’accès d’un employé à ses
évaluations ne peut lui être refusé au motif que ces évaluations contiendraient également des
données à caractère personnel relatives à des tiers 31.

97. Cette position est par ailleurs aussi celle défendue par la Commission nationale de l'informatique
et des libertés (CNIL) Française. Celle-ci rappelle en effet que le fait d’occulter les données à
caractère personnel concernant les tiers avant de permettre l’exercice de son droit d’accès à la
personne concernées satisfait l’exigence de l’article 15.4 de ne pas porter atteinte aux droits des
tiers32.

98. Dans le cas d’espèce, la Chambre Contentieuse considère que l’argument de la défenderesse selon
lequel le droit à l’accès porterait atteinte à la protection des données et à la vie privée des anciens
supérieurs hiérarchiques et membres des ressources humaines auteurs des annotation dans le
dossier des ressources humaines du plaignant, ne peut être retenu. En effet, il était loisible à la
défenderesse de communiquer au plaignant, en réponse à sa demande, les données traitées qui
le concernent en anonymisant le nom ou toute donnée à caractère personnel des auteurs de telles
annotations.

c- Conclusion quant au droit d’accès du plaignant aux évaluations dans son dossier des ressources
humaines

99. Dans la mesure où la jurisprudence de la CJUE enseigne que le fait de rendre illisible les données
à caractère personnel concernant les tiers avant de permettre l’exercice de son droit d’accès à la
personne concernée satisfait l’exigence de l’article 15.4 de ne pas porter atteinte aux droits des

30 C. Docksey et H. Hijmans, The Court of Justice as Key Player in Privacy and Data Protection, European Data

Protection Law Review, 3/2019, p304.
31 Corte Suprema Di Cassazione, 14 december 2018, nr. 17153/2014, dans FOCQUET, A. en DECLERCK, E.,
Gegevensbescherming in de praktijk, Intersentia, Antwerpen, 2019, 93.
32 Legris, L., Chenaoui, H., « 13. - Le DPO et le droit d’accès » in Le Data Protection Officer, Bruxelles, Bruylant,

2020, p.173

Décision quant au fond 15/2021 - 18/32

tiers, et dans la mesure où il n’existe pas en droit belge de disposition législative visant à limiter
le droit d’accès d’un employé à ses données personnelles traitées par son (ex) employeur,33
l’argument de la défenderesse selon lequel l’accès par le plaignant à ses données violerait la
protection des données à caractère personnel des anciens supérieurs hiérarchiques et responsable
des ressources humaines du plaignant, auteurs de ces notes ou commentaires, est rejeté.

100. Dès lors, en refusant de donner suite à la demande d’accès du plaignant aux annotations
contenues dans son dossier des ressources humaines, la défenderesse a violé l’article 15.1 et 3
RGPD.

e- Rappel du principe de responsabilité

101. La Chambre souligne par ailleurs qu’en exécution du principe de responsabilité (articles 5.2. et
24 du RGPD), il appartient au responsable de traitement de développer les procédures internes
destinées à permettre un exercice effectif de leurs droits par les personne concernées. Il lui
incombe également, en application de l’article 25 du RGPD, d’intégrer le nécessaire respect des
règles du RGPD en amont de ses actes et procédures.

102. A défaut, il suffirait pour un responsable de traitement d’invoquer le droit d’auteur sans autre
considération, ce que ne permet pas l’article 15 du RGPD.

103. Dans la mesure où des notes prises par un employeur (ou des cadres ou membres des ressources
humaines) concernant la gestion des employés sont dans la grande majorité des cas des données
à caractère personnel, les garanties du RGPD doivent s’appliquer à leur égard. Ces données
porteront souvent sur l’identité des employés, la formation, la gestion de la carrière, où l’évaluation
professionnelle. Il revient donc, comme indiqué supra, à l’employeur de développer les procédures
internes adéquates.

104. Ces procédures internes dans le cadre de la gestion des ressources humaines peuvent être de
nature différente.

105. On peut relever l’exemple des zones « commentaires » prévues dans le cadre de l’évaluation de
salariés. Les informations qui y sont insérées doivent être objectives, pertinentes, adéquates et
non excessives. Un système de menu déroulant, ou de filtrage de mots clés peut, par exemple,
faciliter ceci. Les auteurs des annotations devraient par ailleurs garder à l’esprit que les employés
peuvent accéder à tout moment aux informations les concernant.

106. L’employeur reste par ailleurs, en tant que responsable du traitement, tenu par toutes les autres
obligations du RGPD.

33 voir infra point « b.2- L’argument pris de la protection du secret d’affaire de la défenderesse et l’interprétation
restrictive des limitation au droit d’accès »)

Décision quant au fond 15/2021 - 19/32

2.2.2- Quant au refus du droit d’accès aux logs IT concernant le plaignant

2.2.2.1-L’obligation de sécurité des données à caractère personnel et la journalisation des
logs IT

a- Les contours de l’obligation de sécurité

107. Sur base de l’article 5, 1, f RGPD, les données à caractère personnel doivent être traitées de
façon à garantir une sécurité appropriée, « y compris la protection contre le traitement non
autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de
mesures techniques ou organisationnelles appropriées».

108. En l’absence de mesures appropriées pour sécuriser les données à caractère personnel des
personnes concernées, l’effectivité des droits fondamentaux à la vie privée et à la protection des
données à caractère personnel ne peut être garantie34, à fortiori au vu du rôle crucial joué par les
technologies de l’information et de la communication dans notre société.

109. Il convient de relever que les principes d’ « intégrité, confidentialité35 et disponibilité36» repris à
l’article 5,1,f) sont désormais érigés dans le RGPD au même rang que les principes fondamentaux
de licéité, transparence, loyauté.

110. Les obligations des responsables de traitement quant à la sécurité des traitements reposent dans
les articles 32 et suivants du RGPD.

111. Les composantes classiques des recommandations en termes de sécurité de l’information, telles
que préconisées par la suite ISO27xxx37 sont la confidentialité des données, leur intégrité et leur
disponibilité. A celles-ci s’ajoute la notion d’imputabilité, « qui permet de pouvoir identifier, pour
toutes les actions accomplies, les personnes, les systèmes ou les processus qui les ont initiées

34 Le rôle crucial joué par la sécurité des données pour l’exercice effectif de leurs droits par les personnes
concernées a été consacrée notamment par la CEDH dans son arrêt du 17 juillet 2008, I. c. Finlande, req. n°
20511/03, dans lequel la Cour conclut à l’unanimité à une violation de l’article 8 par les autorités Finlandaises,
sur base d’une protection insuffisante contre les accès non autorisés du dossier médical d’une infirmière
séropositive. L’arrêt est disponible sur le lien : https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22001-
87510%22]}
35 Selon le Groupe 29 l’intégrité des données correspond à « la qualité en vertu de laquelle les données sont

authentiques et n’ont pas été modifiées par mégarde ou malveillance pendant le traitement, le stockage ou la
transmission. La notion d’intégrité peut s’étendre aux systèmes informatiques et exige que le traitement des
données à caractère personnel sur ces systèmes reste inaltéré » Groupe 29, WP 196, Opinion 05/2012 on Cloud
Computing, p. 18.
36La disponibilité est entendue comme « la propriété des informations, systèmes et processus d’être accessibles

et utilisables sur demande d’une entité autorisée » ,CPVP, « note relative à la sécurité des données à caractère
personnel (dans Dumortier, F., Vander Geeten, V., Dargent, M., Docquir, B. et Forget, C., Knockaert, M., «
Introduction » in Les obligations légales de cybersécurité et de notifications d’incidents, Bruxelles, Politeia, 2019,
p. 9 ). La notion disponibilité est interprétée par le Groupe de Travail 29 via la « violation de la disponibilité » qui
englobe non seulement la destruction et la perte accidentelles ou illicites de données à caractère personnel, mais
également la perte d’accès accidentelle ou non-autorisée à celles-ci, l’accès étant un aspect intrinsèque à la
disponibilité des données. (nous soulignons)
37 La suite de normes ISO27xxx constitue un des principaux standards internationaux de sécurité de l’information

Décision quant au fond 15/2021 - 20/32

(identification) et de garder trace de l’auteur et de l’action (traçabilité) »38 . L’imputabilité
s’exprime notamment de façon concrète par la tenue d’un registre des log files selon le principe
de journalisation des accès.

112. La journalisation consiste donc à l’enregistrement des informations pertinentes concernant les
évènements d’un système informatique (accès au système ou à un de ses dossiers, modification
d’un fichier, transfert de données…) dans des fichiers appelés « log files ». Les informations
reprises sont entre autres les données consultées, la date, le type d’évènement, les données
permettant d’identifier l’auteur de l’évènement, ainsi que le motif de cet accès. Ceci permet
notamment d’identifier toute consultation des données personnelles abusive ou pour une finalité
non légitime, ou encore de déterminer l’origine d’un accident.

113. Bien que la journalisation ne soit pas expressément mentionnée dans le RGPD 39, la tenue d’un
journal des log files constitue une mesure technique et organisationnelle envisagée dans l’article
32 RGPD. Elle constitue une bonne pratique, recommandée à tout responsable de traitement. Ces
mesures doivent être adaptées aux risques.

114. L’institution prédécesseur de l’APD (la Commission de la Vie Privée –CPVP ci-dessous-) indiquait
déjà dans ses Lignes directrices pour la sécurité de l'information de données à caractère
personnel40 ainsi que dans ses Recommandations41 aux villes et communes42 concernant les

38 Dumortier, F., « Chapitre 4 - Cybersécurité, vie privée, imputabilité, journalisation et log files » in Les obligations

légales de cybersécurité et de notifications d’incidents, Bruxelles, Politeia, 2019, p. 187 et APD, « Note relative à
la sécurité des données à caractère personnel, p2
39 A l’inverse, la Directive (UE) 2016/680 accorde une importance particulière à la consultation et la divulgation

(traitement les plus courants). et impose l’identification de l’auteur du traitement ainsi que celle des destinataires
en cas de divulgation, le moment exacte , ainsi que la justification du traitement (du 27 avril 2016 relative à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités
compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la
matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données)
40 Disponibles sur le lien https://www.autoriteprotectiondonnees.be/publications/lignes-directrices-pour-la-
securite-de-l-information.pdf.
41 Recommandation aux villes et communes concernant l'enregistrement du motif de la consultation du Registre

national par les membres de leur personnel (CO-AR-2017-013), 30 août 2017, p7
42 Dans sa recommandation aux villes et communes concernant la journalisation, la CPVP souligne l’importance
de la journalisation comme « élément incontournable de toute politique de sécurité de l'information » et indique :
« 21. L'élaboration d'une politique de sécurité de l'information adéquate est nécessaire afin de prendre des
mesures qui excluent tout accès non autorisé, et ce d'une manière documentée permettant à la commune
d'assumer sa responsabilité. Dans ses mesures de référence en matière de sécurité applicables à tout traitement
de données à caractère personnel, la Commission a déjà souligné que la mise en place d'un mécanisme sélectif
de recherche et de journalisation constitue un élément incontournable de toute politique de sécurité de
l'information.(…) ces lignes directrices prescrivent que tout accès au système informatique doit être traçable afin
de vérifier qui a eu accès, quand, à quoi et pour quel motif.
(…)
23. Enfin, la Commission elle-même a déjà indiqué à plusieurs reprises que l'enregistrement du motif de la
consultation du Registre national revêt une importance cruciale. Dans ses recommandations relatives à la gestion
des accès et des utilisateurs dans le secteur public et à la communication d'informations contenues dans les
registres de la population, la Commission souligne l'importance d'un traçage complet (qui, quoi, quand, pourquoi)
impliquant une journalisation de chaque consultation des registres de la population, de manière à ce que toute
consultation des données pour une finalité non légitime ou à titre personnel puisse être détectée et sanctionnée.

Décision quant au fond 15/2021 - 21/32

registres de logs IT que la journalisation constitue un élément incontournable de toute politique
de sécurité de l'information, en ce qu’elle permet la traçabilité des accès aux systèmes
informatiques43.

b-Lien entre les obligations de sécurité des responsables de traitement et les principes de
responsabilité et transparence

115. La Chambre rappelle que l’article 32 RGPD doit être lu en combinaison avec l’article 5.2 RGPD et
l’article 24 RGPD, soumettant le responsable du traitement au principe de responsabilité. Il
incombe au responsable du traitement de démontrer son respect des dispositions du RGPD, en
prenant des mesures techniques et organisationnelles appropriées, de façon transparente et
traçable, permettant en cas de contrôle d'apporter la preuve des garanties appliquées.

116. Le principe de responsabilité, lu en conjonction avec le principe de transparence (article 5.1.a
RGPD), permet aux personnes concernées d'exercer leurs droits et de contrôler la conformité des
traitements opérés sur leurs données à caractère personnel. Elle permet ainsi d'assumer la
responsabilité44.

117. Le considérant 63 du RGPD ajoute en outre à cela que ce droit d'accès doit être considéré comme
un mécanisme de contrôle : "Une personne concernée devrait avoir le droit d'accéder aux données
à caractère personnel qui ont été collectées à son sujet et d'exercer ce droit facilement et à des
intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité."

118. Ces principes de responsabilité et de transparence s’articulent avec l’article 15 du RGPD, qui
garantit le droit d’accès de la personne concernées à ses données personnelles traitées. La CPVP
concluait déjà à l’égard de la journalisation, de façon univoque:

« Un fichier de journalisation incomplet et une absence de mention du motif de la consultation
constituent une atteinte à l'exercice utile du droit d'accès et de contrôle dont dispose la personne
concernée. Cela compromet également l'exercice des autres droits tels que le droit de rectification
(article 16 du RGPD), le droit à l'oubli (article 17 du RGPD), et le droit à la limitation de l'utilisation de
données traitées de façon illicite (article 18 du RGPD). » (p10) (nous soulignons)45

119. La Chambre Contentieuse recommande la tenue d’un registre journal des log files en tant que
bonne pratique, dans la mesure où la journalisation est utile pour tout responsable de traitement,

Par extension, cette obligation est aussi valable pour la consultation et la mise à jour du Registre national. » (p8)
(la Chambre souligne)
43 Bien que cette recommandation s’adresse aux communes et villes, le raisonnement s’applique aux autres types

de traitements de données, à fortiori lorsqu’il s’agit de données sensibles.
44 Voir le considérant 78 du RGPD.

45 Dans le même sens, voir décision du Comité Sectoriel du Registre national du 11/01/2012.

Décision quant au fond 15/2021 - 22/32

en ce qu’elle permet d’assurer la matérialisation du principe de disponibilité, lui-même étroitement
lié aux principes de confidentialité et d’intégrité des données.

120. Comme indiqué supra, l’effectivité des droits fondamentaux à la vie privée et à la protection des
données à caractère personnel dépend considérablement des mesures mises en place pour assurer
la sécurité de celles-ci46, la tenue d’un registre des logs est donc fortement recommandée par la
Chambre Contentieuse, eu égard aux bonnes pratiques suivies par nombre d’entreprises.

2.2.2.2 Quant au refus de la défenderesse de faire suite à la demande d’accès du plaignant
à ses logs IT

121. Au sujet de la demande d’accès aux logs IT le concernant par le plaignant, la défenderesse justifie
son refus par deux arguments. Elle souligne, dans un premier argument, (à l’instar de l’accès aux
annotations dans le dossier RH du plaignant) le droit à la vie privée des auteurs des logs IT comme
raison pour refuser le droit d’accès du plaignant aux logs IT le concernant.

122. Au vu de la jurisprudence de la CJUE selon laquelle le fait de rendre illisible les données à
caractère personnel concernant les tiers avant de permettre l’exercice de son droit d’accès à la
personne concernée satisfait l’exigence de l’article 15.4 RGPD de ne pas porter atteinte aux droits
des tiers, et dans la mesure où il n’existe pas en droit belge de disposition législative visant à
limiter le droit d’accès d’un employé à ses données personnelles traitées par son (ex) employeur,
l’argument de la défenderesse selon lequel l’accès par le plaignant aux logs IT le concernant
violerait la protection des données à caractère personnel des auteurs de ces logs est rejeté.47

123. La défenderesse avance comme deuxième argument pour refuser de faire droit à la demande
d’accès concernant l’entièreté des logs IT au sujet du plaignant la quantité de travail
disproportionnée que cela demanderait à la défenderesse, liée à l’énorme quantité de logs et
d’informations à vérifier à cet effet.

124. La CJUE s’est prononcée dans son arrêt Rijkeboer sur la balance à faire entre le droit d’accès des
personnes concernées et l’ampleur de la charge que l’obligation de satisfaire à ce droit emporte
pour le responsable du traitement. Plus précisément, les questions étaient de savoir à partir de
quand « l’exercice du droit d’accès à des informations concernant le passé peut légitimement être
paralysé par l’effacement de ces informations. Et pendant combien de temps les personnes
détenant des données sont tenues de conserver les traces des actions passées effectuées sur ces
données »48.

46Dumortier, F., Vander Geeten, V., Dargent, M., Docquir, B. et Forget, C., Knockaert, M., « Introduction » in Les

obligations légales de cybersécurité et de notifications d’incidents, Bruxelles, Politeia, 2019, p. 9 p 141
47 Voir point 2.2.1.2. c), page 24.

48 C. de Terwagne, « L’étendue dans le temps du droit d’accès aux informations sur les destinataires de données

à caractère personnel », note sous C.J.U.E., 22 décembre 2010, R.D.T.I., n° 43, 2011, p. 73 in Tombal, T., «

Décision quant au fond 15/2021 - 23/32

125. Bien que dans cette affaire la question posée était celle du temps qu’un responsable de traitement
doit conserver les données personnelles, le raisonnement de la Cour peut être transposé au cas
d’espèce, au vu de l’ampleur de la demande du plaignant, s’étendant à l’ensemble des logs IT le
concernant. La Chambre Contentieuse fait valoir, notamment, l’importance de trouver « [..] un
juste équilibre entre, d’une part, l’intérêt de la personne concernée à protéger sa vie privée,
notamment au moyen des voies d’intervention et de recours prévus par la directive et, d’autre
part, la charge que l’obligation de conserver cette information représente pour le responsable du
traitement ».

126. Les paramètres fondant cet équilibre devront, bien évidemment, veiller à ne pas imposer
d’obligations disproportionnées et de charges excessives, au responsable de traitement.

127. En l’espèce, la défenderesse souligne la charge de travail disproportionnée que représenterait
une fouille systématique de tous les logs IT concernant le plaignant, depuis son entrée en fonction
en juin 2008, jusqu’à la cessation de son contrat de travail avec la défenderesse en 2019. Le
plaignant n’a par ailleurs apporté aucune explication quant à son intérêt à cette demande. Il n’a
pas soumis de conclusions et n’est pas revenu sur ce point dans son email envoyé à la Chambre
Contentieuse après soumission de ses conclusions par la défenderesse. La Chambre Contentieuse
ne peut dès lors percevoir de besoin spécifique justifiant la charge de travail importante que
représenterait la fouille systématique liée à la demande d’accès à l’ensemble des logs IT le
concernant par le plaignant.

128. Dans ces circonstances, la Chambre Contentieuse suit la défenderesse dans son raisonnement
selon lequel faire droit à cette demande du plaignant lui imposerait une obligation
disproportionnée à l’intérêt du plaignant à exercer son droit à la protection des données. Il n’y a
dès lors pas de violation dans le chef de la défenderesse du droit d’accès quant aux logs IT
concernant le plaignant.

2.2.3- Quant au refus du droit d’accès aux évaluations du plaignant

129. Le plaignant demande par ailleurs l’accès et copie de ses évaluations. La défenderesse informe à
cet égard que dans la mesure où le plaignant a été régulièrement absent à partir d’octobre 2015
(il a travaillé moins de 30 jours en 2016, moins de la moitié de l’année en 2017, une trentaine de
jours en 2018 et aucun jour en 2019), il n’y a pas eu d’évaluation ni d’entretien de fonctionnement
depuis 2013. La défenderesse n’avait donc aucune donnée personnelle à communiquer au
plaignant à ce titre.

Section 2. – Droit d’accès (article 15 RGPD) » in Le règlement général sur la protection des données (RGPD/GDPR),
Bruxelles, Éditions Larcier, 2018, p. 432-447.

Décision quant au fond 15/2021 - 24/32

130. Dans ces circonstances, et dans la mesure où il ne peut être reproché à la défenderesse de ne
pas faire droit à une demande d’accès et de copie de données personnelles n’existant pas, le grief
du plaignant est rejeté.

2.2.4- Quant au refus à la demande de copie des emails

131. Dans ses conclusions, la défenderesse justifie son refus de faire droit à la demande de copie des
emails (le plaignant avait accès aux emails en question au moment de sa demande) dans lesquels
le plaignant est destinataire ou expéditeur sur base de l’article 15.4 RGPD, étant le droit à la vie
privée des autres destinataires ou expéditeurs concernés par les emails en question. Dans ses
observations écrites en vue de l’audition du 14 septembre 2020, la défenderesse soulève des
arguments additionnels.

132. Elle souligne dans un premier temps que le plaignant avait accès à tous ces emails lors de sa
demande. Elle met ensuite en avant le droit à la vie privée des autres expéditeurs ou destinataires
des emails, ainsi que celle de la défenderesse en tant que personne morale, i.e. son droit à la
protection du secret d’affaires. En dernier lieu, la défenderesse relève le secret des
correspondances électroniques attaché aux emails concernés.

Le fait que le plaignant avait accès aux emails ne préjudicie pas son droit à y obtenir copie

133. La défenderesse soulève à titre principal pour refuser de faire droit à la demande de copie du
plaignant des emails (dans lesquels il est expéditeur ou destinataire) le fait que le plaignant y avait
accès (au moment de sa demande).

134. Or, la Chambre relève que, comme indiqué dans sa plainte, le plaignant a pris soin d’expliquer
pour quelle raison il demande spécifiquement la copie des emails. Il explique ainsi que pour des
raisons de confidentialité (la politique de sécurité et de vie privée de la défenderesse l’interdit
formellement) et technique (les emails étant stockés sur un système de cloud et pas sur
l’ordinateur du plaignant), bien qu’il avait accès à ces emails depuis son ordinateur professionnel,
il lui est impossible d’en prendre copie.

135. Bien qu’en l’espèce il ressort de la lecture de la plainte que le plaignant n’a pas demandé l’accès
à ses emails, mais uniquement à une copie de ceux-ci, la Chambre rappelle, à toutes fins utiles,
que la circonstance qu’un plaignant soit au courant des données personnelles à son sujet traitées
par le responsable du traitement ne constitue pas une raison valable pour celui-ci de refuser
l’accès.

136. En effet, aucune exception comparable à celle prévue à l’article 13.4 du RGPD (absence
d’obligation d’information lorsque que, et dans la mesure où, la personne concernée dispose déjà

Décision quant au fond 15/2021 - 25/32

de ses informations) ou de l’article 14.5 a) du RGPD (absence d’information à fournir en cas de
collecte indirecte lors que la personne concernée dispose déjà de ces informations) n’existe à
l’article 15 du RGPD. Le droit d’accès permet à la personne concernée de s’assurer qu’aucune
donnée la concernant n’est traitée à son insu et constitue une première étape vers l’exercice
éventuel de ses droits de rectification, d’effacement ou d’objection. L’objectif du doit d’accès va
donc bien au-delà de la seule prise de connaissance des données traitées, raison pour laquelle la
circonstance que les données traitées seraient connues de la personne concernée est indifférente.

137. L’argument de la défenderesse consistant à refuser la demande de copie, sur base du fait que le
plaignant avait accès aux emails en question n’est pas pertinent et ne peut donc pas être suivit.

Le droit à la vie privée des autres expéditeurs ou destinataires dans ces emails

138. La défenderesse invoque, pour refuser de faire suite à la demande de copie des email, le droit à
la vie privée des autres expéditeurs ou destinataires dans ces emails, sur base de l’article 15.4
RGPD.

139. La Chambre se réfère au raisonnement concernant les annotations dans le dossiers des
ressources humaines du plaignant49.

140. Ainsi, étant donné que la jurisprudence de la CJUE enseigne que le fait de rendre illisible les
données à caractère personnel concernant les tiers avant de permettre l’exercice de son droit
d’accès50 à la personne concernée satisfait l’exigence de l’article 15.4 RGPD de ne pas porter
atteinte aux droits des tiers, et dans la mesure où il n’existe pas en droit belge de disposition
législative visant à limiter le droit d’accès et copie d’un employé à ses données personnelles
traitées par son (ex) employeur, l’argument de la défenderesse selon lequel l’accès par le plaignant
aux email desquels il est expéditeur ou destinataire et que l’octroi de copies des emails violerait
la protection des données à caractère personnel des autres destinataires ou expéditeurs des emails
en question est rejeté.

La protection du secret d’affaire de la défenderesse et l’interprétation restrictive des limitations au
droit d’accès

141. A titre liminaire, la Chambre rappelle que le droit d’accès (qui couvre nécessairement le droit de
copie, en ce qu’il en est un prérequis) est un des fondements du droit à la protection des données,
il constitue la « porte d’entrée » qui permet l’exercice des autres droits que le RGPD confère à la
personne concernée. Dans cette mesure, suivant une jurisprudence constante de la Cour de

49 Voir point 2.2.1.2.c- page 24

50 Il convient de préciser que le droit de copie étant intrinsèquement lié au droit d’accès et nécessairement
précédé par celui-ci, ce raisonnement s’applique de la même façon au droit d’accès et au droit de copie.

Décision quant au fond 15/2021 - 26/32

Justice51 52, ainsi que comme indiqué dans les lignes directrices de l’EDPB 53, toute dérogation au
droit à la protection des données et à la vie privée doit recevoir une interprétation restrictive. Une
limitation au droit d’accès, dans l’éventualité où elle devait survenir, devrait par conséquent être
interprétée de façon restrictive.

142. Concernant ces limitations, la CJUE a rappelé dans son arrêt Nowak que « (…) les États membres
peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits
prévus, notamment, à l’article 6, paragraphe 1, et à l’article 12 de cette directive, lorsqu’une telle
limitation constitue une mesure nécessaire pour sauvegarder les droits et libertés d’autrui. » (point
60).

L’article 23.1 RGPD stipule :

« Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-
traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des
droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions
du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une
telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure
nécessaire et proportionnée dans une société démocratique pour garantir [un objectif important
d’intérêt public général] »

143. Cette disposition devrait être lu en conjonction avec les article 52 de la Charte des Droits
Fondamentaux de l’Union Européenne et l’article 8 de la Convention Européenne des Droits de
l’Homme, régit la limitation des droits de la personne concernée.

144. La CJUE indique qu’une telle limitation d’un droit fondamental doit être prévue par la loi, respecter
le contenu essentiel desdits droits et, en application du principe de proportionnalité, être
nécessaire et répondre effectivement à des objectifs d’intérêt général reconnus par l’Union (…) »
et rappelle que « les dérogations et limitations à ces droits devant s’opérer dans les limites du
strict nécessaire »54.

51 Dans son arrêt du 11 décembre 2014, Ryneš (C-212/13, EU:C:2014:2428), la Cour de Justice indique ainsi

que « la protection du droit fondamental à la vie privée, garanti par l’article 7 de la charte, exige que les
dérogations à la protection des données à caractère personnel et les limitations de celle-ci s’opèrent dans les
limites du strict nécessaire. Dans la mesure où les dispositions de la directive 95/46/CE, en ce qu’elles régissent
le traitement de données à caractère personnel susceptible de porter atteinte aux libertés fondamentales et, en
particulier, au droit à la vie privée, doivent nécessairement être interprétées à la lumière des droits fondamentaux
qui sont inscrits dans ladite charte, la dérogation prévue à l’article 3, paragraphe 2, second tiret, de cette directive
doit recevoir une interprétation stricte » (points 27-29)
52 Voir aussi l’arrêt du 6 octobre 2015 (grande chambre), Schrems (C-362/14, EU:C:2015:650), point 92

53 Guidelines 10/2020 on restrictions under Article 23 GDPR, disponibles sur https://edpb.europa.eu/our-work-

tools/public-consultations-art-704/2020/guidelines-102020-restrictions-under-article-23_en
54 Arrêt
du 9 novembre 2010 (grande chambre), Volker und Markus Schecke et Eifert (C-92/09 et C-93/09,
EU:C:2010:662), point 65 et arrêt du 27 septembre 2017, Peter Puskar, (ECLI:EU:C:2017:725) point 116

Décision quant au fond 15/2021 - 27/32

145. Le Groupe 29 précise concernant la condition que la limitation soit prévue par une loi (exigence
dite de légalité) que toute ingérence dans un droit fondamental tel que le droit à la protection des
données à caractère personnel doit être prévue par une loi formulée en des termes clairs, précis
et accessibles, et dont les effets sont prévisibles pour la personne concernée.

146. Concernant le traitement de données personnelles dans le cadre des relations de travail, l’article
88 RGPD prévoit que « Les États membres peuvent prévoir, par la loi ou au moyen de conventions
collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui
concerne le traitement des données à caractère personnel des employés dans le cadre des
relations de travail (…) ». Or, de telles dispositions n’existent pas, à notre connaissance.

147. La Chambre constate qu’ il n’existe pas en Belgique de disposition législative visant à limiter le
droit d’accès d’un employé à ses données personnelles traitées par son (ex) employeur.

148. Par conséquent, au vu des développements supra, dans la mesure où le secret d’affaires tend à
limiter le droit fondamental à la protection des données, celui-ci doit être interprété de façon
restrictive. Néanmoins, la Chambre Contentieuse est d’avis qu’il convient d’effectuer une analyse
au cas par cas, notamment lorsque le risque pour le secret des affaires est suffisamment
démontré.

149. Il convient en outre de rappeler le prescrit du considérant 63 du RGPD, selon lequel le droit
d’accès « ne devrait pas porter atteinte aux droits ou libertés d'autrui, y compris au secret des
affaires ou à la propriété intellectuelle, notamment au droit d'auteur protégeant le logiciel.
Cependant, ces considérations ne devraient pas aboutir à refuser toute communication
d'informations à la personne concernée. » (nous soulignons)

150. La Chambre relève aussi que la directive 2016/943 sur le secret d’affaires 55 souligne en ses
considérants 34 et 35 l’importance accordée au respect du droit à la protection des données, en
particulier le droit d’accès, auquel le secret d’affaires ne devrait pas porter atteinte :

« (34) La présente directive respecte les droits fondamentaux et observe les principes reconnus
notamment par la Charte, en particulier le droit au respect de la vie privée et familiale, le droit à la
protection des données à caractère personnel, la liberté d'expression et d'information, la liberté
professionnelle et le droit de travailler, la liberté d'entreprise, le droit de propriété, le droit à une bonne
administration, et en particulier l'accès aux dossiers, tout en respectant le secret des affaires, le droit
à un recours effectif et à accéder à un tribunal impartial et les droits de la défense.

55 Directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire

et des informations commerciales non divulgués (secrets d'affaires) contre l'obtention, l'utilisation et la divulgation
illicites (Texte présentant de l'intérêt pour l'EEE)

Décision quant au fond 15/2021 - 28/32

(35) Il importe que soient respectés le droit au respect de la vie privée et familiale et le droit à la
protection des données à caractère personnel de toute personne dont les données à caractère
personnel peuvent être traitées par le détenteur d'un secret d'affaires lorsqu'il prend des mesures
visant à protéger un secret d'affaires, ou de toute personne concernée par une procédure judiciaire
relative à l'obtention, l'utilisation ou la divulgation illicite de secrets d'affaires relevant de la présente
directive, et dont les données à caractère personnel font l'objet d'un traitement. La directive 95/46/CE
du Parlement européen et du Conseil (10) régit le traitement des données à caractère personnel
effectué dans les États membres dans le cadre de la présente directive et sous le contrôle des autorités
compétentes des États membres, en particulier les autorités indépendantes publiques désignées par
les États membres. Par conséquent, la présente directive ne devrait pas avoir d'incidence sur les droits
et obligations fixés par la directive 95/46/CE, notamment le droit de la personne concernée d'accéder
aux données à caractère personnel la concernant qui font l'objet d'un traitement et le droit d'obtenir
la rectification, l'effacement ou le verrouillage de ces données lorsqu'elles sont incomplètes ou
inexactes et, le cas échéant, l'obligation de traiter des données sensibles conformément à l'article 8,
paragraphe 5, de la directive 95/46/CE. » (nous soulignons)

151. La Chambre Contentieuse renvoi par ailleurs au raisonnement du Groupe de Travail 29 quant au
droit à la portabilité des données (article 20 RGPD), dont l’exercice ne peut porter atteinte aux
droits et libertés d’autrui (article 20.4 RGPD), à l’instar du droit d’accès et de copie (article 15.4
RGPD). La formulation de cette limitation dans les deux articles est identique. Dans cette mesure,
et compte tenu du fait que tant le droit d’accès et copie, que le droit à la portabilité des données
font partie des composantes fondamentales du RGPD, la Chambre est d’avis que le raisonnement
du Groupe 29 concernant la limitation peut être appliqué aussi au droit d’accès et copie.

152. Le Groupe 29 précise à sujet de la limitation du droit à la portabilité par le secret d’affaire qu’un
« risque potentiel pour les affaires ne peut toutefois, à lui seul, servir de base pour justifier le
refus de donner suite à une demande de portabilité »56 (traduction libre). Le risque pour le secret
d’affaire doit donc être clairement démontré par le responsable de traitement. Dans le cas
d’espèce, bien que ceci n’ait pas été développé dans les pièces écrites de la défenderesse, la
Conseil de celle-ci a explicité durant l’audition qu’en raison de sa fonction de cadre, le plaignant a
connaissance de l’identité des clients de la défenderesse, des montants des commandes et des
factures à ces clients, qui constituent des informations potentiellement sensibles sur les affaires
de la défenderesse. La défenderesse a aussi indiqué que le plaignant publiait sur un blog privé
des informations encore confidentielles, avant que la direction ne les publie par les canaux officiels
(faits partiellement ou entièrement à l’origine du litige devant la Cour du Travail entre elle-même
et le plaignant). La Chambre prend aussi acte du fait que le plaignant demande la copie de
l’intégralité des emails dans lesquels il est destinataire ou expéditeur.

56 Groupe 29, Guidelines on the right to data portability, WP 242, 13 April 2017, p. 12

Décision quant au fond 15/2021 - 29/32

153. Comme indiqué supra, bien qu’il convient d’interpréter le secret d’affaires de façon restrictive
lorsque celui-ci constitue une limitation au droit fondamental de la protection des données, dans
le cas d’espèce, la Chambre Contentieuse estime qu’au vu des informations potentiellement
sensibles contenues dans les emails en question le risque pour le secret d’affaire de la
défenderesse est suffisamment démontré.

154. La Chambre est dès lors d’avis que la défenderesse n’a pas violé l’article 15.1 et 3 en refusant de
donner suite à la demande du plaignant de copie des emails dans lesquels il est destinataire ou
expéditeurs.

155. A toutes fins utiles, la Chambre ajoute que dans les cas où le risque n’est pas démontré, il convient
d’appliquer l’enseignement de la jurisprudence de la CJUE (voir supra), selon laquelle le fait de
rendre illisible les données à caractère personnel concernant les tiers avant de permettre l’exercice
de son droit d’accès à la personne concernée satisfait l’exigence de l’article 15.4 de ne pas porter
atteinte aux droits des tiers.

c- L’argument pris du secret des correspondances électroniques des autres destinataires ou
expéditeurs des emails concernés

156. La défenderesse soulève ensuite l’article 124 de la loi du 13 juin 2005 relative aux communications
électroniques, comme dernier argument pour justifier son refus de faire droit à la demande d’accès
et de copie du plaignant des emails dans lesquels il est destinataire ou expéditeur.

157. Or, cette disposition s’applique uniquement envers les tiers aux communications électroniques
concernées, et non pas à une personne partie aux communications, tel que clairement indiqué par
la Cour de Cassation dans un arrêt du 22 avril 201557.

Cet argument ne convainc pas, et est donc écarté.

d-Conclusion quant au refus de la défenderesse de faire suite à la demande de copie des emails du
plaignant

158. Les arguments de la défenderesse pour justifier le refus de faire suite à la demande de copie
des emails en question pris du droit à la vie privée des autres destinataires ou expéditeurs des
emails, ainsi que du secret des correspondances électronique ne convainquent pas, et sont donc
écartés. Cependant, dans le cas d’espèce, l’argument pris du secret d’affaires de la défenderesse
est pertinent. Il n’y a par conséquent pas de manquement à l’article 15.3 du RGPD.

2.2.5- Quant au refus du droit de copie des photos sur lesquelles le plaignant est
identifiable

159. Dans ce volet de sa plainte, le plaignant explicite qu’il n’invoque pas la violation du droit d’accès
ou de copie, mais son droit à l’image. Il indique que des photos des employés ont été prises lors

57 Cass. (2e ch.), 22 avril 2015, J.T., 2015, p. 1021 et 1022

Décision quant au fond 15/2021 - 30/32

d’évènements de l’entreprise, sans leur consentement, et qu’elles sont diffusées (sur l’intranet de
l’entreprise défenderesse) sans consentement.

160. Dans un courrier du 6 mars 2019, le Service d’Inspection de l’APD fait savoir au plaignant que sa
plainte manque de clarté concernant le caractère ciblé ou non des photos des membres du
personnel lors des évènements de l’entreprise, et lui demande plus de précisions à ce sujet.

161. Or, alors la prise et diffusion de photos ciblées nécessite une base légale, ce n’est pas le cas pour
des photos non ciblées (sur lesquelles les membres du personnel ne peuvent être identifiés
clairement). Dans un email du 8 juin le plaignant spécifie que lors des évènements des photos
portraits sont prises, et que pour celles-ci un consentement préalable n’est pas demandé ni pour
la prise de photo ni pour la diffusion.

162. La Chambre Contentieuse constate que la défenderesse invite ses employés ne souhaitant pas
que des photos sur lesquelles ils apparaissent soient enregistrées ni diffusées dans l’intranet à
contacter le DPR (Data Protection Representative) afin de l’en avertir et s’engage à ce que ces
éventuelles photos soient effacées.58

163. Le plaignant n’a pas communiqué de preuve de l’existence et/ou diffusion de photo(s) ciblée(s)
de lui, et n’indique pas que de telles photos ou portraits de lui auraient été prises lors d’évènements
d’entreprise organisés par la défenderesse.

Dans cette mesure, la Chambre constate l’absence de violation du droit à l’image du plaignant.

5. Mesures correctrices et sanctions

164. Sur base de l’analyse ci-dessus, la Chambre Contentieuse estime qu’en refusant de faire suite au
droit d’accès et/ou copie du plaignant concernant les annotations dans son dossier des ressources
humaines, le responsable de traitement a violé l’article 15.1 et 15.3 du RPGD

Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;

58 Analyse de la pièce 37 soumise par la partie défenderesse (un email adressé à tous les membres du personnel
le 04/10/2018).

Décision quant au fond 15/2021 - 31/32

10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.

ll importe de contextualiser le manquement aux articles 15.1 et 15.3 du RGPD d’autre part en vue
d’identifier les sanctions et/ou mesures correctrices les plus adaptées.

165. Comme indiqué supra, le droit d’accès (article 15.1) constitue un des fondements du RGPD. Quant
au manquement au droit de copie (article 15.3), la Chambre Contentieuse relève que l’obtention
d’une copie des données est l’apport majeur du RGPD en termes de droit d’accès. Elle doit
permettre le renforcement du contrôle des personnes concernées sur les données personnelles
les concernant. L’autodétermination informationnelle dont le RGPD est empreint trouve dans cette
nouvelle version du droit d’accès (incluant le droit à l’obtention d’une copie) l’une de ses plus
fortes expressions.

166. En refusant la communication des données le concernant au plaignant, la défenderesse a privé
le plaignant du droit que lui confère l’article 15 du RGPD mais plus largement, elle a porté atteinte
à son autonomie informationnelle en ne lui permettant pas de prendre connaissance de ces
données.

167. Néanmoins, un ordre de faire suite à la demande d’accès aux annotations dans le dossier RH
concernant le plaignant ne peut pas être émis, dans la mesure où la défenderesse a effacé ces
annotations après la demande du plaignant. La Chambre ordonne à cet égard à la défenderesse
de lui communiquer une déclaration sur l’honneur attestant du fait que ces annotations ont été
effacées après la demande du plaignant via l’adresse [email protected] dans un délai
de 30 jours à partir de la notification de cette décision.

168. La Chambre Contentieuse prend par ailleurs note du fait que la défenderesse est une entreprise
de taille moyenne, occupant 40 à 50 employés, et qu’elle n’a antérieurement jamais fait l’objet de
sanctions de la part de l’APD.

169. La Chambre relève aussi que la défenderesse a réagi et fait suite aux demandes du plaignant,
dont certaines couvrent un large éventail de données, bien que de façon incomplète.

170. Les efforts soulevés dans les conclusions de la défenderesse en terme de sécurité de l’information
et de protection des données sont aussi pris en compte. Dès lors, la Chambre Contentieuse décide
de n’imposer ni amende, ni réprimande.

Décision quant au fond 15/2021 - 32/32

171. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et
les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de
l'Autorité de protection des données moyennant la suppression des données d’identification directe
des parties et des personnes citées, qu’elles soient physiques ou morales.

POUR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE

Décide, après délibération :

- D’ordonner à la défenderesse de communiquer à la Chambre Contentieuse une déclaration sur
l’honneur attestant du fait que les annotations dans le dossier des ressources humaines relatif au
plaignant ont été effacées après sa demande d’accès, via l’adresse [email protected]
dans un délai de 30 jours à partir de la notification de cette décision ;

- D’ordonner à la défenderesse une mise en conformité du traitement concernant les annotations au
sein des dossiers des ressources humaines de son personnel, conformément à l’article 15 RGPD.

En vertu de l’article 108, § 1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés dans un délai de 30 jours à compter de sa notification, avec l'Autorité de protection des
données en qualité de défenderesse.

Hielke Hijmans
Président de la Chambre Contentieuse