1/13
Chambre Contentieuse
Décision 158/2022 du 7 novembre 2022
Numéro de dossier : DOS-2022-03009
Objet : Plainte pour publication sur les réseaux sociaux (Facebook) d’une facture avec
mention du nom/prénom de la cliente et réponse partielle du responsable du traitement
à la demande d’effacement
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke
Hijmans, président;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante : Mme X, ci-après « la plaignante » ;
.
.
La défenderesse : Y , ci-après : « la défenderesse ».
.
Décision 158/2022 - 2/13
I. Faits et procédure
1. Le 19 juillet 2022, la plaignante dépose plainte auprès de l’Autorité de protection des
données (ci-après « l’APD »).
2. L'objet de la plainte concerne la publication, le 23 juin 2022, d’une facture adressée au nom
de la plaignante par la défenderesse sur la page Facebook professionnelle (page publique)
de cette dernière. Cette facture contenait les informations personnelles suivante : les noms
et prénoms ainsi que l’adresse postale de la plaignante.
3. Le 17 juillet 2022, la plaignante contacte l’APD pour obtenir des informations suite à la
publication de sa facture sur la page Facebook professionnelle de la défenderesse. Le 18
juillet 2022, l’APD fournit des éléments de réponse et communique les différentes
procédures qui s’offrent à la plaignante.
4. Le 19 juillet 2022, la plaignante réplique au courriel de l’APD et joint le formulaire de plainte
complété par des annexes pour étayer ses propos : elle indique avoir exercé ses droits
auprès du responsable du traitement (la défenderesse) ; avoir porté plainte, le 28 juin 2022,
au Conseil Régional Francophone de […] (ci-après « Z ») et, le 1er juillet 2022, à la police pour
atteinte à sa vie privée et violation du RGPD (numéro du PV (...)). La plaignante explique
également que, suite à la plainte déposée à la police, la défenderesse a, d’une part, retiré le
12 juillet 2022 de sa page Facebook professionnelle une partie des informations
personnelles figurant sur la facture, excepté ses noms et prénoms, et d’autre part, bloqué
son accès à la dite page Facebook.
5. Le 5 septembre 2022, le Service de Première Ligne (ci-après « SPL ») déclare la plainte
irrecevable « au motif que le traitement incriminé a cessé » car la défenderesse a supprimé
les données d’identification de la plaignante. À la même date, la plaignante indique au SPL
que ses noms/prénoms sont toujours mentionnés sur la page Facebook professionnelle de
la défenderesse.
6. Le 9 septembre 2022, le SPL réclame une preuve des faits invoqués, à savoir « copie/capture
d’écran de la facture qui est toujours présente sur la page Facebook professionnelle du […]
reprenant [le] nom [de la plaignante] et le détail des prestations effectuées sur [son] (...)». Le
12 septembre 2022, la plaignante envoie une capture d’écran de la publication litigieuse.
7. Le 13 septembre 2022, le SPL demande à la plaignante de lui transmettre une copie de la
publication sous un autre format car la capture d’écran reçue n’est pas lisible et ne permet
pas de prendre connaissance des informations publiées par la défenderesse. La plaignante
envoie par email deux documents en format PDF comportant les captures d’écran de la
publication litigieuse.
Décision 158/2022 - 3/13
8. Le 15 septembre 2022, le SPL de l’APD déclare la plainte recevable sur la base des articles
58 et 60 de la LCA, et transmet celle-ci à la Chambre Contentieuse conformément à l’article
62, § 1 de la LCA.
II. Motivation
9. En application de l’article 4, § 1er de la LCA, l'APD est responsable du contrôle des principes
de protection des données contenus dans le RGPD et d’autres lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.
10. En application de l’article 33, §1er de la LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est saisie des plaintes que le SPL lui transmet en
application de l’article 62, § 1er de la LCA, soit des plaintes recevables. Conformément à
l’article 60 alinéa 2 de la LCA, les plaintes sont recevables si elles sont rédigées dans l'une
des langues nationales, contiennent un exposé des faits et les indications nécessaires pour
identifier le traitement de données à caractère personnel sur lequel elles portent et qui
relèvent de la compétence de l'APD.
11. En application des articles 51 et s. du RGPD et de l’article 4, § 1er de la LCA, il revient à la
Chambre Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer
un contrôle effectif de l’application du RGPD et de protéger les libertés et droits
fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux
des données à caractère personnel au sein de l'Union.
12. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur base
des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95, §1 er de
la LCA, la Chambre Contentieuse décide de procéder, d’une part à la prise d’une décision
conformément à l’article 95, § 1 er, 5° de la LCA, plus précisément d’ordonner au
responsable du traitement de se conformer à la demande de la plaignante d’exercer son
droit à l’effacement (art. 17.1 du RGPD), d’autre part, à un avertissement conformément à
l’article 95, § 1er, 4° de la LCA ; et ce pour les raisons exposées ci-après.
13. La Chambre Contentieuse note que la plaignante soulève le refus par le responsable du
traitement de donner suite à la demande d’exercice de son droit à l’effacement.
14. Premièrement, il ressort des pièces du dossier que la plaignante n’apporte pas la preuve de
l’exercice de ses droits auprès du responsable du traitement tel que stipulé dans le
formulaire de plainte ; a porté plainte le 28 juin 2022 au Conseil Régional Francophone […]
(ci-après « Z ») et le 1er juillet 2022 à la police pour atteinte à sa vie privée et violation du RGPD
(numéro du PV : (...)).
Décision 158/2022 - 4/13
15. La Chambre Contentieuse remarque également que les plaintes déposées au Z et à la police
portent sur la publication d’une facture – mentionnant les noms et prénoms ainsi que
l’adresse postale – de la plaignante sur la page Facebook professionnelle du responsable du
traitement : « dès lors, je souhaite déposer une plainte contre cette […] pour [...] avoir publié
en mode publique mes données personnelles sur sa page Facebook. »1 ou encore « [...]
déposer plainte du chef d’atteinte à la vie et à la violation du RGPD à charge de la nommée Y
[...] »2.
16. La Chambre Contentieuse comprend que la plaignante a du exercer son droit à l’effacement
(art. 17.1.c du RGPD), d’autant plus qu’elle a porté plainte auprès du Z et de la police ; mais
que le responsable du traitement n’a donné qu’une suite partielle à sa demande en
supprimant uniquement l’adresse postale figurant sur la facture publiée sur la page
Facebook professionnelle.
17. La Chambre Contentieuse rappelle que l’article 4.1) du RGPD définit une « donnée à
caractère personnel » comme « toute information se rapportant à une personne physique
identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une
«personne physique identifiable» une personne physique qui peut être identifiée,
directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un
numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou
plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique,
psychique, économique, culturelle ou sociale »3.
18. Un « traitement » de données à caractère personnel désigne, selon le RGPD, « toute
opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés
automatisés et appliquées à des données ou des ensembles de données à caractère
personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la
conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la
communication par transmission, la diffusion ou toute autre forme de mise à disposition, le
rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction »4.
19. L’article 4.7) du RGPD définit le « responsable du traitement »5 comme étant « la personne
physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou
conjointement avec d’autres, détermine les finalités et les moyens du traitement ».
20. Comme l’EDPB l’a souligné dans les Lignes directrices 07/2020 concernant les notions de
responsable de traitement et de sous-traitant, le responsable de traitement peut être
1
Une reproduction de la plainte déposée auprès du Z.
2
Une reproduction de la plainte déposée auprès de la police (numéro du PV : (..)).
3
RGPD, art. 4, 1). ; Avis 4/2007 du Groupe de travail « article 29 » sur la protection des données sur le concept de donnée à caractère personnel,
adopté le 20 juin 2007, disponible sur https://cnpd.public.lu/dam-assets/fr/publications/groupe-art29/wp136_fr.pdf. ; Cf. les arrêts Nowak
(CJUE, 20 décembre 2017, C-434/16, ECLI:EU:C:2017:994) et Breyer (CUJE, 19 octobre 2016, C-582/14, ECLI: EU: C:2016:779).
4
RGPD, art. 4, 2).
5
RGPD, considérants 74, 79 et 81 ; RGPD, art. 4. 7), 4.8), 24, 26, 28, 29.
Décision 158/2022 - 5/13
désigné par un texte législatif ou réglementaire6. Dans le cas contraire, pour l’identifier, il
convient d’analyser des éléments ou circonstances factuels de l’espèce, notamment
déterminer sa capacité juridique et organisationnelle, ainsi que son autonomie dans la
définition des finalités, c’est-à-dire les objectifs poursuivis, et des moyens du traitement.
21. La Chambre Contentieuse rappelle que le responsable du traitement doit donner suite à la
demande formulée en application des articles 15 à 22 du RGPD par la plaignante, en l’espèce
une demande d’effacement prévue par l’article 17 du RGPD (exercice du droit à
l’effacement), et ce dans le respect des conditions fixées à l’article 12 du RGPD 7.
22. La Chambre Contentieuse souligne également qu’il incombe au responsable du traitement
de fournir à la plaignante des informations sur les mesures prises à la suite d’une demande
formulée en application des articles 15 à 22 du RGPD, dans les meilleurs délais et en tout état
de cause dans un délai d’un mois à compter de la réception de la demande 8. L’article 12.3 du
RGPD prévoit que ce délai peut, au besoin, être prolongé de deux mois, compte tenu de la
complexité et du nombre de demandes 9. Dans un tel cas, le responsable du traitement
informe la plaignante de cette prolongation et des motifs du report dans un délai d’un mois
à compter de la réception de la demande 10.
23. Dans l’hypothèse où le responsable du traitement ne donne pas suite à la demande formulée
par la plaignante11, il informe celui-ci sans tarder et au plus tard dans un délai d’un mois à
compter de la réception de la demande des motifs de son inaction et de la possibilité
d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours
juridictionnel.
24. En l’espèce, la Chambre Contentieuse rappelle que la facture, quel qu’en soit le format,
oblige le responsable du traitement à collecter certaines informations fondamentales
concernant le client (en l’espèce, un particulier). La facture inclura au minimum : prénoms,
noms, e-mail, adresse de facturation, adresse de livraison ainsi que le contenu des achats
et/ou de la prestation. Conformément à l’article 4.1) du RGPD, les noms, prénoms et adresse
postale correspondent à des données à caractère personnel.
25. La Chambre Contentieuse comprend que la défenderesse est à l’origine de la prestation de
service (en l’espèce, elle a soigné[…]) mais aussi de la facturation ; et, qu’à ce titre, elle doit,
en tant que responsable du traitement, donner suite à la demande formulée en application
des articles 15 à 22 du RGPD par la plaignante.
6
EDPB, « Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD », adopté le 7
juillet 2021.
7
RGPD, art. 12.
8
RGPD, art. 12.2 et 12.3.
9
RGPD, art. 12.3.
10
RGPD, art. 12.3.
11
RGPD, art. 12.4.
Décision 158/2022 - 6/13
26. Deuxièmement, il ressort des pièces du dossier que la publication litigieuse – la facture
mentionnant les noms/prénoms de la plaignante – est toujours publiée sur la page Facebook
professionnelle du responsable du traitement en date du 3 octobre 2022 à 10h56 (heure
belge), et ce malgré les plaintes déposées auprès du Z (28 juin 2022) et de la police (1er juillet
2022). Elle note également que le nom/prénom de la plaignante figure toujours dans le
commentaire du responsable du traitement.
27. De plus, la Chambre Contentieuse relève que le responsable du traitement indique dans son
commentaire publié sur sa page Facebook professionnelle la phrase suivante : « n’ayant
aucun soucis à exposer mes tarifs, je joins votre facture à ce commentaire ».
Figure 1 - Capture d'écran du 03 octobre 2022 à 10h56 (heure belge - adresse URL suivante […])
Figure 2 - Capture d'écran du 03 octobre 2022 à 10h56 (heure belge - adresse URL suivante […])
Décision 158/2022 - 7/13
28. La Chambre Contentieuse rappelle que le RGPD énonce clairement le principe de
responsabilité, selon lequel le responsable du traitement est tenu de mettre en œuvre des
mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de
démontrer que le traitement est effectué conformément au RGPD et autres lois de
protection des données personnelle 12.
29. La Cour de Justice de l’Union européenne dans son arrêt du 13 mai 2014, Google Spain et
Google, rappelle également que « le responsable du traitement doit assurer, dans le cadre
de ses responsabilités, de ses compétences et de ses possibilités, que le traitement de
données en cause satisfait aux exigences de la directive 95/46 pour que les garanties
prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et
complète des personnes concernées, notamment leur droit au respect de la vie privée,
puisse effectivement être réalisée »13.
30. La Chambre Contentieuse souligne également que le traitement n'est « licite que si, et dans
la mesure où, au moins une des conditions suivantes est remplie:
a) la personne concernée a consenti au traitement de ses données à caractère personnel
pour une ou plusieurs finalités spécifiques;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est
partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable
du traitement est soumis;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée
ou d'une autre personne physique;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publique dont est investi le responsable du traitement;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable
du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits
fondamentaux de la personne concernée qui exigent une protection des données à
caractère personnel, notamment lorsque la personne concernée est un enfant. [...] »14.
31. En l’espèce, la Chambre Contentieuse constate que la publication dans son ensemble, à
savoir la publication de la facture avec le nom/prénom de la plaignante ainsi que la mention
dans le commentaire de son nom/prénom sur la page Facebook professionnelle du
responsable du traitement, constitue un traitement de données à caractère personnel au
sens de l'article 4, 1) du RGPD, dans le cadre duquel les principes de protection des données
12
RGPD, considérant 74. ; RGPD, art. 5, §2 et 24.
13
Conclusions de l’avocat général Y. Bot, 24 octobre 2017, dans l’affaire ULD c. Wirtschaftakademie Schleswig-Holstein, point 44 ; voy.
également C.J.U.E., 13 mai 2014, Google Spain SL et Google Inc c. Agencia Espanola de Proteccion de Datos et Gonzales, aff. C-131/12, points
38 et 83.
14
RGPD, art. 6, §1.
Décision 158/2022 - 8/13
doivent s'appliquer à toute donnée concernant une personne physique identifiée ou
identifiable.
32. La Chambre Contentieuse s’interroge sur la publication d’une facture d’un client (un
particulier) avec mention du nom/prénom sur les réseaux sociaux, en l’occurrence la page
Facebook professionnelle (page publique) du responsable du traitement, et la licéité de ce
traitement. La Chambre Contentieuse estime que le responsable du traitement ne répond à
aucune des conditions de licéité prévues à l’article 6 du RGPD. Par souci d’exhaustivité, la
Chambre examine néanmoins si le traitement de données pouvait se baser sur le fondement
de licéité de « l’intérêt légitime » prévu à l’article 6.1, f) du RGPD15.
33. Conformément à l'article 6.1, f) du RGPD et à la jurisprudence de la Cour de Justice de l'Union
européenne (ci-après « la Cour »), trois conditions cumulatives doivent être remplies pour
qu'un responsable du traitement puisse valablement invoquer ce fondement de licéité, « à
savoir, premièrement, la poursuite d’un intérêt légitime par le responsable du traitement ou
par le ou les tiers auxquels les données sont communiquées, deuxièmement, la nécessité du
traitement des données à caractère personnel pour la réalisation de l’intérêt légitime
poursuivi et, troisièmement, la condition que les droits et les libertés fondamentaux de la
personne concernée par la protection des données ne prévalent pas »
34. En d'autres termes, afin de pouvoir invoquer le fondement de licéité de l’« intérêt légitime »
conformément à l'article 6, §1, f) du RGPD, le responsable du traitement doit démontrer que :
1) les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme légitimes (le «
test de finalité ») ;
2) le traitement envisagé est nécessaire pour réaliser ces intérêts (le « test de nécessité ») ;
et
3) la pondération de ces intérêts par rapport aux intérêts, libertés et droits fondamentaux
des personnes concernées pèse en faveur du responsable du traitement (le « test de
pondération »).
35. En ce qui concerne la première condition (le « test de finalité ») 16, la Chambre Contentieuse
estime que la finalité qui consiste à publier les tarifs appliqués par le responsable du
traitement lors de ses prestations (transparence sur les prix) pour gagner la confiance des
clients, doit être considérée comme étant réalisée en vue d'un intérêt légitime.
15
CJUE, 4 mai 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde contre Rīgas pašvaldības SIA „Rīgas
satiksme”, considérant 28. Voir également CJUE, 11 décembre 2019, C-708/18, TK c/ Asociaţia de Proprietari bloc M5AScaraA, considérant
40. ; Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/2020 (§68), disponible sur
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
16
Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/ 2020 (§69), disponible sur
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
Décision 158/2022 - 9/13
Conformément au considérant 47 du RGPD, l'intérêt que la défenderesse poursuivait en tant
que responsable du traitement peut en soi être considéré comme légitime. La première
condition reprise à l'article 6.1.f) du RGPD est donc remplie.
36. En ce qui concerne la deuxième condition (le « test de nécessité ») 17, le responsable du
traitement doit démontrer que le traitement est nécessaire pour la réalisation des finalités
poursuivies. Cela signifie plus précisément qu'il faut se demander si le même résultat ne peut
pas être atteint avec d'autres moyens, sans traitement de données à caractère personnel ou
sans traitement substantiel inutile pour les personnes concernées.
37. Partant de la finalité, à savoir la publication sur les réseaux sociaux des tarifs appliqués par
le responsable du traitement, il convient donc de vérifier si la publication de la facture avec
l’indication du nom/prénom de la plaignante soutenue par un commentaire qui reprend à
nouveau son nom/prénom peut ou non contribuer à la transparence des prix appliqués par
le responsable du traitement.
38. Toutefois, la publication de la facture avec l’indication du nom/prénom de la plaignante
soutenue par un commentaire qui reprend à nouveau son nom/prénom n'a pour seule
conséquence que la personne concernée soit qualifiée en ligne de mauvais payeur voire de
porter atteinte à sa personne et sa dignité à l’occasion d’un différend. Plus important, cette
méthode n'offre aucune plus-value dans l’affichage des prix pratiqués par le responsable du
traitement (transparence des prix). Si l'intention du responsable du traitement est de
permettre aux potentiels clients, par cette pratique, de connaitre les tarifs, la Chambre
Contentieuse fait valoir que cette finalité peut également être atteinte sans publication
d’une facture avec les données d'identification de la plaignante mais plutôt avec une
brochure ou un prospectus qui ne mentionne que les prix par prestations La deuxième
condition n’est pas rencontrée.
39. En ce qui concerne la troisième condition (le « test de pondération») 18, il faut d'abord tenir
compte des attentes raisonnables de la personne concernée, conformément au considérant
47 du RGPD. Il faut plus spécialement évaluer si « la personne concernée peut
raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à
caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée ».
40. La Chambre Contentieuse constate que la plaignante ne pouvait à aucun moment s'attendre
à ce que sa facture soit publiée avec son nom/prénom pour répondre à un principe de
transparence des prix appliqués par le responsable du traitement encore moins dans
l’intention de régler publiquement un différend né à la suite d’une contestation. De plus, le
17
Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/2020 (§70 à 72), disponi ble sur
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
18
RGPD, Considérant 47. ; CJUE, 11 décembre 2019, C-708/18, TK c/ Asociaţia de Proprietari bloc M5A-ScaraA, considérant 58. ; Autorité de
protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/2020 (§73 à 75), disponible sur
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
Décision 158/2022 - 10/13
responsable du traitement ne semble pas avoir demandé, en vertu de l’article 6, §1er, a) du
RGPD, le consentement de la plaignante pour publier la facture avec son nom/prénom sur
les réseaux sociaux, en l’espèce « Facebook ». La troisième condition n'est donc pas remplie
non plus.
41. La Chambre Contentieuse estime que l’ensemble des éléments exposés supra démontre
que le responsable du traitement ne peut pas invoquer l’article 6.1, f) du RGPD pour qualifier
la publication de la facture avec mention du nom/prénom de la plaignante sur sa page
Facebook professionnelle de licite. Partant, le responsable du traitement semble ne pas
respecter le prescrit de l’article 6 du RGPD et se doit de répondre favorablement à la
demande d’exercice du droit à l’effacement de la plaignante : il a l’obligation d’effacer, dans
les meilleurs délais, les données à caractère personnel de la plaignante (art. 17.1. du RGPD).
42. La Chambre Contentieuse soulève enfin que les moyens choisis par le responsable du
traitement (en l’espèce, publier sur la page Facebook professionnelle de la défenderesse la
facture d’un client avec mention de son nom/prénom pour illustrer les tarifs appliqués et/ou
régler un différend) mettent en difficulté le principe de responsabilité prévu à l’article 24 du
RGPD19. Ces mesures définies par le responsable du traitement ne semblent pas être de
nature à s’assurer que le traitement soit effectué conformément au RGPD et autres lois de
protection des données personnelles.
43. En définitive, au regard de l’examen susmentionné, la Chambre Contentieuse conclut que le
responsable du traitement n’a pas, prima facie, respecté les articles 12.3 et 12.4 du RGPD,
ainsi que de l’ article 17.1 du RGPD, ce qui justifie en l’espèce de procéder à la prise d’une
décision sur la base de l’article 95, § 1er, 5° de la LCA, plus précisément d’ordonner au
responsable du traitement de se conformer à la demande de la plaignante d’exercer son
droit à l’effacement (art. 17.1 du RGPD) et de procéder à l’effacement des données à
caractère personnel en question (à savoir la facture avec l’indication du nom/prénom de la
plaignante soutenue par un commentaire qui reprend à nouveau son nom/prénom).
44. La Chambre Contentieuse conclut également que le responsable du traitement n’a pas,
prima facie, respecté les articles 6 et 24 du RGPD, ce qui justifie en l’espèce de procéder à la
prise d’une décision sur la base de l’article 95, § 1er, 4° de la LCA, plus précisément d’adresser
au responsable du traitement un avertissement au sens de l'article 58.2.a) du RGPD afin que
ce dernier veille, à l’avenir, à répondre aux demandes d’exercice des droits de la personne
concernée et à respecter le principe de responsabilité.
19
RGPD, considérant 74. ; RGPD, art. 5, §2 et 24.
Décision 158/2022 - 11/13
45. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par la plaignante,
dans le cadre de la « procédure préalable à la décision de fond »20 et pas une décision sur le
fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
46. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
47. Si toutefois, le responsable du traitement n’est pas d’accord avec le contenu de la présente
décision prima facie et estime qu’il peut faire valoir des arguments factuels et/ou juridiques
qui pourraient conduire à une autre décision, celui-ci peut adresser à la Chambre
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans le délai de 30 jours après la notification de la
présente décision. Le cas échéant, l’exécution de la présente décision sera suspendue
pendant la période susmentionnée.
48. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu’elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
49. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA21 .
20
Section 3, Sous-section 2 de la LCA (art. 94 à 97 inclus).
21
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 158/2022 - 12/13
III. Publication de la décision
50. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par le responsable du traitement d’un traitement sur le fond,
conformément aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner au
responsable du traitement de se conformer à la demande de la personne concernée
d'exercer ses droits, et ce dans le délai de 30 jours à dater de la notification de la
présente décision ;
- en vertu de l’article 58.2.a) du RGPD et de l’article 95, §1er, 4° de la LCA, de prononcer à
l’encontre du responsable du traitement un avertissement ;
- d'ordonner au responsable du traitement d'informer par e-mail l'Autorité de protection
des données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans
le même délai, via l'adresse e-mail [email protected]; et
- si le responsable du traitement ne se conforme pas en temps utile à ce qui lui est
demandé ci-dessus, de traiter d’office l'affaire sur le fond, conformément aux articles
98 e.s. de la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire22. La requête interlocutoire doit être
22
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro
d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
Décision 158/2022 - 13/13
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.23, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
23
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recomma ndée au
greffier de la juridiction ou déposée au greffe.