1/9
Chambre Contentieuse
Décision 159/2022 du 7 novembre 2022
N° de dossier : DOS-2022-03933
Objet : Plainte relative au maintien de la mention de l’identité d’une ex-employée, de sa
fonction et de photographies sur des pages Internet d’une entreprise
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante : Madame X, ci-après « la plaignante » ;
La défenderesse : La SPRL Y, ci-après : « la défenderesse ».
Décision 159/2022-2/9
I. Rétroactes de la procédure, faits et objet de la demande
1. La plaignante a déposé plainte auprès de l’Autorité de protection des données (APD) le 28
septembre 2022.
2. Le 6 octobre 2022, le Service de Première Ligne (SPL) de l’APD a déclaré la plainte
recevable et a transmis celle-ci à la Chambre Contentieuse.
3. Aux termes de sa plainte, la plaignante indique avoir travaillé auprès de la défenderesse
jusqu’en février 2022, date à laquelle elle a été licenciée.
4. Le 1er septembre 2022, soit plus de 6 mois après son licenciement, la plaignante a indiqué
par courriel à la défenderesse qu’elle ne souhaitait plus apparaître comme un membre de
son personnel sur son site Internet. La rubrique « Notre équipe » de ce site reprenait en
effet une photo individuelle de la plaignante avec l’intitulé de la fonction «….» qu’elle
exerçait auprès d’elle ainsi qu’une photo de groupe de l’équipe de la défenderesse (4
personnes), dont la plaignante. La plaignante produit ledit courriel du 1er septembre 2022.
5. La plaignante indique qu’à la date du dépôt de sa plainte le 28 septembre 2022, aucune
suite favorable n’avait été donnée à sa demande de faire le nécessaire pour qu’elle
n’apparaisse plus comme membre du personnel sur le site de la défenderesse. Aux termes
de sa plainte, elle sollicite de l’APD qu’elle rappelle la défenderesse à ses obligations.
II. EN DROIT
6. La Chambre Contentieuse rappelle que les coordonnées d’une personne physique telles
ses noms, prénoms, sa fonction de même que sa photographie constituent des données à
caractère personnel au sens de l’article 4.1 du RGPD. Il s’agit en effet d’informations se
rapportant à une personne physique identifiée ou identifiable (la «personne concernée»),
ici la plaignante qui peut être directement identifiée au départ de ces informations.
7. La publication de telles données sur le site Internet de la défenderesse est constitutive
d’un traitement au sens de l’article 4.2. du RGPD.
8. En application de l’article 5.1.b) du RGPD tout traitement doit poursuivre une finalité
déterminée, explicite et légitime (principe de finalité).
9. En sa qualité de responsable de traitement, il incombe à la défenderesse, compte tenu de
la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont
le degré de probabilité et de gravité varie, pour les droits et libertés des personnes
Décision 159/2022-3/9
physiques, de mettre en œuvre des mesures techniques et organisationnelles appropriées
pour s'assurer et être en mesure de démontrer que le traitement est effectué
conformément au RGPD (articles 5.2. et 24 du RGPD).
10. La Chambre Contentieuse est d’avis que dès lors que la plaignante ne travaillait plus pour
la défenderesse, la finalité de traitement des données susmentionnées la concernant par
cette dernière visant à informer les internautes de qui travaille auprès d’elle et avec quelle
fonction, s’est éteinte avec le départ de la plaignante. Cette extinction de la finalité a pour
conséquence automatique – soit sans qu’il ne soit requis que la personne concernée (ici la
plaignante) en fasse la demande - un effacement de ces données dès lors qu’elles ne sont
plus nécessaires au regard des finalités pour lesquelles elles étaient traitées (article 5.1.b)
et e) du RGPD).1
11. En effet, en vertu de la combinaison des principes de finalité (article 5.1.b) du RGPD) et de
limitation de la conservation des données (article 5.1. e) du RGPD), le responsable de
traitement n’est en droit de conserver les données que pour autant que cette conservation
se justifie au regard de la finalité du traitement. Partant, dès l’instant où les données
personnelles ne sont plus nécessaires à la poursuite de cette finalité, le responsable de
traitement doit effacer les données en cause, ou, à tout le moins, les anonymiser sauf s’il
traite ces mêmes données pour une finalité distincte qu’il peut légitimement poursuivre en
conformité avec le RGPD. Le droit à l’effacement tel que prévu à l’article 17.1.a) du RGPD
reconnait explicitement aux personnes concernées le droit de vérifier que le responsable
de traitement a bien respecté cette obligation.
12. Aux termes de l’article 17.1. a) du RGPD, la personne concernée a en effet le droit d'obtenir
du responsable du traitement l'effacement, dans les meilleurs délais, de données à
caractère personnel la concernant. A défaut de l’avoir fait spontanément (voy. points 10 et
11 ci-dessus), le responsable du traitement a l'obligation d'effacer ces données à caractère
personnel dans les meilleurs délais lorsque les données à caractère personnel ne sont plus
nécessaires au regard des finalités pour lesquelles elles ont été traitées.
13. Aux termes de l’article 12.3. du RGPD par ailleurs, le responsable du traitement est tenu de
fournir à la personne concernée des informations sur les mesures prises à la suite d'une
demande formulée en application des articles 15 à 22 du RGPD (en ce compris donc une
demande d’effacement sur la base de l’article 17.1.a) du RGPD), dans les meilleurs délais et
en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au
besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du
nombre de demandes adressées par la personne concernée au responsable de traitement.
1
Vo. également la décision 62/2021 de la Chambre Contentieuse.
Décision 159/2022-4/9
14. La Chambre Contentieuse est d’avis qu’il résulte de la combinaison des articles 12.3. et
17.1.a) du RGPD qu’idéalement, la demande d’effacement introduite par la personne
concernée sur la base de l’article 17.1.a) du RGPD devrait être suive d’un effacement des
données dans un délai d’un mois. Toutefois, la Chambre Contentieuse estime qu’en
fonction du contexte concret dans lequel la demande d’effacement est formulée, une
distinction peut être faite entre :
a. le délai de réaction d’un mois (article 12.3. du RGPD) en application duquel le
responsable de traitement informe la personne concernée de la suite qu’il entend
donner (ou non) à sa demande d’une part et
b. l’effacement concret des données lequel pourrait nécessiter un délai plus long au
vu des implications techniques et opérationnelles complexes liées à cet
effacement d’autre part.
15. En cas de départ d’un membre du personnel comme en l’espèce, la Chambre Contentieuse
est d’avis que le responsable de traitement doit mettre tout en œuvre pour supprimer, le
plus rapidement possible et de sa propre initiative, l’identité, la fonction et la/les
photographies de celui-ci de son site Internet/page de réseau social le présentant comme
faisant partie de son personnel alors que ce n’est plus le cas. Une procédure devrait être
mise en place en cas de départ de membres du personnel à cet effet au même titre que
d’autres questions de protection des données qui doivent être réglées à cette occasion2.
Quelques semaines, un mois tout au plus semble adéquat. Si cette suppression n’intervient
pas d’initiative, le responsable de traitement saisi d’une demande d’effacement doit, a
fortiori, réagir dans les meilleurs délais.
16. Ce délai dans lequel l’effacement doit intervenir de manière spontanée de même que ce
« meilleur délai » visé à l’article 17.1.a) du RGPD, peut varier en fonction du responsable de
traitement concerné qu’il s’agisse d’une PME comme en l’espèce ou d’une entreprise de
plus grande taille qui dispose de son propre gestionnaire de site Internet. La nature de la
fonction et le contexte du départ du membre du personnel concerné peuvent également
justifier un effacement plus ou moins rapide. En cas de photographie ciblée comme celle
de la plaignante au regard de laquelle sa fonction était mentionnée ainsi que celle
présentant l’équipe de la défenderesse3, le responsable de traitement veillera à être
particulièrement diligent. Le délai d’un mois visé par l’article 12.3. du RGPD doit quant à lui
2
Voy. par exemple la décision 64/2020 de la Chambre Contentieuse.
3
La Chambre Contentieuse considère que cette photo représentant uniquement 4 personnes travaillant pour la
défenderesse reste une photo ciblée de la plaignante.
Décision 159/2022-5/9
être respecté, le responsable de traitement pouvant, le cas échéant, et comme indiqué ci-
dessus, exposer qu’il a donné instruction pour que cet effacement s’opère ou indiquer que
cet effacement aura lieu à une date rapprochée.
17. En l’espèce, à l’appui des pièces produites par la plaignante, la Chambre Contentieuse
relève que le responsable de traitement semble ne pas avoir effacé les données de la
plaignante dès après son licenciement en février 2022. Il ne semble pas non plus avoir réagi
à la demande formulée près de 7 mois après celui-ci le 1er septembre 2022 par la
plaignante, ni sous la forme d’une réponse quant aux mesures prises ou envisagées au
regard de sa demande ni sous la forme d’un effacement effectif des données sur son site.
La Chambre Contentieuse estime dès lors qu’il semble y avoir une absence de procédure
mise en place pour gérer ce type de situation et de demande ou à tout le moins une
absence de suivi en l’espèce.
18. En d’autres termes, il semble bien qu’au minimum, les données de la plaignante soient
restées visibles sur son site Internet pendant 7 mois (entre le licenciement de février 2022
et le dépôt de la plainte le 28 septembre 2022), délai que la Chambre Contentieuse juge à
priori excessif.
19. A la lumière de ce qui précède et à l’appui de l’ensemble des éléments du dossier dont elle
a connaissance et des compétences qui lui ont été attribuées par le législateur en vertu de
l’article 95.1. LCA, la Chambre Contentieuse décide dès lors d’adresser à la défenderesse
un ordre de se conformer à la demande d’effacement de la plaignante sur la base de
l’article 95.1.5° de la LCA ainsi qu’un avertissement sur la base de l’article 95.1.4° de la LCA.
Quant à l’ordre de se conformer à la demande d’effacement de la plaignante (article 95.1.5°
de la LCA)
20. Il résulte des paragraphes qui précèdent que la défenderesse n’a pas donné de suite
effective à la demande d’effacement de la plaignante. Certes la demande formelle date du
1er septembre 2022 et la plainte a été introduite le 28 septembre 2022 soit moins d’un mois
après la demande du 1er septembre. La Chambre Contentieuse a toutefois pu constater en
consultant la page du site Internet de la défenderesse qu’à la date de la présente décision,
la photographie de l’équipe de 4 personnes, dont la plaignante, figurait toujours sur le site.
Les noms, fonction et photographie individuelle de la plaignante ont en revanche été
supprimés entre le 28 septembre 2022 et la date de la présente décision.
21. A l’appui de ce qui précède, la Chambre Contentieuse décide d’ordonner à la défenderesse
de se conformer de manière complète (en ce compris donc la suppression de la
Décision 159/2022-6/9
photographie d’équipe) à la demande d’exercice du droit à l’effacement de la plaignante en
exécution de l’article 95.1.5° de la LCA.
Quant à l’avertissement (article 95.1.4° de la LCA)
22. La Chambre Contentieuse estime par ailleurs qu’à l’appui de l’analyse susmentionnée, il y
a lieu, de conclure qu’en l’absence prima facie
a. de procédure mise en place relative à l’effacement des données de membres du
personnel quittant l’entreprise ainsi que,
b. de procédure visant à répondre à une demande d’effacement dans les délais requis
respectivement par les articles 12.3 et 17.1.a) du RGPD, ou
c. à tout le moins, de suivi effectif de la demande de la plaignante dans les délais requis
en l’espèce,
il existe un risque de violation du RGPD par la défenderesse dès lors que celle-ci serait
confrontée à l’avenir à d’autres départs de collaborateurs et à une situation comparable à
celle faisant l’objet de la plainte de la plaignante.
23. Partant, ce risque de violation justifie que la Chambre Contentieuse adresse à la
défenderesse un avertissement au sens de l’article 58.2.a) du RGPD sur la base de l’article
95.1.4° de la LCA et l’invite à mettre en place une procédure pour éviter que des situations
comparables à celle qui fait l’objet de la présente procédure ne se reproduise à l’avenir.
24. Pour le surplus, la Chambre Contentieuse fait valoir que vu l’impact restreint de ces
violations (points 20-22) , il n’est pas nécessaire de traiter l’affaire sur le fond.
25. Comme déjà mentionné, la présente décision est une décision prima facie prise par la
Chambre Contentieuse conformément à l’article 95 de la LCA – plus particulièrement sur
la base des articles 95.1.5° et 95.1.4° de la LCA - sur la base de la seule plainte déposée par
la plaignante et des pièces justificatives communiquées à l’appui de celle-ci, dans le cadre
de la « procédure préalable à la décision de fond ». Il ne s’agit donc pas d’une décision quant
au fond au sens de l’article 100 LCA.
26. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
27. Dès lors, si la défenderesse n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui
Décision 159/2022-7/9
pourraient conduire à une autre décision, elle peut adresser à la Chambre Contentieuse
une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans un délai de 30 jours après la notification de la
présente décision. Le cas échéant, l’exécution de la présente décision sera suspendue
pendant la période susmentionnée.
28. En cas de poursuite du traitement de l’affaire sur le fond en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties, soit tant la
plaignante que la défenderesse, à introduire leurs arguments sous la forme de conclusions
et à joindre au dossier toutes les pièces qu'elles jugeront utiles. Le cas échéant, la présente
décision sera définitivement suspendue.
29. La Chambre Contentieuse informe par ailleurs les parties que le dossier de procédure
relatif à la plainte aboutissant à cette décision peut, en application de l’article 95.2., 3° de
la LCA être demandé en adressant de préférence un e-mail au greffe de la Chambre
Contentieuse.
30. Enfin, dans un souci de complétude et de transparence, la Chambre Contentieuse souligne
qu’un examen de l’affaire sur le fond peut conduire à l’imposition des mesures
mentionnées à l’article 100 de la LCA4.
III. Publication de la décision
31. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’APD. Toutefois, il
4
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux
récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au
dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 159/2022-8/9
n’est pas nécessaire à cette fin que les données d’identification des parties soient
directement mentionnées.
POUR CES MOTIFS,
La Chambre Contentieuse de l’Autorité de protection des données (APD) décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément aux
articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner à la
défenderesse de se conformer à la demande de la plaignante d'exercer ses droits, plus
précisément son droit à l’effacement portant sur la photographie de l’équipe (article 17.1.a)
du RGPD), et ce dans les meilleurs délais et au plus tard dans les 30 jours de la notification
de la présente décision ;
- d'ordonner à la défenderesse d'informer par e-mail, l'Autorité de protection des données
(Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le même délai de
30 jours, via l'adresse e-mail [email protected] ; et
- si la défenderesse ne se conforme pas en temps utile à ce qui lui est demandé ci-dessus,
de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de la LCA.
- en vertu de l'article 58.2.a) du RGPD et de l'article 95.1, 4° de la LCA, d’adresser par
ailleurs à la défenderesse un avertissement en ce qui concerne l’absence de procédure en
cas de départ de membre du personnel quant au traitement de ses données et du respect
du délai prescrit par l’article 12.3. du RGPD pour répondre à une demande d’exercice du
droit d’effacement.
En vertu de l’article 108.1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa notification, avec
l’Autorité de protection des données (APD) en qualité de défenderesse.
Décision 159/2022-9/9
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire (C. jud.)5. La requête interlocutoire
doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C.
jud.6, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé).Hielke Hijmans
Président de la Chambre Contentieuse
5
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre
national ou numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
6
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause,
par lettre recommandée au greffier de la juridiction ou déposée au greffe.