1/20
Chambre Contentieuse
Décision quant au fond 16/2020 du 20 avril 2020
N° de dossier : DOS-2018-04918
Objet : Plainte à l’encontre d’un magasin quant à l’utilisation de caméras de surveillance
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Yves Poullet et Christophe Boeraeve, membres. L’affaire est
reprise dans sa composition actuelle.
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement Général sur la
Protection des Données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu la Loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance (ci-après la
Loi Caméras) ;
Vu le règlement d'ordre intérieur de l’Autorité de protection des données tel qu'approuvé par la
Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
Décision quant au fond 16/2020 - 2/20
A pris la décision suivante concernant :
- le plaignant:
- le responsable de traitement (ci-après la défenderesse)
I. Rétroactes de la procédure
Vu la plainte déposée le 9 septembre 2018 par le plaignant auprès de l’Autorité de protection des
données (APD) ;
Vu la décision du 5 octobre 2018 du Service de première ligne (SPL) de l’APD déclarant la plainte
recevable et la transmission de celle-ci à la Chambre Contentieuse à cette même date ;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 23 octobre 2018 de renvoyer
le dossier à l’Inspection en vertu de l’article 96, § 1er LCA, ce dont le plaignant a été informé par
courrier de même date ;
Vu le rapport d’enquête de l’Inspecteur général du 14 mai 2019 ;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 28 mai 2019 de considérer que
le dossier était prêt pour traitement quant au fond en vertu des articles 95 § 1 er, 1° et 98 LCA ;
Vu le courrier daté du 29 mai 2019 de la Chambre Contentieuse informant les parties de sa décision
de considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98 LCA et
leur communiquant le rapport d’inspection ;
Vu la demande formulée par la défenderesse le 25 juin 2019 d’être, à l’issue de l’échange de
conclusions, entendue par la Chambre Contentieuse en application de l’article 51 du Règlement d’ordre
intérieur de l’APD;
Vu le courrier du 26 juin 2019 du plaignant par lequel il fait valoir ses arguments ;
Vu les conclusions en réponse de la défenderesse déposées par son conseil, reçues le 30 juillet 2019 ;
Vu le courrier du plaignant du 31 juillet 2019 ;
Vu l’invitation à l’audition adressée par la Chambre Contentieuse en dates des 6 février et 4 mars
2020 ;
2
Décision quant au fond 16/2020 - 3/20
Vu l’information de la tenue d’une audition fournie à l’Inspecteur général en application de l’article 48
alinéa 2 du Règlement d’ordre intérieur de l’Autorité de protection des données en dates des 27 février
et 9 mars 2020 ;
Vu l’audition lors de la séance de la Chambre Contentieuse du 13 mars 2020 en présence de la
défenderesse et de son conseil ;
Vu le procès-verbal d’audition ;
Vu les observations communiquées par la défenderesse sur le procès-verbal d’audition le 21 mars
2020 lesquelles ont été jointes au procès-verbal et transmises pour information au plaignant le 23
mars 2020 (article 54 du Règlement d’ordre intérieur de l’APD).
Vu les observations communiquées par le plaignant sur le procès-verbal d’audition le 26 mars 2020,
lesquelles ont été jointes au procès-verbal et transmises pour information à la défenderesse le 15 avril
2020 (article 54 du Règlement d’ordre intérieur de l’APD)
II. Les faits et l’objet de la plainte
Dans sa plainte du 9 septembre 2018, le plaignant se plaint d’avoir, le 4 septembre 2018, été filmé
par une caméra lors de son passage à pied sur le trottoir qui longe le magasin de la défenderesse. Il
indique s’être vu sur un écran télévisé suspendu sur le mur du fond du magasin et ce, à travers la
vitrine du magasin en question.
Aux termes de sa plainte, le plaignant indique qu’il a été filmé par des caméras « globe 360° » sans
son consentement au mépris de son droit à l’image et plus généralement de la règlementation
applicable. Il présume que ces images ont été enregistrées et dénonce l’absence de pictogramme à la
date du 4 septembre 2018 sur les vitrines du magasin informant les passants de la présence de
caméras.
III. Le rapport d’inspection du 14 mai 2019
Dans le cadre de son Inspection, l’Inspecteur général a demandé à la défenderesse de lui fournir les
renseignements suivants et de lui faire parvenir les documents pertinents à l’appui de ceux-ci (courrier
de l’Inspecteur général du 4 avril 2019) :
3
Décision quant au fond 16/2020 - 4/20
- Des informations détaillées sur l’utilisation des caméras de surveillance par la défenderesse
dans la rue; le stockage des images des caméras (période de stockage et emplacement du
stockage physique et technique des données), les éventuels sous-traitants qui sont
responsables du contrôle des images caméra sous l’autorité du responsable de traitement ;
- Des détails sur la délimitation du lieu filmé et les éventuels ajustements que la défenderesse
a prévus pour exclure le fait de filmer les passants dans la rue, ceci pouvant par exemple être
fourni par des captures d’écran des images caméra ;
- La preuve de la déclaration de l’installation et de l’utilisation d’un système de surveillance par
caméras par voie électronique via le guichet électronique centralisé de déclaration des
systèmes de surveillance par caméras, mis à disposition par le Service Public fédéral Intérieur ;
- Une copie du registre reprenant les activités de traitement d’images de caméras de
surveillance de la défenderesse ;
- La preuve de l’apposition d’un pictogramme par la défenderesse signalant l’existence d’une
surveillance par caméra.
Au terme de son analyse et à l’appui des renseignements et pièces obtenus tant du plaignant que de
la défenderesse, l’Inspecteur général conclut dans son rapport du 14 mai 2019 aux constats suivants :
- « Les caméras de surveillance n’ont pas fait l’objet d’une déclaration en tant que telle auprès
de la Commission de la protection de la vie privée (ci-après CPVP) préalablement à leur mise
en service. Elles sont à présent déclarées auprès des services de police depuis le 10/05/2019.
- Le registre des activités de traitement ne contient qu’un seul traitement ponctuel en date du
27/12/2018. Le traitement de vidéosurveillance dans un lieu fermé accessible au public n’est
pas repris dans le registre ».
IV. L’audition du 13 mars 2020
La défenderesse a débuté l’audition du 13 mars 2020 - dont un procès-verbal détaillé a été établi et
communiqué aux deux parties - en éclairant la Chambre Contentieuse sur le contexte dans lequel la
plainte a été déposée. Elle a notamment exposé que le plaignant rendait souvent visite à une personne
habitant l'immeuble au rez de chaussée duquel la défenderesse a ses bureaux, personne avec laquelle
la défenderesse a déclaré entretenir des relations de voisinage difficiles. La défenderesse a précisé
que le conflit avec le plaignant est né au moment où elle a souhaité installer ses caméras de
surveillance extérieures, installation à la suite de laquelle le plaignant a saisi plusieurs instances, dont
l’Autorité de protection des données
4
Décision quant au fond 16/2020 - 5/20
La défenderesse a expressément admis avoir commis une erreur en ce qui concerne la déclaration des
caméras de surveillance à la CPVP au mois d’avril 2018. La défenderesse a, à tort, cru que le processus
de déclaration était achevé au moment où elle a imprimé la déclaration qu’elle venait de remplir. En
réalité, seul un projet figurait dans le système. Ce projet aurait dû être renvoyé à la CPVP pour pouvoir
considérer que le processus de déclaration était finalisé, ce qui n’a pas été fait.
Interrogée quant au registre des activités de traitements (article 30 du RGPD et article 6 § 2 al. 4 de
la Loi caméras), la défenderesse a renvoyé à ses conclusions du 30 juillet 2019 aux termes desquelles
elle indique que dans le cadre de l’inspection, elle a joint « une copie du registre des activités de
traitement dressé sur la base du modèle établi par l’Autorité » (page 3 des conclusions). A l’issue des
explications reçues lors de l’audition quant à ces registres et leur contenu, la défenderesse s’est
engagée à réaliser un registre de ses activités de traitement (voy. les observations communiquées le
21 mars 2020 par la défenderesse sur le procès-verbal d’audition du 13 mars 2020).
EN DROIT
V. Remarque liminaire
A titre liminaire, la Chambre Contentieuse constate que le plaignant n’a délibérément pas souhaité
communiquer ses arguments à la défenderesse et ce, alors même que dans sa lettre recommandée
du 29 mai 2019, la Chambre Contentieuse lui en faisait la demande expresse. Dans cette lettre, la
Chambre Contentieuse informe en effet les parties que le dossier est prêt pour traitement au fond en
application de l’article 98 LCA et que chacune d’elles est tenue de transmettre simultanément ses
conclusions au secrétariat de la Chambre Contentieuse et à l’autre partie.1 La Chambre Contentieuse
relève que le plaignant a indiqué estimer qu’il appartenait à la Chambre Contentieuse d’opérer cette
communication de ses arguments à la défenderesse.
Dans son courrier du 26 juin 2019, le plaignant écrit en effet : « D’emblée, je voudrais préciser que,
en tant que citoyen dont la vie privée doit être respectée et protégée, il est extrêmement contre
indiqué que je transmette directement mes conclusions à d’autres parties mais j’attends que cela se
fasse par vos démarches ».
Nonobstant l’absence de communication par le plaignant de ses arguments du 26 juin 2019 à la
défenderesse en violation des droits de la défense, la Chambre Contentieuse constate toutefois que
lors de la communication le 11 juillet 2019 d’une copie du dossier demandée par la défenderesse,
1 Cette obligation découle de l’article 50 du Règlement d’ordre intérieur de l’Autorité de Protection des Données.
5
Décision quant au fond 16/2020 - 6/20
cette lettre du plaignant du 26 juin 2019 faisait partie du dossier communiqué. La défenderesse a
donc pu en prendre connaissance.
Par contre, la Chambre Contentieuse constate que le 31 juillet 2019, le plaignant a réagi aux
conclusions de la défenderesse du 30 juillet 2019, et ce hors calendrier établi par la Chambre
Contentieuse dans son courrier précité du 29 mai 2019 et sans en informer la défenderesse. La
Chambre Contentieuse ne tiendra aucunement compte de ce courrier, lequel, par ailleurs, ne contient
aucun élément utile à la présente décision.
VI. Quant à la compétence de l’Autorité de protection des données, en particulier
de la Chambre Contentieuse
En application de l’article 4 § 1er LCA, l'Autorité de protection des données (APD) est responsable du
contrôle du respect des principes de protection des données contenus dans le RGPD et d’autres lois
contenant des dispositions relatives à la protection du traitement des données à caractère personnel
dont la Loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance (Loi
caméras).
En application de l’article 33 § 1er LCA, la Chambre Contentieuse est l’organe de contentieux
administratif de l’APD. Elle est saisie des plaintes que le Service de Première Ligne (SPL) lui transmet
en application de l’article 62 § 1er LCA, soit des plaintes recevables dès lors que conformément à
l’article 60 alinéa 2 LCA, ces plaintes sont rédigées dans l'une des langues nationales, contiennent un
exposé des faits et les indications nécessaires pour identifier le traitement de données à caractère
personnel sur lequel elles portent et relèvent de la compétence de l'APD.
Cette nature administrative a été confirmée par la Cour des marchés, juridiction d’appel des décisions
de la Chambre Contentieuse. 2
La Chambre Contentieuse n’est pas compétente pour condamner le plaignant ou quelque partie à la
procédure aux dépens. Les articles 95 et 100 LCA listent de manière limitative les mesures correctrices
et sanctions qu’elle peut décider. La condamnation aux dépens ne figure pas parmi les mesure listées
dans ces articles, en particulier à l’article 100 LCA applicable dans le cas d’espèce.
Surabondamment, et pour autant que de besoin, la Chambre Contentieuse ajoute que le Code
judiciaire, dont l’article 1022 prévoit la condamnation aux dépense, ne s’applique pas à la Chambre
Contentieuse en sa qualité d’organe du contentieux d’une autorité administrative indépendante sauf
2
Voy. notamment l’arrêt du 12 juin 2019 de la Cour d’appel de Bruxelles, 19eme chambre, section Cour des marchés publié sur
le site de l’APD : https://www.autoriteprotectiondonnees.be/decisions-de-la-cour-des-marches
6
Décision quant au fond 16/2020 - 7/20
dans les cas où, comme à l’article 57 du Règlement d’ordre intérieur, l’application des dispositions du
Code judiciaire est spécifiquement prévue.
La Chambre Contentieuse ne peut donc faire droit à la demande de la défenderesse de condamner le
plaignant aux dépens à concurrence de 1.440 euros. Cette demande de la défenderesse formulée aux
termes de ses conclusions du 30 juillet 2020 (page 9) est rejetée.
Dans ses conclusions, la défenderesse indique qu’elle constate que le plaignant ne formule aucune
demande d’indemnisation propre sur la base notamment de son droit à l’image et qu’en tout état de
cause, elle estime que le plaignant ne subit aucun préjudice personnel (point 2.2.2.3. des conclusions
de la défenderesse du 30 juillet 2019, page 8). Au dispositif de ses conclusions, la défenderesse
demande qu’en tout état de cause, il lui soit donné acte par la Chambre Contentieuse de ce que le
plaignant ne formule aucune demande d’indemnisation propre ainsi que de constater que le plaignant
ne subit aucun préjudice personnel (page 9 des conclusions de la défenderesse du 30 juillet 2019).
La Chambre Contentieuse n’est pas compétente pour accorder une quelconque indemnisation. Elle ne
l’est a fortiori pas non plus pour constater l’existence ou non d’un préjudice dans le chef du plaignant.
L’existence d’un préjudice dans le chef du plaignant n’est d’ailleurs pas nécessaire pour fonder la
compétence de la Chambre Contentieuse.
VII. Sur les motifs de la décision
Sur les manquements de la défenderesse à ses obligations découlant de la Loi caméras et
du RGPD
En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les principes de
protection des données et les obligations mises à sa charge par le RGPD et doit être en mesure de
démontrer que ceux-ci sont respectés (principe de responsabilité – article 5.2. du RGPD) et mettre en
œuvre toutes les mesures nécessaires à cet effet (article 24 du RGPD). Le traitement d’images filmées
par des caméras de surveillance est en effet, dès lors que ces images sont constitutives de données à
caractère personnel, soumis au RGPD à appliquer en parallèle avec la Loi caméras.
Outre le RGPD, la défenderesse est en effet également tenue de respecter les obligations que la Loi
caméras, par ailleurs révisée en 2017 pour tenir compte de l’entrée en vigueur et de l’entrée en
application future du RGPD, a mises à sa charge.
7
Décision quant au fond 16/2020 - 8/20
La Chambre Contentieuse qualifie les caméras apposées par la défenderesse de caméras de
surveillance d’un lieu fermé accessible au public au sens de l’article 2, 2° et 4° de la Loi caméras 3
compte tenu de la finalité de surveillance de la sécurité des lieux poursuivie par l’installation de ces
caméras.
Quant à la déclaration des caméras de surveillance (article 6 § 2 al. 1 de la Loi caméras)
Le rapport de l’Inspecteur général du 14 mai 2019 pointe que les caméras de surveillance de la
défenderesse n’ont pas fait l’objet d’une déclaration en tant que telle auprès de la Commission de la
protection de la vie privée (CPVP) préalablement à leur mise en service,
En application de l’article 6 § 2 de la Loi caméras tel que d’application jusqu’au 25 mai 2018, le
responsable du traitement devait notifier sa décision d’installer des caméras de surveillance dans un
lieu fermé accessible au public à la Commission de la protection de la vie privée et au chef de corps
de la zone de police où se situait le lieu4.
Cette absence de déclaration n’est pas contestée par la défenderesse ni aux termes de ses conclusions
du 30 juillet 2019 (voy. ci-dessous) ni aux termes de ses propos lors de l’audition du 13 mars 2020.
La défenderesse admet en effet en page 8 de ses conclusions du 30 juillet 2019 que « l’unique
manquement qui pourrait être reproché à la concluante [lisez la défenderesse] est d’avoir considéré
de manière non intentionnelle que la déclaration transmise à l’APD valait preuve d’une déclaration ».
La Chambre Contentieuse note que ce formulaire de déclaration en projet est daté du 24 avril 2018
(page 2 du rapport d’Inspection du 14 mai 2019), soit complété in tempore non suspecto, les faits
dénoncés par le plaignant datant eux du 4 septembre 2018.
Dans son rapport d’enquête, l’Inspecteur général indique à cet égard que « le formulaire relatif à la
déclaration que le gérant du magasin a fait parvenir ne constitue pas la preuve d’une déclaration en
tant que telle auprès de la Commission de la protection de la vie privée (comme cela est bien précisé
en préambule du formulaire). Il ressort d’une vérification dans les archives des déclarations auprès de
la Commission de la protection de la vie privée que le formulaire n’a pas été envoyé à la Commission
3 Art. 2.Pour l'application de la présente loi, on entend par (…): 2° lieu fermé accessible au public : tout bâtiment
ou lieu délimité par une enceinte]2 destiné à l'usage du public, où des services peuvent lui être fournis.
4 Article 6 de la Loi caméras du 21 mars 2007 :
§ 1er. La décision d'installer une ou plusieurs caméras de surveillance dans un lieu fermé accessible au public est
prise par le responsable du traitement.
§ 2. Le responsable du traitement notifie la décision visée au § 1er à la Commission de la protection de la vie
privée4 et au chef de corps de la zone de police où se situe le lieu. Il le fait au plus tard la veille du jour de la
mise en service de la ou des caméras de surveillance.
8
Décision quant au fond 16/2020 - 9/20
de la protection de la vie privée. La déclaration n’est dès lors pas complète (…) » (page 3 du rapport
d’Inspection du 14 mai 2019).
La Chambre Contentieuse n’est pas compétente pour connaître de manquements qui seraient
antérieurs à la date du 25 mai 2018, date d’entrée en application de la Loi portant création de l’Autorité
de protection des données.
Le rapport d’Inspection poursuit en indiquant que ces caméras sont à présent déclarées auprès des
services de police et ce, depuis le 10 mai 2019. Cette déclaration est produite par la défenderesse
(page 4 du rapport d’Inspection du 14 mai 2019).
Aux termes de l’article 6 § 2 al. 1 de la Loi caméras du 21 mars 2007, le responsable de traitement
notifie aux services de police sa décision d’installer une ou plusieurs caméras de surveillance dans un
lieu fermé accessible au public. Cette notification doit se faire au plus tard la veille du jour de la mise
en service de la caméra de surveillance.
La Chambre Contentieuse relève qu’à la date des faits dénoncés dans la plainte (soit le 4 septembre
2018), cette déclaration n’avait pas été faite aux services de police. La défenderesse, consécutivement
à la plainte introduite par le plaignant et à l’intervention du service d’Inspection, a régularisé la
situation en déclarant ses caméras de surveillance aux services de police le 10 mai 2019.
Compte tenu de l’absence de déclaration à la CPVP avant le 25 mai 2018, fut-ce à la suite d’une
mauvaise compréhension de la part de la défenderesse quant à la finalisation de la procédure par
l’envoi du formulaire du 24 avril 2018 évoqué plus haut, la défenderesse ne peut invoquer l’article 89
de la Loi 21 mars 2018 modifiant la loi sur la fonction de police, en vue de régler l'utilisation de caméras
par les services de police, et modifiant la loi du 21 mars 2007 réglant l'installation et l'utilisation de
caméras de surveillance, la loi du 30 novembre 1998 organique des services de renseignement et de
sécurité et la loi du 2 octobre 2017 réglementant la sécurité privée et particulière .
Cet article 89 précise qu’à compter du 25 mai 2018, les caméras de surveillance réglées par la Loi du
21 mars 2007 réglant l'installation et l'utilisation de caméras de surveillance, installées et utilisées
conformément à la législation en vigueur au moment de leur installation, devront satisfaire à
l'obligation de notification aux services de police au plus tard dans les deux ans. La Chambre
Contentieuse estime que la défenderesse ne peut s’en prévaloir dès lors qu’elle n’avait pas dûment
déclaré ses caméras de surveillance à la CPVP à la date du 25 mai 2018.
En conclusion, au regard des développements qui précèdent, la Chambre Contentieuse conclut à un
manquement à l’article 6 § 2 al. 1 de la Loi du 21 mars 2007.
9
Décision quant au fond 16/2020 - 10/20
Le registre des activités de traitement requis par l’article 30 du RGPD et le registre de
traitement des images de caméras de surveillance (article 6.2 al. 4 de la Loi caméras)
Le registre des activités de traitement requis par l’article 30 du RGPD)
Aux termes de l’article 30 du RGPD, tout responsable de traitement (sous réserve de l’article 30.5.
dont question plus loin ci-dessous) doit tenir un registre des activités de traitements effectués sous sa
responsabilité.
L’article 30.1. a) à g) du RGPD prévoit que les informations ci-dessous devront être disponibles
relativement aux traitements réalisés en cette qualité de responsable de traitement5. La Chambre
Contentieuse précise que c’est bien au regard des traitements de données qu’un certain nombre
d’informations sont exigées. Le registre des activités de traitement est, comme son nom l’indique, un
registre de traitements et non un registre contenant les données personnelles traitées.
Le registre doit avoir le contenu suivant :
- le nom et les coordonnées du responsable de traitement et le cas échéant du responsable
conjoint du traitement ainsi que du représentant et du délégué à la protection des données
éventuels (article 30.1.a) du RGPD) ;
- les finalité(s) (art. 30.1. b) du RGPD), elles doivent être énoncées clairement et avec
précision ;
- une description des catégories de personnes concernées et des catégories de données
personnelles traitées, au regard de chacune des finalités identifiées (art. 30.1. c) du RGPD).
La Chambre Contentieuse rappelle que les personnes concernées sont les personnes
physiques identifiées ou identifiables dont on traite les données (art. 4 (1) du RGPD). Quant
aux catégories de données, il doit bien sûr s’agir de données à caractère personnel telles que
définies à l’article 4 (1) du RGPD). Le cas échéant, le traitement de données personnelles
visées par les articles 9 et 10 du RGPD doivent être identifiées sans que par « catégories » de
données il ne faille entendre les seules données visées aux articles 9 et 10 du RGPD et celles
qui ne ressortiraient pas de ces articles ;6
- les catégories de destinataires auxquels les données ont été ou seront communiquées, y
compris les destinataires dans des pays tiers à l’Union européenne ou des organisations
5 Voy. l’article 30.2. du RGPD pour le contenu du registre à tenir par le sous-traitant et la recommandation
06/2017 de la CPVP déjà citée.
6 Pour des exemples de catégories, voy. la Recommandation 06/2017 de la CPVP déjà citée.
10
Décision quant au fond 16/2020 - 11/20
internationales, au regard de chacune des finalités identifiée (art. 30.1. d) du RGPD). Sont
donc visés, tant d’éventuels destinataires internes qu’externes (tels les sous-traitants ou des
tiers), établis dans l’Union européenne ou hors de celle-ci ;
- le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une
organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation
internationale. Dans le cas de transferts visés à l’article 49.1. alinéa 2 du RGPD, les documents
attestant de l’existence de garanties appropriées, et ce, au regard de chacune des finalités
identifiées (art. 30.1. e) du RGPD), doivent également être référencés ;
- dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de
données (art. 30.1. f) du RGPD). Cet élément d’information rejoint le principe de l’article 5.1.e)
du RGPD, selon lequel les données ne peuvent être conservées sous une forme permettant
l’identification des personnes que pendant une durée n’excédant pas celle nécessaire au
regard des finalités pour lesquelles elles sont traitées. Par durée de conservation, il ne faut
pas nécessairement comprendre une durée en jours, mois, années, soit une évaluation
nécessairement quantitative. La durée de conservation peut également faire référence à des
paramètres tels que le temps nécessaire à la réalisation de la finalité concrète poursuivie ainsi
qu’à la gestion du contentieux éventuel y relatif, l’expiration d’un délai de prescription etc. ;
- Dans la mesure du possible, une description générale des mesures de sécurité techniques et
organisationnelles visées à l’article 32.1. du RGPD (art. 30.1. g) du RGPD). L’article 32.1. du
RGPD requiert que le responsable de traitement et le sous-traitant mettent en œuvre les
mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité
adapté au risque.
La Chambre Contentieuse considère que ce registre des activités de traitement est un outil essentiel
de l’accountability, soit du principe de responsabilité du responsable de traitement déjà mentionné
(articles 5.2. et 24 du RGPD) (ainsi que, de manière indirecte du sous-traitant9) et qui est sous-jacent
à l’ensemble des obligations mises à sa charge par le RGPD.
En effet, pour pouvoir appliquer effectivement les règles en matière de protection des données
contenues dans le RGPD et les obligations mises à leur charge, il est indispensable que les responsables
de traitement (et les sous-traitants) identifient et disposent d’une vue d’ensemble des traitements de
données personnelles qu’ils opèrent.7 Ce registre est donc d’abord un outil destiné à aider les
7 Commission de la protection de la vie privée, Recommandation 06/2017 du 14 juin 2017 relative au registre des
activités de traitements (article 30 du RGPD) :
11
Décision quant au fond 16/2020 - 12/20
responsables de traitement (et les sous-traitants) à se conformer au RGPD en visualisant les différents
traitements de données qu’ils réalisent et leurs caractéristiques principales.
Aux termes du RGPD, ce registre n’est pas destiné au public. Il pourra cependant être utile tant au
responsable de traitement qu’au, le cas échéant, délégué à la protection des données interrogés par
des personnes concernées dans le contexte de l’exercice de leurs droits.
La consultation du registre doit par ailleurs pouvoir permettre à l’autorité de contrôle de se rendre
compte des traitements opérés et des informations relatives à ces traitements. En exécution de l’article
30.4. du RGPD, le responsable de traitement ou le sous-traitant mettent ainsi ledit registre à la
disposition de l’autorité de contrôle sur demande.
Le langage utilisé dans le Registre doit être clair et accessible et le registre lisible pour l’APD.
Le registre des activités de traitement est un outil vivant, amené à évoluer en fonction du
développement des activités du responsable de traitement. Il doit constamment être tenu à jour 8.
L’obligation de tenir un registre des activités de traitements est une obligation dynamique, en ce sens
que le responsable de traitement et le sous-traitant veilleront à le tenir à jour en ajoutant les nouveaux
traitements opérés mais aussi, au regard de traitements déjà répertoriés, par exemple tout nouveau
destinataire, toute nouvelle catégories de données traitées, toute modification du délai de conservation
ou modification de tout autre élément d’information requis.
Le registre doit, à partir de la date d’entrée en application du RGPD, soit à dater du 25 mai 2018,
contenir les éléments d’informations requis au regard des traitements opérés à cette date, qu’ils soient
opérés de longue date ou plus récemment.
Cette obligation s’applique à la défenderesse. Pour autant que de besoin, la Chambre Contentieuse
précise que l’article 30.5. du RGPD ne s’applique pas à la défenderesse dès lors que cette dernière
opère des traitements de manière régulière ce qui exclut toute possibilité pour elle de s’appuyer sur
les exceptions prévues à l’article 30.5. du RGPD. Les hypothèses d’exception prévues n’étant pas
cumulatives et l’une d’elle prévoyant que dès lors que les traitements de données effectués ne sont
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/recommandation_06_2017.
pdf Dès 2017, soit pendant la période séparant l’entrée en vigueur du RGPD de son entrée en application, la
Commission de la protection de la vie privée a publié une recommandation explicitant la manière dont il convenait
de compléter le registre.
8 Commission de la protection de la vie privée, Recommandation 06/2017 du 14 juin 2017 relative au registre des
activités de traitements (article 30 du RGPD).
12
Décision quant au fond 16/2020 - 13/20
pas occasionnels l’exception tombe, la défenderesse ne peut bénéficier du régime de dispense prévu
à l’article 30.5. du RGPD..
L’article 30.5. du RGPD prévoit en effet que « les obligations visées aux paragraphes 1 et 2 ne
s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le
traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et libertés des
personnes concernées ; s’il n’est pas occasionnel ou s’il porte notamment sur les catégories
particulières de données visées à l’article 9 paragraphe 1 ou sur des données à caractère personnel
relatives à des condamnations pénales et à des infractions liées à l’article 10. »
Si elles se trouvent dans l’une des 4 hypothèses ci-dessous - lesquelles ne sont pas cumulatives -, les
entreprises et organisations, fussent-elles de moins de 250 employés, devront donc tout de même
tenir un registre :
- le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et
libertés des personnes concernées9 ;
9 Le considérant 75 du RGPD explicite à cet égard que : « Des risques pour les droits et libertés des personnes
physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère
personnel qui est susceptible d’entraîner des dommages physiques, matériels ou un préjudice moral, en
particulier:
- lorsque le traitement peut donner lieu à une discrimination, à un vol ou une usurpation d'identité, à une
perte financière, à une atteinte à la réputation, à une perte de confidentialité de données protégées par
le secret professionnel, à un renversement non autorisé du processus de pseudonymisation ou à tout
autre dommage économique ou social important;
- lorsque les personnes concernées pourraient être privées de leurs droits et libertés ou empêchées
d'exercer le contrôle sur leurs données à caractère personnel;
- lorsque le traitement concerne des données à caractère personnel qui révèlent l'origine raciale ou
ethnique, les opinions politiques, la religion ou les convictions philosophiques, l'appartenance syndicale,
ainsi que des données génétiques, des données concernant la santé ou des données concernant la vie
sexuelle ou des données relatives à des condamnations pénales et à des infractions, ou encore à des
mesures de sûreté connexes;
- lorsque des aspects personnels sont évalués, notamment dans le cadre de l'analyse ou de la prédiction
d'éléments concernant le rendement au travail, la situation économique, la santé, les préférences ou
centres d'intérêt personnels, la fiabilité ou le comportement, la localisation ou les déplacements, en vue
de créer ou d'utiliser des profils individuels;
13
Décision quant au fond 16/2020 - 14/20
- Le traitement qu’elles effectuent n’est pas occasionnel. Un traitement occasionnel doit être
compris comme un traitement qui est tel par occasion, par hasard, fortuit, par opposition à
habituel. Ne sont par exemple pas des traitements occasionnels, les traitements de données
liés à la gestion de la clientèle, à la gestion du personnel (ressources humaines) ou encore à
la gestion de fournisseurs.
- Le traitement qu’elles effectuent porte sur des catégories particulières de données de l’article
9 du RGPD (données sensibles).
- Le traitement qu’elles effectuent porte sur des données visées à l’article 10 du RGPD (données
judiciaires).
Dans un document relatif à la portée de cette exemption prévue à l’article 30.5. du RGPD, le Groupe
de l’Article 29, énonce dans le même sens ce qui suit :
“Therefore although endowed with less than 250 employees, data controllers or processors
who find themselves in the position of either carrying out processing likely to result in a risk
[not just a high risk] to the right of the data subjects, or processing personal data on a non-
occasional basis, or processing special categories of data under article 9 (1) or data relating
to criminal convictions under article 10 are obliged to maintain the record of processing
activities”. ( …) “For example, a small organization is likely to regularly process data regarding
its employees. As a result, such processing cannot be considered “occasional” and must
therefore be included in the record of processing”. 10
Traduction:
"Dès lors, bien que dotés de moins de 250 employés, les responsables du traitement ou les
sous-traitants qui se trouvent dans la situation soit d'effectuer un traitement susceptible
- lorsque le traitement porte sur des données à caractère personnel relatives à des personnes physiques
vulnérables, en particulier les enfants; ou lorsque le traitement porte sur un volume important de
données à caractère personnel et touche un nombre important de personnes concernées.
10 Working Party 29 Position paper on the derogations from the obligation to maintain records of processing
activities pursuant to Article 30(5), repris à son compte par le Comité européen de la protection des données
(EDPB) : https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf . Voy.
également: Dr W. Kotschy, Comment on Article 30 (Record of Processing Activities), in C. Kuner, L. A. Bygrave
and C. Docksey, The EU General Data Protection Regulation (GDPR): a commentary, Oxford University Press,
2020, p. 623.
14
Décision quant au fond 16/2020 - 15/20
d'entraîner un risque (pas seulement un risque élevé) pour les droits des personnes
concernées, soit de traiter des données à caractère personnel de manière non occasionnelle,
soit de traiter des catégories particulières de données visées à l'article 9 (1) ou des données
relatives à des condamnations pénales visées à l'article 10 sont obligés de tenir un registre
des activités de traitement".. ( …) "Par exemple, une petite organisation est susceptible de
traiter régulièrement des données relatives à ses employés. Par conséquent, un tel traitement
ne peut pas être considéré comme "occasionnel" et doit dès lors être inclus dans le registre
des activités de traitement".
En l’espèce, le registre des activités de traitement de la défenderesse requis par l’article 30 du RGPD
doit inclure les informations relatives aux activités de traitement d’images des caméras de surveillance,
celles-ci étant des données à caractère personnel au sens de l’article 4.1. du RGPD.
Le registre des activités de traitement d’images de caméras de surveillance (article 6. 2 al. 4 de la
Loi caméras)
Aux termes de l’article 6. 2 al. 4 de la Loi caméras, le responsable de traitement tient un registre
reprenant les activités de traitement d’images de caméras de surveillance mises en œuvre sous sa
responsabilité. Ce registre se présente sous une forme écrite, qui peut être électronique ou non. Sur
demande, le responsable de traitement met ce registre à la disposition de l’Autorité de protection des
données et des services de police.
Le contenu de ce registre est définit par l’arrêté royal du 8 mai 2018 relatif aux déclarations
d'installation et d'utilisation de caméras de surveillance et au registre d'activités de traitement d'images
de caméras de surveillance11, entré en vigueur le 25 mai 2018.
L’article 7 de cet arrêté royal définit le contenu du registre des activités de traitement d’images de
caméras de surveillance par référence à l’article 30.1. du RGPD décrit ci-dessus12. Ce contenu est en
effet définit comme suit :
1° le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable
conjoint du traitement, du représentant du responsable du traitement et du délégué à la
protection des données;
2° les finalités du traitement ;
11 M.B., 23 mai 2018.
12 Voy. à cet égard l’avis 24/2018 du 21 mars 2018 de la Commission de la protection de la vie privée (CPVP)
portant sur le projet d'arrêté royal relatif aux déclarations d'installation et d'utilisation de caméras de surveillance
et au registre d'activité de traitement d'images de caméras de surveillance :
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/avis_24_2018_0.pdf
15
Décision quant au fond 16/2020 - 16/20
3° une description des catégories de personnes concernées et des catégories de données à
caractère personnel ;
4° les catégories de destinataires des données à caractère personnel, y compris les
destinataires dans des pays tiers ou des organisations internationales;
5° le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une
organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation
internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa,
du règlement général sur la protection des données, les documents attestant de l'existence
de garanties appropriées;
6° les délais prévus pour l'effacement des différentes catégories de données, à savoir le délai
de conservation des données, si les images sont enregistrées ;
7° une description générale des mesures de sécurité techniques et organisationnelles visées
à l'article 32, paragraphe 1, du règlement général sur la protection des données, dont les
mesures de sécurité prises pour empêcher l'accès par des personnes non habilitées et celles
qui sont prises dans le cadre de la communication de données à des tiers.
La Chambre Contentieuse rappelle ici que le registre requis par l’article 30 du RGPD doit, en toute
hypothèse, inclure les informations relatives aux activités de traitement d’images listées par l’article 7
de l’arrêté royal d’exécution de la Loi caméras déjà cité (lesquelles sont, comme déjà mentionné,
directement inspirées des éléments listés à l’article 30.1. du RGPD) 13.
Dans son avis 24/2018 relatif à l’avant-projet de cet arrêté royal d’exécution de la Loi caméras 14, la
CPVP avait ainsi indiqué « que le contenu du registre que doit tenir un responsable du traitement (...)
est déterminé de manière générale par l'article 30 du RGPD et que la délégation au Roi prévue dans
l'avant-projet pour déterminer ce contenu doit de préférence être limitée à des aspects spécifiques qui
sont propres à des traitements de données réalisés à l'aide de caméras de surveillance.”
L’article 8 du même arrêté royal ajoute qu’en plus de ces éléments listés à l’article 7 précité, ce registre
des traitements d’images devra contenir :
1° la base légale du traitement ;
2° l'indication du type de lieu ;
3° la description technique des caméras de surveillance, ainsi que, s'il s'agit de caméras de
surveillance fixes, leur emplacement, le cas échéant indiqué sur un plan ;
4° s'il s'agit de caméras de surveillance temporaires ou mobiles, la description des zones
surveillées par ces caméras de surveillance et les périodes d'utilisation.
13 Voy. l’avis 24/2018 du 21 mars 2018 de la Commission de la protection de la vie privée déjà cité.
14
Idem.
16
Décision quant au fond 16/2020 - 17/20
5° le mode d'information au sujet du traitement ;
6° le lieu du traitement des images ;
7° le fait qu'un visionnage en temps réel est organisé ou non et le cas échéant, la manière
dont il est organisé.
Pour autant, il n’est pas nécessaire que la défenderesse établisse deux registres distincts. Un registre
unique peut être établi pour autant qu’il contienne, au regard des activités de traitement qui y sont
répertoriées, toutes les mentions obligatoires – en ce compris donc celles qui sont spécifiquement
requises par l’article 8 de l’AR du 8 mai 2018 d’exécution de la Loi caméras au regard des activités de
traitements d’images.
Le constat du rapport d’inspection et l’audition du 13 mars 2020
Le rapport d’inspection du 14 mai 2019 conclut que le registre des activités de traitement soumis par
la défenderesse à la suite de la demande de l’Inspecteur général du 4 avril 2019 ne contient qu’un
seul traitement ponctuel en date du 27/12/2018. Le traitement de vidéosurveillance dans un lieu
fermé accessible au public n’y est pas repris. Dans son courriel du 12 avril 2019 au service d’inspection,
la défenderesse écrit à cet égard « Vous trouverez ci-joint le registre ; il est presque vide ».
Nonobstant le constat opéré par l’inspecteur général dans son rapport du 14 mai 2019, la défenderesse
indique dans ses conclusions du 30 juillet 2019 qu’elle a communiqué à l’Inspecteur général un registre
des activités de traitement dressé sur la base du modèle établi par l’APD. La Chambre Contentieuse
constate en effet que le document communiqué est basé sur le canevas du registre des activités de
traitement exigé par l’article 30 du RGPD mis à disposition par l’APD sur son site Internet. 15
Interrogée au sujet du registre des traitements – tant le registre requis par l’article 30 du RGPD que
celui requis par l’article 6. 2 al. 4 de la Loi caméras au cours de l’audition du 13 mars 2020, la
défenderesse a renvoyé à ses conclusions et au document transmis à l’Inspecteur général en date du
12 avril 2019 déjà cité et réalisé à l’appui du canevas mis à disposition par l’APD.
La Chambre Contentieuse constate qu’il y a dans le chef de la défenderesse une absence de registre
des traitements de données tant au sens de l’article 30 du RGPD que de l’article 6 § 2 al. 4 de la Loi
Caméras et une certaine incompréhension de ce que doit contenir un tel registre. A cet égard, aucune
des mentions requises par l’article 30.1. du RGPD ni par les articles 7 et 8 de l’arrêté royal du 8 mai
2018 relatif aux déclarations d'installation et d'utilisation de caméras de surveillance et au registre
15 L’Autorité de protection des données a effectivement publié sur son site Internet un modèle – non obligatoire
– de registre des activités de traitement : https://www.autoriteprotectiondonnees.be/canevas-de-registre-des-
activites-de-traitement
17
Décision quant au fond 16/2020 - 18/20
d'activités de traitement d'images de caméras de surveillance précité ne sont en effet complétées.
Aucun autre traitement de données réalisé par la défenderesse (tel que les données de ses employés
par exemple) n’y est répertorié.
La Chambre Contentieuse conclut de ce qui précède que la défenderesse ne dispose pas d’un registre
complet des activités de traitement qu’elle opère – en ce compris des activités de traitement d’ images
par caméras de surveillance –, et ce en violation des articles 30 du RGPD et de l’article 6. 2 al. 4 de la
Loi caméras.
VIII. Sur les mesures correctrices et les sanctions
Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.
Quant à l’absence de déclaration des caméras de surveillance
Le respect des obligations en matière de transparence est essentiel et de nature, à défaut d’être
satisfait, à constituer un manquement grave, plus particulièrement encore lorsqu’il vise à informer les
personnes concernées de leurs droits. En l’espèce, quant à l’absence de déclaration des caméras de
surveillance destinées à faire connaitre l’installation de celles-ci aux services de police, la Chambre
18
Décision quant au fond 16/2020 - 19/20
Contentieuse note qu’in tempore non suspecto, soit en avril 2018, la défenderesse a entamé la
procédure de déclaration auprès, à l’époque, de la Commission de la protection de la vie privée. Elle
note encore que dès l’intervention de l’inspecteur général en avril 2019, la défenderesse a notifié les
caméras aux services de police (10 mai 2019), accomplissant ainsi les démarches pour se mettre en
conformité avec son obligation à cet égard.
Quant à l’absence de registre des activités de traitement
Quant à la tenue du registre des activités de traitement (article 30 du RGPD et article 6.2 al. 4 de la
Loi caméras), la Chambre Contentieuse relève que cet outil essentiel d’accountability découlant de
l’application du RGPD fait défaut dans le chef de la défenderesse. Cette absence de registre depuis le
25 mai 2018 est constitutive d’un manquement sérieux dès lors que comme il a été exposé, cette
obligation est destinée à faire prendre conscience au responsable de traitement de l’ensemble des
traitements qu’il opère et de ses obligations découlant du RGPD. La Chambre Contentieuse note
toutefois, comme au regard de l’absence de déclaration dont question au paragraphe ci-dessus, que
la défenderesse entend collaborer avec l’Autorité de protection des données et s’est, au terme de
l’audition du 13 mars 2020, engagée à réaliser ledit registre et par là même, à se mettre en conformité.
La Chambre Contentieuse note que comme elle y est tenue par l’article 31 du RGPD, la défenderesse
a, de manière générale, coopéré avec l‘Autorité de protection des données dès le début de l’Inspection
et tout au long de la procédure devant la Chambre Contentieuse.
En conclusion, au regard de l’ensemble des éléments développés ci-dessus propres à cette affaire, la
Chambre Contentieuse estime que les faits constatés et le manquement à l’article 6. 2 al. 1 de la Loi
caméras (absence de déclaration) et aux articles 30.1. du RGPD et 6. 2 al. 4 de la Loi Caméras du 21
juillet 2007 (absence de registre des activités de traitement) justifient qu’au titre de sanction effective,
proportionnée et dissuasive telle que prévue à l’article 83 du RGPD, une réprimande (article 100 § 1er,
5° LCA) soit prononcée à l’encontre de la défenderesse assortie, dans la perspective d’une mise en
conformité à court terme, d’une injonction d’établir un registre de l’ensemble des activités de
traitement (article 30.1. RGPD) - en ce compris de ses activités de traitement d’images de caméras
(art. 6. 2 al. 4 de la Loi Caméras – qu’elle opère et ce, dans un délai de 3 mois à dater de la notification
de la présente décision (article 100 § 9 LCA). A cet égard, la Chambre Contentieuse rappelle qu’en
application des articles 30.4. du RGPD et 6. 2. de la Loi caméras, ce registre pourra devoir être produit
à l’APD à première demande.
Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les
décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'Autorité de
protection des données moyennant la suppression des données d’identification directe des parties et
des personnes citées, qu’elles soient physiques ou morales.
19
Décision quant au fond 16/2020 - 20/20
PAR CES MOTIFS,
La Chambre Contentieuse de l'Autorité de protection des données décide, compte tenu des
manquements à l’article 6. 2 al. 1 de la Loi caméras (absence de déclaration) et aux articles 30.1. du
RGPD et 6. 2 al. 4 de la Loi Caméras du 21 juillet 2007 (absence de registre des activités de traitement),
après délibération, de prononcer à l’encontre de la défenderesse une réprimande sur la base de l’article
100 § 1er, 5° LCA.. Cette réprimande est assortie :
- d’une injonction d’établir un registre de l’ensemble des activités de traitement - en ce compris
de ses activités de traitement d’images de caméras – qu’elle opère dans un délai de 3 mois à
dater de la notification de la présente décision (article 100 § 9 LCA)
- et d’une injonction d’informer la Chambre Contentieuse du suivi donné à l’injonction
d’établissement du registre (ci-dessus) dans le même délai.
En vertu de l’article 108 § 1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés dans un délai de 30 jours à compter de sa notification, avec l'Autorité de protection des
données en qualité de défenderesse.
Hielke Hijmans
Président de la Chambre Contentieuse
20