1/24
Chambre Contentieuse
Décision quant au fond 162/2022 du 16 novembre 2022
Numéro de dossier : DOS-2021-05803
Objet : Enquête sur le partage de données relatives aux hébergements via la plateforme
Airbnb
La Chambre Contentieuse de l'Autorité de protection des données, composée de Monsieur Hielke
Hijmans, président, et de Messieurs Frank De Smet et Jelle Stassijns, membres.
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après "RGPD" ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
"LCA" ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le défendeur : Toerisme Vlaanderen, ayant son siège social à 1000 Bruxelles, Rue du Marché
aux Herbes, 61 et le numéro d'entreprise 0225.944.375, ci-dessous
“le défendeur”.
Décision quant au fond 162/2022 - 2/24
Faits et procédure
1. Le 14 janvier 2022, le Comité de direction de l'Autorité de protection des données (ci-après :
"APD") décide de saisir le Service d'Inspection en vertu de l'article 63, 1° de la LCA en raison
d'une pratique susceptible de donner lieu à une violation des principes fondamentaux de la
protection des données à caractère personnel.
L’objet de la procédure concerne l’approche utilisée pour réclamer des données à caractère
personnel d’exploitants d’hébergements via la plateforme d’Airbnb dans le cadre de
"sondages" [NdT : il convient de comprendre "contrôles aléatoires"] réalisés par le défendeur
auprès de différents intermédiaires. Cette pratique a perduré après un jugement du tribunal
de première instance dans lequel il a été jugé que ces sondages ne pouvaient avoir lieu que
dans des cas très limitatifs. Cette procédure concerne également le fait qu’aucun avis du
délégué à la protection des données n’a été demandé à cet égard.
2. Le 27 janvier 2022, l’enquête du Service d’Inspection est clôturée, le rapport est joint au
dossier et celui-ci est transmis par l’inspecteur général au président de la Chambre
Contentieuse (art. 91, § 1er et § 2 de la LCA).
Le rapport comporte des constatations relatives à l'objet de la décision du Comité de
direction et conclut que :
a. il y a violation de l’article 5, paragraphe 1, a) et c) et paragraphe 2, de l’article 6,
paragraphe 1, de l’article 24, paragraphe 1 et de l’article 25, paragraphes 1 et 2 du RGPD ;
b. il y a violation de l’article 12, paragraphes 1 et 6, de l’article 13, paragraphes 1 et 2, de
l’article 14, paragraphes 1 et 2, de l’article 5, paragraphe 2, de l’article 24, paragraphe 1 et
de l’article 25, paragraphe 1 du RGPD ;
c. il y a violation de l'article 38, paragraphes 1 et 3 du RGPD ;
d. il y a violation de l’article 4.11), de l’article 5, paragraphe 1, a) et paragraphe 2, de l’article 6,
paragraphe 1, a) et de l’article 7, paragraphes 1 et 3 du RGPD pour l’utilisation de cookies
non strictement nécessaires.
3. Le 4 février 2022, la Chambre Contentieuse décide, en vertu de l’article 95, § 1er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
4. Le 4 février 2022, le défendeur est informé par e-mail des dispositions telles que reprises à
l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Il est également informé, en vertu de
l'article 99 de la LCA, des délais pour transmettre ses conclusions.
En ce qui concerne les constatations dans le cadre et en dehors de l’objet de la décision du
Comité de direction, la date limite pour la réception des conclusions en réponse du
défendeur a été fixée au 18 mars 2022.
Décision quant au fond 162/2022 - 3/24
5. Le 8 février 2022, le défendeur accepte toutes communications relatives à l'affaire par voie
électronique.
6. Le 25 février 2022, le défendeur demande une copie du dossier (art. 95, § 2, 3° de la LCA), qui
lui a été transmise le 25 février 2022.
7. Le 17 mars 2022, la Chambre Contentieuse reçoit les conclusions en réponse du défendeur
concernant les constatations relatives à l’objet de la décision du Comité de direction.
Ces conclusions comportent également la réaction du défendeur concernant les
constatations effectuées par le Service d'Inspection en dehors du cadre de la décision du
Comité de direction. Le défendeur affirme premièrement que le traitement dans son chef est
un traitement de données licite. Deuxièmement, le défendeur argumente que le traitement
de données en question constitue un traitement de données correct et autorisé et que le
principe de minimisation des données de l'article 5, paragraphe 1, c) du RGPD est respecté,
ce qu'il peut d'ailleurs démontrer. Troisièmement, le défendeur avance que sa déclaration de
confidentialité est transparente et compréhensible, qu’elle contient des informations
exactes et complètes et qu’il peut également le démontrer. Quatrièmement, le défendeur
affirme qu’il n’était pas tenu de demander un avis préalable au délégué à la protection des
données concernant le Memorandum of Understanding (ci-après "MoU", protocole d’accord).
Enfin, le défendeur précise que sur son site Internet, seuls des cookies strictement
nécessaires ou fonctionnels sont actifs, pour lesquels aucun consentement n’est requis.
Selon lui, aucun cookie non strictement nécessaire n’était actif. Par conséquent, la
communication d’informations (transparentes) sur de tels cookies n’était, selon lui, pas
d’actualité. Toujours selon lui, il ne s’agit pas non plus d’une obligation légale.
8. Le 14 septembre 2022, le défendeur est informé du fait que l'audition aura lieu le
21 octobre 2022.
9. Le 21 octobre 2022, la partie comparue est entendue par la Chambre Contentieuse. Lors de
l’audition, le défendeur a expliqué les étapes qu’il a déjà entreprises au niveau de la protection
des données depuis la décision du Comité de direction et l’enquête d’inspection. Ainsi, la
Chambre Contentieuse a pu constater lors de l’audition que presque tous les griefs de la
décision du Comité de direction et les points d’action du rapport d’inspection ont été traités
par le défendeur.
10. Le 25 octobre 2022, le procès-verbal de l’audition est soumis au défendeur.
11. Le 29 octobre 2022, la Chambre Contentieuse reçoit du défendeur quelques remarques
relatives au procès-verbal qu'elle décide de reprendre dans sa délibération.
Décision quant au fond 162/2022 - 4/24
Motivation
12. La Chambre Contentieuse évalue ci-après chacune des constatations reprises dans le
rapport d’inspection à la lumière des moyens avancés à cet égard par le défendeur.
I.1. Article 5, paragraphe 1, a) et c) et paragraphe 2, article 6, paragraphe 1, article 24,
paragraphe 1 et article 25, paragraphes 1 et 2 du RGPD
I.1.1. Article 5, paragraphe 1, a) et c) et article 6, paragraphe 1 du RGPD
13. La Chambre Contentieuse rappelle que le principe de l’article 5, paragraphe 1, a) du RGPD
est que les données à caractère personnel ne peuvent être traitées que de manière licite.
Cela signifie qu'il doit y avoir une base juridique pour le traitement de données à caractère
personnel, telle que visée à l'article 6, paragraphe 1 du RGPD. Pour étoffer ce principe de
base, l'article 6, paragraphe 1 du RGPD prévoit que les données à caractère personnel ne
peuvent être traitées qu'en vertu d'une des bases juridiques énoncées dans cet article.
14. Lors de l’enquête d’inspection, le défendeur explique qu’il invoque l’article 6, paragraphe 1,
c) du RGPD en ce qui concerne la demande à Airbnb de lui fournir des données relatives à
l’exploitant et à l’hébergement. Le Service d’Inspection constate que le défendeur part d’une
interprétation trop large de son obligation légale et qu’il ne démontre pas pour quelles
raisons le traitement de données à caractère personnel est nécessaire dans le cadre d’un
sondage. Sur la base de ces éléments, le Service d’Inspection constate une violation de
l’article 5, paragraphe 1, a) et c) et de l’article 6, paragraphe 1 du RGPD.
15. La Chambre Contentieuse rappelle que pour pouvoir invoquer de manière licite la base
juridique de l’article 6, paragraphe 1, c) du RGPD, les données à caractère personnel ne
peuvent être traitées que si cela est nécessaire pour remplir une obligation légale à laquelle
le responsable du traitement est soumis. Le traitement doit dans ces cas toujours avoir un
fondement dans le droit de l'Union européenne ou dans celui de l'État membre en question,
dans lequel la finalité du traitement doit également figurer. Dès lors, il faut vérifier que les
conditions prévues par cet article sont bien remplies en l’espèce.
16. Conformément à l'article 6.3 du RGPD, lu conjointement avec l’article 22 de la Constitution
et les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, une norme
législative doit définir les caractéristiques essentielles d’un traitement de données
nécessaire au respect d’une obligation légale, que celle-ci soit reprise dans le droit de l’Union
européenne ou dans le droit des États membres 1. Dans les dispositions précitées, on
souligne à cet égard que le traitement en question doit être encadré par une norme
suffisamment claire et précise dont l’application doit être prévisible pour les personnes
1
Voir notamment la décision 149/2022 du 18 octobre 2022 et la décision 48/2022 du 4 avril 2022.
Décision quant au fond 162/2022 - 5/24
concernées. Le RGPD ne requiert toutefois pas de disposition légale spécifique pour chaque
traitement individuel. Une disposition légale peut suffire pour fonder plusieurs opérations de
traitement basées sur une obligation légale à laquelle le responsable du traitement est
soumis.
17. La Chambre Contentieuse évaluera ci-après les conditions de base légale et de nécessité.
Une base juridique claire, précise et prévisible
18. Conformément au considérant 41 du RGPD, cette base juridique ou cette mesure législative
devrait être claire et précise et son application devrait être prévisible pour les justiciables,
conformément à la jurisprudence de la Cour de justice de l'Union européenne et de la Cour
européenne des droits de l’homme.
19. Le considérant 41 du RGPD précise à cet égard : "Lorsque le présent règlement fait
référence à une base juridique ou à une mesure législative, cela ne signifie pas
nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans
préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre
concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et
précise et son application devrait être prévisible pour les justiciables, conformément à la
jurisprudence de la Cour de justice de l'Union européenne (ci-après dénommée "Cour de
justice") et de la Cour européenne des droits de l'homme". En outre, aux termes de
l’article 22 de la Constitution belge, il est nécessaire que les éléments essentiels du
traitement de données soient définis au moyen d’une norme légale formelle (loi, décret ou
ordonnance)2.
20. La Chambre Contentieuse se réfère plus particulièrement à cet égard à l'arrêt Privacy
International3 de la Cour de justice du 6 octobre 2020, dans lequel la Cour affirme que la
législation en question doit contenir des règles claires et précises "régissant la portée et
l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que
les personnes dont les données à caractère personnel sont concernées disposent de
garanties suffisantes permettant de protéger efficacement ces données contre les risques
d’abus." Et la Cour d'ajouter : "Cette réglementation doit être légalement contraignante en
droit interne et, en particulier indiquer en quelles circonstances et sous quelles conditions
une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que
l’ingérence soit limitée au strict nécessaire. (…) Ces considérations valent en particulier
lorsqu’est en jeu la protection de cette catégorie particulière de données à caractère
personnel que sont les données sensibles."
2
“Chacun a droit au respect de sa vie privée et familiale, sauf dans les cas et conditions fixés par la loi. La loi, le décret ou la
règle visée à l'article 134 garantissent la protection de ce droit.".
3
CJEU, C-623/17, 6 octobre 2020, Privacy International contre Secretary of State for Foreign and Commonwealth Affairs
e.a.
Décision quant au fond 162/2022 - 6/24
21. Le défendeur a notamment pour mission d’accroître l’attractivité de la Flandre en tant que
destination4. Afin de réaliser cette mission, l’article 5 du décret portant création de l'agence
autonomisée interne dotée de la personnalité juridique "Toerisme Vlaanderen" (Office du
Tourisme de la Flandre)5 impose au défendeur des tâches qu’il doit remplir, dont des tâches
en matière de gestion totale de la qualité. Cela comprend : assurer le développement et la
promotion de la gestion totale de la qualité dans le cadre des compétences attribuées par
les dispositions légales et réglementaires en vigueur et futures, en ce qui concerne les
matières suivantes : (a) infrastructure touristique, subventions, participations et autres
initiatives et (b) communication d'informations, services, formation et marquage, ainsi que
toute autre initiative en vue d'améliorer la qualité de l'offre de produits touristiques.
En exécution de ce qui précède, le décret relatif à l’hébergement touristique du
5 février 2016 (ci-après : le Décret hébergement) 6 (et ses arrêtés d’exécution) défini(ssen)t
plusieurs conditions que tout hébergement touristique doit remplir en Région flamande afin
de pouvoir être agréé en tant qu’hébergement touristique et être ensuite exploité en tant
que tel. Le défendeur est chargé d’exécuter ce Décret hébergement, dont l’agrément en tant
qu’hébergement touristique et le contrôle du respect de ces conditions d’agrément.
22. Pour être agréé en tant qu’hébergement touristique, l’hébergement doit donc répondre aux
conditions telles que définies à l’article 6 du Décret hébergement. L’examen visant à savoir
si les conditions d’agrément sont remplies est régi au chapitre 5 du Décret hébergement.
L’article 10 du Décret hébergement prescrit que le Gouvernement flamand peut désigner
des personnes habilitées à surveiller et contrôler le respect des dispositions du Décret
hébergement (c’est-à-dire des inspecteurs au sein de Toerisme Vlaanderen qui peuvent être
désignés par le Gouvernement flamand).
23. Dans le cadre de cette compétence de surveillance et de contrôle, l’article 11 du Décret
hébergement est libellé comme suit :
“Art. 11. Les intermédiaires, visés à l'article 2, 5°, doivent, pour les hébergements
touristiques situés en Région flamande pour lesquels ils se posent en intermédiaire ou
mènent une politique de promotion, communiquer, sur demande écrite, les données de
l'exploitant et les coordonnées des hébergements touristiques aux agents de la police
fédérale et locale et aux personnes mandatées, visées à l'article 10. Ces données peuvent
être collectées par voie de sondage ou lorsque l'on doute que les hébergements
touristiques satisfassent aux conditions du présent décret et de ses arrêtés d'exécution,
ou en cas de plainte émise à l'encontre d'un hébergement touristique."
4
Article 4 du décret du 19 mars 2004 portant création de l'agence autonomisée interne dotée de la personnalité juridique
"Toerisme Vlaanderen" (Office du Tourisme de la Flandre) (ci-après : le Décret de création).
5
M.B., 29 avril 2004.
6
M.B., 8 mars 2016.
Décision quant au fond 162/2022 - 7/24
24. L’article 11 du Décret hébergement prescrit donc que les intermédiaires 7, tels qu’en
l’occurrence Airbnb, doivent communiquer les données de l’exploitant et les coordonnées
des hébergements touristiques aux fonctionnaires habilités par le Gouvernement flamand
lorsque cela leur est demandé. Vu ce qui précède, le défendeur avance que via les
fonctionnaires habilités susmentionnés, il peut réclamer des données de manière ciblée
auprès d’un intermédiaire tel qu’Airbnb dans au moins trois cas :
- dans le cadre d’un sondage clairement délimité ;
- lorsque l'on doute que les hébergements touristiques satisfassent aux conditions du
Décret hébergement et de ses arrêtés d'exécution ;
- en cas de plainte émise à l'encontre d'un hébergement touristique.
25. Contrairement à la constatation du Service d’Inspection, le défendeur estime qu’il
n’interprète pas trop largement l’article 11. Le défendeur renvoie à cet égard aux documents
parlementaires préparatoires du Décret hébergement qui précisent ce qui suit :
“[l]a demande écrite dont il est question doit être utilisée de manière raisonnable et
proportionnée. Les données doivent être réclamées de manière ciblée, c’est-à-dire dans le
cadre d’un sondage clairement délimité (par exemple un ou plusieurs hébergements dans la
même ville, commune ou région), lorsque l’on doute que les hébergements touristiques
satisfassent aux conditions du présent décret et de ses arrêtés d’exécution ou en cas de
plainte émise à l’encontre de ces hébergements touristiques." [NdT : tous les passages issus
du dossier sont des traductions libres réalisées par le service traduction du Secrétariat
Général de l’APD, en l’absence de traduction officielle]8.
26. Selon le défendeur, ce point de vue est également conforme au rapport émis au nom de la
Commission Politique étrangère, Questions européennes, Collaboration internationale,
Tourisme et Patrimoine immobilier qui précise ce qui suit :
“[…] Chaque hébergement touristique peut à tout moment être contrôlé quant aux normes
de base. Le contrôle s’effectue à la demande d’un exploitant d’hébergement (avec
possibilité d’un agrément) ou à l’initiative de l’autorité publique (par voie de sondage, en cas
de doute ou de plainte) [...]"9.
7
Article 2, 5° du Décret hébergement : "5° intermédiaire : toute personne physique ou morale qui, contre rémunération,
intervient pour mettre à disposition un hébergement touristique sur le marché touristique, pour assurer la promotion
touristique d'un hébergement touristique ou pour proposer des services par voie desquels les exploitants et les touristes
peuvent entrer directement en contact les uns avec les autres.”.
8
Exposé des motifs de la proposition de décret relatif à l'hébergement touristique, Doc. Parl., Parl. flamand, 2015-16,
n° 499/1, p. 13.
9
Rapport au nom de la Commission Politique étrangère, Questions européennes, Collaboration internationale, Tourisme et
Patrimoine immobilier sur la proposition de décret relatif à l'hébergement touristique, Doc. Parl., Parl. flamand 2015-16,
n° 499/3, 6, disponible à l'adresse suivante : https://docs.vlaamsparlement.be/pfile?id=1139307.
Décision quant au fond 162/2022 - 8/24
27. Dans son avis n° 35/2015 , la Commission de la protection de la vie privée (CPVP), prédécesseur
en droit de l’APD, a adopté le même point de vue : “ Les données doivent être demandées de
manière ciblée, dans le cadre d'un échantillon clairement délimité, en cas de doute ou de
plainte”10.
28. Le Service d’Inspection affirme toutefois qu’il s’agit d’une lecture erronée de l’article 11 du
Décret hébergement et renvoie à cet égard à un jugement du tribunal de première instance
de Bruxelles11. Dans ce jugement, le tribunal concluait qu’il n’y avait que deux cas dans
lesquels les données pouvaient être réclamées aux intermédiaires : (1) lorsque l’on doute que
les hébergements satisfassent aux conditions du décret, et (2) en cas de plainte émise à
l’encontre d’un hébergement touristique. Selon le tribunal, le sondage ne constitue pas une
situation concrète dont les conditions peuvent ou non être remplies mais uniquement une
méthode particulière prescrite par le législateur décrétal qui peut être utilisée dans une des
deux hypothèses pour réclamer des informations.
29. Conformément à ce jugement du tribunal de première instance de Bruxelles, le défendeur a
conclu avec Airbnb un accord ("MoU") par lequel il s’engage à appliquer de manière
opérationnelle cette disposition sur une base volontaire et de bonne foi. Le MoU régit
plusieurs modalités concernant la transmission de données relatives à l’exploitant et à
l’hébergement dans le cadre d’une demande formulée par le défendeur en vertu de
l’article 11 du Décret hébergement. Ainsi, notamment, les données que le défendeur
réclamera sont nommées concrètement et le nombre de demandes et la délimitation
géographique d’une demande sont précisés.
30. La Chambre Contentieuse constate que le texte de l’article 11 du Décret hébergement a été
rédigé de telle manière qu’il peut exister une confusion quant aux cas dans lesquels les
données à caractère personnel peuvent être réclamées à des intermédiaires par le
défendeur. En témoigne le fait que le défendeur donne à l’article 11 du Décret hébergement
une interprétation différente de celle du tribunal de première instance de Bruxelles dans le
jugement précité. Afin de retrouver l’intention du législateur décrétal, la Chambre
Contentieuse renvoie aux travaux préparatoires du Décret hébergement.
31. Les travaux préparatoires du Décret hébergement précisent à cet égard que dans la
pratique, on constate que de plus en plus d’intermédiaires comme des bureaux de location
touristique et des plateformes Internet, telles qu’Airbnb, proposent des hébergements
touristiques sur le marché sans mentionner les (coor)données concrètes de l’hébergement
touristique ou les coordonnées de l’exploitant. Cela complique (voire empêche) la
localisation ou le contrôle de ces hébergements, même en cas de plaintes. L’article 11 du
10
Avis de la Commission de la protection de la vie privée sur la proposition de décret relatif à l'hébergement touristique,
disponible à l'adresse suivante : https://www.autoriteprotectiondonnees.be/publications/avis-n-35-2015.pdf.
11
Tribunal de première instance de Bruxelles, affaire A.R 2018/3527/A.
Décision quant au fond 162/2022 - 9/24
Décret hébergement tente de tenir compte de cette problématique et offre aux personnes
habilitées en charge de la surveillance et du contrôle du Décret hébergement (outre les
fonctionnaires mandatés nommés ci-dessus, aussi les agents de la police fédérale et locale)
la possibilité de réclamer, via une demande écrite, les données relatives à l’exploitant et les
coordonnées des hébergements touristiques situés en Région flamande auprès de ces
intermédiaires tels qu’Airbnb. La demande écrite dont il est question doit être utilisée de
manière raisonnable et proportionnée. Les données doivent être réclamées de manière
ciblée, c’est-à-dire dans le cadre d’un sondage clairement délimité (par exemple un ou
plusieurs hébergements dans la même ville, commune ou région), lorsque l’on doute que les
hébergements touristiques satisfassent aux conditions du Décret hébergement et de ses
arrêtés d’exécution ou en cas de plainte émise à l’encontre de ces hébergements
touristiques12.
32. Vu ce qui précède, la Chambre Contentieuse conclut que l’intention du législateur décrétal
était de prévoir au moins trois cas distincts dans lesquels les données à caractère personnel
pouvaient être réclamées de manière ciblée auprès d’un intermédiaire :
- dans le cadre d’un sondage clairement délimité ;
- lorsque l’on doute que ces hébergements satisfassent aux conditions du Décret
hébergement ;
- en cas de plainte émise à l'encontre d'un hébergement touristique.
33. Cette interprétation répond également à l’exigence de prévisibilité telle que définie à
l’article 6.3 du RGPD. Comme cela a déjà été exposé, l’article 6 du Décret hébergement
définit les conditions d’agrément d’un hébergement touristique. Ces conditions concernent
notamment la sécurité des utilisateurs de l’hébergement, comme la sécurité incendie.
Dès que ces conditions ne sont plus remplies, conformément à l’article 12 du Décret
hébergement, une amende administrative peut être infligée. En outre, on peut également
ordonner la cessation de l’exploitation de l’hébergement touristique (art. 14 du Décret
hébergement). En vertu de ce qui précède, il est dès lors prévisible pour les personnes
concernées que le respect des conditions d’inscription doit pouvoir être contrôlé par les
fonctionnaires habilités, tant lors de l’agrément qu’après.
34. La Chambre Contentieuse constate que cette interprétation permet aussi au défendeur
d’intervenir de manière proactive dans le cadre de son activité de mise en application de la
législation au moyen de sondages clairement délimités. Si le défendeur ne pouvait intervenir
qu’en cas de plainte ou de doute, il ne disposerait pas des outils nécessaires pour exécuter
correctement son obligation de contrôle décrétale. Les sondages sont donc bel et bien
12
Proposition de décret relatif à l’hébergement touristique, Parl. flamand 2015-16, n° 499/1, p. 13.
Décision quant au fond 162/2022 - 10/24
nécessaires au défendeur pour pouvoir mener une bonne politique de mise en application de
la législation et dès lors remplir son obligation légale.
35. Dans la mesure où cela serait nécessaire, et comme cela a également été mentionné par le
défendeur, la Chambre Contentieuse souligne que le 9 février 2021, le Décret de
modification13, qui modifie l’article 11 du Décret hébergement susmentionné comme suit, a
été adopté :
"Art. 11. Les intermédiaires communiquent, pour les hébergements touristiques situés en
Région flamande pour lesquels ils se posent en intermédiaire ou mènent une politique de
promotion, sur demande écrite, les données de l’exploitant et les coordonnées des
hébergements touristiques aux agents de la police fédérale et locale et aux personnes
mandatées, visées à l’article 10.
Les données, mentionnées au premier alinéa, peuvent être réclamées dans les cas suivants :
1° dans le cadre d’un sondage pour vérifier si les hébergements touristiques pour lesquels
l’intermédiaire se pose en intermédiaire ou mène une politique de promotion ont été notifiés
auprès de Toerisme Vlaanderen. Dans le cadre d’un sondage, on réclame tout au plus les
données de tous les exploitants et des hébergements touristiques dans une même ville ou
commune. Plusieurs sondages peuvent être réalisés par le même intermédiaire ;
2° lorsque l’on doute qu’un hébergement touristique pour lequel l’intermédiaire se pose en
intermédiaire ou mène une politique de promotion satisfasse aux conditions mentionnées
dans le présent décret et ses arrêtés d’exécution ;
3° en cas de plainte émise à l'encontre d'un hébergement touristique."
La Chambre Contentieuse fait remarquer à cet égard que cette nouvelle législation a été
publiée après les traitements de données litigieux et ne s'applique donc pas au traitement
dans la présente affaire. Par conséquent, la Chambre Contentieuse ne s’est pas appuyée sur
cette nouvelle législation pour en arriver à la présente décision.
Nécessité
36. En vertu de l’article 6, paragraphe 1, c) du RGPD, le traitement est licite si et dans la mesure
où il est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement
est soumis. Lorsque des données à caractère personnel sont traitées, elles doivent donc
être adéquates et pertinentes au regard de la finalité. Par ailleurs, on ne peut pas traiter plus
de données à caractère personnel que ce qui est nécessaire au regard de la finalité (art. 5.1.c)
du RGPD).
13
En entier : décret modifiant le décret du 5 février 2016 relatif à l’hébergement touristique et abrogeant le décret du
18 juillet 2003 relatif aux résidences et associations actives dans le cadre de "Toerisme voor Allen" ("Tourisme pour Tous"),
Doc. Parl. Parl. flamand, 2021-22, n° 1028/6, p. 3 [Uniquement disponible en néerlandais].
Décision quant au fond 162/2022 - 11/24
37. Selon le rapport d’inspection, le défendeur ne démontre pas pour quelles raisons le
traitement de données à caractère personnel dans le cadre d’un sondage est nécessaire
comme l’impose l’article 5, paragraphe 1, c) du RGPD dans le cadre de sa mission de
surveillance et de contrôle.
38. Le défendeur avance que la nécessité de réclamer les données relatives aux hébergements
touristiques ressort du fait que sans ces données, le défendeur (1) ne peut pas contrôler les
hébergements touristiques qui sont proposés sur le marché via des intermédiaires et (2) ne
peut pas contacter leurs exploitants. Le défendeur affirme ne réclamer que le minimum de
données dont il a besoin pour pouvoir identifier un hébergement touristique et contacter son
exploitant afin de pouvoir vérifier si les conditions du Décret hébergement et de ses arrêtés
d’exécution sont respectées. Sans cette possibilité de contrôle et de contact, le défendeur
ne peut pas vérifier si les conditions susmentionnées du Décret hébergement et de ses
arrêtés d’exécution sont respectées. Dans ce contexte, le défendeur souligne que cela est
d’autant plus nécessaire spécifiquement dans le cas d’Airbnb. En effet, Airbnb ne
communique généralement aucune coordonnée de l’hébergement, ni aucun nom ou
coordonnée de l’exploitant sur son site Internet.
39. Sur la base des conclusions du défendeur, la Chambre Contentieuse constate que les
données suivantes sont réclamées :
- le nom de l’hébergement touristique (nom de l’hébergement sur Airbnb) ;
- l’adresse de l’hébergement touristique (rue, numéro de maison, ...) ;
- la capacité de l’hébergement touristique (dans le cadre de la sécurité incendie) ;
- le nom de l’exploitant de l’hébergement touristique (le prénom et le nom de l’exploitant,
dans la mesure où Airbnb en dispose) et le nom d’hôte en ligne ;
- les coordonnées de l’exploitant de l’hébergement touristique (l’adresse e-mail de
l’exploitant).
40. La Chambre Contentieuse estime que ces données sont nécessaires en vue d’une
identification correcte de l’hébergement touristique pour contacter l’exploitant afin de
vérifier si les conditions du Décret hébergement et de ses arrêtés d’exécution sont
respectées.
I.1.2. Article 5, paragraphe 2, article 24, paragraphe 1 et article 25, paragraphes 1 et 2 du
RGPD
41. Le responsable du traitement doit respecter les principes fondamentaux de l’article 5 du
RGPD et pouvoir démontrer ce respect. Cela découle de la responsabilité au sens de
l'article 5, paragraphe 2 juncto l'article 24, paragraphe 1 du RGPD. En vertu des articles 24 et
25 du RGPD, chaque responsable du traitement doit prendre des mesures techniques et
Décision quant au fond 162/2022 - 12/24
organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le
traitement est effectué conformément au RGPD. Comme cela a déjà été exposé, la présente
affaire concerne le transfert par Airbnb (en tant qu’intermédiaire) de données relatives à
l’exploitant et à l’hébergement au défendeur. Ce transfert a eu lieu à la demande du
défendeur.
42. Dans le cadre de son enquête, le Service d’Inspection a évalué dans quelle mesure le
défendeur a pris les mesures techniques et organisationnelles nécessaires pour satisfaire
aux principes de licéité et de minimisation des données dans le cadre de cette demande de
transfert. À cet égard, le Service d’Inspection conclut que le défendeur n’a pas démontré de
manière convaincante qu’il a pris les mesures nécessaires afin que les traitements litigieux
aient lieu conformément à l’article 5, paragraphe 1, a) et c) et à l’article 6, paragraphe 1 du
RGPD, étant donné que le Service d’Inspection est arrivé à la conclusion que les traitements
n’étaient pas conformes à ces principes.
43. Dans la partie I.1.1, la Chambre Contentieuse n’a pas constaté de violation de l’article 5,
paragraphe 1, a) et c) et de l’article 6, paragraphe 1 du RGPD. Par conséquent, il n’y a pas lieu
non plus d’examiner une violation du principe de responsabilité. Dès lors, la Chambre
Contentieuse estime que le défendeur a démontré de manière convaincante qu’il respectait
bel et bien sa responsabilité et donc qu’aucune violation de l’article 5, paragraphe 2, de
l’article 24, paragraphe 1 et de l’article 25, paragraphes 1 et 2 du RGPD n’avait été commise
par le défendeur concernant la licéité et la minimisation des données du traitement litigieux.
I.2. Article 12, paragraphes 1 et 2, article 13, paragraphes 1 et 2, article 14, paragraphes 1
et 2, article 5, paragraphe 2, article 24, paragraphe 1 et article 25, paragraphe 1 du
RGPD
I.2.1. Article 12, paragraphes 1 et 2, article 13, paragraphes 1 et 2 et article 14,
paragraphes 1 et 2
44. En exécution du principe de transparence de l’article 5, paragraphe 1, a) du RGPD, sur la base
de l’article 12, paragraphe 1, de l’article 13, paragraphe 1 et de l’article 14, paragraphes 1 et 2
du RGPD, il est nécessaire que le responsable du traitement, en l’espèce le défendeur,
fournisse aux personnes concernées des informations concises, transparentes et
compréhensibles sur les données à caractère personnel qui sont traitées. En sa qualité de
responsable du traitement, le défendeur doit exécuter les articles 12, 13 et 14 du RGPD.
45. Dans la présente affaire, le Service d’Inspection conclut que le défendeur a commis une
violation de l’article 12, paragraphes 1 et 2, de l’article 13, paragraphes 1 et 2, de l’article 14,
paragraphes 1 et 2, de l’article 5, paragraphe 2, de l’article 24, paragraphe 1 et de l’article 25,
paragraphe 2 du RGPD vu que la "déclaration de confidentialité sur le Uitbatersportaal"
(portail des exploitants) contiendrait des informations inexactes et serait incomplète.
Décision quant au fond 162/2022 - 13/24
46. Conformément à l’article 12, paragraphe 1 du RGPD, il incombe au défendeur de prendre des
mesures appropriées pour fournir toute information visée aux articles 13 et 14 du RGPD
d’une façon concise, transparente, compréhensible et aisément accessible en des termes
clairs et simples, et ce par écrit ou par d’autres moyens, y compris par voie électronique.
47. En ce qui concerne le contenu de ces informations, les points énumérés aux paragraphes 1
et 2 tant de l’article 13 que de l’article 14 du RGPD devaient être communiqués aux personnes
concernées car toutes les informations n’étaient pas recueillies directement auprès d’elles 14.
48. Tout d’abord, le rapport d’inspection conclut que la "déclaration de confidentialité sur le
Uitbatersportaal" du défendeur n’est pas transparente ni compréhensible, comme l’impose
l’article 12, paragraphe 1 du RGPD, et contient des informations inexactes, du point de vue de
la protection des données, en raison des constatations suivantes :
a. La "déclaration de confidentialité sur le Uitbatersportaal" contient des informations
non pertinentes et confuses, comme un renvoi à la "Loi vie privée de 1992", la
mention d’hyperliens sans aucune explication ou lien clair avec le texte, et un renvoi
vers la ‘partie 9’ de la "déclaration de confidentialité sur le Uitbatersportaal" qui ne
contient pas de partie 9.
b. La "déclaration de confidentialité sur le Uitbatersportaal" du défendeur crée à tort
la perception aux yeux des personnes concernées que le RGPD est respecté, ce qui
serait trompeur étant donné que le Service d’Inspection a constaté plusieurs
violations du RGPD.
c. La "déclaration de confidentialité sur le Uitbatersportaal" du défendeur ne
mentionne pas, et c’est un tort, la possibilité pour les personnes concernées
d’introduire une plainte auprès de l’APD. Toutefois, il est bel et bien fait mention de
la possibilité d’introduire une plainte auprès de la Vlaamse Toezichtcommissie
(VTC ou Commission de contrôle flamande).
d. Enfin, le Service d’Inspection constate que la "déclaration de confidentialité sur le
Uitbatersportaal" n’est pas claire et n’est donc pas transparente en ce qui
concerne :
i. les finalités et les bases juridiques du traitement ; on ne précise pas quelles
obligations légales requérant un traitement de données à caractère
personnel le défendeur doit respecter ;
14
Groupe de l’Article 29, prédécesseur en droit de l’EDPB, Lignes directrices sur la transparence au sens du règlement (UE)
2016/679, WP 260, version révisée du 11 avril 2018 (reprises à son compte par le Comité européen de la protection des
données) : https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227 (point 23).
Décision quant au fond 162/2022 - 14/24
ii. l'exercice des droits des personnes concernées ; on ne précise pas à quoi
une personne concernée peut s’attendre concrètement de la part du
défendeur si elle exerce ses droits ; et
iii. les adaptations qui ont été apportées : il n’est pas indiqué quand des
adaptations ont été apportées, ce qui a précisément été adapté et via quels
"canaux de communication courants" les personnes concernées en sont
informées.
49. Deuxièmement, le Service d’Inspection constate également que la "déclaration de
confidentialité sur le Uitbatersportaal" du défendeur est incomplète car toutes les
informations qui doivent obligatoirement être mentionnées en vertu des articles 13 et 14 du
RGPD ne le sont pas dans les faits, vu qu’aucune information n’est communiquée
concernant :
a. les finalités de traitement ainsi que la base juridique du traitement ;
b. le fait que les personnes concernées ont le droit de retirer à tout moment un
consentement donné ;
c. le fait que les personnes concernées ont le droit d'introduire une plainte auprès de
l'APD ; et
d. la source d'où proviennent les données à caractère personnel et, le cas échéant, si
elles sont issues de sources accessibles au public.
50. Vu que le défendeur exécute un grand nombre de traitements de données, impliquant qu’une
grande quantité d’informations doivent être communiquées aux personnes concernées, la
Chambre Contentieuse estime qu’un responsable du traitement tel que le défendeur doit
utiliser une approche multi-niveaux :15
- D’une part, la personne concernée doit d’emblée disposer d’une information claire et
accessible sur le fait que des informations sur le traitement de ses données à caractère
personnel (politique de confidentialité) existent et du lieu où elle pourra les trouver dans
leur intégralité.
- D’autre part, sans préjudice de l’accessibilité aisée de la politique de confidentialité
dans son intégralité, la personne concernée doit, dès la première communication du
responsable de traitement avec elle, être informée des détails de la finalité du
traitement concerné, de l’identité du responsable du traitement et des droits dont elle
dispose.
15
Voir dans le même sens : la décision 81/2020 de la Chambre Contentieuse (points 53 et suivants) et la décision 76/2021
(points 58 et suivants), consultables via le lien suivant :
https://www.autoriteprotectiondonnees.be/citoyen/publications/decisions.
Décision quant au fond 162/2022 - 15/24
51. L‘importance de fournir ces informations à plusieurs niveaux découle en particulier du
considérant 39 du RGPD. Toute information complémentaire nécessaire pour permettre à la
personne concernée de comprendre, à partir des informations fournies à ce premier niveau,
quelles seront pour elle les conséquences du traitement en question doit être ajoutée.
52. Le défendeur considère que l’information qu’il fournit à la personne concernée répond aux
exigences des articles 12, 13 et 14 du RGPD. À cet égard, le défendeur souligne qu’il cherche
à respecter strictement la législation en matière de protection des données et collabore à cet
effet étroitement avec son délégué à la protection des données. Le défendeur avance que
depuis la rédaction du rapport d’inspection, il a adapté la "déclaration de confidentialité sur le
Uitbatersportaal" en concertation avec le délégué à la protection des données. Dans ses
conclusions, le défendeur explique de quelle manière la nouvelle "déclaration de
confidentialité sur le Uitbatersportaal" a été modifiée.
53. En ce qui concerne la transparence de la "déclaration de confidentialité sur le
Uitbatersportaal", le défendeur précise qu’il l’a adaptée depuis la rédaction du rapport
d’inspection : il n’y a plus de référence à la Loi vie privée qui a été abrogée mais uniquement
au RGPD, le renvoi, semant la confusion, à une partie 9 inexistante a également été supprimé,
le renvoi aux possibilités de contact du défendeur ont aussi été adaptées. En ce qui concerne
la confusion possible relative aux hyperliens sans autre explication, le défendeur argumente
que dans le passage figurant au-dessus des hyperliens, il est bel et bien expliqué pour quelles
raisons le défendeur traite les données à caractère personnel, avec un renvoi explicite au
Décret hébergement et au registre de base de l’offre flamande d’hébergements. Dans ce
cadre, le défendeur fait remarquer qu’il n’a pas encore reçu la moindre question ou remarque
à cet égard. Il se demande dès lors s’il s’agit vraiment d’une confusion. Sous le titre “Wat zijn
jouw rechten en hoe kan je deze uitoefenen (Quels sont vos droits et comment les exercer)”,
la nouvelle déclaration de confidentialité prévoit à présent (outre la VTC) aussi la mention de
l’APD dans le cadre de l’exercice des droits des personnes concernées 16.
54. Dans la mesure où cela est nécessaire et conformément à ses précédentes décisions, la
Chambre Contentieuse précise que l’APD, en tant qu’autorité de contrôle fédérale, est quoi
qui en soit compétente pour contrôler le respect du RGPD17. C'est également le cas si le
traitement de données porte sur une matière qui relève des communautés ou des régions
(autorités fédérées) et/ou si le responsable du traitement est une autorité publique qui relève
16
Voir notamment l’arrêt de la Cour des marchés, 2022/AR/457 du 26 octobre 2022 ainsi que les décisions suivantes de la
Chambre Contentieuse : décision 62/2022 du 29 avril 2022, décision 31/2022 du 4 mars 2022, décision 15/2020 du
15 avril 2020.
17
L’arrêt de la Cour des marchés du 26 octobre 2022 (2022/AR/457) confirme la compétence de l’APD à l’égard d’instances
flamandes.
Décision quant au fond 162/2022 - 16/24
des communautés ou des régions, même si l'entité fédérée a elle-même créé une autorité de
contrôle au sens du RGPD.
55. Ensuite, le défendeur expose dans ses conclusions les arguments suivants pour démontrer
que la constatation du Service d’Inspection relative au prétendu caractère incomplet de la
déclaration de confidentialité est inexacte.
56. En ce qui concerne la constatation sur les finalités et les bases juridiques du traitement, le
défendeur précise que cela a été traité précédemment [voir section II.1]. Ensuite, le
défendeur affirme que la possibilité d’introduire une plainte et donc également de s’opposer
a été reprise explicitement dans la "déclaration de confidentialité sur le Uitbatersportaal".
La nouvelle "déclaration de confidentialité sur le Uitbatersportaal" reprend le passage
suivant :
“Droit d'opposition : Si vous estimez que vos données à caractère personnel ne
peuvent plus être traitées en raison de votre situation particulière, vous pouvez
vous opposer à un tel traitement, dans le cadre des produits et services que nous
proposons dans l’intérêt général.”
57. La Chambre Contentieuse constate que dans la partie 6 de l’ancienne "déclaration de
confidentialité sur le Uitbatersportaal", la personne concernée était informée de ses droits
qu’elle pouvait exercer à l’égard du défendeur. La Chambre Contentieuse renvoie au passage
pertinent qui était libellé comme suit : "Concernant vos données à caractère personnel, vous
avez toujours le droit [...] d’introduire une plainte relative au traitement de vos données à
caractère personnel [...]. Toutes les demandes d’exercice des droits susmentionnés peuvent
être introduites via les canaux mentionnés dans la partie 9 de la présente déclaration de
confidentialité. Si nous ne parvenons pas ensemble à une solution, vous avez également le
droit d’introduire une plainte auprès de la Vlaamse Toezichtcommissie [...]".
58. La Chambre Contentieuse constate que dans l’ancienne "déclaration de confidentialité sur le
Uitbatersportaal", le défendeur n’a pas utilisé la bonne terminologie, ce qui peut semer la
confusion. Dans la mesure où cela est nécessaire, la Chambre Contentieuse rappelle qu’une
plainte et une opposition (toutes deux nommées dans la "déclaration de confidentialité sur le
Uitbatersportaal") ne couvrent pas la même notion au sens du RGPD et que chaque
responsable du traitement doit utiliser la bonne terminologie. Une personne concernée a le
droit de demander à un responsable du traitement de ne plus utiliser ses données à caractère
personnel. C’est ce qu’on appelle le droit d'opposition. En vertu de l’article 21 du RGPD, le
droit d'opposition peut exclusivement être exercé si le traitement repose sur une des bases
juridiques suivantes : l’intérêt légitime et l'exécution d'une mission d'intérêt public ou
relevant de l'exercice de l'autorité publique. Dans les autres cas, la personne concernée ne
peut pas s'opposer car il existe pour les autres bases juridiques des alternatives pour
Décision quant au fond 162/2022 - 17/24
atteindre la même finalité : en cas de consentement, la personne concernée peut le retirer ;
la personne concernée ne peut pas s'opposer au traitement imposé par la loi. Si la personne
concernée n’est pas d’accord avec la manière dont un responsable du traitement traite ses
données à caractère personnel et qu’aucune solution ne peut être trouvée avec le
responsable du traitement, la personne concernée peut introduire une plainte auprès de
l’APD. Dans la "déclaration de confidentialité sur le Uitbatersportaal" initiale, il aurait dès lors
fallu préciser que la personne concernée avait le droit de s’opposer auprès du défendeur, et
le cas échéant, d’introduire une plainte auprès de l’APD. Dans la nouvelle "déclaration de
confidentialité sur le Uitbatersportaal", cette distinction est bel et bien appliquée
correctement, en dépit du fait que les deux termes soient utilisées fautivement dans les
conclusions.
59. Le défendeur considère également que la "déclaration de confidentialité sur le
Uitbatersportaal" mentionne explicitement la source des données à caractère personnel
ainsi que le fait que les données publiques sont disponibles via le registre de base de l’offre
d’hébergements flamande avec indication d’un lien vers le registre de base. La nouvelle
"déclaration de confidentialité sur le Uitbatersportaal" mentionne explicitement sous le titre
"Waarom verwerken wij jouw persoonsgegevens (Pourquoi traitons-nous vos données à
caractère personnel)" le texte suivant :
“Toerisme Vlaanderen peut obtenir les données à caractère personnel ci-après de
trois (3) manières, à savoir : sur papier, via le portail des exploitants
(uitbatersportaal) ou via le service Internet de la Banque-carrefour des logements
de vacances (Kruispuntbank Vakantiewoningen) (CIB Vlaanderen (Confederatie
van Immobilieënberoepen ou Confédération des professions de l’immobilier en
Flandre) est disponible et accessible gratuitement via le site Internet de Toerisme
Vlaanderen (cliquez ici)).”
60. En conclusion, le défendeur affirme dès lors que la nouvelle "déclaration de confidentialité
sur le Uitbatersportaal" est transparente et compréhensible et qu’elle contient des
informations exactes et complètes, du moins que la constatation du Service d’Inspection est
devenue sans objet étant donné les modifications apportées à la nouvelle "déclaration de
confidentialité sur le Uitbatersportaal".
61. La Chambre Contentieuse estime que la nouvelle "déclaration de confidentialité sur le
Uitbatersportaal" contient bel et bien à présent les éléments requis par les articles 13 et 14
du RGPD. La Chambre Contentieuse est également d’avis que comme le requiert l’article 12,
paragraphe 1 du RGPD, le défendeur a veillé à utiliser, dans sa politique de confidentialité,
principalement un langage simple, clair et direct pour informer les personnes concernées des
traitements de données qu’il opère.
Décision quant au fond 162/2022 - 18/24
62. Toutefois, la Chambre Contentieuse constate également que par le passé, le défendeur a fait
preuve de négligence, comme cela ressort aussi des constatations du rapport d’inspection.
Plus précisément, la "déclaration de confidentialité sur le Uitbatersportaal" contenait des
informations non pertinentes et semant la confusion, telles qu’un renvoi à une partie 9
inexistante et un renvoi à la Loi vie privée de 1992. En outre, la "déclaration de confidentialité
sur le Uitbatersportaal" était incomplète et non transparente, notamment en raison de
l’absence de renvoi à la possibilité d’introduire une plainte auprès de l’APD, d’un renvoi
imprécis aux finalités et aux bases juridiques des traitements et à l’exercice des droits de la
personne concernée et de l’utilisation d’une terminologie fautive.
63. La Chambre Contentieuse souligne toutefois à cet égard que le défendeur a fourni des
efforts pour corriger les informations qui doivent être fournies en vertu des articles 12, 13 et
14 du RGPD, certes après avoir reçu les remarques du Service d'Inspection.
64. La Chambre Contentieuse constate donc que dans un premier temps, la "déclaration de
confidentialité sur le Uitbatersportaal" ne répondait pas aux exigences des articles 12, 13 et
14 du RGPD, impliquant donc une violation de ces articles. Le fait que cela ait été rectifié
entre-temps ne change rien à cela.
I.2.2. Article 5, paragraphe 2, article 24, paragraphe 1 et article 25, paragraphe 1 du
RGPD
65. En ce qui concerne la responsabilité (telle que définie ci-dessus dans la partie I.1.2) relative
aux obligations de transparence du défendeur, le Service d'Inspection constate que celle-ci
n'était pas respectée par le défendeur. Cela découle de la violation susmentionnée des
articles 12, 13 et 14 du RGPD.
66. La Chambre Contentieuse a estimé dans la partie I.2.1 qu’il était effectivement question d’une
violation des obligations de transparence au sens de ces articles. La Chambre Contentieuse
constate dès lors que le défendeur n’a pas pu démontrer qu’il avait pris les mesures
techniques et organisationnelles nécessaires pour répondre aux obligations en matière de
transparence telles que définies aux articles 12, 13 et 14 du RGPD. La Chambre Contentieuse
conclut donc qu’il est question d’une violation des articles 12, 13 et 14 du RGPD. Le fait que
cela ait été rectifié entre-temps ne change rien à cela.
I.3. Article 38, paragraphe 1 et article 39, paragraphe 1 du RGPD
67. Le rapport du Service d’Inspection constate que le défendeur n’a pas respecté les exigences
concernant la fonction du délégué à la protection des données en vertu de l’article 38,
paragraphe 1 du RGPD ni les missions du délégué à la protection des données en vertu de
l’article 39, paragraphe 1 du RGPD.
Décision quant au fond 162/2022 - 19/24
68. En ce qui concerne le délégué à la protection des données, le Service d’Inspection fait les
constatations suivantes, telles que résumées ci-après :
a. Le défendeur mentionne dans sa réponse au Service d’Inspection lors de l’enquête
qu’il n’a pas recueilli l’avis de son délégué à la protection des données concernant
le traitement de données entre Airbnb et lui-même. Selon le défendeur, cela n’était
pas nécessaire car la base juridique était déjà définie à l’article 11 du Décret
hébergement.
b. Le défendeur mentionne dans cette même réponse qu’il n’a pas recueilli l’avis de
son délégué à la protection des données sur l’interprétation du terme "sondage" de
l’article 11 du Décret hébergement.
69. Le Service d’Inspection conclut donc que le délégué à la protection des données n’a pas été
associé, d’une manière appropriée et en temps utile, dans le cadre de ce dossier. L’avis du
11 octobre 2021 qui a été fourni suite au courrier de l’APD du 10 septembre 2020 ne suffit
pas pour pouvoir parler d’une implication (documentée) appropriée et en temps utile.
Par conséquent, le Service d'Inspection constate une violation de l’article 38, paragraphe 1
et de l’article 39, paragraphe 1 du RGPD.
70. La Chambre Contentieuse rappelle que l’article 38, paragraphe 1 du RGPD prescrit que le
responsable du traitement veille à ce que le délégué à la protection des données soit associé,
d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection
des données à caractère personnel. Sur la base de l’article 39, paragraphe 1 du RGPD, le
délégué à la protection des données doit (a) informer et conseiller le responsable du
traitement sur les obligations qui lui incombent en vertu du RGPD ou d’autres dispositions du
droit de l’Union ou du droit des États membres en matière de protection des données et (b)
contrôler le respect du RGPD, d’autres dispositions du droit de l’Union ou du droit des États
membres en matière de protection des données à caractère personnel, y compris en ce qui
concerne la répartition des responsabilités, la sensibilisation et la formation du personnel
participant aux opérations de traitement, et les audits s’y rapportant.
71. Concernant la fonction du délégué à la protection des données en vertu de l’article 38,
paragraphe 1 du RGPD, le défendeur souligne que selon lui, il n’était pas nécessaire
d’impliquer le délégué à la protection des données dans la conclusion du MoU. Tout comme
tous les autres intermédiaires, Airbnb est tenue de fournir au défendeur les données relatives
à l’exploitant et à l’hébergement depuis l’entrée en vigueur du Décret hébergement le
1er avril 2017. La base légale de la communication de ces données au défendeur s’appuie
donc sur l’article 11 du Décret hébergement et non sur le MoU auquel le Service d’Inspection
fait référence. Quoi qu’il en soit, le défendeur a immédiatement impliqué le délégué à la
protection des données après le courrier du 10 septembre 2020 de l’APD. Le délégué à la
Décision quant au fond 162/2022 - 20/24
protection des données a ensuite émis un avis favorable. En outre, le défendeur précise qu’il
a appliqué le terme "sondage" conformément à l’intention du législateur décrétal de
l’article 11 du Décret hébergement. Enfin, le défendeur affirme que le Décret hébergement
date d’avant le RGPD, étant donné qu’il est entré en vigueur le 1 er avril 2017 alors que le RGPD
est d’application depuis le 25 mai 2018. Dès lors, selon le défendeur, il ne peut pas s’agir d’une
violation de l’article 38, paragraphe 1 et de l’article 39, paragraphe 1 du RGPD.
72. La Chambre Contentieuse rappelle que le RGPD reconnaît que le délégué à la protection des
données est une figure clé en ce qui concerne la protection des données à caractère
personnel, dont la désignation, la fonction et les missions sont soumises à des règles.
Ces règles aident le responsable du traitement à remplir ses obligations en vertu du RGPD
mais aident aussi le délégué à la protection des données à exercer correctement ses
missions. Le délégué à la protection des données doit être associé à toutes les questions
relatives à la protection des données à caractère personnel. Le fait que la base juridique ait
été définie dans une norme légale ne constitue pas une exception à ce principe.
73. Sur la base de la défense, la Chambre Contentieuse constate que c’est précisément le but du
MoU de définir entre les parties dans quels cas le transfert de données à caractère personnel
peut avoir lieu et selon quelles modalités. Par conséquent, la conclusion du MoU concerne la
politique du défendeur relative au respect du RGPD dans le cadre de ses compétences de
mise en application de la législation. L’article 11 du Décret hébergement établit que les
données peuvent être réclamées par le défendeur auprès d’Airbnb par le biais de sondages
clairement délimités mais le MoU élabore ce que les parties doivent comprendre par ces
sondages clairement délimités. Le délégué à la protection des données devait donc être
associé de manière appropriée et en temps utile à la rédaction du MoU. En ce qui concerne le
fait que le Décret hébergement était déjà d’application depuis 2017, la Chambre
Contentieuse souligne que depuis la mise en application du RGPD, chaque responsable du
traitement est tenu de respecter les obligations que ce dernier lui impose. Le défendeur
devait ainsi confronter cette base juridique qu’il souhaite invoquer à la norme juridique
supérieure afin de vérifier si la réclamation des données à caractère personnel est conforme
au RGPD. Il s’agit aussi d’une question à laquelle devait être associé le délégué à la protection
des données.
74. Vu ce qui précède, la Chambre Contentieuse constate, en ce qui concerne l’article 38,
paragraphe 1 du RGPD, que le délégué à la protection des données n’a pas été suffisamment
associé à plusieurs questions relatives à la protection des données. Il ressort des pièces du
défendeur qu’en ce qui concerne les traitements de données examinés dans la présente
affaire, le délégué à la protection des données n’a été impliqué qu’après le premier courrier
du Service d’Inspection.
Décision quant au fond 162/2022 - 21/24
75. Vu ce qui précède, la Chambre Contentieuse estime qu’il y a violation de l’article 38,
paragraphe 1 et de l’article 39, paragraphe 1 du RGPD.
I.4. Violation de l’article 4.11), de l’article 5, paragraphe 1, a) et paragraphe 2, de l’article 6,
paragraphe 1, a) et de l’article 7, paragraphes 1 et 3 du RGPD
76. Le rapport d'inspection constate qu’aucun consentement valable en droit au sens de
l’article 4.11) du RGPD n’est demandé aux visiteurs du site Internet pour l’utilisation de
cookies non strictement nécessaires. Les personnes concernées ne se verraient en effet pas
proposer le libre choix, par le défendeur, concernant l’utilisation de cookies non strictement
nécessaires. À cet égard, le rapport d'inspection dispose ce qui suit : "Les deux possibilités
de choix pour l’utilisation de cookies non strictement nécessaires qui sont proposées par le
défendeur aux personnes concernées dans la fenêtre des cookies (à savoir "non, fournissez-
moi plus d’informations" et ""oui, je suis d’accord") ne sont pas présentées de la même
manière. La possibilité de choix "oui, je suis d’accord" ne précise rien quant à des informations
supplémentaires pour les personnes concernées. En outre, dans la fenêtre des cookies, il
manque une possibilité de choix permettant aux personnes concernées de refuser
immédiatement l’utilisation de cookies non strictement nécessaires." Par ailleurs, le Service
d’Inspection constate qu’aucune information transparente n’est fournie concernant la
manière dont un consentement donné pour l’utilisation de cookies non strictement
nécessaires doit être retiré.
77. Dans ses conclusions, le défendeur objecte que la constatation complémentaire n’a pas de
fondement juridique, ce qui implique qu’elle doit être rejetée de la procédure. Le Service
d’Inspection renvoie en effet à l’article 72 de la LCA pour établir cette constatation.
La décision du Comité de direction de saisir le Service d’Inspection, conformément à
l’article 63, 1° de la LCA définit toutefois l’objet de l’enquête et donc, la portée de l’enquête
doit, selon le défendeur, rester limitée au cadre découlant de la décision du Comité de
direction.
78. À titre subsidiaire, le défendeur réfute la constatation du Service d’Inspection. Le défendeur
souligne que sur son site Internet, seuls des cookies strictement nécessaires ou des cookies
fonctionnels pour lesquels aucun consentement n’était requis étaient actifs. Ceci n’est pas
non plus réfuté par le Service d’Inspection qui ne démontre pas que des cookies non
strictement nécessaires étaient également actifs sur le site Internet du défendeur au
moment des constatations. Le 25 février 2022, le défendeur a lancé son nouveau site
Internet avec une nouvelle fenêtre de cookies qui fournit à l’utilisateur les informations
nécessaires et les choix concernant les cookies utilisés à ce moment-là. Selon le défendeur,
sur le nouveau site Internet, les personnes concernées sont informées de manière
transparente de l’utilisation de cookies au moyen d’une nouvelle déclaration en matière de
cookies. Vu qu’aucun cookie non strictement nécessaire n’était actif sur le site Internet du
Décision quant au fond 162/2022 - 22/24
défendeur au moment de l’enquête réalisée par le Service d’Inspection, la communication
d’informations sur de tels cookies ou la réclamation d’un consentement pour de tels cookies
n’étaient pas d’actualité à ce moment-là.
79. En réaction aux affirmations du défendeur, la Chambre Contentieuse renvoie tout d’abord à
l’article 72 de la LCA libellé comme suit :
“Sans préjudice des dispositions du présent chapitre, l'inspecteur général et les inspecteurs
peuvent procéder à toute enquête, tout contrôle et toute audition, ainsi que recueillir toute
information qu'ils estiment utile afin de s'assurer que les principes fondamentaux de la
protection des données à caractère personnel, dans le cadre de la présente loi et des lois
contenant des dispositions relatives à la protection du traitement des données à caractère
personnel, sont effectivement respectées.”
80. Il ressort de cette disposition que le Service d’Inspection n’est pas tenu par la portée de la
plainte ni par la portée des décisions du Comité de direction. Le Service d’Inspection
détermine lui-même la portée et les modalités de l’enquête, en tenant compte du principe de
proportionnalité et de nécessité tels que définis dans la Charte du Service d’Inspection 18.
81. Sur la base du rapport d’inspection, la Chambre Contentieuse conclut que la constatation du
Service d’Inspection concernant l’utilisation effective de cookies non strictement
nécessaires n’a pas été suffisamment étayée par des preuves 19, rendant impossible la
poursuite du traitement de ce dossier dans ce cadre.
Dès lors, la Chambre Contentieuse procède à un classement sans suite en ce qui concerne
la constatation du Service d’Inspection relative à l’article 4.11), à l’article 5, paragraphe 1,
a) et paragraphe 2, à l’article 6, paragraphe 1, a) et à l’article 7, paragraphes 1 et 3 du RGPD.
II. Sanctions
82. Sur la base des pièces du dossier, la Chambre Contentieuse constate qu’il est question de
deux violations du RGPD : d’une part, la violation de l’article 12, paragraphes 1 et 2, de
l’article 13, paragraphes 1 et 2, de l’article 14, paragraphes 1 et 2, de l’article 5, paragraphe 2,
de l’article 24, paragraphe 1 et de l’article 25, paragraphe 1 du RGPD et d’autre part celle de
l’article 38, paragraphe 1 et de l’article 39, paragraphe 1 du RGPD. Bien que le défendeur ait
remédié à ces violations, il est avéré que des violations du droit à la protection des données
ont eu lieu. Comme déjà précisé, le principe de transparence est un des principes
18
Charte du Service d'Inspection, août 2022, disponible à l'adresse suivante :
https://www.autoriteprotectiondonnees.be/publications/charte-du-service-d-inspection.pdf..
19
Voir la Section A.1 de la politique de classement sans suite de la Chambre Contentieuse du 18 juin 2021, disponible à
l'adresse suivante : https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-
chambre-contentieuse.pdf.
Décision quant au fond 162/2022 - 23/24
fondamentaux du RGPD. Le délégué à la protection des données joue également un rôle
crucial dans la protection des données auprès d’un responsable du traitement.
83. La Chambre Contentieuse estime qu’il y a suffisamment d’éléments pour formuler une
réprimande, ce qui constitue une sanction légère et est suffisant à la lumière des violations
du RGPD constatées dans ce dossier. Lors de la détermination de la sanction, la Chambre
Contentieuse tient compte du fait que le défendeur a déjà rectifié la situation et en a
transmis des preuves. En outre, la Chambre Contentieuse souligne qu’elle n’est pas
compétente pour imposer une amende administrative à des organismes publics,
conformément à l’article 221, § 2 de la Loi sur la protection des données 20.
84. La Chambre Contentieuse procède à un classement sans suite en ce qui concerne les autres
griefs et constatations du Service d'Inspection car, sur la base des faits et des pièces du
dossier, elle ne peut conclure qu'il est question d'une violation du RGPD. Ces griefs et
constatations du Service d'Inspection sont dès lors considéré(e)s comme manifestement
infondé(e)s au sens de l'article 57, paragraphe 4 du RGPD21.
Publication de la décision
85. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données, en mentionnant les données d’identification du défendeur. Cette mention se
justifie par l’intérêt général de la présente décision dans le cadre de la fonction d’exemple du
défendeur en tant que service public d’une part, et par la réidentification inévitable du
défendeur en cas de pseudonymisation d’autre part.
20
Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère
personnel, M.B., 5 septembre 2018.
21
Voir le point 3.A.2 de la Politique de classement sans suite de la Chambre Contentieuse, cf. la note de bas de page 19 de la
présente décision.
Décision quant au fond 162/2022 - 24/24
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :
- en vertu de l'article 100, § 1er, 5° de la LCA, de formuler une réprimande à l’égard du défendeur
en ce qui concerne la violation de l’article 12, paragraphes 1 et 2, de l’article 13, paragraphes 1
et 2, de l’article 14, paragraphes 1 et 2, de l’article 5, paragraphe 2, de l’article 24, paragraphe 1
et de l’article 25, paragraphe 1 du RGPD ;
- en vertu de l'article 100, § 1er, 5° de la LCA, de formuler une réprimande à l’égard du défendeur
en ce qui concerne la violation de l'article 38, paragraphe 1 et de l’article 39, paragraphe 1 du
RGPD ;
- en vertu de l’article 100, § 1er, 1° de la LCA, de classer sans suite en ce qui concerne toutes les
autres constatations.
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la
Cour des marchés (Cour d’appel de Bruxelles) dans un délai de trente jours à compter de sa
notification, avec l’Autorité de protection des données en qualité de défenderesse.
Ce recours peut être introduit au moyen d'une requête contradictoire qui doit reprendre les
mentions énumérées à l'article 1034ter du Code judiciaire22. La requête contradictoire doit être
déposée au greffe de la Cour des marchés conformément à l'article 1034quinquies du Code
judiciaire 23, ou via le système informatique e-Deposit de la Justice (article 32ter du Code judiciaire).
(sé.) Hielke HIJMANS
Président de la Chambre Contentieuse
22
"La requête contient à peine de nullité :
1° l'indication des jour, mois et an ;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d'entreprise ;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer ;
4° l'objet et l'exposé sommaire des moyens de la demande ;
5° l'indication du juge qui est saisi de la demande ;
6° la signature du requérant ou de son avocat."
23
"La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe."