1/20
Chambre Contentieuse
Décision quant au fond 17/2020 du 28 avril 2020
N° de dossier : DOS-2019-05450
Objet : Plainte de deux clients contre leur banque suite à leur demande de communication
par retour de courrier de toutes les données personnelles dont elle disposait à leur égard.
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Jellle Stassijns et Christophe Boerave, membres, laquelle reprend
l’affaire dans sa présente composition ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement Général sur la
Protection des Données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements
de données à caractère personnel (ci-après la « Loi Protection des Données ») ;
Vu le règlement d'ordre intérieur de l’Autorité de protection des données tel qu'approuvé par la
Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
Décision 17/2020 - 2/20
A pris la décision suivante concernant :
- les plaignants
- la défenderesse (responsable du traitement)
1. Antécédents de la procédure
1. Vu la plainte déposée le 16 octobre 2019 auprès de l’Autorité de protection des données par
les plaignants, par voie de leur conseil ;
2. Vu les renseignements complémentaires communiqués par le conseil des plaignants à l’APD le
13 novembre 2019.
3. Vu la décision du 22 novembre 2019 du Service de première ligne de l’Autorité de protection
des données (ci-après « APD ») déclarant la plainte recevable et la transmission de celle-ci à
la Chambre Contentieuse à cette même date ;
4. Vu la décision du président de la Chambre contentieuse estimant que le dossier était prêt pour
traitement quant au fond en vertu des articles 95 § 1 er, 1° et 98 LCA, le président a invité les
parties à conclure par lettre recommandée du 20 janvier 2020, avec copie de la plainte et de
l’inventaire du dossier.
5. Vu le courrier du 31 janvier 2020 par laquelle les conseils de la défenderesse réclament une
copie des pièces du dossier, laquelle leur a été transmise par le Secrétariat de la Chambre
contentieuse le 4 février 2020.
6. Vu les conclusions de la défenderesse, reçues le 21 février 2020 ;
7. Vu les conclusions des plaignants, reçues le 6 mars 2020 ;
8. Vu les conclusions de synthèse de la défenderesse, reçues le 20 mars 2020.
2. Les faits et l’objet de la plainte
9. Les plaignants sont clients de la défenderesse pour des comptes en banque liés à leurs
activités de gérants de plusieurs sociétés. Par courrier du 10 septembre 2019 adressé par
l’intermédiaire de leur conseil, les plaignants ont sollicité de la défenderesse la communication
par retour de courrier de toutes les données personnelles dont elle disposait. Cette demande
était formulée comme suit : « mes clients sollicitent que vous leur communiquiez sans délai
...
Décision 17/2020 - 3/20
et par retour, la copie de toutes les données personnelles que vous détenez ainsi que toutes
les informations supplémentaires dont vous disposez à leur encontre ». Cette demande était
formée dans le contexte d’une contestation portant sur la fermeture par la défenderesse des
comptes en banque des plaignants.
10. En réponse, la défenderesse a sollicité des informations complémentaires par courriel du 11
septembre 2019 : « En ce qui concerne la demande du Droit à l’accès, afin de pouvoir traiter
votre demande nous avons besoin des informations suivantes : quel droit désirez-vous exercer
et pour quelle raison ? Veuillez joindre à votre mail une copie recto de la carte d’identité de
vos clients et l’envoyer à ….».
11. Les plaignants n’ont pas estimé devoir répondre positivement à cette demande de copie de
carte d’identité et de précision. Par courriel du 12 septembre 2019, les plaignants, par voie de
leur conseil, ont indiqué que « la demande formulée par courrier du 10 septembre 2019 ne
souffrait aucune ambiguïté à savoir communiquer la copie de toutes les données à caractère
personnel que vous détenez à l’égard de mes clients », et que ce courrier faisait courir le délai
endéans lequel les informations demandées devaient être transmises. Dans ce courriel, le
conseil des plaignants précisait par ailleurs que la requête de ses clients était de son avis
fondée la « Loi Protection des Données », plus précisément, son article 38 § 1ier.
12. Le 16 octobre 2019, les plaignants ont introduit une plainte auprès de l’APD, constatant que
la défenderesse n’avait pas encore répondu à leur demande d’accès aux données personnelles
les concernant.
13. Dans leur plainte, les plaignants faisaient valoir en particulier que la défenderesse ne pouvait
subordonner le traitement de leur demande ni à une précision quant au droit qu’ils souhaitaient
exercer, ni à l’envoi d’une copie de la carte d’identité des plaignants. Les plaignants estiment
en effet que leur demande d’accès aux données a été notifiée clairement par courrier du 10
septembre et que la défenderesse n’avait pas lieu de douter de leur identité ou de la validité
des informations transmises par leur conseil quant à leur identité.
3. Les conclusions échangées suite à la plainte
14. Dans ses conclusions, la défenderesse expose que l’absence de réponse à la demande d’accès
dans les délais prescrits par le RGPD résulte d’un concours de circonstance exceptionnel : la
demande a été formulée dans le cadre d’une contestation plus large et n’a pas été introduite
selon les procédures prévues par la défenderesse à cet effet conformément à l’article [X] de
sa Charte Vie Privée, à savoir, via un e-mail avec copie de la carte d’identité, ou via diverses
...
Décision 17/2020 - 4/20
applications. Selon la défenderesse, une erreur humaine a ensuite entraîné un retard dans la
réponse : la personne de contact des plaignants chez la défenderesse a ré-adressé la demande
à un destinataire erroné et cette personne a ensuite été absente pour maladie sans qu’un
back-up n’ait été prévu.
15. La défenderesse estime enfin que la plainte est non fondée car basée sur un article de loi
erroné : les plaignants invoquent en effet des dispositions de la Loi Protection des Données,
qui concernent les demandes d’accès aux données traitées par des autorités visées à l’article
26, 7° de cette même loi, dans le champ d’application desquelles la défenderesse ne se
retrouve pas.
16. Dans leurs conclusions en réplique, les plaignants soulignent que leur demande d’accès aux
données personnelles, dont la défenderesse dispose à leur égard, a été sollicitée de manière
suffisamment claire par courrier du 10 janvier 2020. Les plaignants font grief à la défenderesse
de leur avoir transmis les données personnelles sollicitées de manière tardive et partielle, à
savoir 4 mois plus tard, et sans apporter de précision quant au motif pour lequel la
défenderesse a mis fin à ses relations contractuelles (comptes bancaires) avec les plaignants.
Les plaignants estiment que la défenderesse n’a pu prendre une telle décision sans avoir
« disposé et/ou collecté des informations sur pied desquelles elle a pris la décision de rompre
toute relation commerciale » et que ces informations constituant des données personnelles,
la défenderesse se devait de les communiquer aux plaignants. Les plaignants précisent enfin
qu’en omettant de communiquer ces données, la défenderesse continue de porter atteinte au
RGPD, et plus particulièrement son article 15.
17. Dans ses conclusions de réplique, la défenderesse allègue que la Chambre contentieuse ne
peut prendre en compte la base légale que les plaignants ont invoqué par voie de conclusion
seulement. Selon la défenderesse, il découle des articles 94 et 95 LCA que les faits et griefs
invoqués dans la plainte doivent être précisés soit dans la plainte, soit au moyen d’une
investigation que la Chambre contentieuse peut demander au Service d’inspection dans les 30
jours de la recevabilité de la plainte. Selon l’interprétation de la défenderesse, la qualification
des faits décrits dans la plainte doit être figée à partir du moment où la Chambre contentieuse
estime que le dossier est en état d’être traité sur le fond, et ce, en vertu de l’article 95 LCA.
La défenderesse se réfère en l’occurrence au courrier du 20 janvier 2020 par lequel la Chambre
contentieuse a invité les parties à conclure et où la plainte est décrite comme une demande
d’accès à des données personnelles formulée sur pied des articles 36 § 4 et § 5 ainsi que 38
§ 1 » de la Loi Protection des Données, conformément aux dispositions légales initialement
invoquées par les plaignants. A cet égard, il n’est selon la défenderesse « pas permis aux
plaignants de changer leur fusil d’épaule en cours de procédure et d’invoquer un nouveau
...
Décision 17/2020 - 5/20
fondement pour leur plainte, pas plus qu’il n’est permis à la Chambre contentieuse une fois la
phase d’enquête clôturée de modifier le champ de la procédure […] permettre une telle
modification du libellé après toute possibilité d’implication du service d’inspection, alors même
que la LAPD [LCA] ne contient aucune disposition permettant au plaignant ou à la Chambre
contentieuse d’opérer une telle modification, inviterait les pires violations des droits de la
défense des responsables et sous-traitants accusés devant la Chambre contentieuse […] S’il
devait y avoir le moindre doute quant à la qualification juridique d’une plainte et son
fondement (p. ex. pour une plainte introduite par un particulier sans l’intermédiaire d’un
avocat), il conviendrait à la Chambre contentieuse de demander au service d’inspection de
l’APD de clarifier la question». Ainsi donc, les plaignants estiment qu’en ne sollicitant pas une
enquête complémentaire du service d’inspection et en considérant que le dossier pouvait être
traité sur le fond sans mesure d’enquête, la Chambre Contentieuse a manifestement considéré
que la qualification juridique choisie était la seule pertinente pour réclamer un accès aux
données personnelles des plaignants.
18. A titre subsidiaire, la défenderesse postule le caractère non fondé de la demande sur pied de
l’article 15 du RGPD, alléguant qu’elle a fourni sa réponse le 10 janvier 2020 aux plaignants,
que le délai de réponse plus long qu’à l’habitude est dû à une erreur humaine combiné à la
maladie d’un intervenant clé de la procédure. La défenderesse présente par ailleurs les
mesures qu’elle a mis en place pour remédier à ces failles à l’avenir.
19. En ce qui concerne l’allégation des plaignants quant au caractère incomplet des données
personnelles fournies par la défenderesse (absence de réponse sur les motifs de la rupture
contractuelle intervenue), la défenderesse invoque la loi du 18 septembre 2017 relative à la
prévention du blanchiment de capitaux et du financement du terrorisme et à la limitation de
l’utilisation des espèces (loi « BC/FT »), laquelle lui interdit de communiquer un quelconque
motif de résiliation à tout client, qu’il soit ou non concerné par des soupçons de blanchiment,
selon la défenderesse.
4. Sur les motifs de la décision
Sur la compétence de la Chambre contentieuse à évaluer le caractère fondé de la plainte
sur base de qualification juridique des faits telle que rectifiée par les plaignants par voie
de conclusions et sur base d’un nouveau grief introduit par les plaignants par voie de
conclusions
20. Selon la base légale invoquée dans leur plainte, les plaignants sollicitent l’accès aux données
personnelles que détient à leur égard la défenderesse, sur pied de dispositions de la Loi
...
Décision 17/2020 - 6/20
Protection des Données incluses sous le Titre 2 de cette loi et qui s’appliquent spécifiquement
aux « autorités compétentes à des fins de prévention et de détection des infractions pénales,
d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la
protection contre les menaces pour la sécurité publique et la prévention de telles menaces et
met en œuvre la Directive 2016/680/UE du Parlement européen et du Conseil du 27 avril 2016
relative à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel par les ces autorités compétentes » (la « Directive Police Justice »)1.
21. A cet égard, la défenderesse fait observer à juste titre dans ses conclusions qu’en tant que
société active dans la fourniture de services bancaires, elle n’est pas concernée par le champ
d’application du Titre 2 de la Loi Protection des données.
22. La défenderesse conteste toutefois à tort la compétence de la Chambre contentieuse à
examiner les faits mentionnés dans la plainte – une demande d’accès à des données
personnelles - sous l’angle de la base légale invoquée par les plaignants dans leurs
conclusions, à savoir, l’article 15 du RGPD, estimant que seul le service d’Inspection serait
compétent pour requalifier les faits soumis dans la plainte initiale. En outre, la défenderesse
conteste à tort le fait que la Chambre contentieuse serait compétente pour examiner de
nouveaux faits ou griefs invoqués par les plaignants par voie de conclusion (comme le fait que
la réponse apportée entretemps à leur demande d’accès serait incomplète).
23. La Chambre contentieuse est un organe de l’APD, créé en vertu de l’article 4(1) de la LCA,
jouissant au sein de l’APD d’une certaine autonomie et prenant ses décisions en toute
indépendance conformément à l’article 43 de la LCA. L’APD constitue en Belgique l’autorité
responsable du contrôle du respect du RGPD au sens de l’article 8 de la Charte des droits
fondamentaux de l’Union européenne2, l’article 16 du Traité sur le fonctionnement de l’Union
européenne3 et l’article 51 du RGPD. Ce contrôle par l’APD et sa Chambre contentieuse est un
élément essentiel de la protection des personnes à l’égard du traitement des données à
caractère personnel, telle qu’elle est notamment organisée par le RGPD4.
24. En vertu des articles 51.1, 51.2 et 52.1 du RPGD, en effet, les Etats membres sont tenus de
confier à une ou plusieurs autorités publiques indépendantes la surveillance de l’application
du RGPD afin de protéger les libertés et droits fondamentaux des personnes physiques à
1
Article 25 de la Loi Protection des Données. Pour une explication sur le champ d’application du titre 2 de la loi du 30 juillet
2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, voir l’Avis
de la Commission de la protection de la vie privée n° 33/2018 du 11 avril 2018 sur l’Avant-projet de loi relatif à la protection
des personnes physiques à l’égard des traitements de données à caractère personnel, p. 59, n° 194.
2
Charte des droits fondamentaux de l’Union européenne, OJ C 326, 26.10.2012, p. 391–407.
3
Traité sur le fonctionnement de l'Union européenne, OJ C 326, 26.10.2012, p. 47–390.
4
CJCE, 9 mars 2010, Commission européenne/CEPD contre All., C-518/07, par. 23.
...
Décision 17/2020 - 7/20
l’égard du traitement, et faciliter le libre flux des données à caractère personnel dans l’Union.
Ces autorités de contrôle doivent exercer leurs pouvoirs dans une perspective de mise en
œuvre effective du droit européen de la protection des données, en ce compris le RGPD.
Assurer l’effet utile du droit européen est un des devoir principaux des autorités des états
membres sous le droit de l’Union européenne. 5
25. Il leur incombe de faciliter l’exercice des droits fondamentaux en matière de protection des
données personnelles. Les autorités de contrôle doivent à cet égard jouer un rôle actif à travers
les missions et pouvoirs qui leurs sont dévolus en vertu des articles 57 et 58 du RGPD. Ainsi
par exemple, en vertu de l’article 57.2 du RGPD, chaque autorité de contrôle est tenue de
« faciliter » l’introduction des réclamations introduites par une personne concernée ou par un
organisme. En bonne logique, le traitement de cette réclamation (ou plainte) doit faciliter
l’exercice des droits et contribuer à un meilleur contrôle des citoyens sur leurs données
personnelles.
26. Le droit de porter plainte auprès de l’APD a été construit par le législateur comme une
alternative à la procédure juridictionnelle (voir les articles 77 à 79 du RGPD). L’introduction
d’une plainte doit rester une démarche aisée pour les personnes concernées dont les données
personnelles sont traitées. Les conditions de recevabilité de cette plainte sont d’ailleurs
définies de manière minimale dans l’article 60 LCA. Pour être recevable, en effet, une plainte
introduite auprès de l’APD doit être rédigée dans l’une des langues nationales, contenir un
« exposé des faits et les indications nécessaires pour identifier le traitement sur lequel elle
porte » et relever de la compétence de l’APD (article 60 de la LCA).
27. Ainsi, les plaignants ne sont pas tenus d’invoquer l’une ou l’autre disposition légale pour que
leur plainte auprès de l’APD soit recevable, pour autant que l’APD puisse déterminer que la
plainte concerne une disposition légale qu’elle a pour tâche de contrôler. Au moment
d’examiner si la plainte est fondée, la Chambre contentieuse doit donc évaluer non pas si les
plaignants ont invoqué la bonne disposition légale à l’appui de leur demande, dans la plainte
introduite formellement auprès de l’APD, mais bien si les faits relatés sont constitutifs d’une
atteinte à l’une des dispositions légale dont le respect est soumis au contrôle de l’APD.
28. De même, les plaignants ne sont pas tenus d’invoquer tous les faits pertinents concernant
l’atteinte alléguée dans leur plainte. La Chambre contentieuse doit pouvoir les aider en posant
des questions dirigées de manière à bien comprendre en fait et en droit l’atteinte potentielle
5
Voir Koen Lenaerts, Piet Van Nuffel, Europees recht (6e édition), Intersentia, 2017, pp 95-100, et, plus spécifiquement sur les
de autorités de la protection des données, Hielke Hijmans, The European Union as Guardian of Internet Privacy, Springer 2016,
Chapitre 7.
...
Décision 17/2020 - 8/20
à un droit fondamental que le plaignant souhaite porter à son attention. La Chambre
contentieuse peut également tenir compte de griefs développés ultérieurement par voie de
conclusion par le plaignant pour autant qu’il s’agisse de faits ou arguments juridiques liés à
l’atteinte alléguée dont elle a été saisie par voie de plainte, et dans le respect des droits de la
défense.
29. Durant la procédure consécutive à la plainte, la Chambre contentieuse a donc la possibilité de
faire évoluer la qualification juridique des faits qui lui sont soumis, ou examiner de nouveaux
faits liés à la plainte, sans nécessairement faire appel à l’intervention du Service d’Inspection,
notamment en posant des questions aux parties ou en tenant compte des nouveaux faits ou
qualifications invoqués par voie de conclusion, et ce, dans les limites du débat contradictoire,
à savoir, pour autant que les parties aient eu l’occasion de débattre de ces faits ou
qualifications juridiques de manière conforme aux droits de la défense. Au besoin, il appartient
à la Chambre contentieuse de susciter ce débat soit dans sa lettre d’invitation à conclure sur
pied de l’article 98 de la LCA, soit ultérieurement dans le cadre d’une réouverture des débats.
30. Dans ce contexte, le fait de tenir compte d’une nouvelle qualification juridique invoquée par
le plaignant ne nuit pas au caractère équitable de la procédure et à l’égalité des armes, a
fortiori dans la mesure où les décisions de la Chambre contentieuse sont susceptibles d’un
appel de pleine juridiction auprès de la Cour des marchés6.
31. La procédure menée devant la Chambre contentieuse n’a donc pas un caractère strictement
accusatoire comme c’est le cas devant les juridictions civiles belges, et la Chambre
contentieuse peut d’initiative modifier l’objet de la plainte en fait ou en droit.
32. Ce pouvoir inquisitoire que la Chambre contentieuse s’octroie au cas par cas est justifié et
nécessaire dans le contexte où la Chambre contentieuse est chargée du contrôle de l’exercice
de droits faisant partie intégrante du droit fondamental à la protection des données
personnelles, dans le cadre de la mise en œuvre l’article 8.3 de la Charte des droits
fondamentaux de l’Union européenne.
33. La Chambre contentieuse se réfère à cet égard à l’arrêt de la Cour des marchés du 9 octobre
2019, prononcé dans l’affaire opposant l’APD à la SA ING, où la Cour a précisé que l’exercice
d’un droit prévu par le RGPD comme le droit à la rectification des données personnelles n’est
pas un simple droit subjectif dans le chef des parties, mais implique l’exercice des compétences
6
Cour d’appel de Bruxelles (NL), 12 juin 2019, 2019/AR, Gielen J. contre APD,, pt 4.2.
...
Décision 17/2020 - 9/20
de l’APD sur base du droit objectif, et ce, dans le contexte où le droit à la rectification fait
partie intégrante du droit fondamental à la protection des données personnelles et met en
œuvre l’article 8.3 de la Charte des droits fondamentaux de l’Union européenne7. Le même
raisonnement vaut pour le droit d’accès aux données personnelles (art. 15 RGPD) qui fait
l’objet de la plainte soumise à la Chambre contentieuse dans le cadre du présent litige.
34. Ainsi donc, en l’occurrence, la demande d’exercice d’un droit prévu par le RGPD, tel que le
droit d’accès à des données personnelles inscrit en son article 15, implique l’exercice des
compétences de l’APD sur base du droit objectif et ne concerne pas uniquement les droits
subjectifs des parties, dans la mesure où l’exercice de ces droits fait partie intégrante du droit
fondamental à la protection des données personnelles et met en œuvre l’article 8.3 de la
Charte des droits fondamentaux de l’Union européenne.
35. La Chambre contentieuse est donc compétente pour examiner le caractère fondé de la
demande telle que requalifiée juridiquement par voie de conclusion et formée sur pied de
l’article 15 RGPD. La Chambre contentieuse est également compétente pour examiner les
griefs développés par le défendeurs par voie de conclusion au sujet du caractère incomplet de
la réponse donnée à sa demande d’accès, dans la mesure où ce grief est lié à la demande
d’accès qui fait l’objet de la plainte initiale.
Sur le caractère fondé de la demande formée sur pied de l’article 15 du RGPD
36. En vertu de l’article 15.1 du RGPD, « la personne concernée a le droit d’obtenir du responsable
de traitement la confirmation que des données à caractère personnel la concernant sont ou
ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel
ainsi que les informations suivantes :
- les finalités du traitement,
- les catégories de données à caractère personnel concernées,
- les destinataires ou catégories de destinataires auxquels les données à caractère personnel
ont été ou seront communiquées […],
- lorsque cela est possible, la durée de conservation des données à caractère personnel
envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette
durée ;
- l’existence d’un droit de demander au responsable du traitement la rectification ou
l’effacement de données à caractère personnel, ou une limitation du traitement des données
7
Bruxelles (NL), 9 octobre 2019, ING contre APD, 2019/AR/1006, p. 16.
...
Décision 17/2020 - 10/20
à caractère personnel relatives à la personne concernée, ou du droit de s’opposer à ce
traitement ;
- le droit d’introduire une réclamation auprès d’une autorité de contrôle ; lorsque les données
à caractère personnel ne sont pas collectées auprès de la personne concernée, toute
information disponible quant à leur source ;
- l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22
paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement
pour la personne concernée. »
37. Une information doit également être fournie en ce qui concerne les garanties appropriées
mises en œuvre, le cas échéant, lorsque les données à caractère personnel sont transférées
vers un pays tiers ou à une organisation internationale (art. 15.2 RGPD).
38. Enfin, l’article 15.3 du RGPD prévoit également que « le responsable du traitement fournit une
copie des données à caractère personnel faisant l’objet d’un traitement », cette copie étant la
modalité prescrite pour toute réponse à une demande d’accès.
39. Les dispositions du RGPD sont directement applicables aux traitements territorialement définis
en son article 3, et ce, à l’exception des dispositions prévoyant un pouvoir d’appréciation au
bénéfice des Etats-membres quant à la mise en œuvre du RGPD 8. L’article 15 du RGPD fait
partie des dispositions du RGPD directement applicables, et qu’il est loisible aux plaignants
d’invoquer à l’appui de leurs demandes d’accès aux données personnelles qui les concernent
et qui sont traitées dans le cadre des activités d’un responsable de traitement sur le territoire
belge.
40. En l’occurrence, la Chambre contentieuse doit examiner si la défenderesse a oui ou non porté
atteinte à l’article 15 du RGPD lequel prescrit aux responsables de traitement de donner suite
aux demandes d’accès à leur données personnelles. Le RGPD n’impose en effet aucune
condition de procédure à l’exercice du droit d’accès comme l’invocation d’une base légale
spécifique.
41. Du point de vue de la défense et du droit à un procès équitable, il incombe en outre à la
Chambre contentieuse d’examiner si la plainte initiale était suffisamment compréhensible
quant à son objet pour permettre à la défenderesse de l’identifier en tant que demande d’accès
sur pied de l’article 15 du RGPD. A défaut, il appartenait à la Chambre contentieuse de
8
Un tel pouvoir d’appréciation a par exemple été prévu en ce qui concerne les conditions applicables au consentement des
enfants à l’article 8 du RGPD, lequel permet aux Etats membres de préciser par la loi l’âge minimum au-dessus duquel un
consentement parental n’est pas requis.
...
Décision 17/2020 - 11/20
requalifier les faits et permettre un débat contradictoire à ce sujet, soit dans sa lettre
d’invitation à conclure sur pied de l’article 98 de la LCA, soit ultérieurement dans le cadre d’une
réouverture des débats.
42. Dans le cadre de la plainte qui lui est soumise, la Chambre contentieuse constate que la
défenderesse a bel et bien répondu à la demande d’accès (quoique tardivement eu égard au
délai d’un mois imposé à l’article 12 du RGPD). La première réponse de la défenderesse aux
plaignants se réfère d’ailleurs explicitement à une « demande d’accès » à des données
personnelles (courriel du 11 septembre 2019: « En ce qui concerne la demande du Droit à
l’accès, […] »).
43. Partant, il ressort des faits exposés par les plaignants et non contestés de part adverse que la
demande d’accès était formulée de manière suffisamment claire pour que la défenderesse
identifie qu’il s’agissait d’une demande d’exercice du droit d’accès prévu à l’article 15 du RGPD.
La Chambre contentieuse estime donc avoir été valablement saisie par la plainte de l’examen
de faits constitutifs d’une potentielle atteinte au droit d’accès sur pied de l’article 15 du RGPD.
44. La Chambre contentieuse est donc compétente pour tenir compte des griefs développés par
le plaignant par voie de conclusion, sur pied de l’article 15 du RGPD en lieu et place des articles
36, § 4 et § 5 ainsi que l’article 38, § 1 de la loi du 30 juillet 2018 (Loi Protection des Données).
45. La Chambre contentieuse constate également que la défenderesse a pu développer ses
arguments par voie de conclusion, certes à titre subsidiaire, et a fait valoir ses griefs en ce qui
concerne la demande d’accès des plaignants sur pied de l’article 15 du RGPD. La Chambre ne
doit donc pas rouvrir les débats sur ce point, et décide qu’elle est compétente pour examiner
et traiter la plainte et ses deux griefs, à savoir, le caractère tardif et incomplet de la réponse
faite par la défenderesse à une demande d’accès à des données personnelles, en ce compris
une demande de copie, introduite auprès d’elle par les plaignants.
Sur le manquement à l’obligation de répondre à une demande d’accès aux données
personnelles dans un délai d’un mois à dater de la réception de cette demande
46. En vertu de l’article 12.3 du RGPD juncto l’article 15 du RGPD, la réponse à une demande
d’accès à données personnelles, doit être fournie dans un délai d’un mois à compter de la
réception de la demande. Ce délai peut être prolongé de 2 mois compte tenu de la complexité
et du nombre de demandes, à condition que le responsable de traitement informe la personne
...
Décision 17/2020 - 12/20
concernée de cette prolongation et du motif du report de délai dans un délai d’un mois à
compter de la réception de la demande (article 12.3 du RGPD).
47. La défenderesse, en tant que responsable du traitement des données personnelles des
plaignants, avait donc l’obligation de répondre à leur demande d’accès à leurs données
personnelles et à leur demande de recevoir copie de ces données personnelles dans le mois
de la réception de cette demande, à moins de reporter ce délai pour des motifs à communiquer
aux plaignants dans le mois. La Chambre contentieuse constate que la défenderesse n’a pas
réagi à la demande d’accès dans le délai prescrit et n’a pas non plus motivé dans le mois la
raison du report de la communication de ces informations.
48. La Chambre contentieuse estime que cette absence de réponse est constitutive d’une atteinte
à aux article 15.1, 15.3 et 12.3 du RGPD pour les motifs suivants :
49. Premièrement, la Chambre contentieuse constate que la demande d’accès était suffisamment
claire en ce qui concerne l’identité des personnes concernées, pour permettre à la
défenderesse d’y répondre dans un délai d’un mois. La défenderesse, en effet, n’a pas motivé
la raison pour laquelle elle a demandé un complément d’information afin d’identifier les
plaignants, comme cela est permis par l’article 12.6 du RGPD, lequel prévoit que le responsable
du traitement « peut demander que lui soient fournies des informations supplémentaires pour
confirmer l’identité de la personne concernée » lorsque « le responsable du traitement a des
doutes raisonnables quant à l’identité de la personne physique présentant la demande visée
aux articles 15 à 21 », et ce, dans un délai d’un mois à dater de la réception de la demande
(art. 12.3 RGPD).
50. La défenderesse était donc fondée à demander que les plaignants lui fournissent des
informations complémentaires (comme une carte d’identité) pour confirmer leur identité à
condition d’avoir un doute raisonnable quant à l’identité de la personne physique présentant
la demande. En l’occurrence, la défenderesse n’a pas motivé en quoi elle pouvait douter du
mandat de leur conseil, avocat au barreau, de représenter des clients pas plus qu’elle n’a
motivé en quoi elle pouvait douter des déclarations de cet avocat en ce qui concerne l’identité
de ses clients, et ce pour justifier sa demande de renvoyer une copie recto de la carte d’identité
des clients. La défenderesse a par ailleurs répondu aux plaignants par courrier daté du 9
janvier 2020 adressé à l’un des plaignants. Ce fait démontre que la défenderesse n’avait au
final pas de doute raisonnable quant à l’identité de ce plaignant. Sans préjuger sur la question
de savoir si compte tenu des circonstances, de la nature et du volume des données qu’elle
traite, une institution bancaire comme la défenderesse est oui ou non fondée à réclamer de
manière standard une copie de la carte d’identité de toute personne souhaitant exercer une
...
Décision 17/2020 - 13/20
demande d’accès à des données personnelles, la Chambre contentieuse constate qu’en
l’occurrence, l’intervention d’un avocat inscrit au barreau de Bruxelles et d’une lettre envoyée
avec son papier à en-t-elle pouvait permettre à la défenderesse de valider les données
factuelles transmises par cet avocat au sujet de l’identité de ses clients.
51. Il incombait à la défenderesse de fournir l’ensemble des données personnelles demandées par
les plaignants, à savoir, selon l’interprétation de la Chambre contentieuse, l’ensemble des
données personnelles et informations à ce sujet visées par l’article 15 du RGPD.
52. Deuxièmement, la Chambre contentieuse constate que la demande d’accès et de copie des
données personnelles détenues par la défenderesse était quant à son objet formulée de
manière suffisamment claire par les plaignants pour permettre à la défenderesse d’y répondre
dans un délai d’un mois. La Chambre contentieuse tient également compte du fait que les
articles 15.1 et 15.3 juncto 12.3 du RGPD ne permettaient pas à la défenderesse de postposer
sa réponse à la demande d’accès par une demande de clarification au sujet des « droits » que
les plaignants souhaiteraient exercer suite à leur demande d’accès.
53. Certes, la Chambre contentieuse comprend que la défenderesse ait demandé aux plaignants
de préciser quels droits ils souhaitaient exercer, dans la mesure où selon la jurisprudence de
la Cour de Justice a estimé que pour satisfaire à une demande de droit d’accès , « il suffit
que ce demandeur soit mis en possession d’un aperçu complet de ces données sous une forme
intelligible, c’est-à-dire une forme permettant à ce demandeur de prendre connaissance
desdites données et de vérifier que ces dernières sont exactes et traitées de manière conforme
à cette directive, afin que ledit demandeur puisse, le cas échéant, exercer les droits qui lui
sont conférés par ladite directive. »9. Cette jurisprudence (sous l’ancienne Directive 95/46) 10
est pertinente dans la mesure où elle ne conditionne pas les demandes d’accès à la condition
d’indiquer quel droit la personne concernée entend exercer suite à sa demande d’accès. Le
considérant 63 du RGPD précise en effet que le droit d’accéder à ses données personnelles
doit permettre à une personne concernée de « prendre connaissance du traitement et d’en
9
CJCE, 17 juillet 2014, YS v. Minister voor Immigratie, Integratie en Asiel and Minister voor Immigratie, Integratie en Asiel v.
M and S , C-141/12 et C-372/12, considérant 57 : « Si la directive 95/46 impose ainsi aux États membres d’assurer que chaque
personne concernée puisse obtenir du responsable du traitement de données à caractère personnel la communication de
l’ensemble des données de ce type qu’il traite la concernant, elle laisse à ces États le soin de déterminer la forme matérielle
concrète que cette communication doit prendre, pour autant que celle-ci est «intelligible», c’est-à-dire qu’elle permet à la
personne concernée de prendre connaissance de ces données et de vérifier que ces dernières sont exactes et traitées de
manière conforme à cette directive, afin que cette personne puisse, le cas échéant, exercer les droits qui lui sont conférés par
les articles 12, sous b) et c), 14, 22 et 23 de celle-ci (voir, en ce sens, arrêt Rijkeboer, EU:C:2009:293, points 51 et 52) » ; voir
également les commentaires sur cette décision dans C. de Terwangne et K. Rosier (dir.), Le Règlement général sur la protection
des données (RGPD/GDPR) : analyse approfondie, CRIDS, Larcier, Bruxelles, 2018, p. 432-443.
10
Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques
à l’égard du traitement des données à caractère personnel et à la libre circulation des données, JO L 281, 23.11.1995, p. 31-
50.
...
Décision 17/2020 - 14/20
vérifier la licéité », sans indiquer que le responsable du traitement puisse postposer sa réponse
dans l’attente d’informations sur les finalités de la demande d’accès.
54. Le considérant 63 du RGPD précise toutefois qu’il devrait pouvoir être permis au responsable
de traitement de différer la réponse à une demande de droit d’accès pour obtenir des
informations complémentaires bien précises, à savoir « sur quelles données ou quelles
opérations de traitement sa demande porte », et ce, lorsque le responsable de traitement
traite une grande quantité de données relatives à la personne concernée. Le cas échéant, il
incombe au responsable de traitement de « faciliter l’exercice des droits » des personnes
concernées en vertu de l’article 12.2 du RGPD, ce qui exclut la possibilité de poser de telles
questions de manière non pertinente et/ou à des fins dilatoires, d’autant que l’article 8.2 de
la Charte des droits fondamentaux de l’Union européenne mentionne le droit d’accès,
s’agissant d’un des principes fondateurs du droit à la protection des données à caractère
personnel.
55. En l’occurrence, les seules demandes d’information complémentaires possibles selon le
considérant 63 du RGPD11 n’ont pas été posées par la défenderesse, si bien que la Chambre
contentieuse estime que la demande d’accès formée par les plaignants était du point de vue
de son contenu suffisamment claire pour permettre à la défenderesse d’y répondre dans le
délai légal d’un mois à dater de sa réception.
56. Enfin, à toutes fins utiles, la Chambre contentieuse rappelle également que le RGPD ne
subordonne pas la validité d’une demande d’accès à l’invocation d’une base légale particulière
comme l’article 15 du RGPD. Il suffit à cet égard que l’objet de la demande soit suffisamment
clair, à savoir, l’accès à et/ou la copie de données personnelles. En l’occurrence, la Chambre
contentieuse constate que la demande était suffisamment claire à cet égard, et en veut pour
preuve le fait que la défenderesse a immédiatement identifié la demande des plaignants
comme une demande d’accès à leur données, ce qui ressort de la formulation de la première
réponse qui a été apportée à cette demande par la défenderesse (courriel du 11 septembre
2019 : « En ce qui concerne la demande du Droit à l’accès, … »).
57. Pas conséquence, la Chambre contentieuse constate une atteinte aux article 15.1, 15.3 et 12.3
du RGPD dans le chef de la défenderesse.
Sur le caractère complet ou non de la réponse à la demande d’accès
11
A savoir « sur quelles données ou quelles opérations de traitement sa demande porte ».
...
Décision 17/2020 - 15/20
58. La Chambre contentieuse décide de classer sans suite le grief développé par les plaignants
par voie de conclusion à savoir, le caractère selon eux non complet de la réponse apportée
par la défenderesse en ce qui concerne l’accès aux éventuelles données personnelles relatives
aux motifs de la décision de rupture des relations commerciales entre les parties.
59. En l’occurrence, la Chambre contentieuse estime que cette demande d’accès cadre dans une
contestation commerciale plus large qu’il est loisible à un juge du fond de trancher s’il est saisi
des questions suivantes : la défenderesse avait-elle ou non le droit de rompre sa relation
commerciale avec les plaignants sans motif, et est-il exact que les dispositions anti-
blanchiment qu’elle doit appliquer l’exonèrent de tout devoir d’information quant aux motifs
de cette décision de rupture.
60. La Chambre contentieuse entend toutefois apporter quelques précisions ainsi que son
appréciation en ce qui concerne l’étendue des informations à fournir en réponse à des
demandes d’accès formées sur pied de l’article 15 du RGPD. Dans la mesure où la demande
des plaignants n’indiquait pas quelles données personnelles ou informations précises
relativement à ces données était sollicitées parmi les diverses informations prévues à l’article
15.1 du RGPD données (ex. délai de conservation, origine des données personnelles, etc.), la
Chambre contentieuse estime qu’il incombait à la défenderesse de transmettre dans le délai
légal d’un mois au minimum un aperçu complet des données ou catégories de données à
caractère personnel faisant l’objet d’un traitement (art. 15.1.b), y compris les finalités de ce
traitement (art. 15.1.a), ainsi que les destinataires ou catégories de destinataires pour chaque
catégorie de données (art. 15.1.c), lorsque cela est possible, la durée de conservation ou les
critères utilisés pour déterminer cette durée (art. 15.1.d), la source des données lorsqu’elles
ne sont pas collectées auprès de la personne concernée (art. 15.1.g), ainsi que les
informations reprises à l’articles 15.1.e, f et h et 15.2 du RGPD. En ce qui concerne la forme
de cette information, la Chambre contentieuse estime qu’il convient que l’information permette
à la personne concernée de prendre connaissance des traitements de données et en vérifier
la licéité, conformément à la finalité du droit d’accès telle qu’explicitée au considérant 63 du
RGPD.
61. Si le responsable du traitement ne fournit pas d’emblée toutes les informations que la
personne concernée est susceptible d’obtenir par voie de l’article 15 du RGPD, la Chambre
contentieuse estime qu’il lui appartient au minimum de préciser dans la réponse à la demande
d’accès comment la personne concernée peut obtenir ces informations complémentaires
relativement aux données traitées, par exemple la Charte de confidentialité, pour autant que
ce document soit suffisamment clair à cet égard et que le renvoi à ce document soit
...
Décision 17/2020 - 16/20
suffisamment précis pour permettre à la personne concernée de trouver aisément les
informations visées à l’article 15.1 du RGPD.
62. La Chambre contentieuse note que la défenderesse dispose d’un système automatisé lui
permettant de répondre à ce type de demande 12. La Chambre contentieuse remarque toutefois
que résultat de cette réponse automatique ne comporte pas toutes les informations visées à
l’article 15.1 du RGPD. La Chambre contentieuse observe que la réponse transmise par la
défenderesse aux plaignants contenait notamment des informations sur les catégories de
données traitées, leur origine ainsi que les finalités du traitement, ainsi que sur les choix
opérés par les plaignants en matière de traitement de données à des fins de marketing. Pour
le surplus, le demandeur était invité à adresser toute demande d’information complémentaire
à une adresse mail de la banque.
63. Ainsi donc, le document ne fournit aucune information sur :
- les destinataires ou catégories de destinataires auxquels les données à caractère personnel
ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des
pays tiers ou les organisations internationales (art. 15 § 1, c RGPD) ;
- la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est
pas possible, les critères utilisés pour déterminer cette durée (art. 15 § 1, d RGPD) ;
- l’existence de demander au responsable du traitement la rectification ou l’effacement de
donnes à caractère personnel, ou une limitation du traitement des données à caractère
personnel relatives à la personnel relatives à la personne concernée, ou du droit de s’opposer
à ce traitement (art. 15 § 1, e RGPD) ;
- le droit d’introduire une réclamation auprès d’une autorité de contrôle (art. 15 § 1, f RGPD) ;
- l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22 § 1
et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente,
ainsi que l’importance et les conséquences prévues de ce traitement pour la personne
concernée (art. 15 § 1, h RGPD) ;
- si les données à caractère personnel sont transférées vers un pays tiers ou à une organisation
internationale, les garanties appropriées mises en place en ce qui concerne ce transfert (art.
15 § 2 RGPD).
64. La réponse formulée par la défenderesse apparaît donc à la Chambre contentieuse comme
incomplète, toutefois, la Chambre contentieuse ne retiendra pas ces griefs dans la mesure où
ils n’ont donc pas fait l’objet d’un débat contradictoire dans le cadre du présent litige. La
Chambre contentieuse comprend que la contestation des plaignants porte sur le caractère
12
Conclusions de synthèse de la défenderesse ; lettre de la défenderesse aux plaignants du 9 janvier 2020.
...
Décision 17/2020 - 17/20
incomplet des catégories de données fournies en ce qui concerne les motifs de la rupture
contractuelle et non sur le caractère potentiellement incomplet des informations fournies au
sujet des données traitées par la défenderesse en général. La Chambre contentieuse ne rouvre
donc pas les débats sur ce dernier point.
65. Compte tenu des faits et griefs qui lui sont soumis, la Chambre contentieuse classe donc la
plainte sans suite en ce qui concerne le grief portant sur le caractère incomplet de la réponse
à la demande d’accès.
Sur les mesures correctrices et les sanctions
66. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
« 1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un
organisme international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données. »
67. Les plaignants réclament que la Chambre contentieuse déclare leur plainte fondée. La plainte
ne comprend pas de dispositif précis quant aux mesures sollicitées. La Chambre contentieuse
comprend que les plaignants sollicitent qu’elle constate que la réponse à leur demande d’accès
était tardive et incomplète et que la Chambre contentieuse ordonne à la défenderesse de se
...
Décision 17/2020 - 18/20
conformer à leur demande d’accès pour des données personnelles non encore communiquées,
selon les plaignants.
68. La défenderesse reconnaît avoir réagi tardivement à la demande d’accès mais nie disposer
d’autres données personnelles au sujet des plaignants que celles qu’elle leur a transmises. La
défenderesse justifie le délai de réponse de 4 mois par un concours de circonstances. Pour
rappel, le destinataire de la demande a été absent pour maladie sans qu’un back-up n’ait été
prévu, dans le contexte où la demande n’a pas été introduite selon les procédures prévues
par le défenderesse à cet effet conformément à l’article [X] de sa Charte Vie Privée, à savoir,
via un e-mail avec copie de la carte d’identité, ou via diverses applications. La défenderesse a
mis des mesures en place pour parer à de telles circonstances à l’avenir, et dont elle demande
à la Chambre contentieuse de tenir compte dans le cadre des mesures à ordonner. »13
69. La défenderesse se réfère par ailleurs à l’existence d’une procédure de traitement des
demandes d’accès depuis 2018, plus de 25600 demandes traitées depuis lors, sans qu’un client
ne se soit plaint, selon les informations de la défenderesse.
70. Dans ce contexte, la défenderesse sollicite le classement sans suite de la plainte en ce qu’elle
l’estime non fondée vu la base légale invoquée par les plaignants. A titre subsidiaire, si la
Chambre contentieuse estimait devoir traiter la plainte, la défenderesse sollicite le non-lieu
conformément à l’article 100, § 1, 2° LCA. A titre infiniment subsidiaire, la défenderesse
réclame la suspension du prononcé conformément à l’article 100, § 1, 3° LCA. En particulier,
la défenderesse estime que compte tenu des circonstances particulières de l’espèce,
notamment le caractère manifestement non fondé des allégations des plaignants, l’erreur
humaine et les efforts considérables qu’elle a mis en œuvre pour répondre aux demandes
d’accès, une autre sanction serait disproportionnée. La défenderesse réclame en outre la
confidentialité de la publication de la décision à intervenir de manière « anonymisée », dans
la mesure où aucune négligence ne peut être lui être reprochée dans le cas présent.
71. En l’occurrence, la Chambre Contentieuse rappelle que le droit d’accès aux données
personnelles, consacré à l’article 15 du RGPD, est un droit fondamental de la protection des
données personnelles. Le délai de réponse d’un mois n’est pas uniquement d’application
depuis l’entrée en application du RGPD le 24 mai 2018 mais bien depuis l’entrée en application
dès 1993 de la Loi du 8 décembre 1992 relative aux traitements des données à caractère
personnel qui l’a précédé où le délai était de 45 jours (article 10 § 1 al. 3 de cette loi
13
Conclusions de synthèse de la défenderesse, p. 9.
...
Décision 17/2020 - 19/20
antérieure). Le non-respect du délai de 30 jours est, selon la Chambre Contentieuse, constitutif
d’un manquement.
72. L’argument invoqué par la défenderesse selon lequel une erreur humaine est intervenue et
une personne était malade, ne résiste donc pas à l’analyse. Ces circonstances exceptionnelles
n’enlèvent rien à la circonstance qu’à l’époque des faits, aucune procédure n’était prévue pour
la prise en charge de demandes d’accès en dehors des modes de communication standard
préconisés par la défenderesse.
73. La défenderesse reconnaît en effet par voie de conclusion que le traitement de la demande
des Plaignants a connu un certain degré de retard et affirme avoir pris des mesures
organisationnelles adaptées pour y remédier à l’avenir :
« En raison d’un concours de circonstances malheureux, notamment la longue absence du
gestionnaire compétent (pour cause de maladie) ainsi qu’une erreur humaine lors de l’envoi
d’un e-mail, la demande n’a pas su être suivie selon la procédure habituelle. Afin d’y remédier
à l’avenir, la défenderesse a identifié certaines mesures concrètes :
i) La mise en place d’un système de rappels internes, strictement surveillé : si la personne
compétente qui coordonne ou traite une plainte est absente, cette personne sera à l’avenir
suivie par une personne de réserve qui recevra un rappel automatisé.
ii) La mise en place de rappels de la possibilité d’accès via des outils automatisés : puisque
toute personne concernée peut consulter ses propres données dans des diverses applications,
la défenderesse doit accroître encore plus la visibilité de cette possibilité, notamment par le
biais d’une réponse standardisée à toute personne introduisant une demande d’accès
rappelant l’existence de ces outils. De cette manière, toute personne concernée peut profiter
de la facilité et de la rapidité de ces outils. Rien n’empêche bien entendu le traitement de la
demande de façon manuelle si la personne concernée le souhaite, mais ceci permettra de
rendre la procédure encore plus efficace. »14
74. La Chambre contentieuse prend note de ces efforts fournis par la défenderesse en vue
d’améliorer la prise en charge future des demandes d’accès formées en dehors de ses
procédures automatisées spécifiques, et se limite donc à adresser à la défenderesse une
réprimande, sur la base de l’article 100 § 1er, 5° LCA. La Chambre contentieuse s’abstient de
toute autre sanction dans la mesure où c’est la première plainte qu’elle reçoit en ce qui
concerne le traitement des demandes d’accès par la défenderesse, qui est bien entendu
14
Conclusions de synthèse de la défenderesse, p. 9 titre 5 « Mesures pour l’avenir ».
...
Décision 17/2020 - 20/20
responsable de la mise en œuvre des procédures adéquates qui permettent l’exercice effectif
du droit d’accès (art. 24 RGPD juncto art. 15 RGPD).
75. Sur base de ce constat d’atteinte du RGPD, il appartient aux plaignants de faire valoir devant
le juge du fond – s’il y a lieu - que cette absence de réponse les a ou non privé d’une
opportunité de faire valoir leurs droits en justice, dans l’hypothèse où la réponse fournie
tardivement serait jugée incomplète dans le cadre d’une telle procédure, ce que la Chambre
contentieuse ne peut en l’occurrence pas évaluer sur base des faits qui lui ont été soumis.
76. Par ailleurs, compte tenu de l’importance de la transparence en ce qui concerne le processus
décisionnel et les décisions de la Chambre contentieuse, cette décision sera publiée sur le site
Internet de l’Autorité de protection des données moyennant la suppression des données
d’identification directe des parties et des personnes citées, qu’elles soient physiques ou
morales.
PAR CES MOTIFS,
La Chambre Contentieuse de l'Autorité de protection des données décide, après délibération, de :
- Déclarer la plainte fondée en ce qui concerne le caractère tardif de la réponse fournie par la
défenderesse à la demande d’accès aux données personnelle formée par les plaignants,
constater cette atteinte aux articles 15.1 et 15.3 juncto 12.1 du RGPD et pour ce motif,
prononcer à l’encontre de la défenderesse une réprimande sur la base de l’article 100 § 1er,
5° LCA ;
- Classer la plainte sans suite (art. 100 § 1 , 1° LCA) en ce qui concerne le caractère incomplet
de la réponse fournie par la défenderesse à la demande d’accès aux données personnelles en
particulier en ce qui concerne les éventuelles données personnelles traitées en lien avec les
motifs de la rupture contractuelle opérée par la défenderesse ;
En vertu de l’article 108, § 1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés dans un délai de 30 jours à compter de sa notification, avec l'Autorité de protection des
données en tant que défenderesse.
Hielke Hijmans
Président de la Chambre Contentieuse