1/6
Chambre Contentieuse
Décision 17/2023 du 1er mars 2023
Numéro de dossier : DOS-2023-00290
Objet : consultation du registre national et absence de réponse à l’exercice du droit
d’accès
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke
Hijmans, président;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, ci-après « le plaignant » ; .
.
La défenderesse : Commune Y, ci-après : « la défenderesse ». .
Décision 17/2023 – 2/6
I. Faits et procédure
1. L'objet de la plainte concerne la consultation du dossier de registre national du plaignant par
la Commune Y et l’absence de réponse à sa demande d’accès.
Le plaignant a constaté que son dossier de registre national avait été consulté par la
commune Y le 25 mai 2022. Après avoir appelé la commune au mois de juin, il contacte le
délégué à la protection des données de la commune par email le 10 novembre 2022 après-
midi en demandant des explications au sujet de cette consultation. Cet email serait resté
sans réponse. Le 16 novembre 2022, le plaignant s’aperçoit qu’une nouvelle consultation de
ses données du registre national a eu lieu le 10 novembre 2022 dans la matinée. Il écrit à
nouveau au délégué à la protection des données de la commune pour qu’il justifie ces
différentes consultations. Cet email serait également resté sans réponse.
2. Le 3 février 2023, le plaignant introduit une plainte auprès de l’Autorité de protection des
données contre la défenderesse.
3. Le même jour, la plainte est déclarée recevable par le Service de Première Ligne sur la base
des articles 58 et 60 de la LCA1 et la plainte est transmise à la Chambre Contentieuse en
vertu de l'article 62, § 1er de la LCA2.
4. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
II. Motivation
5. L’article 15.1.a) du RGPD prévoit que la personne concernée peut s’adresser au responsable
de traitement afin d’obtenir la finalité du traitement.
6. En vertu de l’article 12.3 du RGPD, le responsable de traitement dispose d’un délai maximal
d’un mois à compter de la demande d’accès pour fournir une réponse. Ce délai peut, sous
conditions, être prolongé de deux mois supplémentaires.
7. Par ailleurs en sa qualité de responsable de traitement, la défenderesse est tenue de mettre
en œuvre les principes de protection des données et doit être en mesure de démontrer que
ceux-ci sont respectés (principe de responsabilité –article 5.2. du RGPD). Ceci inclut le
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite
de cette plainte, le dossier lui a été transmis.
Décision 17/2023 – 3/6
principe de sécurité repris à l’article 5.1.f) et qui est désormais érigé dans le RGPD au même
rang que les principes fondamentaux de licéité, transparence, loyauté.
8. Les obligations des responsables de traitement quant à la sécurité des traitements sont
établies aux articles 32 et suivants du RGPD. Bien que la journalisation ne soit pas
expressément mentionnée dans le RGPD, la tenue d’un journal des log files constitue une
mesure technique et organisationnelle envisagée dans l’article 32 RGPD. Elle constitue une
bonne pratique, recommandée au responsable de traitement lorsque cette mesure est
adaptée aux risques lié aux caractéristiques du traitement. Cette pratique a par ailleurs été
consacrée par le législateur qui a intégré cette obligation dans l’article 17 de la loi du 8 aout
1983 organisant un registre national des personnes physiques 3. 4
9. En l’espèce, il apparaît des emails envoyés par le plaignant à la commune, que celui-ci
exerçait son droit d’accès à propos de la finalité de la consultation de son dossier du registre
national (article 15.1a) du RGPD).
10. Il ressort des emails du plaignant et du contenu de la plainte, que la commune n’aurait jamais
répondu aux demandes d’accès du plaignant.
11. La Chambre Contentieuse estime que sur la base des faits susmentionnés, il y a lieu de
conclure que la défenderesse peut avoir commis une violation des dispositions du RGPD, ce
qui justifie qu’en l’occurrence, elle procède à la prise d’une décision conformément à l’article
95, § 1er, 5° de la LCA, plus précisément, d’ordonner de se conformer à la demande du
plaignant de la plaignante d'exercer son droit d’accès (article 15.1 du RGPD) et ce en
particulier vu :
- Qu’en vertu de l’article 17 de la loi du 8 aout 1983 organisant un registre national des
personnes physiques, le responsable de traitement doit être en mesure de pouvoir
justifier les consultations effectuées et de fournir la finalité des consultations ;
- Les preuves apportées par le plaignant qui démontrent qu’il y a bien eu consultation de
son dossier de registre national par la défenderesse ;
- Les copies des emails envoyées par le plaignant qui démontrent qu’il a exercé son droit
d’accès prévu à l’article 15.1 du RGPD ;
- Que le plaignant indique n’avoir reçu aucune réponse à ses demandes d’accès.
3
Loi du 8 août 1983 organisant un registre national des personnes physiques. Disponible sur
https://www.ejustice.just.fgov.be/cgi_loi/change_lg.pl?language=fr&la=F&cn=1983080836&table_name=loi
4
Pour plus de détails, la Chambre Contentieuse renvoie notamment vers sa décision 129/2021 du 26 Novembre 2021, § 33
et s. Disponible sur https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-129-2021.pdf
Décision 17/2023 – 4/6
12. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant/la
plaignante, dans le cadre de la « procédure préalable à la décision de fond »5 et pas une
décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
13. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
14. Si toutefois la défenderesse n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui
pourraient conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une
demande de traitement sur le fond de l’affaire via l’adresse e-mail litigationchamber@apd-
gba.be, et ce dans le délai de 30 jours après la notification de la présente décision. Le cas
échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
15. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
16. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA6.
5
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
6
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des
données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 17/2023 – 5/6
III. Publication de la décision
17. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément
aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner
à la défenderesse de se conformer à la demande de la personne concernée d'exercer
son droit d’accès (article 15.1 du RGPD) au sujet de la consultation de son dossier du
registre national, et de procéder à l'envoi des informations au plaignant et ce dans le
délai de 30 jours à dater de la notification de la présente décision ;
- d'ordonner à la défenderesse d'informer par e-mail l'Autorité de protection des
données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le
même délai, via l'adresse e-mail [email protected] ; et
- si la défenderesse ne se conforme pas en temps utile à ce qui lui est demandé ci-
dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de
la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire7. La requête interlocutoire doit être
7
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
Décision 17/2023 – 6/6
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.8, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(Sé.) Hielke HIJMANS
Président de la Chambre Contentieuse
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
8
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.