1/13
Chambre Contentieuse
Décision 172/2022 du 24 novembre 2022
Numéro de dossier : DOS-2022-02927
Objet : Plainte relative à un refus de donner suite à une demande d’exercice du droit
d’effacement, du droit d’opposition et du droit à la limitation de traitement par une
agence immobilière.
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke
Hijmans, président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, ci-après « le plaignant » ;
.
Le défendeur : L’Agence Y, ci-après : « le défendeur ». .
.
Décision 172/2022 - 2/13
I. Faits et procédure
1. Le 6 juillet 2022, le plaignant dépose plainte auprès de l’Autorité de protection des données
(ci-après « l’APD ») contre le défendeur. L’objet de la plainte concerne le refus de l’agence
immobilière (ci-après « défendeur ») de retirer de son site Internet l’annonce d’un bien
immobilier que le plaignant (acquéreur) a acheté le 27 juin 2022 à l’ancien propriétaire
(vendeur).
2. Le 24 juin 2022, le plaignant exerce son droit d’effacement et d’opposition. Il ressort des
pièces du dossier que : le plaignant a demandé au défendeur « par téléphone et par mail du
14 juin et du 16 juin » de retirer du site Internet (…) les informations sur sa maison situé à «…»
(prix minimum de vente ; descriptifs détaillés ; images de son intérieur et de son extérieur ;
images avec les numéros d'identification des parcelles cadastrales ; Google MAPS) ; le
défendeur refuse de faire suite à la demande du plaignant en maintenant « [la] publication, et
ce à des fins de marketing de [son] activité commerciale d’agent » ; le plaignant a demandé
au créateur du site Internet, la société Z, « d’agir promptement pour retirer les informations
[publiées sur le site Internet du défendeur] ou rendre l'accès à celles-ci impossible » ; le
plaignant indique qu’il n’hésitera « pas à prendre les actions appropriées afin de défendre
[ses] droits, dont notamment [porter] plainte auprès de l’Institut professionnel des agents
immobiliers (IPI) relativement aux agissements de Y [et] [...] de la Direction générale de
l’Inspection économique relativement [aux] pratiques commerciales via son point de
contact ». Pour étayer son argument, le plaignant cite notamment l’arrêt 71/2020 de la
Chambre Contentieuse1.
3. Le 8 juillet 2022, le Service de Première Ligne (ci-après « SPL ») de l’APD demande des
informations complémentaires au plaignant, particulièrement si « les publications
concernant [le] bien mentionnent [...] [son] nom et l’adresse du bien », et dans l’affirmative de
lui en communiquer les éléments probants. À la même date, le plaignant indique au SPL que
son nom, contrairement à son adresse postale, n’est pas mentionné sur la publication
litigieuse et joint une capture d’écran prise à 18h11. Le plaignant ajoute dans son courriel du
8 juillet 2022 envoyé à 18h16 que son adresse équivaut à une donnée personnelle étant
donné que n’importe quelle personne ayant accès à son adresse peut faire le lien entre son
bien immobilier et sa situation personnelle.
4. Le 6 septembre 2022, le SPL déclare la plainte recevable sur la base des articles 58 et 60
de la LCA, et transmet celle-ci à la Chambre Contentieuse conformément à l’article 62, § 1
de la LCA.
1
Chambre Contentieuse, décision quant au fond 71/2020 du 30 octobre 2020, Le texte intégral de l'arrêt est disponible sur
le site Internet de l'Autorité de protection des données, à l'adresse suivante :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
Décision 172/2022 - 3/13
II. Motivation
5. En application de l’article 4, § 1er de la LCA, l'APD est responsable du contrôle des principes
de protection des données contenus dans le RGPD et d’autres lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.
6. En application de l’article 33, §1er de la LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est saisie des plaintes que le Service de Première
Ligne (SPL) lui transmet en application de l’article 62, § 1er de la LCA, soit des plaintes
recevables. Conformément à l’article 60 alinéa 2 de la LCA, les plaintes sont recevables si
elles sont rédigées dans l'une des langues nationales, contiennent un exposé des faits et les
indications nécessaires pour identifier le traitement de données à caractère personnel sur
lequel elles portent et qui relèvent de la compétence de l'APD.
7. En application des articles 51 et s. du RGPD et de l’article 4, § 1er de la LCA, il revient à la
Chambre Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer
un contrôle effectif de l’application du RGPD et de protéger les libertés et droits
fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux
des données à caractère personnel au sein de l'Union.
8. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur base
des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95, §1 er de
la LCA, la Chambre Contentieuse décide de procéder, d’une part à la prise d’une décision
conformément à l’article 95, § 1er, 5° de la LCA, plus précisément d’ordonner au responsable
du traitement de se conformer à la demande du plaignant d’exercer son droit à l’effacement
(art. 17.1 du RGPD) et son droit d’opposition (art. 21.1 du RGDP), d’autre part, à un
avertissement conformément à l’article 95, § 1er, 4° de la LCA ; et ce pour les raisons
exposées ci-après.
9. La Chambre Contentieuse note que le plaignant soulève le refus par le responsable du
traitement de donner suite à la demande d’exercice de son droit à l’effacement (art. 17.1.c du
RGPD) et d’opposition (art. 21.1 du RGPD).
10. Premièrement, sur la base des pièces étayant la plainte, la Chambre Contentieuse constate
que le plaignant a exercé, en date du 24 juin 2022, son droit à l’effacement (art. 17.1.c du
RGPD) et son droit d’opposition (art. 21.1 du RGPD) mais que le responsable du traitement
n’a pas donné suite à la demande du plaignant.
11. La Chambre Contentieuse rappelle que l’article 4.7) du RGPD définit le « responsable du
traitement »2 comme étant « la personne physique ou morale, l’autorité publique, le service
2
RGPD, considérants 74, 79 et 81 ; RGPD, art. 4. 7), 4.8), 24, 26, 28, 29.
Décision 172/2022 - 4/13
ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les
moyens du traitement ». L’article 4, 8) du RGPD définit le « sous-traitant »3 comme étant « la
personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite
des données à caractère personnel pour le compte du responsable du traitement ».
12. Un « traitement » de données à caractère personnel désigne, selon le RGPD, « toute
opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés
automatisés et appliquées à des données ou des ensembles de données à caractère
personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la
conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la
communication par transmission, la diffusion ou toute autre forme de mise à disposition, le
rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction »4.
13. Comme l’EDPB l’a souligné dans les Lignes directrices 07/2020 concernant les notions de
responsable de traitement et de sous-traitant, le responsable de traitement peut être
désigné par un texte législatif ou réglementaire5. Dans le cas contraire, pour l’identifier, il
convient d’analyser des éléments ou circonstances factuels de l’espèce, notamment
déterminer sa capacité juridique et organisationnelle, ainsi que son autonomie dans la
définition des finalités, c’est-à-dire les objectifs poursuivis, et des moyens du traitement.
14. La Chambre Contentieuse rappelle que le responsable du traitement doit donner suite à la
demande formulée en application des articles 15 à 22 du RGPD par le plaignant, en l’espèce
une demande d’effacement prévue par l’article 17 du RGPD (exercice du droit à l’effacement)
et d’opposition prévue par l’article 21 du RGPD (exercice du droit d’opposition), et ce dans le
respect des conditions fixées à l’article 12 du RGPD6.
15. La Chambre Contentieuse souligne également qu’il incombe au responsable du traitement
de fournir au plaignant des informations sur les mesures prises à la suite d’une demande
formulée en application des articles 15 à 22 du RGPD, dans les meilleurs délais et en tout état
de cause dans un délai d’un mois à compter de la réception de la demande 7. L’article 12.3 du
RGPD prévoit que ce délai peut, au besoin, être prolongé de deux mois, compte tenu de la
complexité et du nombre de demandes 8. Dans un tel cas, le responsable du traitement
informe le plaignant de cette prolongation et des motifs du report dans un délai d’un mois à
compter de la réception de la demande 9.
3
RGPD, art. 4. 7), 4.8), 24, 26, 28, 29 ; RGPD, considérants 74, 79 et 81.
4
RGPD, art. 4, 2).
5
EDPB, « Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le
RGPD », adopté le 7 juillet 2021.
6
RGPD, art. 12.
7
RGPD, art. 12.2 et 12.3.
8
RGPD, art. 12.3.
9
RGPD, art. 12.3.
Décision 172/2022 - 5/13
16. Dans l’hypothèse où le responsable du traitement ne donne pas suite à la demande formulée
par le plaignant, il informe celui-ci sans tarder et au plus tard dans un délai d’un mois à
compter de la réception de la demande des motifs de son inaction et de la possibilité
d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours
juridictionnel10.
17. En l’espèce, la Chambre Contentieuse – sur base de la définition du « responsable du
traitement » reprise à l’article 4,7) du RGPD – déclare l’agence immobilière comme le
responsable du traitement et la société Z comme le sous-traitant puisque ce dernier a,
semble-t-il, réalisé le site Internet pour le compte et selon les instructions de ladite agence
immobilière11.
18. De plus, la Chambre Contentieuse relève que le responsable du traitement n’a pas donné
suite aux demandes d’exercice du droit à l’effacement et d’opposition formulées par le
plaignant, partant le responsable du traitement n’a pas respecté le prescrit des articles 12,
17.1 et 21.1 du RGPD.
19. Deuxièmement, sur la base des pièces étayant la plainte, la Chambre Contentieuse constate
que :
- le plaignant a indiqué au SPL – dans son courriel du 8 juillet 2022 envoyé à 18h16 – que
son nom, contrairement à son adresse postale, n’est pas mentionné sur la publication
litigieuse et joint une capture d’écran prise à 18h11 pour soutenir sa plainte ;
- l’annonce litigieuse est toujours publiée sur le site Internet de l’agence immobilière – en
date du 12 septembre 2022 à 10h05 (heure belge) et 12 octobre 2022 à 11h30 (heure
belge) – à l’adresse URL suivante (…)
- l’adresse postale du bien immobilier à savoir «…» est mentionnée dans l’annonce publiée
par le responsable du traitement sur son site Internet.
Figure 1 - Capture d'écran du 12 septembre 2022 à 10h05 (heure belge – adresse URL suivante (…)
[Capture d'écran]
Figure 2 - Capture d'écran du 12 octobre 2022 à 11h30 (heure belge – adresse URL suivante (…
10
RGPD, art. 12.4.
11
Le sous-traitant des données traite les données à caractère personnel uniquement pour le compte du responsable du
traitement. Le sous-traitant des données est généralement un tiers extérieur à l’entreprise. ; RGPD, art. 4. 7), 4.8), 24, 26, 28,
29 ; RGPD, considérants 74, 79 et 81 ; EDPB, « Lignes directrices 07/2020 concernant les notions de responsable du
traitement et de sous-traitant dans le RGPD », adopté le 7 juillet 2021.
Décision 172/2022 - 6/13
[Capture d'écran]
20. L’article 4.1) du RGPD définit une « donnée à caractère personnel » comme « toute
information se rapportant à une personne physique identifiée ou identifiable (ci-après
dénommée «personne concernée»); est réputée être une «personne physique identifiable»
une personne physique qui peut être identifiée, directement ou indirectement, notamment
par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de
localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son
identité physique, physiologique, génétique, psychique, économique, culturelle ou
sociale »12.
21. La Chambre Contentieuse souligne que le traitement n'est « licite que si, et dans la mesure
où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel
pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est
partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable
du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée
ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable
du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits
fondamentaux de la personne concernée qui exigent une protection des données à
caractère personnel, notamment lorsque la personne concernée est un enfant. [...] »13.
22. En l’espèce, la Chambre Contentieuse rappelle que la publication d’une image – in concreto
des images d’une maison publiées avec l’adresse postale de la personne concernée et une
image avec les numéros d'identification des parcelles cadastrales – est un traitement de
données à caractère personnel au sens de l’article 4,1) du RGPD14.
12
RGPD, art. 4, 1). ; Avis 4/2007 du Groupe de travail « article 29 » sur la protection des données sur le concept de donnée à
caractère personnel, adopté le 20 juin 2007, disponible sur https://cnpd.public.lu/dam-assets/fr/publications/groupe-
art29/wp136_fr.pdf. ; Cf. les arrêts Nowak (CJUE, 20 décembre 2017, C-434/16, ECLI:EU:C:2017:994) et Breyer (CUJE, 19
octobre 2016, C-582/14, ECLI: EU: C:2016:779).
13
RGPD, art. 6.1.
14
Avis 4/2007 du Groupe de travail « article 29 » sur la protection des données sur le concept de donnée à caractère
personnel, adopté le 20 juin 2007, disponible sur https://cnpd.public.lu/dam-assets/fr/publications/groupe-
art29/wp136_fr.pdf. ; Cf. les arrêts Nowak (CJUE, 20 décembre 2017, C-434/16, ECLI:EU:C:2017:994) et Breyer (CUJE, 19
octobre 2016, C-582/14, ECLI: EU: C:2016:779). ; Autorité de protection des données, Chambre Contentieuse, 30 octobre
Décision 172/2022 - 7/13
23. La Chambre Contentieuse conçoit que le traitement tel que la publication d’images d’un bien
immeuble soit nécessaire à l’exécution d’un contrat entre une agence immobilière et un
propriétaire d’un bien immeuble. Une agence immobilière peut fonder la licéité de ce
traitement sur base de l’article 6.1, b) du RGPD : le traitement est nécessaire à
l’accomplissement de la mission d’intermédiaire dont elle est investie, à savoir louer ou
vendre le bien immeuble d’un propriétaire à un tiers. Une agence immobilière ne pourrait pas
atteindre l’objectif du contrat sans que le traitement de données spécifique soit mis en
œuvre (par exemple, la publication des photos d’un bien immeuble sur le site Internet).
Cependant, la Chambre Contentieuse comprend que le plaignant est le nouveau propriétaire
du bien immeuble (acquéreur) et qu’il n’est pas parti au contrat qui lie l’agence immobilière
et l’ancien propriétaire (vendeur). Par conséquent, la publication de l’annonce sur le site
Internet du responsable du traitement ne peut, en principe, se fonder sur le contrat ((article
6.1, b) du RGPD), encore moins après la vente du 27 juin 2022.
24. La Chambre Contentieuse estime que le responsable du traitement ne répond à aucune des
conditions de licéité prévues à l’article 6 du RGPD. La Chambre examine néanmoins si le
traitement de données pouvait se baser sur le fondement de licéité de « l’intérêt légitime »
prévu à l’article 6.1, f) du RGPD15. En effet, pour prouver la licéité de la publication de
l’annonce sur le site Internet avec l’adresse postale du plaignant et les numéros
d'identification des parcelles cadastrales, le responsable du traitement pourrait – en
l’absence de consentement du plaignant ou d’un contrat – se fonder sur « l’intérêt légitime »
prévu par l’article 6.1, f) du RGPD.
25. Conformément à l'article 6.1, f) du RGPD et à la jurisprudence de la Cour de Justice de l'Union
européenne (ci-après « la Cour »), trois conditions cumulatives doivent être remplies pour
qu'un responsable du traitement puisse valablement invoquer ce fondement de licéité, « à
savoir, premièrement, la poursuite d’un intérêt légitime par le responsable du traitement ou
par le ou les tiers auxquels les données sont communiquées, deuxièmement, la nécessité du
traitement des données à caractère personnel pour la réalisation de l’intérêt légitime
poursuivi et, troisièmement, la condition que les droits et les libertés fondamentaux de la
personne concernée par la protection des données ne prévalent pas »16
2020, décision quant au fond 71/2020 (§56), disponible sur
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
15
CJUE, 4 mai 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde contre Rīgas pašvaldības
SIA „Rīgas satiksme”, considérant 28. Voir également CJUE, 11 décembre 2019, C-708/18, TK c/ Asociaţia de Proprietari
bloc M5AScaraA, considérant 40. ; Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision
quant au fond 71/2020 (§68), disponible sur https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-
fond-n-71-2020.pdf.
16
CJUE, 4 mai 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde contre Rīgas pašvaldības
SIA „Rīgas satiksme”, considérant 28. Voir également CJUE, 11 décembre 2019, C-708/18, TK c/ Asociaţia de Proprietari
bloc M5AScaraA, considérant 40. ; Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision
quant au fond 71/2020 (§68), disponible sur https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-
fond-n-71-2020.pdf.
Décision 172/2022 - 8/13
26. En d'autres termes, afin de pouvoir invoquer le fondement de licéité de l’« intérêt légitime »
conformément à l'article 6.1, f) du RGPD, le responsable du traitement doit démontrer que :
1) les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme légitimes (le «
test de finalité ») ;
2) le traitement envisagé est nécessaire pour réaliser ces intérêts (le « test de nécessité ») ;
et
3) la pondération de ces intérêts par rapport aux intérêts, libertés et droits fondamentaux
des personnes concernées pèse en faveur du responsable du traitement (le « test de
pondération »).
27. En ce qui concerne la première condition (le « test de finalité ») 17, la Chambre Contentieuse
estime que la finalité qui consiste à publier les annonces des biens immeubles vendus par
une agence immobilière à des fins commerciales pour afficher les qualités professionnelles
et aussi attirer l’attention de potentiels acquéreurs ou futurs vendeurs en leur permettant
de se faire une idée plus précise sur le type de biens ayant déjà été commercialisés doit être
considérée comme étant réalisée en vue d'un intérêt légitime. Conformément au
considérant 47 du RGPD, l'intérêt que le défendeur poursuivait en tant que responsable du
traitement peut en soi être considéré comme légitime. La première condition reprise à
l'article 6, §1, f) du RGPD est donc remplie.
28. En ce qui concerne la deuxième condition (le « test de nécessité ») 18, le responsable du
traitement doit démontrer que le traitement est nécessaire pour la réalisation des finalités
poursuivies. Cela signifie plus précisément qu'il faut se demander si le même résultat ne peut
pas être atteint avec d'autres moyens, sans traitement de données à caractère personnel ou
sans traitement substantiel inutile pour les personnes concernées.
29. Partant de la finalité, à savoir la publication sur le site Internet des images des biens vendus
avec descriptifs détaillés, et ce à des fins commerciales pour faire la promotion du travail, du
sérieux, des qualités de mise en valeur des immeubles, ou encore des expériences
commerciales passées de l’agence, il convient donc de vérifier si la publication d'images
montrant la maison avec indication de l'adresse postale de la personne concernée et/ou les
numéros d'identification des parcelles cadastrales peut ou non contribuer à la promotion de
l’agence immobilière.
30. La Chambre Contentieuse comprend que la publication des images des biens vendus par
une agence immobilière est une pratique qui peut être jugée nécessaire pour afficher les
qualités professionnelles et aussi attirer l’attention de potentiels acquéreurs ou futurs
vendeurs en leur permettant de se faire une idée plus précise sur le type de biens ayant déjà
17
Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/2020 (§69),
disponible sur https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
18
Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/2020 (§70 à 72),
disponible sur https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
Décision 172/2022 - 9/13
été commercialisés. Toutefois, la Chambre Contentieuse estime que cette finalité peut
également être atteinte sans publication des images avec les données d'identification du
plaignant. La deuxième condition n'est donc pas remplie du fait que le principe de
minimisation des données (article 5.1, c) du RGPD) n'a pas été respecté.
31. En ce qui concerne la troisième condition (le « test de pondération »)19, il faut d'abord tenir
compte des attentes raisonnables de la personne concernée, conformément au considérant
47 du RGPD. Il faut plus spécialement évaluer si « la personne concernée peut
raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à
caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée ».
32. La Chambre Contentieuse constate que le plaignant ne pouvait à aucun moment s'attendre
à ce que les images de sa nouvelle maison soient publiées avec son adresse postale et/ou
les numéros d'identification des parcelles cadastrales à des fins commerciales. De plus, le
responsable du traitement ne semble pas avoir demandé, en vertu de l’article 6, §1 er, a) du
RGPD, le consentement du plaignant pour publier les images du bien vendu avec son
adresse postale et/ou les numéros d'identification des parcelles cadastrales La troisième
condition n'est donc pas remplie.
33. La Chambre Contentieuse conclut que l’ensemble des éléments exposés supra démontre
que le responsable du traitement ne peut pas invoquer l’article 6.1, f) du RGPD pour qualifier
la publication de l’annonce avec l’adresse postale du plaignant et/ou les numéros
d'identification des parcelles cadastrales de licite. Partant, le responsable du traitement
semble ne pas respecter le prescrit de l’article 6 du RGPD. Ainsi, le responsable du
traitement se doit de répondre favorablement à la demande d’exercice du droit à
l’effacement et d’opposition du plaignant : il a l’obligation d’effacer, dans les meilleurs délais,
les données à caractère personnel du plaignant (art. 17.1. du RGPD) et ne doit plus les traiter
(art. 21. 1 du RGPD).
34. De plus, le responsable du traitement est tenu, en vertu de l’article 19 du RDGP, de
l’obligation de notification en ce qui concerne l’effacement de données à caractère
personnel du plaignant : il doit notifier à chaque destinataire auquel les données à caractère
personnel du plaignant ont été communiquées, en l’espèce le réalisateur et l’hébergeur du
site Internet de l’agence immobilière, tout effacement de données à caractère personnel
effectué conformément à l'article 17.1 du RGPD, à moins qu'une telle communication se
révèle impossible ou exige des efforts disproportionnés 20. La Chambre Contentieuse est
d’avis qu’une telle communication ne se révèle pas impossible puisqu’il suffit, en l’espèce, de
19
RGPD, Considérant 47. ; CJUE, 11 décembre 2019, C-708/18, TK c/ Asociaţia de Proprietari bloc M5A-ScaraA, considérant
58. ; Autorité de protection des données, Chambre Contentieuse, 30 octobre 2020, décision quant au fond 71/2020 (§73 à
75), disponible sur https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-71-2020.pdf.
20
RGPD, art. 19.
Décision 172/2022 - 10/13
communiquer avec, tout au plus, deux destinataires à savoir le réalisateur/créateur du site
Internet et/ou l’hébergeur.
35. En conclusion, au regard de l’examen susmentionné, la Chambre Contentieuse estime que
le responsable du traitement n’a pas, prima facie, respecté les articles 12.3 et 12.4 du RGPD,
ainsi que des articles 17.1, 19 et 21.1 du RGPD, ce qui justifie en l’espèce de procéder à la
prise d’une décision sur la base de l’article 95, § 1er, 5° de la LCA, plus précisément
d’ordonner au responsable du traitement de se conformer à la demande du plaignant
d’exercer son droit à l’effacement (art. 17.1 du RGPD) et son droit d’opposition (art. 21.1 du
RGDP) ; de procéder à l’effacement des données à caractère personnel en question (à savoir
l’adresse postale du bien immobilier, en ce compris Google MAPS, et les numéros
d'identification des parcelles cadastrales de la personne concernée sur le site Internet de
l’agence immobilière) ; de se conformer, en vertu de l’article 19 du RDGP, à son obligation de
notification en ce qui concerne l’effacement de données à caractère personnel du plaignant
; et de ne plus traiter ces données.
36. La Chambre Contentieuse conclut également que le responsable du traitement n’a pas,
prima facie, respecté l’article 6 du RGPD, ce qui justifie en l’espèce de procéder à la prise
d’une décision sur la base de l’article 95, § 1er, 4° de la LCA, plus précisément d’adresser au
responsable du traitement un avertissement au sens de l'article 58.2.a) du RGPD afin que
ce dernier veille, à l’avenir, à répondre aux demandes d’exercice des droits de la personne
concernée et supprimer, en l’absence de consentement de la personne concernée, l’adresse
postale (en ce compris Google MAPS), et d’autres données d'identification telles que les
numéros d’identification des parcelles cadastrales des futurs biens immobiliers qui seraient
vendus et publiés sur le site Internet.
37. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant,
dans le cadre de la « procédure préalable à la décision de fond »21 et pas une décision sur le
fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
38. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
Si toutefois, le responsable du traitement n’est pas d’accord avec le contenu de la présente
décision prima facie et estime qu’il peut faire valoir des arguments factuels et/ou juridiques
qui pourraient conduire à une autre décision, celui-ci peut adresser à la Chambre
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans le délai de 30 jours après la notification de la
21
Section 3, Sous-section 2 de la LCA (art. 94 à 97 inclus).
Décision 172/2022 - 11/13
présente décision. Le cas échéant, l’exécution de la présente décision sera suspendue
pendant la période susmentionnée.
39. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu’elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
40. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA22 .
III. Publication de la décision
41. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
22
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires
des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 172/2022 - 12/13
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous
réserve de l’introduction d’une demande par le responsable du traitement d’un
traitement sur le fond conformément aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA,
d'ordonner au responsable du traitement de se conformer à la demande
de la personne concernée d'exercer ses droits, plus précisément de se
conformer à la demande du plaignant d’exercer son droit à l’effacement
(art. 17.1 du RGPD) et son droit d’opposition (art. 21.1 du RGDP) ; de
procéder à l’effacement des données à caractère personnel en question
(à savoir l’adresse postale du bien immobilier, en ce compris Google MAPS,
et les numéros d'identification des parcelles cadastrales de la personne
concernée sur le site Internet de l’agence immobilière) ; de se conformer à
son obligation de notification en ce qui concerne l’effacement de données
à caractère personnel du plaignant ; de ne plus traiter ces données ; et ce
dans le délai de 30 jours à dater de la notification de la présente décision ;
- en vertu de l’article 58.2.a) du RGPD et de l’article 95, §1er, 4° de la LCA,
de prononcer à l’encontre du responsable du traitement un avertissement
afin que ce dernier veille, à l’avenir, à répondre aux demandes d’exercice
des droits de la personne concernée et supprimer, en l’absence de
consentement de la personne concernée, l’adresse postale (en ce compris
Google MAPS), et d’autres données d'identification telles que les numéros
d’identification des parcelles cadastrales des futurs biens immobiliers qui
seraient vendus et publiés sur le site Internet ;
- d'ordonner au responsable du traitement d'informer par e-mail l'Autorité
de protection des données (Chambre Contentieuse) de la suite qui est
donnée à cette décision, dans le même délai, via l'adresse e-mail
[email protected] ; et
- si le responsable du traitement ne se conforme pas en temps utile à ce qui
lui est demandé ci-dessus, de traiter d’office l'affaire sur le fond,
conformément aux articles 98 e.s. de la LCA.
Décision 172/2022 - 13/13
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire23. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.24, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé).Hielke HIJMANS
Président de la Chambre Contentieuse
23
La requête contient à peine de nullité :
1° l'indication des jour, mois et an ;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise ;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer ;
4° l'objet et l'exposé sommaire des moyens de la demande ;
5° l'indication du juge qui est saisi de la demande ;
6° la signature du requérant ou de son avocat.
24
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.