1/9
Chambre Contentieuse
Décision 18/2023 du 2 mars 2023
Numéro de dossier : DOS-2023-00435
Objet : Plainte relative à la publication sur le lieu de travail du prénom et du nom d’une
employée ayant introduit une demande d’intervention psychosociale formelle
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke
Hijmans, président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante : Mme X, ci-après « la plaignante » ; .
.
La défenderesse : la maison de repos Y, ci-après : « la défenderesse ». .
Décision 18/2023 – 2/9
I. Faits et procédure
1. L'objet de la plainte concerne la publication du nom et prénom de la plaignante dans une note
et une lettre, toutes les deux accessibles sur le lieu de travail de la plaignante.
La plaignante est l’employée de la défenderesse, la maison de repos Y. Dans le cadre de son
travail, la plaignante a introduit une demande d’intervention psychosociale formelle auprès
du conseiller externe en prévention des aspects psychosociaux, Z, pour des faits de violence
et d’harcèlement moral. Dans ce cadre, le conseiller externe a rendu un avis à la
défenderesse. Cet avis préconiserait l’adoption par la défenderesse de mesures collectives
et individuelles vis-à-vis de la plaignante. Suite à cet avis, la défenderesse aurait publié sur
un mur de la maison de repos une note identifiant la plaignante, par son prénom et son nom,
comme étant la personne ayant introduit la demande d’intervention psychosociale formelle
(ci-après la note). Par la suite, la défenderesse aurait à nouveau identifié la défenderesse par
ses prénom et nom dans une lettre ouverte au personnel de la maison de repos (ci-après la
lettre ouverte). La plaignante conteste ainsi le droit de la défenderesse de publier ses
données à caractère personnel.
2. Le 23 janvier 2023, le plaignant a introduit une plainte auprès de l’Autorité de protection des
données contre la défenderesse.
3. Le 27 janvier 2023, la plainte est déclarée recevable par le Service de Première Ligne sur la
base des articles 58 et 60 de la LCA1 et la plainte est transmise à la Chambre Contentieuse
en vertu de l'article 62, § 1er de la LCA2.
4. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
II. Motivation
5. Suivant l’article 4.7 du RGPD, le responsable du traitement est la « personne physique ou
morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec
d’autres, détermine les finalités et les moyens du traitement ». Etant donné que les pièces
du dossier apportées par la plaignante ont été soit signées par la défenderesse, soit écrites
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite
de cette plainte, le dossier lui a été transmis.
Décision 18/2023 – 3/9
en leur nom, la Chambre Contentieuse constate que le responsable du traitement litigieux
serait la direction de Y, la défenderesse.
6. La Chambre Contentieuse rappelle que les nom et prénom sont des données à caractère
personnel au sens de l’article 4.1 du RGPD. Il s’agit en effet d’informations concernant une
personne physique identifiée ou identifiable (en l’espèce, la plaignante) permettant
d’identifier directement la personne concernée. La publication de ces données à caractère
personnel dans une note affichée sur le mur de l’institution où la plaignante travaille
constitue donc un traitement au sens de l’article 4.2 du RGPD. En conséquence, le traitement
de données à caractère personnel est soumis aux principes généraux tels que définis à
l’article 5 du RGPD, le responsable de traitement étant tenu de veiller à ce que ces principes
généraux soient respectés.3
7. Sur la base de l’article 5, paragraphe 1, a) du RGPD, les données à caractère personnel
doivent être « traitées de manière licite, loyale et transparente au regard de la personne
concerné (licéité, loyauté et transparence) ». Le principe de licéité de l’article 5.1.a du RGPD
implique que le responsable de traitement doit désigner une des bases juridiques permises
par l’article 6, paragraphe 1 du RGPD sur base de laquelle il souhaite effectuer le traitement
de données à caractère personnel.
8. Les bases de licéité de l’article 6.1 du RGPD sont les suivantes :
« 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions
suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel
pour une ou plusieurs finalités spécifiques;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est
partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable
du traitement est soumis;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne
concernée ou d'une autre personne physique;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publique dont est investi le responsable du traitement;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable
du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et
3
Article 5.2 du RGPD.
Décision 18/2023 – 4/9
droits fondamentaux de la personne concernée qui exigent une protection des données
à caractère personnel, notamment lorsque la personne concernée est un enfant. »
9. Il ressort des pièces du dossier que la plaignante a exercé son droit d’accès auprès de la
défenderesse le 16 janvier 2023 afin de connaître la base légale du traitement en cause.
Dans sa réponse du 18 janvier 2023 et sa lettre ouverte, la défenderesse ne cite pas
explicitement des bases juridiques de l’article 6.1 du RGPD mais justifie une telle publication
par deux raisons : (1) l’obligation de publier les recommandations et (2) le caractère public de
l’origine de la plainte.
10. Quant à la première justification, la Chambre Contentieuse constate que l’exécution d’une
éventuelle demande du conseiller externe en prévention psychosociale ne peut se baser sur
une obligation légale. En effet, il n’existe pas dans la loi une obligation dans le chef d’un
employeur de publier les mesures collectives ou individuelles comprises dans un avis émis
par le conseiller en prévention externe4. De plus, dans la lettre, la défenderesse indique que
l’obligation imposée par Z portait sur la publication des mesures collectives. Or, la note
affichée par la direction sur les murs de la maison de repos s’intitule « Informations pour
notre personnel suite à la plainte formelle pour violence et harcèlement moral déposée par
Mme X contre la direction + mesures collectives en vue de l’amélioration des relations et de
l’organisation générale » (la Chambre Contentieuse souligne). La plaignante est à nouveau
identifiée dans la note sous le sous-titre « Conclusion concernant la plainte » : « Le conseiller
en prévention de la médecine du travail (Z) n’a mis en évidence aucune violence ni
harcèlement moral de la part de la direction envers Madame X».
11. Sur base de ces éléments, la Chambre Contentieuse constate que les nom et prénom de la
plaignante n’ont pas été communiqués dans le but de publier les mesures collectives, ou
même individuelles. Les seules mesures publiées sont les mesures collectives et ne
concernent pas la plaignante. L’identité de la plaignante n’a donc été communiquée qu’à titre
informatif. La défenderesse ne pourrait alors pas s’appuyer sur une demande, voire une
obligation du conseiller externe de prévention psychosociale pour publier les prénom et nom
de la plaignante. La défenderesse ne pourrait donc pas s’appuyer sur l’article 6.1.c du RGPD
pour le traitement litigieux.
12. La deuxième justification de la défenderesse résiderait dans le fait que l’identité de la
plaignante comme étant à l’origine de la demande d’intervention serait déjà connue du
personnel de Y. Le conseiller externe aurait procédé à une enquête auprès des travailleurs
de l’institution durant laquelle les travailleurs auraient eu l’opportunité de s’exprimer sur le
4
Voyez l’article 32sexiesdecies, alinéa 1 de la loi du 4 août 1996 relative au bien-être des travailleurs lors de l’exécution de
leur travail quant à la prévention des risques psychosociaux au travail dont, notamment, la violence et le harcèlement moral
ou sexuel au travail, telle que modifiée par la loi du 28 février 2014, où l’employeur n’est obligé de transmettre l’avis écrit par
le conseiller en prévention qu’à la personne concernée par la demande d’intervention psychosociale formelle et la personne
ayant introduit la demande d’intervention psychosociale formelle.
Décision 18/2023 – 5/9
conflit en cours entre la plaignante et la défenderesse. Le fait que la plaignante soit la
personne ayant demandé l’intervention d’un conseiller externe serait en quelque sorte une
information déjà publique.
13. Concernant le traitement de données publiquement accessibles, le Comité européen de la
protection des données a rappelé « que les données à caractère personnel, même si elles ont
été rendues publiques, restent considérées comme des données à caractère personnel et
que leur traitement continue donc à requérir des garanties appropriées ».5 Le traitement de
données à caractère personnel publiquement accessible doit donc également répondre au
principe de licéité rappelé aux points 7 et 8. Même si les employés de l’institution de la
défenderesse connaissaient l’origine de la demande d’intervention, la défenderesse doit se
prévaloir d’une base légale pour traiter les données à caractère personnel de la plaignante,
certes publiquement accessibles.
14. Compte tenu de la nature du traitement en cause, la Chambre Contentieuse estime que les
bases légales prévues par l’article 6 du RGPD ne semblent pas trouver à s’appliquer en
l’espèce. Par souci d’exhaustivité, la Chambre Contentieuse examine néanmoins si le
traitement de données pouvait se baser sur le fondement de licéité de l’intérêt légitime
prévu à l’article 6.1.f du RGPD.
15. Comme l’a rappelé la Chambre Contentieuse dans sa décision 35/20206, en application de
l'article 6.1.f du RGPD et de la jurisprudence de la Cour de justice, trois conditions
cumulatives doivent être réunies pour qu'un responsable du traitement puisse valablement
se prévaloir de cette base juridique, « à savoir, premièrement, la poursuite d’un intérêt
légitime par le responsable du traitement ou par le ou les tiers auxquels les données sont
communiquées, deuxièmement, la nécessité du traitement des données à caractère
personnel pour la réalisation de l’intérêt légitime poursuivi et, troisièmement, la condition
que les droits et les libertés fondamentaux de la personne concernée par la protection des
données ne prévalent pas »7.
16. Afin de pouvoir invoquer le motif de licéité de « l'intérêt légitime » en vertu de l'article 6.1.f
du RGPD, le responsable du traitement doit démontrer, en d'autres termes, que :
1) les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme
légitimes (le « critère de finalité »);
5
Comité européen de la protection des données (ou EDPB), avis 06/2014 sur la notion d’intérêt légitime poursuivi par le
responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE, p. 43.
6
Chambre Contentieuse, décision 35/2020 du 30 juin 2020, points 26 et 27, disponible sur
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-35-2020.pdf
7
CJUE, arrêt du 4 mai 2017, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde t. Rīgas pašvaldības
SIA « Rīgas satiksme », C-13/16; ECLI: EU:C:2017:336, para. 28-31 ; CJUE, arrêt du 11 décembre 2019,
TK c. Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, ECLI:EU:C:2019:1064, para. 40.
Décision 18/2023 – 6/9
2) le traitement envisagé est nécessaire à la réalisation de ces intérêts (le « critère de
nécessité ») ; et
3) la mise en balance de ces intérêts avec les intérêts, libertés et droits fondamentaux des
personnes concernées penche en faveur du responsable du traitement ou d’un tiers (le
« critère de mise en balance »).
17. Pour ce qui est de la première condition, la Chambre Contentieuse relève, d’après les pièces
du dossier et plus particulièrement son courrier à la plaignante du 18 janvier 2023, que la
défenderesse justifie la publication de l’identité de la plaignante par, d’une part, le fait que
les membres du personnel auraient demandé des nouvelles des résultats de l’enquête
réalisée par le conseiller externe Z et, d’autre part, sa volonté de démonter qu’aucun fait de
violence ou de harcèlement n’aurait été constaté dans son chef. Dès lors que la légitimité
d’un traitement peut être interprétée largement8, la Chambre estime que les finalités qui
consistent à informer le personnel d’un avis du conseiller externe et défendre sa réputation,
doivent être considérées comme poursuivant un intérêt légitime. La première condition
reprise à l’article 6.1.f du RGPD est donc remplie.
18. En ce qui concerne la deuxième condition (le « critère de nécessité »), il convient de
démontrer que le traitement est nécessaire à la réalisation des finalités
poursuivies. Cela signifie plus précisément qu'il faut se demander si le même résultat ne peut
pas être atteint avec d'autres moyens, sans traitement de données à caractère personnel ou
sans traitement inutilement contraignant ou intrusif pour les personnes concernées.
19. Partant des finalités mentionnées au point 17, il convient donc de vérifier si la publication des
noms et prénom de la plaignante peut ou non contribuer à l’information du personnel sur
l’existence de faits de violence et de harcèlement moral de la part de la défenderesse. La
Chambre Contentieuse considère que la publication des nom et prénom de la plaignante
n’est pas strictement nécessaire à la poursuite de telles finalités. En effet, la simple mention
des résultats de l’enquête du conseiller externe, sans contenir l’identité de la plaignante,
suffisait à cette fin. La deuxième condition n’est dès lors pas rencontrée.
20. Les trois conditions pour invoquer l’intérêt légitime comme base juridique étant
cumulatives, la Chambre Contentieuse n’analyse pas le critère de mise en balance car le
traitement litigieux ne satisfait pas aux exigences du critère de nécessité.
21. La défenderesse ne pourrait dès lors pas invoquer l’article 6.1.f du RGPD pour justifier la
publication des nom et prénom de la plaignante dans la note et la lettre en cause. Partant, ne
présentant pas de base légale pour le traitement litigieux, la défenderesse semble ne pas
respecter le principe de licéité prescrit par les articles 5.1.a et 6.1 du RGPD.
8
Groupe de Travail « Article 29 » sur la protection des données, avis 06/2014 sur la notion d’intérêt légitime poursuivi par le
responsable du traitement des données au sens de l’article 7 de la directive 95/45/CE, p. 27.
Décision 18/2023 – 7/9
22. La Chambre Contentieuse estime par conséquent que sur la base des faits exposés supra, il
y a lieu de conclure que la défenderesse peut avoir commis une violation du principe de
licéité prescrit par l’article 5.1.a et 6.1 du RGPD, ce qui justifie, en l’occurrence, de procéder à
la prise d’une décision conformément à l’article 95, § 1er, 4° de la LCA, plus précisément
d’avertir la défenderesse que la publication des nom et prénom de la plaignante dans des
notes ou lettres ouvertes au personnel sans base légale pourrait constituer une violation de
l’article 5.1.a et l’article 6.1 du RGPD, ainsi que, conformément à l’article 95, § 1er, 5° de la LCA,
de lui ordonner de se conformer à la demande de la plaignante de supprimer les données à
caractère personnel de la plaignante de la note et de la lettre ouverte, et ce en particulier vu :
- La note d’informations affichée concernant l’intervention psychosociale et la lettre
ouverte en réponse à la lettre du secrétaire régional CNE, vraisemblablement
écrites par la défenderesse, dans lesquels la plaignante est identifiée ;
- Le courrier de réponse au recommandé de la plaignante du 18 janvier 2023
vraisemblablement écrite par la défenderesse, dans lequel la défenderesse
expliquerait les bases légales du traitement litigieux en des termes non juridiques.
23. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par la plaignante,
dans le cadre de la « procédure préalable à la décision de fond »9 et pas une décision sur le
fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
24. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
25. Si toutefois la défenderesse n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui
pourraient conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une
demande de traitement sur le fond de l’affaire via l’adresse e-mail litigationchamber@apd-
gba.be, et ce dans le délai de 30 jours après la notification de la présente décision. Le cas
échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
26. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
9
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
Décision 18/2023 – 8/9
27. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA10.
III. Publication de la décision
28. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification
des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément
aux articles 98 e.s. de la LCA :
- en vertu de l'article 58.2.a) du RGPD et de l'article 95, § 1er, 4° de la LCA, d'avertir la
défenderesse pour le futur que que la publication des nom et prénom de la plaignante
dans des notes ou lettres ouvertes au personnel sans base légale pourrait constituer
une violation de l’article 5.1.a et l’article 6.1 du RGPD.
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner
à la défenderesse de se conformer à la demande de la plaignante de supprimer les
données à caractère personnel litigieuses, dans les meilleurs délais et au plus tard
dans les 30 jours de la notification de la présente décision.
10
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des
données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 18/2023 – 9/9
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire11. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.12, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(Sé). Hielke HIJMANS
Président de la Chambre Contentieuse
11
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
12
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.