1/15
Chambre Contentieuse
Décision quant au fond 188/2025 du 19 novembre 2025
Numéro de dossier : DOS-2020-00645
Objet : Plainte relative à des consultations illicites du Registre national au sein d’une
administration communale
La Chambre Contentieuse de l'Autorité de protection des données ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») ;
Vu la Loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après « Loi
RN ») ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X1, qui a déposé plainte en nom propre mais également en représentation de
sa mère, X2, ci-après « le plaignant ».
1
Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023
modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le
01/06/2024. Conformément à l’article 56 de la loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers
de médiation, requêtes, inspections et procédures devant la Chambre Contentieuse initiés à partir de cette date :
https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-des-
donnees.pdf Les dossiers initiés avant le 01/06/2024 comme en l’espèce sont soumis aux dispositions de la LCA non modifiée
par la Loi du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date.
Décision quant au fond 188/2025 — 2/15
La défenderesse : La commune Y, représentée par son Collège des bourgmestres et échevins, ci-
après « la défenderesse ».
I. Faits et rétroactes de procédure
1. Le 4 février 2020, le plaignant introduit une plainte auprès de l’Autorité de protection des
données (APD) contre la défenderesse (une commune).
2. L'objet de la plainte concerne la consultation irrégulière de données à caractère personnel
du Registre national par des employés de la défenderesse et les réponses apportées par
cette dernière aux demandes du plaignant.
3. Le plaignant rapporte que les faits débutent par une première consultation irrégulière qui a
lieu le 3 décembre 2019 et qui porte sur des données du Registre national concernant sa
mère qu’il indiquer représenter dans le cadre de la présente procédure.
4. Interpellée quant à ce par cette dernière par courriers des 8 et 9 décembre 2019, la
défenderesse répond à l’intéressée le 10 décembre 2019 qu’un agent identifié du service
population a consulté ses données à des fins privées et qu’une procédure disciplinaire est
envisagée à l’encontre de cet agent.
5. La seconde consultation irrégulière a eu lieu le 16 décembre 2019 et porte sur des données
du Registre national du plaignant, notamment sa photo d’identité.
6. Il ressort des pièces du dossier que le plaignant a dénoncé cette consultation auprès de la
défenderesse les 27 et 28 décembre 2019.
7. Par courriel du 27 décembre 2019, une première réponse est adressée au plaignant par le
délégué à la protection des données (DPO) de la défenderesse de l’époque (Monsieur Z.)
expliquant qu’un agent du service population a irrégulièrement consulté sa photo d’identité
afin de pouvoir le reconnaître s’il se présentait à l’administration communale.
8. Une deuxième réponse est adressée au plaignant le 30 décembre 2019 mentionnant qu’un
agent du service affaires civiles et sociales encore à identifier a outrepassé sa fonction en
consultant sa photo, vraisemblablement afin de s’assurer, par prudence, qu’il avait affaire à
la bonne personne dans le cadre d’une demande formulée par le plaignant pour le compte
de sa mère (le plaignant ayant envoyé sa demande au départ de l’adresse e-mail nommant
de son père décédé). La défenderesse ajoute qu’une fois cet agent identifié, une procédure
disciplinaire sera envisagée à l’encontre de celui-ci. La défenderesse précise encore que des
mesures seront mises en place pour éviter ce type de dysfonctionnements à l’avenir.
9. Jugeant ces réponses insatisfaisantes, le plaignant dépose plainte à l’APD le 4 février 2020
ainsi qu’il a été mentionné au point 1.
Décision quant au fond 188/2025 — 3/15
10. Le 3 mars 2020, la plainte est déclarée recevable par le Service de Première Ligne (SPL)
de l’APD sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA.
11. Le 31 mars 2020, conformément à l’article 96, § 1er de LCA, la demande de la Chambre
Contentieuse de procéder à une enquête est transmise au Service d’Inspection (SI), de
même que la plainte et l’inventaire des pièces.
12. Le 2 février 2021, l’enquête du SI est clôturée, le rapport d’enquête est joint au dossier et
celui-ci est transmis par l’Inspecteur général à la Chambre Contentieuse (art. 91, § 1 er et § 2
de la LCA).
13. Aux termes de son rapport d’enquête, l’Inspecteur général fait le constat d’une violation des
articles 5.2 et 24.1 du RGPD par la défenderesse dans les termes suivants :
« Constatation : Non-respect du principe de responsabilisation
« L’article 17 de la Loi Registre national1 – entré en vigueur le 23 décembre 2018 –
impose la traçabilité des accès : « Chaque autorité publique (…) doit être en mesure
de pouvoir justifier les consultations effectuées, que celles-ci se fassent par un
utilisateur individuel ou par un système informatique automatique. A cet effet, afin
d'assurer la traçabilité des consultations, chaque utilisateur tient un registre des
consultations. Ce registre indique l'identification de l'utilisateur individuel ou du
processus ou du système qui a accédé aux données, les données qui ont été
consultées, la façon dont elles ont été consultées, à savoir en lecture ou pour
modification, la date et l'heure de la consultation ainsi que la finalité pour laquelle
les données du Registre national des personnes physiques ont été consultées. »
Comme avait pu le mentionner la Commission de la protection de la vie privée dans
sa recommandation 07/2017 du 30 août 2017, « la mention du motif de la
consultation constitue une garantie nécessaire et obligatoire pour accéder au
Registre national de manière légitime » (point 6). Cette obligation est également
rappelée dans la décision quant au fond de la Chambre contentieuse 19/2020 du
29 avril 20203 qui dispose : « Il incombe donc à la défenderesse de garantir que
l’accès au Registre national demeure limité aux finalités pour lesquelles cet accès a
été autorisé. Il lui incombe également d’être en mesure de le démontrer. Le respect
du principe de finalité, pilier de la protection des données, ne peut en effet pas être
vérifié si les agents d’une structure telle la défenderesse n’enregistrent pas le motif
de la consultation qu’ils opèrent. Il est tout aussi essentiel à cet égard que
conformément à l’article 24 du RGPD, la défenderesse dispose d’un mécanisme de
contrôle adéquat garantissant que ses agents habilités consultent le Registre
national dans le cadre de ces seules finalités. La défenderesse doit disposer d’une
Décision quant au fond 188/2025 — 4/15
application informatique qui permette de légitimer chaque consultation effectuée
par son personnel et démontre ainsi que la consultation a eu lieu dans le cadre de
l’exercice des tâches du membre du personnel qui a effectué la consultation. »
En l’espèce, l’application SAPHIR utilisée par l’Administration communale [de la
défenderesse] prévoyait au moment des faits uniquement l’enregistrement d’un
motif de consultation générique.
Une obligation de motiver précisément a été mise en place dans le champ de saisie
libre de SAPHIR suite aux événements, qui permet d’aller plus loin que des finalités
génériques (ex : population) utilisées précédemment.
Suivant les explications du DPO de l’Administration communale [de la
défenderesse ] l’application Belpic – qui est fournie par le Service public fédéral
Intérieur – ne prévoit quant à elle pas l’indication de la finalité de la consultation et
les communes ne peuvent pas contrôler les accès dans cette application.
Par ailleurs, un contrôle des consultations par l’Administration communale [de la
défenderesse] n’existait pas au moment des faits.
Le Service d’inspection constate que l’Administration communale ne disposait
pas au moment des faits d’un mécanisme de contrôle adéquat garantissant que
ses agents habilités consultent le Registre national dans le cadre des seules
finalités pour lesquelles cet accès a été autorisé »2.
14. Le 3 mars 2021, la Chambre Contentieuse demande une enquête complémentaire au SI
sur la base de l'article 96, § 2 de la LCA.
15. La Chambre Contentieuse indique avoir constaté que le rapport d’enquête dont question
aux points 12 et 13 ci-dessus relève, à la suite d’informations fournies par le DPO de la
défenderesse, que l’application Belpic fournie par le SPF Intérieur ne respecterait pas les
prescrits de la Loi organisant un Registre national des personnes des physiques (ci-après « la
Loi RN »). En particulier, l’application Belpic ne permettrait pas que le motif de la consultation
soit communiqué comme le requiert l’article 17 de la loi précitée. Partant, la Chambre
Contentieuse demande au SI de procéder à une enquête complémentaire sur cet aspect
auprès du SPF Intérieur.
16. Le 25 février 2022, le rapport d’enquête complémentaire est transmis par l’Inspecteur
général à la Chambre Contentieuse.
17. Ce rapport d’enquête complémentaire comporte le constat suivant :
2
C’est la Chambre Contentieuse qui souligne.
Décision quant au fond 188/2025 — 5/15
« Compte tenu de ces différents éléments, le Service d’inspection constate que
l’administration communale [de la défenderesse] est en l’espèce en mesure de
contrôler les accès au Registre national de ses agents effectués au moyen de
l’application Belpic et d’en connaître la finalité, dès lors que l’application Belpic ne
peut légitimement être utilisée qu’afin de délivrer des documents d’identité.
Le Service d’inspection estime dès lors que la question générique du respect de
l’application Belpic des prescrits de la loi Registre national, particulièrement
l’obligation d’enregistrer le motif de la consultation des données du Registre
national, n’a plus de pertinence dans le cas d’espèce et élargirait excessivement la
portée du présent dossier ».
18. Le 10 juin 2022, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
19. A cette même date, le plaignant et la défenderesse sont informés par envoi recommandé
des dispositions des articles 95, § 2 et 98 de la LCA. Ils sont également informés, en vertu
de l'article 99 de la LCA, des délais pour transmettre leurs conclusions au regard d’un
manquement aux articles 5.2 et 24.1 du RGPD tel que relevé par le SI au terme de son
enquête. La date limite pour la réception des conclusions en réponse de la défenderesse est
fixée au 22 juillet 2022, celle pour les conclusions en réplique du plaignant au 16 août 2022
et celle pour les conclusions en réplique de la défenderesse au 7 septembre 2022.
20. Le 11 juin 2022, le plaignant demande une copie de certaines pièces du dossier (art. 95, §2,
3° LCA), lesquelles lui sont transmises le 29 juin 2022.
21. Le 20 juillet 2022, la Chambre Contentieuse reçoit les conclusions en réponse de la
défenderesse dont un résumé succinct figure ci-après.
- La défenderesse ne conteste pas les consultations irrégulières, ce dans la lignée des
courriers qu’elle a adressés au plaignant et à sa mère en ce sens dès 2019 (voy. l’exposé
des faits).
- La défenderesse indique comme elle l’avait fait au cours de l’enquête du SI, pièces à
l’appui, que les deux agents communaux contrevenants ont fait l’objet d’une sanction
disciplinaire (avertissement) en 2020 pour consultation illégitime du Registre National
ainsi que de Belpic.
- A la suite de ces sanctions, la défenderesse a adressé des explications ainsi que des
rappels de la clause de confidentialité signée par les agents et des sanctions possibles
en cas de non-respect de celle-ci.
Décision quant au fond 188/2025 — 6/15
- La défenderesse relève que les deux agents doivent être qualifiés de responsables de
traitement au sens de l’article 4.7 du RGPD, ce dans la lignée de précédentes décisions
de la Chambre Contentieuse, en particulier sa décision 94/2021.
- Elle souligne que ces deux agents communaux ont, respectivement les .. et .. ( soit avant
les faits) signé une clause de confidentialité relative à l’utilisation du Registre National
aux termes de laquelle ils s’engagent à n’utiliser l’accès au Registre National qu’ils
détiennent que dans le cadre strict de leur fonction et qu’ils reconnaissent que le fait de
consulter le Registre national est une faute grave passible de sanctions telles que le
licenciement immédiat ou l’engagement de poursuites disciplinaires.
- La défenderesse ajoute que son règlement de travail communal, dont un extrait est
produit, prévoit par ailleurs (article 7) que l’agent doit effectuer son travail avec rigueur
et probité et s’abstenir de tout comportement qui pourrait nuire à la confiance du public
dans l’administration. Plus particulièrement, l’annexe VIII de ce règlement de travail
intitulée « Directives relatives à la protection des données à caractère personnel »
contient un « Article 2. – Traitement de données à caractère personnel uniquement à
des fins professionnelles » aux termes duquel « l’agent traite les données à caractère
personnel des personnes concernées pour les seules finalités professionnelles
inhérentes aux activités de la commune 3. Il est interdit de consulter des données à
caractère personnel pour des finalités personnelles ».
- A l’appui de ces différents éléments, la défenderesse considère qu’elle a mis en place
les mesures adéquates destinées à éviter toute consultation irrégulière du Registre
National et s’est ainsi conformée aux obligations qui lui incombent en exécution des
articles 5.2 et 24.1 du RGPD. Elle ajoute que quelles que soient ces mesures, elles ne
pourront jamais empêcher de manière absolue un dysfonctionnement isolé de l’ un ou
l’autre agent. L’article 24.1 du RGPD doit en ce sens être considéré comme imposant une
obligation de moyen aux responsables de traitement ((à laquelle la défenderesse a
satisfait), non une obligation de résultat.
- En conclusion, la défenderesse demande à la Chambre contentieuse de considérer les
agents communaux fautifs comme responsables de traitement au sens de l’article 4.7
du RGPD et partant, de classer sans suite la plainte déposée à son encontre par le
plaignant.
22. Le 24 juillet 2022, le plaignant s’adresse à la Chambre Contentieuse et lui fait part de ce qu’il
constate que la défenderesse est « représentée par Monsieur Z, s’affichant comme
« juriste » ». Le plaignant s’interroge sur un potentiel conflit d’intérêt dans le chef de ce
dernier qui, à l’époque des faits litigieux, était le DPO de la défenderesse et avait donc selon
3
C’est la Chambre Contentieuse qui souligne.
Décision quant au fond 188/2025 — 7/15
ses termes « déterminé les finalités et les moyens de traitement de manière à faire respecter
la loi du 30 juillet 2018 mais aussi la loi du 8 août 1983 organisant un registre national des
personnes physiques ». Le plaignant demande à la Chambre de lui faire part de son point de
vue ce que la Chambre Contentieuse décline à ce stade de la procédure.
23. Le 8 août 2022, la Chambre Contentieuse reçoit les conclusions en réplique du plaignant.
Un résumé de celles-ci figure ci-dessous.
- Le plaignant estime qu’il conviendrait que l’APD mette à la cause les deux agents
communaux fautifs de la défenderesse ainsi que le SPF Intérieur. S’agissant des deux
agents fautifs, le plaignant s’interroge sur la réalité de la justification personnelle de la
consultation qu’ils ont avancée (envoi de carte de vœux notamment), sur la question de
savoir ce qu’ils ont fait de ses données personnelles une fois celles-ci consultées, sur la
question de savoir s’ils n’auraient pas agi sur ordre, etc.
- Le plaignant souligne que les conclusions de la défenderesse sont signées et transmises
par son ex-DPO, devenu juriste. Comme il en avait précédemment fait part à la Chambre
Contentieuse (point 22), le plaignant estime qu’il existe un conflit d’intérêt dans le chef
de ce dernier dès lors que, selon ses termes déjà cités et qu’il réitère : « (…) en sa qualité
de DPO, cette personne a déterminé les finalités et les moyens du traitement destinés à
respecter tant la Loi du 5 août 1983 relative au Registre National que la LTD4 ». Cet ex-
DPO aurait par ailleurs rédigé un rapport mettant en cause l’un des agents concernés.
Dans la foulée de cette dernière considération, le plaignant demande que l’APD exige la
production dudit rapport rédigé par le DPO.
- De manière générale, le plaignant est d’avis que la défenderesse n’a pas mis en place
les mesures suffisantes destinées à prévenir les consultations intervenues ce,
indépendamment de sa tentative de se dédouaner de toute responsabilité et de reporter
celle-ci sur les agents communaux fautifs. Il souligne à cet égard l’aveu de la
défenderesse qui, au moment d’adopter les mesures adéquates pour éviter que des
consultations litigieuses comparables ne se reproduisent, prises, indique qu’il n’y avait à
l’époque des faits, pas de contrôle des accès au Registre national. Le plaignant souligne
également que l’annexe VIII au règlement de travail invoquée par la défenderesse en
conclusions (voy. point 21) n’était pas en vigueur au moment des faits. Il s’appuie plus
généralement sur les constats du SI.
- Le plaignant dénonce également un manque de transparence au regard du
remplacement du DPO (Monsieur Z) par une société externe.
- Le plaignant demande enfin que le dossier soit transmis au Procureur du Roi.
4
Lisez la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à
caractère personnel.
Décision quant au fond 188/2025 — 8/15
24. Le 7 septembre 2022, la défenderesse indique à la Chambre Contentieuse qu’elle n’entend
pas répliquer, l’intégralité de son argumentation étant contenue dans ses conclusions en
réponse (point 21), lesquelles valent conclusions en réplique .
25. Le 13 janvier 2023, le plaignant écrit à la Chambre Contentieuse que dans l’attente de sa
décision, il a poursuivi ses investigations quant au marché public conjoint organisé par la
défenderesse (et son CPAS) évoqué en conclusions relativement au remplacement de l’ex-
DPO de la défenderesse. Il dépose de nouvelles pièces à ce sujet dont une réclamation
déposée à l’égard de ce marché public.
26. Le 24 janvier 2023, la Chambre Contentieuse fait savoir aux parties qu’elle examinera la
recevabilité de ces documents déposés en-dehors du calendrier de procédure lors de sa
prise de décision.
II. Motivation
II.1. Quant à l’imputabilité des consultations illicites – la question du responsable de
traitement
27. Conformément à l’article 4.7 du RGPD, il y a lieu de considérer comme le responsable du
traitement: « la personne physique ou morale, l'autorité publique, le service ou un autre
organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du
traitement ». Il s’agit d’une notion autonome, propre à la réglementation en matière de
protection des données dont l’appréciation doit se faire au départ des critères qu’elle
énonce : la détermination des finalités du traitement de données concerné ainsi que celles
des moyens de celui-ci.
28. Indépendamment de la qualification que se donneraient les parties, la Chambre
Contentieuse doit évaluer concrètement le rôle et la qualité des parties concernées et mises
en cause et écarter le cas échéant la qualification que se seraient donnée les parties s’il
devait résulter de son analyse que cette qualification ne peut pas être retenue5.
29. Lorsque l’employé d’une organisation opère des traitements de données à caractère
personnel dans le cadre des activités de celle-ci, le traitement est réputé avoir lieu sous
l’autorité de l’organisation. L’employé est en effet considéré comme une « personne
agissant sous l’autorité du responsable du traitement » au sens de l’article 29 du RGPD dans
ce cas6.
5
Voy. en ce sens Bruxelles (Cour des marchés), 8 juin 2022, 2022/AR/42, p. 6.
6
Article 29 du RGPD : Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle
du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du
responsable du traitement, à moins d’y être obligé par le droit de l’Union ou le droit d’un État membre.
Décision quant au fond 188/2025 — 9/15
30. Toutefois, il existe des situations exceptionnelles dans lesquelles l’employé a défini lui-
même les finalités d’un traitement de données à caractère personnel en « outrepassant
de manière illicite l’autorité qui lui a été confiée »7.
31. En l’espèce, la Chambre Contentieuse constate qu’en ce qui concerne le traitement de
données qui consiste à consulter le Registre National, c’est - sauf les cas où ses agents se
rendent coupables d’une consultation non autorisée -, bien la défenderesse qui détermine
les finalités et les moyens du traitement. En effet, les consultations du Registre National sont
à effectuer dans le cadre des missions confiées à la défenderesse en sa qualité
d’administration communale.
32. En l’espèce, des consultations (illicites) du Registre National ont été opérées hors du cadre
de ces missions, à d’autres fins (soit à des fins personnelles) par des agents communaux.
Bien que ces derniers aient utilisé les moyens mis à leur disposition par la défenderesse, ces
agents communaux doivent être considérés chacun comme responsable de traitement
au sens de l’article 4.7 du RGPD pour la consultation illicite dont ils se sont respectivement
rendus coupables dès lors qu’ils ont opéré les consultations litigieuses en dehors du cadre
de leurs tâches en tant qu’employés de la défenderesse (ce dernier fait n’étant pas
contesté).
33. Compte tenu de ce qui précède, la Chambre Contentieuse conclut que l’illicéité de ces
consultations n’est pas imputable à la défenderesse 8.
34. La Chambre Contentieuse ajoute que pour autant, elle n’est pas tenue de mettre à la cause
les deux agents communaux fautifs, ce que le SI n’a pas non plus jugé opportun de faire.
Elle n’est pas davantage tenue de mettre à la cause le SPF Intérieur dès lors que la plainte
initiale n’était pas dirigée contre lui et qu’au terme de l’enquête complémentaire menée à
son égard, même à la demande de la Chambre Contentieuse, l’Inspecteur général n’a relevé
aucun manquement dans son chef. La Chambre Contentieuse ne les a donc, ni les uns ni
l’autre, inclus dans le périmètre de sa saisine ou invité à conclure (point 19).
35. De manière générale, il n’incombe pas à l’APD de mettre à la cause toutes les acteurs liés
à une problématique. La Chambre Contentieuse rappelle à cet égard que la Cour des
marchés qui connait des appels de ses décisions, ne sanctionne pas le choix procédural de
l’autorité (ni par ailleurs celui du plaignant le cas échéant) de ne pas impliquer toutes les
personnes, instances et autres liées à une problématique et de ne pas solliciter une
7
Comité européen de la protection des données (CEPD), Lignes directrices 07/2020 concernant les notions de responsable
de traitement et de sous-traitant dans le RGPD, 7 juillet 2021, version 2, paragraphe 19, accessible via:
https://www.edpb.europa.eu/system/files/2023-10/edpb guidelines 202007 controllerprocessor final fr.pdf .
8
A toutes fins utiles, la Chambre Contentieuse ajoute que la circonstance qu’elle constatera ci-après que la défenderesse
n’avait pas mis en place toutes les mesures techniques et organisationnelles destinées à prévenir de telles consultations
illicites, n’énerve pas en l’espèce sa décision. En effet, les employés concernés n’ignoraient pas que telle consultation était
interdite puisqu’ils avaient signé une clause de confidentialité en ce sens.
Décision quant au fond 188/2025 — 10/15
investigation du SI à leur égard9. A toutes fins utiles, la Chambre Contentieuse précise que
dès lors, toutes les considérations, questionnements et suppositions émises par le plaignant
au regard des agents fautifs ne sont pas examinés aux termes de la présente décision.
36. En revanche, la Cour des marchés estime que les poursuites et sanctions doivent être
dirigées contre une partie qui est reconnue comme responsable de traitement, ce qui est
le cas de la défenderesse en l’espèce au regard des obligations qui lui incombent en
exécution des articles 5.2 et 24.1 du RGPD ce, indépendamment du fait que l’illicéité des
consultations du Registre national ne lui est pas imputée en l’espèce (voy. infra).
37. Parce que le plaignant considère qu’il existe un conflit d’intérêt dans le chef de l’ex-DPO
(Monsieur Z) de la défenderesse devenu juriste et qui signe les courriers et conclusions
échangés dans le cadre de la procédure devant la Chambre Contentieuse en cette dernière
qualité au motif qu’il aurait déterminé les finalités et les moyens du traitement litigieux, la
Chambre Contentieuse entend clarifier ce qui suit.
38. Un DPO n’est pas à considérer comme déterminant les finalités et les moyens d’un
traitement de données. Bien au contraire, son rôle consiste à conseiller le responsable de
traitement quant à la mise en œuvre de traitements de données à caractère personnel
respectueux du RGPD. Sa mission d’avis, de conseil et de contrôle du respect du RGPD
définie à l’article 39 du RGPD est précisément incompatible avec une quelconque
détermination des finalités et des moyens des traitements. A ce titre, le DPO agit avec
indépendance (article 38.3 du RGPD) et doit être exempt de tout conflit d’intérêt (article
38.6 du RGPD). Si par ses fonctions, la personne pressentie comme DPO devait être amenée
en pratique à déterminer les finalités et les moyens d’un traitement, elle ne pourra pas être
DPO. Il en va de même si ce conflit d’intérêt devait survenir au cours de l’exercice de sa
fonction. Aussi, l’argument soulevé par le plaignant selon lequel l’ex-DPO aurait un conflit
d’intérêt parce qu’il aurait en cette qualité déterminé les finalités et les moyens des
traitements à l’époque des faits dénoncés est inexact et contraire en droit. La Chambre
Contentieuse n’est par ailleurs en possession d’aucun élément qui attesterait que le DPO a
déterminé les finalités et les moyens du traitement litigieux en l’espèce et n’a en toute
hypothèse pas invité les parties à se défendre à cet égard (point 19).
39. Pour le surplus, la Chambre Contentieuse est d’avis qu’il ne relève pas de sa compétence de
se prononcer sur les personnes internes que la défenderesse choisit de consulter (DPO,
juriste, …) pour analyser les faits au moment où ceux-ci se produisent ou pour sa défense.
Ainsi, que le DPO soit associé à l’examen d’une pratique dénoncée comme contraire au
RGPD et à la Loi RN relève précisément de son rôle dès lors que conformément à l’article
38.1 du RGPD, il doit être associé de manière appropriée et en temps utile à toute question
9
Bruxelles (Cour des marchés), 30 juin 2021, 2020/AR/111, p. 6.9.1 et 6.9.2.
Décision quant au fond 188/2025 — 11/15
de protection des données. La Chambre Contentieuse n’entend pas non plus commenter la
manière dont la défenderesse a préparé sa défense dans le contexte de la présente
procédure, étant entendu que c’est elle (et non le DPO comme elle vient de le souligner) qui
est tenue au respect du RGPD. Enfin, la Chambre Contentieuse précise qu’aux termes de
cette décision, elle tient la défenderesse pour responsable en qualité de responsable de
traitement, non le juriste qui co-signe les courriers ou envoie les conclusions depuis sa boite
e-mail professionnelle.
II.2. Quant au respect des articles 5.2 et 24.1 du RGPD
40. Le constat selon lequel l’illicéité des consultations du Registre National ne lui est pas
imputable en l’espèce n’exempte pas pour autant la défenderesse de son obligation de
mettre en place les mesures organisationnelles et techniques destinées à assurer la
conformité des consultations du Registre National au RGPD en particulier le respect des
principes de sécurité et de finalité. Elle y est tenue en exécution des articles 5.1. f)10 et 3211
du RGPD et les dispositions pertinentes de la Loi RN appliqués en combinaison avec les
articles 5.212 et 24.1 du RGPD. Il appartient en effet aux responsables de traitement
autorisés à consulter le Registre national de mettre en œuvre les conditions de l’autorisation
dont ils bénéficient dans le respect des prescrits de celle-ci et ce conformément au principe
d’accountability énoncé aux articles 5.2. et 2413 du RGPD dont le contrôle du respect revient
à l’APD. En l’espèce, Il incombait à la défenderesse de garantir que l’accès au Registre
national demeure limité aux finalités pour lesquelles cet accès était autorisé à l’exclusion de
toute finalité personnelle d’un de ses agents. Il lui incombait également d’être en mesure de
démontrer, comme le requièrent les articles 5.2 et 24 du RGPD, qu’elle avait mis en place
les mesures organisationnelles et techniques à cet effet.
10
L’article 5.1.f) du RGPD prévoit que les données à caractère personnel sont « traitées de façon à garantir une sécurité
appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la
perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées
(intégrité et confidentialité) ».
11
L’article 32.1 du RGPD prévoit pour sa part que « compte tenu de l'état des connaissances, des coûts de mise en œuvre et
de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de
gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en
œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (…)
»14. Le cinquième paragraphe de l’article 32 dispose que « Le responsable du traitement et le sous-traitant prennent des
mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du
sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du
traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre ».
12
En vertu de l’article 5.2 du RGPD les responsables doit être en mesure de démontrer respecter le premier paragraphe de
l’article 5 du RGPD (principe d’accountability).
13
L’article 24 du RGPD expose en ses deux premiers paragraphes que : « 1. Compte tenu de la nature, de la portée, du contexte
et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés
des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles
appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent
règlement. Ces mesures sont réexaminées et actualisées si nécessaire. 2. Lorsque cela est proportionné au regard des
activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en
matière de protection des données par le responsable du traitement. »
Décision quant au fond 188/2025 — 12/15
41. La Chambre Contentieuse souligne à cet égard la nature particulière de la consultation du
Registre national. Cette consultation est strictement règlementée et limitée à certaines
entités et professions notamment. Comme la Chambre Contentieuse a eu l’occasion de le
souligner dans plusieurs décisions déjà, cette base de données comprenant un certain
nombre d’informations relatives à plus de 11 millions de personnes, elle nécessite, par nature,
un encadrement particulièrement rigoureux, non seulement compte tenu de son ampleur,
mais plus encore en raison de sa vocation même d'enregistrement, de mémorisation et de
communication d'informations relatives à l'identification unique des personnes physiques. Il
est donc tout à fait essentiel que ceux qui comme la défenderesse bénéficient d’un accès au
Registre national en respectent scrupuleusement les conditions.
42. En l’espèce, ainsi qu’il a été relevé ci-dessus, la défenderesse indique par voie de
conclusions, qu’elle avait au moment des faits dénoncé, mis en place les mesures techniques
et organisationnelles suffisantes telle la clause de confidentialité signée par les agents
fautifs, des clauses pertinentes dans le règlement de travail et l’indication requise d’un motif
de consultation générique à fournir lors de chaque consultation.
43. Le SI relève quant à lui que la défenderesse ne disposait pas au moment des faits d’un
mécanisme de contrôle adéquat garantissant que ses agents habilités consultent le
Registre national dans le cadre des seules finalités pour lesquelles cet accès a été autorisé.
44. La Chambre Contentieuse est à cet égard d’avis que les éléments apportés par la
défenderesse au titre de mesures en place au moment des faits ne permettent pas
d’infirmer le constat du SI. Certes, les agents étaient tenus à une clause de confidentialité
(dont la Chambre Contentieuse ne remet pas en cause la nécessité et la pertinence).
Toutefois, cette mesure ne permet pas à elle seule un contrôle du respect du principe de
finalité. De la même manière, les clauses invoquées du règlement de travail - dont la
Chambre Contentieuse ne remet pas non plus en cause la nécessité ni la pertinence - ne sont
pas non plus de nature à permettre un tel contrôle. La Chambre Contentieuse relève en outre
qu’en ce qui concerne le règlement de travail, il n’apparait pas que les clauses pertinentes
aient été applicables au moment des faits. L’extrait produit par la défenderesse mentionne
en effet qu’il s’agit de la version applicable à dater du 19 juillet 2022, soit uniquement après
les faits dénoncés.
45. En conclusion, la Chambre Contentieuse constate que la défenderesse était à l’époque des
faits litigieux, en défaut d’avoir mis en place un système contrôle adéquat quant au respect
de l’encadrement légal des consultations du Registre National, ce en violation des articles
5.2 et 24.1 du RGPD sur lesquels elle a invité la défenderesse à se défendre aux termes de
la présente procédure.
46. La Chambre Contentieuse ajoute qu’elle n’ignore pas qu’en cours d’enquête, la
défenderesse a déclaré avoir mis en place un certain nombre de mesures nouvelles dont,
Décision quant au fond 188/2025 — 13/15
outre les mesures listées en note14, une politique de contrôle trimestrielle des accès au
Registre national pour les agents de l’administration communale de la défenderesse.
47. Pour autant, ces mesures ne suppriment pas le manquement passé. Elles peuvent en
revanche être prises en compte par la Chambre Contentieuse dans l’appréciation de la
mesure correctrice / sanction appropriée au cas d’espèce ( voy. Titre III).
48. Quant aux interrogations que le plaignant formule au regard du manque de transparence de
la décision de remplacer le DPO interne par un DPO externe, la Chambre Contentieuse
précise que cette question ne fait pas partie du périmètre de sa saisine15. Elle rappelle à titre
purement informatif que l’article 37.6 du RGPD prévoit que « le délégué à la protection des
données peut être un membre du personnel du responsable du traitement ou du sous-
traitant, ou exercer ses missions sur la base d'un contrat de service » et qu’un DPO peut
exercer sa fonction au regard de plusieurs autorités, sociétés, entités, structures. Elle ajoute
que la question du respect ou non de la réglementation en matière de marché public ne
relève pas de sa compétence.
III. Mesures correctrices et sanctions
49. Aux termes de l’article 100.1.1° de la LCA, la Chambre Contentieuse a le pouvoir de:
1° classer la plainte sans suite;
2° ordonner le non-lieu;
3° prononcer une suspension du prononcé;
4° proposer une transaction;
5° formuler des avertissements ou des réprimandes;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
14
Note de service sur la consultation du Registre national avec formulaire de validation de la finalité par le chef de service
Affaires civiles et sociales pour les services qui n’ont pas accès au Registre National ;
L’ajout d’un champ de saisie libre pour justifier la finalité de la consultation de manière plus précise, en allant plus loin que les
finalités génériques seules possibles au moment des faits ;
Une injonction de respecter les règles de protection des données adressée aux agents du services Affaires sociales (en ce
compris un rappel des sanctions en cas de non-respect pouvant aller jusqu’au licenciement pour faute grave et un envoi au
procureur du Roi) ;
Une séance de sensibilisation à la protection des données du Collège communal ;
Un appel à l’administration communale pour que l’application SAPHIR soit pleinement conforme à la règlementation relative
au Registre national.
15
Partant, la Chambre Contentieuse n’a pas égard aux pièces déposées à ce sujet par le plaignant hors des délais pour conclure
(points 25-26))
Décision quant au fond 188/2025 — 14/15
9° ordonner une mise en conformité du traitement
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un
organisme international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données.
50. Au regard de la violation potentielle des articles 5.2 et 24.1 du RGPD sur laquelle la Chambre
Contentieuse a invité les parties à conclure, la Chambre Contentieuse a décidé au point 45
ci-dessus que la défenderesse s’est rendue coupable d’un manquement à ces articles.
51. Dans l’appréciation de la sanction appropriée à ce manquement, la Chambre Contentieuse
tient compte de l’ensemble des circonstances concrètes de l’espèce. La qualité d’autorité
publique de la défenderesse est un facteur qui participe de la gravité de son manquement.
En effet, ainsi que la Chambre Contentieuse l’a exposé ci-dessus, l’accès au Registre national
est strictement règlementé et limité. Lorsqu’il s’agit d’une autorité publique comme en
l’espèce, cette dernière se doit d’avoir une attitude exemplaire. Pour autant, le législateur
belge n’a pas autorisé la Chambre Contentieuse à imposer une amende administrative aux
autorités publiques au regard des violations du RGPD dont elles se rendent coupables dans
l’exercice de leurs missions en cette qualité comme c’est le cas en l’espèce. La Chambre
Contentieuse relève également que la défenderesse a pris la mesure de cette gravité en
sanctionnant ses employés fautifs et en mettant en place un certain nombre de mesures à
la fois techniques et organisationnelles (énumérées au point 46 et en note 14) après les faits
dénoncés pour éviter que ce type de consultation illicite ne se reproduise et assurer un
contrôle des consultations opérées.
52. A l’appui de ce qui précède, la Chambre Contentieuse décide que la réprimande est, en
application de l’article 100.1.5° de la LCA, la sanction appropriée au cas d’espèce.
53. La Chambre Contentieuse ajoute que pour le surplus, elle n’est pas tenue d’exposer les
raisons pour lesquelles elle ne retient pas une autre des sanctions listées à l’article 100.1 de
la LCA, même lorsque telle ou telle sanction a été sollicitée par l’une ou l’autre des parties.
Ainsi, la Chambre Contentieuse n’est pas tenue d’exposer les motifs pour lesquels elle ne