1/13
Chambre Contentieuse
Décision 203/2025 du 8 décembre 2025
Numéros de dossiers : DOS-2022-03564, DOS-2022-03565, DOS-2023-03554
Objet : Plainte relative à la perte de dossiers médicaux par l’Administration de
l’Expertise médicale du SPF Santé (Medex)
La Chambre Contentieuse de l'Autorité de protection des données (ci-après « APD ») ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel, ci-après « LTD » ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ;
Vu les pièces des dossiers ;
A pris la décision suivante concernant :
Les plaignant(e)s :
(1) X1, ci-après « le plaignant n°1 » (DOS-2022-03565) ;
(2) X2, ci-après « le plaignant n°2 » (DOS-2022-03564) ;
(3) X3, ci-après « le plaignant n°3 » (DOS-2023-03554).
1
Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023
modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le
01/06/2024. Conformément à l’article 56 de la loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers
de médiation, requêtes, inspections et procédures devant la Chambre Contentieuse initiés à partir de cette date :
https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-des-
donnees.pdf. Les dossiers initiés avant le 01/06/2024 comme en l’espèce sont soumis aux dispositions de la LCA non modifiée
par la Loi du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date.
Décision 203/2025 — 2/13
Le défendeur : Service public fédéral Santé publique, Administration de l'Expertise médicale
(Medex), Avenue Galilée 5 bte 2, 1210 Bruxelles, Belgique, ci-après « le
défendeur » ou « Medex »).
Décision 203/2025 — 3/13
I. Faits et procédure
1. Le 24 août 2022 et le 28 août 2023, les plaignants ont déposé plainte auprès de l’Autorité
de protection des données contre l’Administration de l’Expertise médicale du SPF Santé (ci-
après « Medex »).
2. Dans les affaires répertoriées sous les numéros DOS-2022-03564, DOS-2022-03565 et
DOS-2023-03554, les plaignants reprochent tous les trois au Medex d’avoir perdu ou égaré
leurs dossiers médicaux dans le cadre d’une demande de pension de réparation allouée aux
invalides militaires. Dans le cadre de cette procédure, les plaignants (1), (2) et (3) ont chacun
été convoqués par l’Office Médico-légal du Medex ( ci-après « OML ») pour un examen
médical visant à déterminer un taux d'invalidité. Dans ce contexte, un dossier médical papier
est constitué, contenant notamment le protocole de cette expertise médicale ( ci-après «
dossier OML ») . À la suite de ces examens médicaux, les dossiers OML des plaignants
devaient être physiquement transférés du centre régional vers l’OML central de Bruxelles
pour approbation. C’est dans cette dernière étape du processus que ces dossiers OML ont
été temporellement égarés ou définitivement perdus. À noter que les plaignants, résidant
en Région wallonne, ont tous subi la perte ou l’égarement de leurs dossiers médicaux lors de
son envoi de l’OML de Liège vers l’OML central de Bruxelles.
3. La Chambre Contentieuse décide de joindre ces trois plaintes au regard de leurs griefs
communs, plaintes qu’elle considère comme liées par un rapport si étroit qu’il y a intérêt à
les instruire et à prendre une décision à leur égard en même temps afin de garantir la
cohérence de ses décisions. En d’autres termes, l’objectif de cohérence que poursuit la
Chambre Contentieuse dans le traitement des plaintes qui lui sont soumises s’oppose à leur
examen séparé.
4. En l’occurrence, les circonstances entourant la perte et l’égarement des dossiers OML de
chaque plaignant peuvent être résumées comme suit :
5. En février 2019, le dossier OML du plaignant (1) faisait partie d’un envoi contenant vingt-
quatre fardes en provenance de l’OML régional de Liège vers l’OML central de Bruxelles.
BPost était chargé d’assurer la livraison de ces fardes transportées dans deux « bacs bleus ».
Toutefois, ces « bacs bleus » ne seraient jamais arrivés à leur destination. Suite à cela, en mai
2019, le plaignant (1) a introduit une plainte auprès du défendeur. Partant, le défendeur a
mené une enquête en interne et auprès du service postal BPost, mais les dossiers égarés
n’ont pas pu être retrouvés, et le service postal BPost n’a pu fournir d'explications sur les
circonstances de cet incident. Le dossier OML du plaignant (1) a cependant pu être
reconstitué à partir de copies des documents perdus.
6. En octobre 2021, le dossier OML du plaignant (2) devait également être transporté du centre
médical régional de Liège vers celui de Bruxelles. Cependant, le dossier en question n’est
Décision 203/2025 — 4/13
pas arrivé à l’administration centrale à Bruxelles. Le 27 juin 2022, après plusieurs échanges
d’email et une mise en demeure de la part de l’avocat du plaignant (2), le défendeur a
finalement informé le plaignant que son dossier a pu être retrouvé. Le défendeur a expliqué
qu’en mai 2022, le dossier avait été expédié par erreur chez un sous-traitant responsable de
l’archivage et de la digitalisation alors que ce traitement n’est réservé qu’aux dossiers
complètement finalisés.
7. Le 10 aout 2022, le défendeur informe le plaignant (3) que, suite à une erreur de
manipulation, son dossier OML est indisponible provisoirement, mais qu’il devrait encore se
trouver dans les locaux de l’OML. Le 27 octobre 2022, le défendeur informe le plaignant que
malgré leurs recherches, ils n’ont pas pu retrouver son dossier. Selon le rapport d’enquête
du Service d’Inspection, il s’avère que ledit dossier s’est également perdu dans la chaine de
distribution du courrier au sein du SPF entre le centre OML de Liège et l’OML central de
Bruxelles. Le dossier OML du plaignant (3) a pu néanmoins être reconstitué partiellement
sur base de copie.
8. Le 2 août 2022, la perte des dossiers OML des plaignants (2) et (3) a fait l’objet d’une
notification d’une fuite de données à l'APD par le défendeur. Cette notification groupée
concernait également 9 autres dossiers qui ont été perdus dans des circonstances
similaires. La perte du dossier OML du plaignant (1) en 2019 n’a quant à telle pas été notifiée
à l’APD.
9. Les plaintes répertoriées sous les numéros DOS-2022-03564 et DOS-2022-03565 ont été
déclarées recevables le 1er septembre 2022 par le Service de Première Ligne de l’Autorité
de protection des données ( ci-après « le SPL ») sur la base des articles 58 et 60 de la LCA.
La plainte répertoriée sous la référence DOS-2023-03554 fut quant à elle déclarée
recevable le 31 août 2023. À ces dates respectives, le SPL transmit ces plaintes à la
Chambre Contentieuse conformément à l’article 62, § 1er de la LCA.
10. Le 30 septembre 2022 pour les affaires DOS-2022-03564 et DOS-2022-03565 et le 29
septembre 2023 pour l'affaire DOS-2023-03554, la Chambre Contentieuse a décidé de
demander une enquête au Service d'Inspection, en vertu des articles 63, 2° et 94, 1° de la
LCA. La demande de la Chambre Contentieuse de procéder à une enquête est transmise au
Service d’Inspection, accompagnée de la plainte et de l’inventaire des pièces,
conformément à l’article 96, § 1er de la LCA.
11. Le 23 février 2023, l’enquête du Service d’Inspection concernant les affaires DOS-2022-
03564 et DOS-2022-03565 est clôturée. L’enquête relative à l'affaire DOS-2023-03554 a
quant à elle été clôturée le 24 octobre 2023. À ces dates, les deux rapports d’enquêtes ont
été joints aux dossiers respectifs et ceux-ci ont été transmis par l’inspecteur général au
Président de la Chambre Contentieuse (article 91, § 1er et § 2 de la LCA).
Décision 203/2025 — 5/13
Les rapports comportent les mêmes constatations relatives à l'objet de la plainte et
concluent tous deux que :
1. L’objet des plaintes a disparu du fait des mesures prises par le responsable du
traitement et notamment la digitalisation du processus ayant mené à la perte et
l’égarement des dossiers papiers OML des plaignants.
2. Un examen plus approfondi des plaintes ne serait donc pas proportionné.
12. Sur cette base, le Service d’Inspection considère qu'il serait contraire aux principes
susmentionnés du RGPD de mener une enquête plus approfondie concernant la plainte. En
effet, compte tenu de l'importance d'une enquête efficace et proportionnée, le Service
d’Inspection estime qu'il n'est pas approprié de mener une enquête supplémentaire « dans
le cadre » ou « hors du cadre » de la plainte.
13. Le 3 décembre 2024, conformément à son obligation d’information prévue par l’article 95,
§ 2 de la LCA, la Chambre Contentieuse informe les parties de l’existence du présent dossier
ainsi que du contenu de la présente plainte. Elle précise que le défendeur a la possibilité de
consulter et de copier le dossier au secrétariat de la Chambre Contentieuse. Le défendeur
est également informé du fait qu’il dispose d’un délai de 14 jours pour soumettre leurs
observations
14. Le 16 décembre 2024, le défendeur réagit. Il relève, en synthèse, que Medex a poursuivi la
digitalisation de ses services et missions. Le défendeur indique toutefois que la circulation
des documents papier subsiste encore pour les anciens dossiers « accidents du travail »,
pour les dossiers OML des personnes concernées lors de leur décès aux fins de la clôture de
la pension de réparation, ainsi que pour les dossiers relatifs aux maladies professionnelles
(provenant de FedRIS), qui sont digitalisés à leur arrivée dans le service. Le défendeur
indique également que, depuis juin 2023, l'Administration centrale de Medex s'est installée
dans le même bâtiment que le reste du SPF Santé Publique, ce qui a rendu les services
logistiques plus accessibles et éliminé la nécessité de déplacer les documents hors des
bâtiments pour les opérations de digitalisation. Il ajoute que les processus de gestion des
dossiers archivés chez Z ont été améliorés, et qu'aucun incident impliquant une perte de
données chez ce prestataire n'a été signalé pour les dossiers de Medex en 2023 et 2024. Il
indique également que, depuis le début 2024, les colis de Medex circulant entre les
différentes implantations sont transportés par un service interne de navettes, éliminant
ainsi le recours à BPost pour ces transferts. Enfin, il précise que Medex utilise des canaux de
communication sécurisés pour ses communications numériques.
Décision 203/2025 — 6/13
II. Motivation
II.1. Rappel de l’obligation de sécurité dans le chef du responsable de traitement
15. La Chambre Contentieuse rappelle que le défendeur, en tant que responsable de traitement,
doit garantir le respect du principe d'intégrité et de confidentialité des données consacré à
l'article 5.1.f du RGPD. En l'absence de mesures appropriées pour sécuriser les données à
caractère personnel des personnes concernées, l'effectivité du respect des droits
fondamentaux à la vie privée et à la protection des données à caractère personnel ne peut
être garantie2. Le responsable de traitement doit également être en mesure de démontrer
le respect de ce principe en mettant en œuvre les mesures techniques et organisationnelles
appropriées (principe de responsabilité – articles 5.2 et 24 du RGPD). Ces mesures doivent
être réexaminées et actualisées si nécessaire.
16. L’article 32.1 du RGPD, qui consacre le principe d'intégrité et de confidentialité énoncé à
l’article 5. 1, f), de ce règlement, dispose ce qui suit :
« compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la
nature, de la portée, du contexte et des finalités du traitement ainsi que des
risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés
des personnes physiques, le responsable du traitement et le sous-traitant
mettent en œuvre les mesures techniques et organisationnelles appropriées
afin de garantir un niveau de sécurité adapté au risque (…) ».
17. En l’espèce, les dossiers OML des plaignants (1), (2) et (3) qui ont été perdu ou égaré
temporairement contenaient des données sensibles relatives à la santé au sens de l’article
9.1 du RGPD. La Chambre Contentieuse rappelle que les données relatives à la santé sont
considérées comme faisant partie d’une catégorie particulière de données exigeant un
encadrement et une protection renforcée (art. 9 juncto considérant 51 du RGPD). Le
considérant 51 du RGPD souligne que ce type de données est particulièrement sensible du
point de vue des libertés et des droits fondamentaux et que son traitement peut engendrer
des risques importants. Dès lors, conformément à l'article 32 du RGPD, le responsable du
traitement doit tenir compte du risque accru inhérent au traitement de données sensibles
pour déterminer les mesures techniques et organisationnelles de sécurité appropriées.
18. La Chambre Contentieuse remarque que la perte ou l'égarement des dossiers OML des
plaignants ne constituait pas des incidents isolés auprès de la défenderesse. Le rapport
d'enquête identifie en effet une série d'incidents récurrents de ce type entre 2019 et 2022.
Le Service d'Inspection rapporte qu'en février 2019, un total de 24 dossiers ont été égarés
2
Le rôle crucial joué par la sécurité des données pour l’exercice effectif de leurs droits par les personnes concernées a été
consacrée notamment par la CEDH dans son arrêt du 17 juillet 2008, I. c. Finlande, req. n° 20511/03, dans lequel la Cour conclut
à l’unanimité à une violation de l’article 8 par les autorités Finlandaises, sur base d’une protection insuffisante contre les accès
non autorisés du dossier médical d’une infirmière séropositive.
Décision 203/2025 — 7/13
lors de leur transport postal via BPost, concernant 19 personnes, dont le plaignant (1). Des
incidents similaires se sont reproduits quelques années plus tard : entre 2021 et 2022, les
dossiers médicaux de 11 personnes ont également été perdus, dont ceux des plaignants (2)
et (3). Il ressort des rapports d'enquête que, si les causes de ces pertes et égarements sont
variées, elles sont toutes liées à des problèmes d'acheminement de dossiers papier entre le
centre OML régional et l'OML central de Bruxelles.
19. Cela étant dit, la Chambre Contentieuse tient compte, au même titre que le Service
d’Inspection dans son rapport d’enquête, que le processus à l'origine de ces incidents de
sécurité a été numérisé. En effet, le rapport d’enquête établit que depuis juin 2022, l’étape
du visa pour approbation pour les militaires est organisé autour d’une application
informatique reprenant toutes les pièces du dossier sous formes digitalisée. La Chambre
Contentieuse relève donc que, pour ce type de procédure, il n’existe plus de dossier papier
de sorte qu’il n’y a plus non plus de transfert de dossiers physique d’un OML vers un autre
pour approbation. Selon le DPO du défendeur le maximum est fait pour éviter les dossiers
physiques et la circulation du papier, et digitaliser l’ensemble des activités de Medex. La
Chambre Contentieuse observe qu’à la date du 16 décembre 2024, le défendeur indiquait
que des documents continuaient, dans certains cas, à circuler sous format papier (point 14).
20. Par ailleurs, la Chambre Contentieuse remarque également qu’à la suite des incidents
survenus dans le transport des dossiers OML des plaignants, des mesures correctrices ont
été prises par le défendeur pour renforcer la sécurité et la confidentialité de ce processus.
En effet, aux termes de son rapport d’enquête, le Service d’Inspection a constaté que le
défendeur a mis en place les mesures suivantes :
- utilisation de clips pour sceller les bacs ;
- processus de suivi des bacs bleus et de leurs contenus (enregistrement interne de :
numéros de suivi des bacs, des expéditeurs et destinataires, inventaire du contenu) ;
- contacts avec le service postal BPost et demandes d'enquêtes pour tracer les bacs ;
- adoption des « safety bags » : intégrité et confidentialité des dossiers dans les bacs bleus
par ensachage des dossiers séparément, chaque sac apposant l'adresse de retour de
Medex à Bruxelles (administration centrale) pour permettre au service postal BPost
d'identifier un destinataire.
21. La Chambre Contentieuse tient aussi compte des observations du défendeur du 16
décembre 2024, qui témoigne de la poursuite de l'amélioration des mesures de sécurité,
ainsi que de l'absence d'incident impliquant une perte de données pour les dossiers de
Medex en 2023 et 2024 (point 14).
22. La Chambre Contentieuse reconnaît les différentes mesures prises a posteriori par le
défendeur pour renforcer la sécurité et la confidentialité du processus ayant mené à la perte
Décision 203/2025 — 8/13
et l'égarement des dossiers OML des plaignants. Toutefois, elle rappelle une fois de plus
qu'en vertu des articles 5.1.f), 5.2, 24 et 32 du RGPD, le principe de responsabilité impose au
responsable du traitement de mettre en œuvre les mesures techniques et
organisationnelles nécessaires pour assurer la conformité du traitement au RGPD. Cela
implique que le responsable du traitement a la responsabilité, d'une part, de prendre des
mesures proactives afin de garantir le respect des dispositions du RGPD et d'autre part, de
pouvoir prouver qu'il a pris de telles mesures. Dès lors, il incombait au défendeur de mettre
en place, de manière proactive, des mesures de sécurité appropriées aux risques liés à
l’acheminement et à l’archivage de dossiers médicaux.
23. Compte tenu des faits relevés ci-dessus, et notamment la récurrence des incidents de
sécurité rapportés entre 2019 et 2022 (point 18), la Chambre Contentieuse doute
sérieusement que les processus d’acheminement et d’archivage ayant conduit à la perte et
à l’égarement des dossiers OML des plaignants et des autres personnes concernées aient
été encadrés par des mesures techniques et organisationnelles appropriées aux risques
inhérents au traitement de données relatives à la santé. En conséquence, la Chambre
Contentieuse estime que le défendeur pourrait avoir violé les articles 5.1.f), 5.2, 24 et 32
du RGPD.
II.2. Quant à l’obligation de notification à l’autorité de contrôle d’une violation de données
(art. 33.1 du RGPD)
24. La Chambre Contentieuse rappelle qu’une violation de données, telle que définie à l’article
4.12 du RGPD, correspond à une « violation de la sécurité entraînant, de manière accidentelle
ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à
caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non
autorisé à de telles données ».
25. En cas de violation de données, l’article 33.1 du RGPD impose au responsable du traitement
de notifier cette violation à l’APD dans les meilleurs délais, à moins qu'il soit peu probable
que celle-ci engendre un risque pour les droits et libertés des personnes concernées 3. Pour
évaluer si une violation est susceptible de constituer un risque élevé pour les droits et
libertés des personnes physiques, les considérants 75 et 76 du GDPR énoncent qu’il
convient de prendre en considération à la fois la probabilité et la gravité du risque pour les
droits et libertés des personnes concernées. Ils précisent en outre que le risque doit être
évalué sur la base d'une évaluation objective. Les Lignes directrices du Groupe 29 énoncent
qu’il convient de tenir compte de la réponse à la question de savoir si la violation peut
3
Sur l’évaluation du risque et du risque élevé voyez les Lignes directrices 9/2022 de l’EDPB concernant la notification d'une
violation de données sous le RGPD, 28 mars 2023, p. 23 et s., disponible en anglais sur :
https://www.edpb.europa.eu/system/files/2023-
04/edpb guidelines 202209 personal data breach notification v2.0 en.pdf
Décision 203/2025 — 9/13
entraîner des dommages physiques, matériels ou immatériels pour les personnes dont les
données font l'objet de la violation. Des exemples de tels dommages sont la discrimination,
le vol ou l'usurpation d'identité, la perte financière et une atteinte à la réputation4.
26. Une violation de données, même lorsqu’elle n’affecte qu’un petit nombre de personnes
concernées, peut toutefois avoir de conséquences graves, en fonction de la nature des
données à caractère personnel et du contexte dans lequel elles ont été compromises. Or, la
Chambre Contentieuse a déjà évoqué qu’en l’espèce le risque était d’autant plus important
qu’il s’agissait de la perte de dossier contenant des données médicales de nature sensibles.
Parmi les conséquences négatives pour les plaignants, la confidentialité des données a
potentiellement pu être compromise. Ainsi, le secret médical a pu être rompu et des tiers
non autorisés ont potentiellement pu avoir accès aux informations médicales des
plaignants. A cet égard, la Chambre Contentieuse tient compte de l'affirmation du DPO du
défendeur selon laquelle, s'agissant du dossier OML du plaignant (1), aucune perte de
confidentialité n'est à considérer dans la mesure où le service postal BPost assure la
destruction des pièces non identifiables destinées à la redistribution.
27. Par ailleurs, la perte de ces dossiers OML est susceptible d’affecter la disponibilité des
données et de perturber la continuité du traitement des demandes de pension de réparation
des plaignants (point 2). Sur ce point, la Chambre Contentieuse tient compte que c’est la
version papier originale des dossiers médicaux des plaignants (1) et (3) qui a été perdu.
Toutefois, il s’avère que ces plaignants ont pu reconstituer des dossiers utilisables par le
défendeur au moyen de copies des documents perdus. Le dossier OML du plaignant (2) a
quant à lui été égaré temporairement et a ensuite été retrouvé. La Chambre Contentieuse
tient également compte du fait que les droits des plaignants n’auraient pas été affectés par
la perte ou l’égarement de leurs dossiers respectifs. En effet, il ressort des enquêtes menées
par le Service d’Inspection que ces incidents n’ont pas eu d’impact sur la pension de
réparations des plaignants, car leurs situations administratives auraient été claires et
définitives.
28. En l’occurrence, les pertes ou l’égarement des dossiers OML des plaignants constituent bien
des violations de données au sens de l’article 4, 12° du RGPD susmentionné. La Chambre
Contentieuse constate que, dans le respect de l'article 33.1 du RGPD, le défendeur a notifié
à l’APD le 2 août 2022 la perte des dossiers OML des plaignants (2) et (3) (point 8). Toutefois,
la perte du dossier du plaignant (1) en 2019 n’a quant à elle pas fait l’objet d’une notification
à l’APD. À cet égard, le DPO du défendeur a reconnu qu'au moment de cet incident, Medex
ne disposait pas d'un soutien efficace en matière de gestion des données et de protection
de la vie privée et que l'obligation de notification à l'APD n'a pas été respectée.
4
Lignes directrices sur la notification d'une violation de données à caractère personnel en vertu du règlement (UE) 2016/679,
wp250rev.01, Groupe 29, p. 26.
Décision 203/2025 — 10/13
29. De cette manière, il ressort que le défendeur pourrait avoir méconnu l’article 33.1 du RGPD
en omettant de notifier à l’APD la perte du dossier médical du plaignant (1).
II.3. Mesure adoptée par la Chambre Contentieuse
30. Aux termes de l’article 95, § 1er de la LCA, la Chambre Contentieuse peut :
1° décider que le dossier peut être traité sur le fond;
2° proposer une transaction;
3° classer la plainte sans suite;
4° formuler des avertissements;
5° d'ordonner de se conformer aux demandes de la personne concernée d'exercer ces
droits;
6° d'ordonner que l'intéressé soit informé du problème de sécurité;
7° de transmettre le dossier au parquet du procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier;
8° de décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données.
31. Conformément à l'article 95, § 1er, 4° de la LCA et à l'article 58.2.a) du RGPD, la Chambre
Contentieuse a le pouvoir d’avertir un responsable du traitement ou un sous-traitant du fait
que les opérations de traitement envisagées sont susceptibles de violer les dispositions du
RGPD.
32. La Chambre Contentieuse insiste, comme elle a déjà eu l'occasion de le rappeler dans de
précédentes décisions5, sur le fait que le secteur public doit, de manière générale, être
vecteur d'exemple dans les mesures qu'il adopte pour garantir le respect du droit
fondamental à la protection des données personnelles.
33. Dès lors, la Chambre Contentieuse considère, sur la base des faits susmentionnés, qu’il y a
lieu de retenir que le défendeur est susceptible de violer les articles 5.1.f), 5.2, 24, 32 et 33.1
du RGPD, ce qui justifie, en l’espèce, l’adoption d’un avertissement afin que le défendeur
veille, à l’avenir, à encadrer l’acheminement et l’archivage des dossiers médicaux de
mesures techniques et organisationnelles appropriées aux risques inhérents au traitement
de données relatives à la santé, ainsi que de veiller, à l’avenir, à la notification des violations
de données à l’APD.
5
Voy notamment décisions 10/2019 et 11/2019 de la Chambre Contentieuse du 25 novembre 2019 aux termes desquelles la
Chambre Contentieuse rappelle que la qualité de mandataire public des responsables de traitement mis en cause aurait dû
s’accompagner d’un comportement exemplaire au regard du respect de la législation, en ce compris celle relative à la
protection des données personnelles.
Décision 203/2025 — 11/13
34. La présente décision d’avertissement a pour objet de rappeler au défendeur, présumé
responsable du traitement, quant à son obligation de respecter les dispositions précitées du
RGPD, afin de lui permettre de se conformer, à l’avenir, à ces dispositions dans le cadre des
opérations de traitement en cause dans la présente affaire.
35. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par [le plaignant/la
plaignante], dans le cadre de la ‘procédure préalable à la décision de fond” 6 et non une
décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
36. Si le défendeur n’est pas d’accord avec le contenu de la présente décision prima facie et
estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient conduire à une
nouvelle décision, [il/elle] peut demander un réexamen à la Chambre Contentieuse selon la
procédure établie par l’article 98 juncto l'article 99 de la LCA, connue sous le nom de
"procédure quant au fond" ou "traitement de l’affaire sur le fond". Cette demande doit être
envoyée à l’adresse e-mail [email protected] dans un délai de 30 jours à
compter de la notification de la présente décision prima facie. Le cas échéant, l’exécution de
la présente décision est suspendue pendant la période susmentionnée.
37. En cas de poursuite du traitement de l’affaire sur le fond, en vertu de l’article 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
38. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA7.
6
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
7
"Art. 100. § 1. La Chambre contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des
données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données."
Décision 203/2025 — 13/13
Et, d’autre part, il peut introduire un recours contre cette décision conformément à l'article 108, § 1
de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour des Marchés
(cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter8 du Code judiciaire. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.9, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(Sé). Hielke HIJMANS
Directeur de la Chambre Contentieuse
8
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
9
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.