1/10
Chambre Contentieuse
Décision 32/2022 du 10 mars 2022
Numéro de dossier : DOS-2020-04479
Objet : Exercice du droit d’opposition et du droit d’accès suite à des messages publicitaires non
désirés
La Chambre Contentieuse de l'Autorité de protection des données, composée de Monsieur Hielke Hijmans,
président, siégeant seul ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation
de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données),
ci-après "RGPD" ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après "LCA" ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018
et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
.
le plaignant : Monsieur X, ci-après "le plaignant" ; .
.
le responsable du traitement : Y, ci-après "le responsable du traitement"
Décision quant au fond 32 - 2/10
I. Faits et procédure
1. Le 8 septembre 2020, le plaignant a introduit une plainte auprès de l’Autorité de protection des
données contre le responsable du traitement.
2. L'objet de la plainte concerne l’exercice par le plaignant de son droit d’opposition suite à la réception
de publicité non désirée qui lui a été envoyée par le responsable du traitement sur son adresse
e-mail ainsi que via une prise de contact sur son GSM. Le plaignant invoque également son droit
d’accès, plus précisément, il demande l’origine de l’obtention de ses données à caractère personnel qui
a permis au responsable du traitement de le contacter par e-mail et par GSM, ainsi que la base juridique
du traitement de ses données à caractère personnel pour lequel le plaignant affirme ne pas avoir donné
son consentement.
Lorsque le 4 mai 2020, le plaignant demande davantage d’informations complètes auxquelles il a
droit en vertu de l’article 15.1 du RGPD - donc pas uniquement limitées à sa demande initiale de lui
communiquer la source et la base juridique du traitement de ses données -, le responsable du
traitement accède à sa demande et lui transmet toutes les informations demandées le 28 mai 2020.
Le plaignant en déduit que le principe de transparence (article 5.1.a) du RGPD), le principe de
minimisation des données (article 5.1.c) du RGPD) et de limitation de la conservation (article 5.1.e)
du RGPD) n’ont pas été respectés. La réponse du responsable du traitement n’aurait pas non plus
fait référence à la compétence de l’Autorité de protection des données belge (article 14.2.e) du
RGPD) et le plaignant n’a pas reçu les informations auxquelles il a droit en vertu de l’article 14 du
RGPD.
3. Le 23 mars 2021, la plainte est déclarée recevable par le Service de Première Ligne sur la base des
articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de
l'article 62, § 1er de la LCA.
II. Motivation
Base juridique pour l’envoi de messages publicitaires - Exercice du droit d’opposition
4. En ce qui concerne l’affirmation du plaignant selon laquelle le consentement serait requis pour
l’utilisation de données d’identification personnelles, en l’occurrence son nom, son adresse e-mail
et son numéro de GSM, à des fins de marketing direct, la Chambre Contentieuse souligne que ce
n’est pas le consentement mais l’intérêt légitime du responsable du traitement qui s’applique en
tant que base juridique1 pour traiter les données d’identification du plaignant à des fins de
1
"1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
[…]
Décision quant au fond 32 - 3/10
marketing direct. Le considérant 47 du RGPD précise en effet clairement que le traitement de
données à caractère personnel à des fins de marketing direct (NdT : prospection au sens du RGPD)
peut être considéré comme étant réalisé en vue d'un intérêt légitime (article 6.1.f) du RGPD).
Cela signifie donc que le responsable du traitement ne doit pas demander le consentement de la
personne concernée préalablement au traitement à des fins de marketing direct (article 6.1.a) du
RGPD). Le responsable du traitement invoque à juste titre la base juridique reprise à l’article 6.1.f)
du RGPD pour traiter des informations accessibles au public à des fins de marketing direct.
5. Les éléments factuels figurant dans le dossier indiquent que le message non désiré faisant l’objet
de la plainte a été envoyé par le responsable du traitement sur l’adresse e-mail (...), qui est disponible
en ligne et donc accessible à tout le monde 2. La mise à disposition en ligne des propres
coordonnées, comme en l’espèce l’adresse e-mail du plaignant, implique nécessairement que cela
vise à permettre à celui qui consulte les coordonnées en ligne de contacter celui auquel les
coordonnées se rapportent. Le plaignant ayant mis ses coordonnées à la disposition du public en
les publiant en ligne, le fait que son adresse e-mail puisse être utilisée pour lui envoyer des
messages fait partie de ses attentes raisonnables. Le responsable du traitement a donc utilisé cette
donnée mise à la disposition du public.
6. Le plaignant ne nie pas que l’adresse e-mail utilisée par le responsable du traitement et donc, ipso
facto, également son nom, sont accessibles au public. Par contre, le plaignant pense toutefois
pouvoir affirmer, spécifiquement en ce qui concerne son numéro de GSM, qu’il ne s’agit pas là d’une
donnée disponible publiquement mais d’une donnée privée qui ne peut pas être traitée en vertu de
l’intérêt légitime. La Chambre Contentieuse fait remarquer que le plaignant ne peut pas prétendre
purement et simplement que son numéro de GSM est privé sans connaître la source à la base du
traitement de cette donnée et par laquelle la société à laquelle le responsable du traitement a eu
recours est entrée en possession du numéro de GSM du plaignant et l’a ensuite communiqué au
responsable du traitement. Sur la base des éléments factuels du dossier, la Chambre Contentieuse
doit constater qu’on ne sait pas clairement de quelle façon le numéro de GSM du plaignant a été
obtenu, ne permettant donc pas non plus d’évaluer si cette information a été obtenue de manière
licite. À cet effet, le responsable du traitement doit fournir des informations sur la source à la base
du traitement du numéro de GSM (voir ci-après les points 13 e.s.).
7. Face au droit du responsable du traitement de traiter des données à caractère personnel à des fins
de marketing direct sur la base d’un intérêt légitime, il y a l’obligation, pour le responsable du
traitement, de donner suite à l’opposition qui peut être formulée à tout moment par la personne
concernée contre le traitement des données à caractère personnel la concernant sans devoir
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne
prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère
personnel, notamment lorsque la personne concernée est un enfant."
2
Voir par ex. (…); (…).
Décision quant au fond 32 - 4/10
fournir la moindre motivation à cet effet (articles 21.2 et 21.3 du RGPD) 3. Dans le délai d’un mois
(article 12.3 du RGPD) après réception de la demande du plaignant, le 17 avril 2020, de ne plus
recevoir de messages de marketing direct, le responsable du traitement a accédé à cette demande
en confirmant la suppression des données à caractère personnel du plaignant de son fichier le
21 avril 2020. Certes, la réponse du 21 avril 2020 mentionne à tort que le plaignant était enregistré
pour être à nouveau contacté par le responsable du traitement. Ce problème a été rectifié par le
responsable du traitement le 28 mai 2020 qui a indiqué que ce message relevait d’une erreur
humaine et que le message correct devait être que le plaignant était enregistré pour ne pas être
recontacté par le responsable du traitement.
8. Sur la base des éléments du dossier dont elle a connaissance et des compétences qui lui ont été
attribuées par le législateur en vertu de l’article 95, § 1er de la LCA, la Chambre Contentieuse statue
sur la suite à réserver au dossier ; en l’occurrence, la Chambre Contentieuse procède au classement
sans suite de la plainte en ce qui concerne la base juridique, conformément à l’article 95, § 1 er, 3° de
la LCA, sur la base de la motivation suivante.
9. En cas de classement sans suite, la Chambre Contentieuse doit procéder à un examen et à une
motivation par étapes de la manière précisée ci-dessous :
- l’absence de perspective suffisante pour une condamnation entraîne un classement sans suite pour
motif technique ;
- une condamnation est techniquement réalisable mais des poursuites ne sont pas souhaitables pour
des raisons relevant de l’intérêt général, entraînant un classement sans suite pour motif
d’opportunité4.
10. Si l’on procède à un classement sans suite sur la base de plus d’un motif, les motifs de classement
sans suite (respectivement un classement sans suite pour motif technique et un classement sans
suite pour motif d’opportunité) doivent être traités par ordre d’importance.
11. Dans le cas présent, la Chambre Contentieuse procède à un classement sans suite pour motif
technique sur la base d'un seul motif, à savoir la conclusion de la Chambre Contentieuse que le
responsable du traitement n'a pas violé l'article 6.1 du RGPD. En outre, le responsable du traitement
a réservé, dans le délai légal d'un mois, une suite appropriée à la demande du plaignant, avec pour
effet que son adresse e-mail, incluant son nom, ainsi que son numéro de GSM ne sont plus utilisés
à des fins de marketing direct, de sorte qu'aucune violation de l'article 12.3 du RGPD et des
articles 21.2 et 21.3 du RGPD n’a été commise.
3
Voir également à cet égard le considérant 70 du RGPD : "Lorsque des données à caractère personnel sont traitées à des fins de prospection,
la personne concernée devrait avoir le droit, à tout moment et sans frais, de s'opposer à ce traitement, y compris le profilage dans la mesure
où il est lié à une telle prospection, qu'il s'agisse d'un traitement initial ou ultérieur. Ce droit devrait être explicitement porté à l'attention de
la personne concernée et présenté clairement et séparément de toute autre information."
4
Cf. Arrêt de la Cour d'appel de Bruxelles (Cour des marchés), 2 septembre 2020, n° 2020/5460, 18.
Décision quant au fond 32 - 5/10
Exercice du droit d'accès
12. Sur la base des pièces étayant la plainte, la Chambre Contentieuse constate que le plaignant a
exercé son droit d’accès, dans le but tout d’abord de connaître la source de ces informations.
Ultérieurement, la demande du plaignant a été étendue aux informations complètes.
13. Le responsable du traitement a donné suite à la première demande du plaignant en affirmant qu’il
avait obtenu ces informations auprès d’un contact provider 5 mais il s’est contenté de communiquer
le nom de la société6. L’article 15.1.g) du RGPD prescrit toutefois que le responsable du traitement
doit communiquer à la personne concernée "toute information disponible" quant à la source des
données lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne
concernée.
14. La responsabilité (article 5.2 du RGPD) du responsable du traitement implique que des informations
de base sont fournies à la personne concernée, à savoir le plaignant, dont il ressort que le
responsable du traitement lui-même traite les données conformément au RGPD et contrôle, avant
l’achat d’un fichier d’adresses, si ces données sont traitées de manière licite par la société qui
commercialise des données à caractère personnel. Le plaignant peut ainsi s’attendre à ce que le
responsable du traitement fournisse des informations sur la manière dont la société a obtenu les
coordonnées du plaignant, ainsi que la base juridique sur laquelle s’appuie le traitement de ces
données à caractère personnel par la société afin de démontrer que les coordonnées du plaignant
ont été achetées et traitées de manière licite par le responsable du traitement. Afin de garantir les
droits du plaignant, le responsable du traitement doit également mettre à sa disposition les
coordonnées de la société, permettant ainsi au plaignant d’exercer son droit d’accès à l’égard de
cette société.
15. Le responsable du traitement ne peut donc pas se contenter de communiquer uniquement le nom
de la société au plaignant sans aucune autre précision. Le responsable du traitement a ainsi agi en
violation de l’article 15.1.g) du RGPD.
16. La Chambre Contentieuse estime qu’en vertu de l’analyse précitée, il convient de conclure que le
responsable du traitement a violé les dispositions du RGPD, ce qui justifie en l’espèce de prendre
une décision sur la base de l’article 95, § 1 er, 5° de la LCA, plus précisément d’ordonner au
responsable du traitement de donner suite à l’exercice par le plaignant de son droit d’accès
(article 15.1.g) du RGPD), et ce en particulier eu égard aux pièces que le plaignant a apportées dont
5
Voir à cet égard la réponse fournie par le responsable du traitement le 21 avril 2020 à la question posée par le plaignant en date du
17 avril 2020.
6
Voir à cet égard la réponse fournie par le responsable du traitement le 28 mai 2020 à la question posée par le plaignant en date du
4 mai 2020.
Décision quant au fond 32 - 6/10
il ressort qu‘il a bien exercé son droit d’accès mais que le responsable du traitement n’y a pas donné
une suite suffisante.
17. Lorsque le plaignant, dans le cadre d’une deuxième requête, demande davantage d’informations
complètes en vertu de l’article 15.1 du RGPD - donc pas uniquement limitées à la base juridique
mentionnée au point g) -, le responsable du traitement accède à cette requête et lui fournit les
informations demandées. Cela amène le plaignant à affirmer ensuite qu’il n’y aurait pas eu de
traitement de données transparent vu que la réponse à la demande d’accès est fournie en anglais
alors que les messages de marketing étaient quant à eux rédigés en néerlandais. La Chambre
Contentieuse fait remarquer que le principe de transparence ne comprend pas d’exigence
linguistique. Une information et une communication transparentes sont requises. Étant donné que
le plaignant a été approché par le responsable du traitement en raison de sa fonction au sein de son
entreprise et que l’anglais est une langue usuelle utilisée dans le monde des entreprises, on peut
s’attendre à ce que les informations fournies en anglais aient été tout à fait transparentes.
18. Selon le plaignant, le délai de conservation n’aurait pas non plus été délimité de manière
suffisamment claire et il s’agirait d’un délai de conservation indéfini. La Chambre Contentieuse fait
tout d’abord remarquer que le responsable du traitement indique conserver les données à
caractère personnel aussi longtemps que nécessaire pour fournir les services qu’il propose. Dans la
mesure où les données à caractère personnel en question sont traitées à des fins de marketing
direct, il suffit que le responsable du traitement propose un droit d’opposition à la personne
concernée et qu’en cas d’exercice de ce droit, il soit immédiatement mis fin au traitement des
données à caractère personnel de la personne concernée. En ce sens, le traitement de données
n’est pas indéfini. Cela ressort également des faits, à savoir que dès que le plaignant a exercé son
droit d’opposition, le traitement de ses données à caractère personnel a pris fin (article 21.3 du
RGPD) et aucune violation de l’article 5.1.e) du RGPD ne peut être constatée, à condition que le
responsable du traitement informe la personne concernée en temps opportun et de manière
efficace de son droit d’opposition (voir ci-après le point 21).
19. Le plaignant précise encore que le responsable du traitement ne communique pas l’autorité de
protection des données compétente et renvoie à l’autorité de protection des données allemande
plutôt qu’à l’autorité belge. La Chambre Contentieuse souligne que le responsable du traitement
affirme que le plaignant peut non seulement introduire une plainte auprès de l’autorité de
protection des données allemande mais aussi auprès de l’autorité de protection des données de
l’endroit où il réside, et ce conformément à l’article 77.1 du RGPD7. Vu que le plaignant réside en
Belgique, le responsable du traitement a satisfait à l’obligation de mentionner que le plaignant avait
7
Article 77.1 du RGPD. "Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire
une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu
de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant
constitue une violation du présent règlement."
Décision quant au fond 32 - 7/10
le droit d’introduire une plainte auprès d’une autorité de contrôle, en l’occurrence l’Autorité de
protection des données belge (article 15.1.f) du RGPD). Par souci d'exhaustivité, la Chambre
Contentieuse ajoute à cela que l’Autorité de protection des données belge exerce sa compétence
en vertu de l’article 55 du RGPD car le responsable du traitement a son siège social en Belgique et
qu’il n’y a pas lieu de supposer qu’il y aurait une situation transfrontalière telle que visée à l’article 56
du RGPD.
Obligation d'information
20. Le plaignant avance que l’obligation d’information telle que définie à l’article 14 du RGPD a été
violée par le responsable du traitement.
21. En ce qui concerne les informations relatives au droit d’opposition (article 14.2.b) du RGPD) en
particulier, l’article 21.4 du RGPD8 précise explicitement que cette possibilité doit être reprise
séparément de toute autre information, dès le premier message à la personne concernée, dans ce
cas le plaignant. Toutefois, le message faisant l’objet de la plainte ne précise pas du tout clairement
au plaignant l'existence du droit d’opposition. Pire encore, il ne contient aucune référence à ce droit
d’opposition. Le considérant 70 du RGPD dispose néanmoins que ce droit devrait être
explicitement porté à l'attention de la personne concernée et présenté clairement et séparément
de toute autre information9. En l’absence de notification de ce droit d’opposition au plaignant au
moment où il a été contacté pour la première fois, le responsable du traitement a agi en violation de
l’article 21.4 du RGPD.
22. En ce qui concerne les autres informations (articles 14.1 et 14.2 du RGPD) que le responsable du
traitement doit fournir, cette disposition (article 14.3 du RGPD) exige que ces informations soient
également communiquées au plus tard au moment du premier contact avec la personne concernée.
Le premier message au plaignant ne contient pas non plus la moindre information. Le premier
message aurait au moins dû contenir un lien vers la politique de confidentialité reprenant ces
informations de manière accessible, concise et en des termes clairs. Vu que le premier message au
plaignant ne contient pas la moindre référence aux informations nécessaires pour garantir un
traitement de données transparent, il s’agit d’une violation des articles 5.1.a), 12.1 et 14 du RGPD.
Conclusion
23. La présente décision est, en ce qui concerne l’exercice du droit d’accès et l’obligation d’information,
une décision prima facie prise par la Chambre Contentieuse conformément à l’article 95 de la LCA
sur la base de la plainte introduite par le plaignant, dans le cadre de la ‘procédure préalable à la
8
Article 21.4 du RGPD. "Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1
et 2 est explicitement porté à l'attention de la personne concernée et est présenté clairement et séparément de toute autre information."
9
Voir la note de bas de page 2.
Décision quant au fond 32 - 8/10
décision de fond’ et pas une décision sur le fond de la Chambre Contentieuse au sens de l’article 100
de la LCA.
24. La présente décision a pour but d’informer le responsable du traitement du fait que celui-ci pourrait
avoir commis une violation des dispositions du RGPD et de lui permettre d’encore se conformer aux
dispositions précitées.
25. Si toutefois le responsable du traitement n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’il peut faire valoir des arguments factuels et/ou juridiques qui pourraient
conduire à une autre décision, celui-ci peut adresser à la Chambre Contentieuse une demande de
traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et ce dans le
délai de 14 jours après la notification de la présente décision. Le cas échéant, l’exécution de la
présente décision sera suspendue pendant la période susmentionnée.
26. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3° juncto
l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs conclusions et
à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la présente décision est
définitivement suspendue.
27. Dans un souci d’exhaustivité, la Chambre Contentieuse souligne qu’un traitement de l’affaire sur le
fond peut conduire à l’imposition des mesures mentionnées à l’article 100 de la LCA.
28. Enfin, la Chambre Contentieuse attire encore l’attention sur ce qui suit :
29. Si une des deux parties souhaite recourir à la possibilité de consulter et de copier le dossier (art. 95,
§ 2, 3° de la LCA), elle doit s'adresser au secrétariat de la Chambre Contentieuse, de préférence via
l’adresse e-mail [email protected], afin de fixer un rendez-vous.
30. Si une copie du dossier est demandée, les pièces seront si possible transmises par voie
électronique ou, à défaut, par courrier ordinaire.
III. Publication de la décision
31. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des
données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties
soient directement communiquées.
Décision quant au fond 32 - 9/10
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :
- de classer sans suite la plainte pour son volet concernant la base juridique de l’envoi des
messages publicitaires, en vertu de l’article 95, § 1 er, 3° de la LCA, vu qu’aucune violation du
RGPD ne peut être établie à cet égard ;
- quant au volet de la plainte concernant l'exercice du droit d'accès, d'ordonner au
responsable du traitement de se conformer à la demande du plaignant d'exercer ses droits,
plus précisément le droit d’accès repris à l’article 15.1.g) du RGPD, en vertu de l'article 58.2.c)
du RGPD et de l'article 95, § 1er, 5° de la LCA ;
d'ordonner au responsable du traitement d'informer par e-mail l'Autorité de protection des
données (Chambre Contentieuse) du résultat de cette décision dans le délai de 14 jours à
dater de la notification de la présente décision, via l'adresse e-mail litigationchamber@apd-
gba.be ; et
si le responsable du traitement ne se conforme pas en temps utile à ce qui lui est demandé
ci-dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de la LCA.
- de formuler un avertissement à l’égard du responsable du traitement en ce qui concerne la
mention du droit d’opposition dans le message par lequel il est entré en contact la première
fois avec le plaignant, afin qu’à l’avenir, le traitement de données respecte sur ce point
l’exigence de transparence telle qu’établie aux articles 5.1.a), 12, 14 et 21.4 du RGPD ;
de prier le responsable du traitement d'informer l'Autorité de protection des données
(Chambre Contentieuse) via l'adresse e-mail [email protected], dans un délai
de 14 jours suivant la notification de la présente décision, du résultat de cette décision afin
d'informer la Chambre Contentieuse quant à la rectification de la manière de procéder
(voir le point 21) ; et
si le responsable du traitement ne se conforme pas en temps utile à ce qui lui est demandé
ci-dessus, de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de la LCA.
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la
Cour des marchés dans un délai de trente jours à compter de sa notification, avec l’Autorité de
protection des données en qualité de défenderesse.
Décision quant au fond 32 - 10/10
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse