Décision quant au font 38/2021 - 1/24
Chambre Contentieuse
Décision quant au fond 38/2021 du 23 mars 2021
Dans le cadre du recours en annulation introduit par le Moniteur belge devant la Cour des marchés (CdM)
contre cette décision, la CdM a posé des questions préjudicielles à la Cour de Justice de l’Union européenne
(CJUE). Le 11 janvier 2024, la CJUE s’est prononcée dans un arrêt C-231/220 qui confirme la qualité de
responsable de traitement du Moniteur belge
N° de dossier : DOS-2020-00404
Objet : Plainte contre le Moniteur belge pour défaut de base de licéité et refus d’effacement
de données à caractère personnel publiées aux Annexes du Moniteur belge
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Y. Poullet et C. Boeraeve, membres, reprenant l’affaire dans cette
composition;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection
des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre
2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, représenté par son conseil Maître Sari Depreeuw, avocate, dont le cabinet
est établi à 1050 Bruxelles, avenue Louise, 81 (ci-après le plaignant)
La partie défenderesse : Le SPF Justice établi à 1000 Bruxelles, Boulevard de Waterloo 115, représenté
par Monsieur Jean-Paul Janssens, président du Comité de direction
(ci-après la défenderesse)
0https://curia.europa.eu/juris/document/document_print.jsf?mode=lst&pageIndex=0&docid=281142&part=1&doclan
g=FR&text=&dir=&occ=first&cid=1287738
Décision quant au font 38/2021 - 2/24
1. Rétroactes de la procédure
Vu la plainte déposée le 21 janvier 2020 par le plaignant auprès de l‘Autorité de protection des données
(APD);
Vu la décision du 20 février 2020 du Service de Première Ligne (SPL) de l‘APD déclarant la plainte
recevable et la transmission de celle-ci à la Chambre Contentieuse;
Vu le courrier du 5 mars 2020 de la Chambre Contentieuse informant les parties de sa décision de
considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98 LCA et leur
communiquant un calendrier d’échange de conclusions ;
Vu les conclusions principales du 6 avril 2020 de la défenderesse ;
Vu les conclusions du plaignant du 21 avril 2020 ;
Vu les conclusions en réplique de la défenderesse du 6 mai 2020 ;
Vu l’invitation à l’audition adressée par la Chambre Contentieuse aux parties le 20 août 2020 ;
Vu l’audition lors de la séance de la Chambre Contentieuse du 9 octobre 2020 en présence de Maîtres
S. Depreeuw et O. Belflamme, représentant le plaignant et de Monsieur A. Hoefmans, directeur de
l’Unité protection des données du SPF Justice et de Monsieur W. Verrezen, directeur du Moniteur belge
représentant tous deux la défenderesse ;
Vu le procès-verbal d’audition et les observations formulées sur celui - ci par les parties lesquelles ont
été jointes à ce procès-verbal. La Chambre Contentieuse note qu’aux termes de ses commentaires, la
défenderesse fait part de ce qu’elle s’est rendue compte en cours d’audition que l’arrêté royal du 30
janvier 2001 plusieurs fois invoqué en termes de conclusions à l’appui de sa défense avait été remplacé
par un nouvel arrêté royal du 29 avril 2019, (M.B., 30 avril 2019) adopté après l’entrée en application
du RGPD. La défenderesse précise que ce nouvel arrêt royal n’a pas modifié le contenu de l’article 11.5
invoqué, désormais remplacé par l’article 1-9 § 51.
1 Article 1-9 § 5 : La rectification d'une erreur commise dans un acte, un extrait d'acte, une décision ou un document
publiée aux Annexes du Moniteur belge est déposée et publiée conformément aux paragraphes qui précèdent. La
rectification d'une erreur commise dans un document dont le dépôt a été publié par mention aux Annexes du
Moniteur belge s'opère par dépôt au greffe conformément aux paragraphes qui précèdent, d'une ou plusieurs pages
rectifiées ou additionnelles, portant la mention "rectification", jointes à une page comportant les indications prévues
au paragraphe 2, alinéa 4 et indiquant le document auquel la rectification se rapporte. Les pages rectifiées ou
additionnelles sont portées au dossier. Le dépôt de pages rectifiées ou additionnelles donne lieu à publication par
extrait aux Annexes du Moniteur belge.
Décision quant au font 38/2021 - 3/24
2. Faits et objet de la demande2
1. Le plaignant est actionnaire de la SPRL X. Le plaignant détient la toute grande majorité des parts
de la SPRL, son associé en détenant une toute petite minorité.
2. Les actionnaires de la société – dont le plaignant – ont décidé d’opérer une réduction du capital de
la société dont les statuts ont, consécutivement à cette opération, été modifiés par une décision de
l’assemblée générale extraordinaire début 2019 (article 316 du Code des sociétés).
3. En février 2019, un extrait de cette décision a été publié aux Annexes du Moniteur belge, disponibles
tant en version papier qu’en version électronique consultable via Internet.
4. L’extrait publié au Moniteur belge contient la décision de réduire le capital de la société, le montant
initial du capital, le montant de la réduction avec mention du nouveau montant du capital social et
du nouveau texte des statuts. Tels sont en effet les éléments requis par l’article 69 combiné à
l’article 74 du Code des sociétés.
5. En outre, l’extrait mentionne entre autres le nom des deux associés (dont le plaignant), les montants
qui leur ont été remboursés ainsi que leurs numéros de compte bancaire.
6. Cette partie de l’extrait publié en néerlandais (point 5 ci-dessus) est reproduite ci-dessous:
(…)
- aan de heer X , voornoemd, door uitbetaling op de rekening met nummer (..) op zijn
naam van het bedrag van (..);
- aan de heer Z, voornoemd, door uitbetaling op de rekening met nummer (..) op zijn
naam, van het bedrag van (..)
Traduction libre
- à Monsieur X , mentionné ci-dessus, par versement sur le compte numéro (..) à son
nom d’un montant de (..);
- à Monsieur Z, mentionné ci-dessus, par versement sur le compte numéro (..) à son
nom, d’un montant de (..)
(Ci-après le passage litigieux)
2 Etant donné que la réduction de capital a eu lieu avant l’entrée en vigueur du nouveau Code des sociétés et des
associations, le Code des sociétés du 7 mai 1999 est d’application aux faits de l’espèce.
Décision quant au font 38/2021 - 4/24
7. Cet extrait a été préparé par le notaire du plaignant en application du Code des sociétés (article 74
alinéa 1, 1° juncto article 69, alinéa 1, 5°3) et transmis ensuite par ce dernier au greffe du tribunal
de l’entreprise du ressort territorial de la société pour être publié aux Annexes du Moniteur belge 4.
8. Considérant que son notaire avait commis une erreur en incluant le passage litigieux dans la
demande de publication de l’extrait de la décision de réduction de capital, le plaignant a, par
l’intermédiaire de son notaire et du délégué à la protection des données de celui-ci (DPO), entamé
des démarches visant à obtenir la suppression de ce passage litigieux auprès de la défenderesse.
9. Le 28 mars 2019, le DPO du notaire du plaignant a adressé un e-mail au DPO de la défenderesse
invitant ce dernier à effacer les deux paragraphes cités ci-dessus en exécution du droit à
l’effacement du plaignant (art. 17 du RGPD). Concrètement, le DPO du notaire du plaignant a, pour
le compte de ce dernier, demandé (a) la suppression de la publication de l’extrait contenant le
passage litigieux et (b) son remplacement par la publication d’un extrait sans ce passage litigieux.
10. Le 10 avril 2019, la défenderesse a répondu par la négative à la requête du plaignant. Son refus
s’appuyait sur l’exception prévue à l’article 17.3 du RGPD (droit à l’effacement) et sur son article
865. Le DPO de la défenderesse a, en lieu et place de l’effacement demandé, suggéré qu’une
nouvelle publication de l’extrait - sans le passage litigieux - soit faite, la publication initiale restant
quant à elle intacte.
11. Le 11 avril 2019, le DPO du notaire du plaignant a répondu à la défenderesse que sa position n’était
pas pertinente et a insisté sur la suppression de la publication de l’extrait reprenant le passage
litigieux.
12. Dans un e-mail du 30 avril 2019, le DPO de la défenderesse a apporté des arguments
supplémentaires pour justifier son refus d’effacement du passage litigieux.
3 Article 74 : Sont déposés et publiés conformément aux articles précédents : 1° les actes apportant changement
aux dispositions dont le présent code prescrit la publication.
Article 69 alinéa 1, 5° : L’extrait de l’acte constitutif de sociétés, à l’exception des groupements d’intérêt
économique, contient : 5° le cas échéant le montant du capital social ; le montant de la partie libéré ; le montant
du capital autorisé; pour les sociétés en commandite, le montant des valeurs libérées ou à libérer en commandite
et pour les sociétés coopératives, le montant de la part fixe du capital.
4 Les formalités de publications par le Moniteur belge étaient prévues dans l’arrêté royal du 30 janvier 2001 portant
exécution du Code des sociétés et des associations, en particulier en son article 11, auquel s’est substitué ainsi qu’il
a été précisé dans les rétroactes de la procédure, l’arrêté royal du 29 avril 2019 portant exécution du Code des
sociétés et des associations.
5 Article 86 du RGPD : Traitement et accès du public aux documents officiels :
Les données à caractère personnel figurant dans des documents officiels détenus par une autorité publique ou par
un organisme public ou un organisme privé pour l'exécution d'une mission d'intérêt public peuvent être
communiquées par ladite autorité ou ledit organisme conformément au droit de l'Union ou au droit de l'État membre
auquel est soumis l'autorité publique ou l'organisme public, afin de concilier le droit d'accès du public aux documents
officiels et le droit à la protection des données à caractère personnel au titre du présent règlement.
Décision quant au font 38/2021 - 5/24
13. Le 30 avril 2019, le DPO du notaire du plaignant a sollicité un avis de l’APD. Le 5 juillet 2019, le SPL
de l’APD a rappelé ainsi notamment (1) qu’un arrêt royal (soit l’arrêté royal du 30 janvier 2001
invoqué alors par la défenderesse à l’appui de son refus d’effacement) ne peut primer sur un
règlement européen (soit sur le RGPD) ainsi que (2) les conditions du droit à l’effacement.
14. Plusieurs demandes ont par la suite encore été formulées par le notaire du plaignant les 8 juillet
2019, 25 octobre 2019, 19 novembre 2019, et 8 janvier 2020 sans succès. L’extrait litigieux n’a pas
été retiré du Moniteur belge.
15. Le 21 janvier 2020 le plaignant a déposé plainte à l’APD.
16. Aux termes de sa plainte, le plaignant dénonce ce qui suit:
(1) un manquement à l’article 6 du RGPD dans le chef de la défenderesse pour publication de ses
données à caractère personnel sur Internet sans base de licéité.
(2) Un manquement à l’article 17 du RGPD dans le chef de la défenderesse pour ne pas avoir
supprimé ses données à caractère personnel à la suite de l’exercice de son droit à l’effacement.
17. Aux termes de ses conclusions du 21 avril 2020, le plaignant demande à la Chambre Contentieuse
de dire pour droit que sa plainte est fondée et que les conditions légales du droit à l’effacement
sont rencontrées conformément à l’article 17.1. du RGPD. Le plaignant sollicite qu’il soit ordonné à
la défenderesse de se conformer à l’exercice de son droit à l’effacement et d’effacer les données à
caractère personnel le concernant (notamment les noms, numéros de compte en banque et les
montants versés tant relatifs à lui-même qu’à son associé) dans les 10 jours ouvrables après la
notification de la décision de l’APD sous peine d’une astreinte par jour de retard dont le montant
est à déterminer par l’APD en vertu de de l’article 100 § 1 er, 6, 10 et 12 de la LCA. Le plaignant y
dénonce également un manquement à l’article 5.1. c) et à l’article 5.1. e) du RGPD.
18. La Chambre Contentieuse tient d’emblée à souligner que dans le cadre de la mission de contrôle du
respect du RGPD confié à l’APD (dont elle est l’organe de contentieux administratif) tant par le
législateur européen (article 58 du RGPD) que par le législateur belge (article 4 LCA), elle examinera
les faits rapportés par le plaignant tant à l’aune des articles du RGPD visés dans le formulaire de
plainte qu’il a introduit le 21 janvier 2020 qu’à l’aune des articles du RGPD qu’il a visés dans un
second temps par la voie de ses conclusions du 21 avril 2020.
19. En effet, la Chambre Contentieuse décide ici, comme elle l’avait fait dans sa Décision 19/2020 déjà,
qu’il ne peut être exigé du plaignant qu’il identifie de manière claire, précise et exhaustive les
dispositions légales à l’appui desquelles il dépose sa plainte. Ce travail de qualification des faits –
Décision quant au font 38/2021 - 6/24
constitutifs de manquements à la réglementation en vigueur en matière de protection des données
le cas échéant – revient à l’Inspection et à la Chambre Contentieuse. 6
20. Après près de deux ans de fonctionnement, la Chambre Contentieuse fait le constat que les
plaignants qui déposent plainte auprès de l’APD ne connaissent pas nécessairement les dispositions
exactes du RGPD ou d’autres législations spécifiques qui s’appliqueraient à l’égard des faits qu’ils
rapportent et dont il leur semble qu’ils sont contraires à la réglementation applicable en matière de
protection des données à caractère personnel. La Chambre Contentieuse est à cet égard d’avis qu’il
ne peut pas être exigé d’eux qu’ils aient cette connaissance pour porter plainte.
21. Si la Chambre Contentieuse devait refuser de se pencher sur des griefs amenés par le plaignant en
cours de procédure relatifs aux faits dénoncés dans sa plainte, elle réduirait considérablement, voire
mettrait gravement en péril, l’effectivité de l’exercice du droit de porter plainte reconnu à l’article
77 du RGPD. Affirmer le contraire reviendrait à exiger du plaignant qu’il identifie, aux termes de sa
plainte, tous les griefs relatifs aux faits qu’il dénonce. Ceci éroderait, la Chambre Contentieuse tient
à le souligner, de manière inacceptable le droit de porter plainte et plus généralement, le droit
fondamental à la protection des données qui, pour être effectif, doit pouvoir être contrôlé par les
autorités de contrôle, notamment via les plaintes qui lui parviennent. Le contrôle du droit
fondamental à la protection des données par une autorité indépendante participe en effet de
l’essence de ce droit et est consacré à l’article 8.3. de la Charte des droits fondamentaux. Une fois
encore, affirmer le contraire reviendrait également, de facto (et au départ des constats que peut
faire la Chambre Contentieuse sur ses quasi deux années de fonctionnement), à exiger du plaignant
qu’il soit assisté d’un avocat ou de tout autre conseiller juridique (et ce dès le dépôt de sa plainte),
ce qui ne peut conditionner l’exercice d’un droit fondamental auprès de l’autorité de protection des
données. La Chambre Contentieuse est par ailleurs d’avis qu’autant que possible, le droit de porter
plainte doit, à l’instar de l’exercice des autres droits reconnus par le RGPD (Chapitre III), être gratuit
(article 12. 5 du RGPD). Enfin, les autorités de contrôle doivent par ailleurs faciliter l‘exercice par
les personnes concernées de leurs droits, en ce compris celui de porter plainte (article 57.2. du
RGPD).
22. En l’espèce, les faits n’étant pas contestés et ne nécessitant pas d’éclaircissements
complémentaires, la Chambre Contentieuse n’a, comme le lui permet l’article 94.3° LCA, pas eu
recours à l’Inspection. L’absence de recours à l’Inspection dès lors que les faits sont clairement
établis ne peut avoir pour conséquence de priver la Chambre Contentieuse d’examiner les faits
dénoncés par la plainte au regard de l’ensemble des griefs pertinents pour autant que qu’il s’agisse
6 Voy. à cet égard la note relative au rôle du plaignant disponible sur le site Internet de l’APD :
https://www.autoriteprotectiondonnees.be/publications/note-relative-a-la-position-du-plaignant-dans-la-
procedure-au-sein-de-la-chambre-contentieuse.pdf
Décision quant au font 38/2021 - 7/24
d’arguments juridiques liés aux faits rapportés dans la plainte et dans le respect du débat
contradictoire comme elle l’a souligné dans sa Décision 17/2020 (points 20-28).
23. En l’espèce, les griefs tirés du non-respect de l’article 5.1. c) (principe de minimisation) et de l’article
5.1.e) (principe de conservation limitée) du RGPD amenés par le plaignant par voie de conclusions
sont, de surcroît, sans préjudice de ce qui précède, intrinsèquement liés à la question de l’existence
ou non d’une base de légitimité (article 6 du RGPD) soulevée d’emblée par les termes de la plainte.
En effet, à défaut de base de légitimité (article 6 du RGPD) autorisant le traitement de données, le
responsable de traitement ne respecte pas non plus le principe de minimisation qui exige que seules
les données adéquates, pertinentes et limitées à ce qui est nécessaire à la réalisation de la finalité
poursuivie soient traitées. En s’abstenant de donner suite au droit à l’effacement du plaignant
(soulevé d’emblée par la plainte), le responsable de traitement contrevient (potentiellement)
également au principe de la durée de conservation limitée des données traitées.
24. Partant, tout argument selon lequel la défenderesse n’aurait, en l’espèce, pas été avertie dès
l’entame de la procédure de ce qui lui était reproché doit ici être écarté.
25. La défenderesse demande quant à elle à la Chambre Contentieuse de rejeter la plainte du plaignant,
aucun manquement au RGPD ne pouvant selon elle être constaté dans son chef.
3. L’audition du 16 octobre 2020
26. Lors de l’audition du 16 octobre 2020, les parties ont eu l’occasion de faire valoir leur point de vue,
se référant très largement à leurs conclusions précédemment communiquées.
27. Plus particulièrement, les éléments suivants sont ressortis de cette audition :
- Le conseil du plaignant a précisé que les données à caractère personnel directement
relatives à son associé devaient également être considérées comme des données à
caractère personnel le concernant et que partant, sa demande d’effacement portait
également sur celles-ci (voy. point 17 ci-dessus).
- Les parties ont indiqué être d’accord sur le fait que la publication les données
personnelles du plaignant figurant dans le passage litigieux n’étaient pas visées par
l’obligation de publicité prévue au Code des sociétés.
- La défenderesse a confirmé sa qualité de responsable de traitement.
- La défenderesse a indiqué ne pas être autorisée à faire le tri entre les données dont la
publication est requise par le Code des sociétés et celles dont la publication est
régulièrement souhaitée. En effet, il n’est pas rare que des personnes physiques ou
morales souhaitent ajouter des données à la publication, données dont la publication
Décision quant au font 38/2021 - 8/24
n’est légalement pas requise par le Code des sociétés par exemple. La défenderesse a
ajouté qu’en pratique, ce tri est par ailleurs impossible à réaliser compte tenu du nombre
d’extraits d’actes à contrôler marginalement quotidiennement (seules la présence de
certaines mentions et du format sont vérifiés) 7.
- Via une demande de rectification, la publication rectifiée renvoie nécessairement à la
publication qu’elle rectifie (et dans ce cas, celui qui recherche la publication peut la
retrouver via la date mentionnée sur l’avis de rectification).
28. Un procès-verbal complet de cette audition a été rédigé et communiqué aux parties ainsi qu’il a été
précisé aux rétroactes de la procédure.
EN DROIT
4. Quant aux manquements dans le chef de la défenderesse
A titre liminaire
29. La Chambre Contentieuse note que la défenderesse se qualifie de responsable de traitement. Dans
le cadre de son pouvoir d’appréciation propre au regard de cette qualification8, la Chambre
Contentieuse retient également cette qualification considérant qu’au regard du passage litigieux de
l’extrait publié, la défenderesse a bel et bien agi en cette qualité, en en définissant tant la finalité
que les moyens (article 4.2 du RGPD).
30. La Chambre Contentieuse relève que la défenderesse souligne, de manière répétée, que l’erreur
génératrice de toute la procédure qui aboutit à la présente décision a été commise par le notaire
du plaignant lors de la transmission de l’acte à publier aux Annexes du Moniteur belge.
31. La défenderesse est certes intervenue à la suite du notaire du plaignant, lequel a préparé l’acte à
publier qui contient le passage litigieux et le lui a transmis. Il n’y en a pas moins eu intervention
7Extrait du PV d’audition :
Le dossier est traité par le Tribunal de l’Entreprise avant envoi pour publication au Moniteur. Par «traiter», il faut
ici entendre que le greffe du Tribunal de l’Entreprise scanne le document, y ajoute les références nécessaires
(numéro, …) et opère un contrôle purement formel du document soumis (est-il daté ?, signé ? etc.). Une circulaire
précise que le greffe doit se limiter à ce contrôle formel sans pouvoir modifier le contenu du document. Ce contenu
est de la responsabilité du notaire qui en a fait le dépôt. Le greffe traite 800 à 900 actes par jour. Il dispose de 24h
pour accepter le dossier et 48h pour l’envoyer au Moniteur belge.
8 Voy. à cet égard, Comité Européen de la Protection des Données (CEPD), Guidelines 07/2020 on the concepts of
controller and processor in the GDPR, version 1.0. du 2 septembre 2020.
Ces lignes directrices ont été soumises à consultation publique et sont susceptibles d’être modifiées
https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_202007_controllerprocessor_en.pdf . Voy
également la décision 81/2020 de la Chambre Contentieuse (point 46).
Décision quant au font 38/2021 - 9/24
successive de deux responsables de traitement distincts, du notaire d’abord, de la défenderesse
ensuite, opérant un traitement distinct. 9
32. Même si l’erreur initiale a été commise par le notaire du plaignant, le respect du RGPD est requis
pour chaque traitement opéré. Partant, l’erreur commise par un premier responsable de traitement
ne couvre pas un manquement au RGPD dont le responsable de traitement « ultérieur » (pour
reprendre les termes invoqués par la défenderesse) se rendrait coupable. Cette notion de
responsable de traitement « ultérieur » n’est par ailleurs pas consacrée par le RGPD. En l’espèce la
Chambre Contentieuse constate simplement une intervention successive de deux responsables de
traitement. Certes la défenderesse a d’abord été destinataire des données au sens de l’article 4.9.
du RGPD, mais cette qualité n’exclut pas qu’à son tour, elle soit intervenue en qualité de responsable
de traitement.
4.1. Quant au manquement à l’article 6 du RGPD (licéité du traitement) et à l’article 5 .1. c) (principe
de minimisation)
33. La Chambre Contentieuse rappelle qu’en application de l’article 6 du RGPD, le traitement de données
à caractère personnel n'est licite que si, et dans la mesure où, il s’appuie sur l’une des bases de
licéité listée à l’article 6 du RGPD.
34. Il n’est pas contesté que l’extrait publié aux Annexes du Moniteur belge reprend des données à
caractère personnel relatives au plaignant au sens de l’article 4.1. du RGPD et que partant, cette
publication doit s’appuyer sur l’une des bases de licéité de l’article 6 du RGPD. La Chambre
Contentieuse précise à cet égard que comme l’invoque le plaignant, les données à caractère
personnel relatives à ce dernier englobent tant ses éléments d’identité, son numéro de compte et
le montant qui lui a été versé que les mêmes éléments d’information relatifs à son associé. Toutes
ces informations doivent être considérées comme étant des données à caractère personnel relatives
au plaignant.
Position de la défenderesse
35. La défenderesse expose que le plaignant ne précise pas à quel moment il estime constater un
manquement à l’article 6 du RGPD. La défenderesse argumente pour sa part que tant en ce qui
concerne la publication aux Annexes du Moniteur belge en février 2019 qu’en ce qui concerne la
période qui suit la demande d’effacement subséquente du plaignant, elle fonde le traitement des
données de ce dernier sur une base de licéité valable dans le respect de l’article 6 du RGPD.
9 Voy. également la décision 81/2020 de la Chambre Contentieuse (point 46).
Décision quant au font 38/2021 - 10/24
36. S’agissant de la publication en février 2019, la défenderesse déclare, aux termes de ses premières
conclusions à tout le moins, pouvoir s’appuyer sur trois bases de licéité : (1) le consentement du
plaignant (article 6.1 a) du RGPD combiné à l’article 7 du RGPD), (2) l’article 6.1 c) du RGPD10 en
ce que la publication résulte dans le chef de la défenderesse de l’exécution nécessaire d’une
obligation légale découlant de l’article 73 alinéa 2 du Code des sociétés et l’arrêté royal du 29 avril
2019 portant exécution du Code des sociétés et des associations et enfin, (3) l’article 6.1 e) du
RGPD11 en ce que la publication des informations transmises par le notaire du plaignant relève de
la mission d’intérêt public de source documentaire officielle assurée par le Moniteur belge en
application de la Loi du 28 février 1845 prescrivant un nouveau mode de sanction et de promulgation
des lois et de la Loi du 18 mai 1873 contenant le Titre IX, Livre I, du Code de commerce relatif aux
sociétés. La défenderesse précise également que l’exercice de cette mission d’intérêt public s’inscrit
dans le contexte de l’article 86 du RGPD déjà cité relatif à l’accès du public aux documents officiels.
37. Il a été rappelé au titre 3 ci-dessus, qu’au cours de l’audition, les représentants de la défenderesse
ont expliqué que la défenderesse n’était, selon des instructions reçues par la voie de circulaire, pas
autorisée à faire un quelconque tri entre d’une part les données requises par le Code des sociétés
ou tout autre texte dont la publication est demandée et d’autre part, celles, additionnelles, que
d’aucuns souhaitent voir publiées nonobstant le fait que leur publication n’est pas légalement
exigée. Ils ont également indiqué qu’en outre, en pratique, ce tri n’est pas possible compte tenu du
nombre d’extraits d’actes à publier quotidiennement.
38. S’agissant du maintien de la publication après la demande d’effacement du plaignant, la
défenderesse estime pouvoir continuer à s’appuyer sur l’article 6.1 c) du RGPD. Elle invoque l’article
1-9 § 5 de l’arrêté royal du 29 avril 2019 portant exécution du Code des sociétés et des associations
qui prévoit une procédure de rectification en cas d’erreur commise dans un document publié aux
Annexes du Moniteur belge , à l’exclusion de toute possibilité d’effacement pur et simple d’un acte
publié. L’absence de prescrit légal obligeant (autorisant même) le Moniteur belge, en sa qualité de
responsable de traitement, à effacer l’acte ou les données relatives au plaignant qui y figurent, ne
compromet donc pas, toujours selon la défenderesse, la licéité du maintien de la publication des
données de l’extrait litigieux après la demande d’effacement.
39. Quant au principe de minimisation (article 5.1.c) du RGPD), la défenderesse souligne que cette
violation se rapporte au traitement opéré par le notaire et non à celui qu’elle a opéré en application
10 Article 6 § 1 c) du RGPD : Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions
suivantes est remplie: ( …) c) le traitement est nécessaire au respect d'une obligation légale à laquelle le
responsable du traitement est soumis.
11 Article 6 § 1 e) du RGPD : Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions
suivantes est remplie: ( …) e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant
de l'exercice de l'autorité publique dont est investi le responsable du traitement.
Décision quant au font 38/2021 - 11/24
de son obligation légale rappelée ci-dessus (point 35) laquelle ne l’autorise pas à modifier le contenu
de ce qui lui est transmis par le notaire.
Position du plaignant
40. Le plaignant estime pour sa part que la publication du passage litigieux aux Annexes du Moniteur
belge contrevient à l’article 6 du RGPD en ce qu’aucune base de licéité ne peut valablement être
invoquée par la défenderesse pour justifier la publication des données personnelles du passage
litigieux qui y figurent et ce, quel que soit le moment auquel l’on se place pour établir l’existence de
cette base de licéité.
41. Le plaignant argumente à cet égard que contrairement à ce qu’avance la défenderesse, il n’y a pas
de consentement dans son chef à la publication des données litigieuses (article 6.1 a) du RGPD),
cette publication résultant d’une erreur. La défenderesse ne peut pas non plus, toujours selon le
plaignant, s’appuyer sur l’article 6.1 c) du RGPD qui autorise le traitement des seules données
nécessaires au respect d’une obligation légale alors qu’en l’espèce, la publication des données
litigieuses va au-delà de ce que requièrent les articles pertinents du Code des sociétés à la suite
d’une réduction de capital. La défenderesse met à cet égard en évidence la ratio legis de la
publication au Moniteur belge. Celle-ci sert un double objectif soit celui d’informer et de protéger
les tiers par rapport à la société avec laquelle ils interagissent d’une part et à protéger la société
elle-même qui peut ainsi rendre ses décisions internes opposables aux tiers d’autre part. L’objectif
de protection des tiers est particulièrement important en cas de réduction de capital dès lors que la
société est appauvrie et les garanties des créanciers affaiblies. La publication de la réduction de
capital, marque à cet égard le point de départ d’un délai de 2 mois à dater duquel les créanciers
peuvent, dans certaines conditions, exiger une sûreté pour leurs créances antérieures. La
publication de données relatives aux actionnaires, tel le plaignant, qui révèle comment le
remboursement du montant de capital a été effectué et vers quels comptes bancaires des montants
ont été versés est sans pertinence au regard de cet objectif de publicité (non requise par le Code
des sociétés). Le plaignant conteste également que la défenderesse puisse, comme cette dernière
l’invoque, s’appuyer sur l’article 6.1 e) du RGPD, la condition de « nécessité » pour l’exécution de
sa mission d’intérêt public n’étant en l’espèce pas rencontrée.
42. Enfin, le plaignant considère que dès lors que les données personnelles contenues dans le passage
litigieux n’étaient ni pertinentes ni nécessaires à la finalité de publicité requise par le Code des
sociétés, (soit, comme il a été exposé ci-dessus, informer les tiers et protéger les créanciers), il y a
manquement au principe de minimisation consacré à l’article 5.1.c) du RGPD dans le chef de la
défenderesse.
Position de la Chambre Contentieuse
Décision quant au font 38/2021 - 12/24
43. La Chambre Contentieuse rappelle comme mentionné déjà aux points 33 et 34 ci-dessus, que tout
traitement de données doit s’appuyer sur l’une des bases de licéité prévue à l’article 6 du RGPD et
qu’une base de licéité doit exister tant que dure le traitement.12
44. La Chambre Contentieuse rappelle également qu’il incombe au responsable de traitement d’identifier
une unique base de licéité sur laquelle il fonde son traitement. Cette exigence participe aussi des
principes de loyauté et de transparence qu’il lui incombe de mettre en œuvre (article 5.1.a) du
RGPD – explicité au considérant 39 du RGPD)13. Des conséquences différentes découlant de l’une
ou l’autre base de licéité, notamment en termes de droits pour les personnes concernées, il n’est
pas admis que le responsable de traitement invoque l’une ou l’autre au gré des circonstances. A
titre d’illustration, le responsable de traitement ne peut, comme en l’espèce, à la fois considérer
qu’il fonde le traitement sur le consentement de la personne concernée (article 6.1.a) du RGPD) et
sur son obligation légale (article 6.1.c) du RGPD). Le consentement peut en effet être retiré à tout
moment et s’il n’a pas pour effet de compromettre la validité du traitement effectué avant le retrait
du consentement (article 7.3. du RGPD), il ne permet toutefois plus, a priori, au responsable de
traitement de poursuivre le traitement pour l’avenir (article 17.1.b) du RGPD). En déclarant fonder
le traitement sur son obligation légale par ailleurs (article 6.1.c) du RGPD), le responsable de
traitement exclut par principe toute possibilité d’opposition au traitement, le retrait du consentement
ne pouvant être invoqué ni le droit d’opposition réservé aux hypothèses de l’article 21.1. du RGPD
soit aux traitements des données à caractère personnel fondés sur l'article 6, paragraphe 1, point
e) ou f) et non sur l’article 6.1.c) du RGPD. En invoquant également l’article 6.1.e) du RGPD comme
fondement possible - lequel permet quant à lui précisément l’exercice d’un droit d’opposition de la
personne concernée -, aux côtés de l’article 6.1.c) du RGPD qui ne le permet pas, le responsable
de traitement sème une grande confusion. De manière générale, en invoquant des bases de licéité
distinctes, le responsable de traitement qui agit de la sorte crée un flou certain en termes d’exercice
des droits des personnes concernées.
45. Sans préjudice de ce qui précède, dès lors que la défenderesse estime pouvoir s’appuyer sur pas
moins de 3 bases de licéité pour fonder le traitement de données lors de la publication en février
2019, la Chambre Contentieuse examinera ci-après si l’une d’elle peut effectivement valablement
fonder la publication du passage litigieux.
12 Si un responsable de traitement devait être amené à modifier sa base de légitimité en cours de traitement, il ne
pourrait le faire qu’à la condition de respecter toutes les conditions d’application de cette base et devrait également
en informer la personne concernée et respecter toutes les autres dispositions du RGPD applicables comme si, en
quelque sorte, il repartait de zéro à l’égard dudit traitement.
13 Voy. à cet égard les articles 13.1.c) du RGPD et 14.1.c) du RGPD.
Décision quant au font 38/2021 - 13/24
46. Quant à l’article 6.1.c) du RGPD également invoqué par la défenderesse, la Chambre Contentieuse
rappelle qu’il ne peut être retenu que lorsqu’il fonde « un traitement (de données personnelles)
nécessaire au respect d’une obligation légale », chaque mot de cette hypothèse étant d’importance.
47. Dans le cadre de sa défense, la défenderesse a attiré l’attention de la Chambre Contentieuse sur le
fait qu’il convient de ne pas se méprendre sur l’application de l’article 6.1.c) du RGPD en l’espèce.
L’obligation légale à tenir en compte est celle de publication à laquelle le Moniteur belge est tenue
en application de l’article 73 alinéa 2 du Code des sociétés et de l’arrêté royal du 29 avril 2019 déjà
cité et qui, précise la défenderesse, lui imposait de publier tel quel ce que le notaire lui avait transmis
sans que les services du Moniteur belge ne soient autorisés à faire le tri entre ce qu’il est
effectivement requis de publier en application du Code des sociétés et ce qui irait au-delà (voy.
points 27 et 37 ci-dessus). Telle est, selon la défenderesse, l’obligation légale à laquelle elle est
tenue. Partant, le fait que les données publiées ne soient pas requises par le Code des sociétés est
selon la défenderesse indifférent : leur publication aux Annexes du Moniteur belge est le résultat de
l’obligation légale de la défenderesse.
48. La Chambre Contentieuse ne peut souscrire à ce raisonnement qu’elle juge contraire à la condition
de nécessité figurant à l’article 6.1.c) du RGPD et qui revient également selon elle à nier toute mise
en œuvre du principe de minimisation des données en violation de l’article 5. 1 c) du RGPD qui
requiert que ne soient traitées que des données adéquates, pertinentes et limitées à ce qui est
nécessaire au regard des finalités poursuivies.
49. Cette condition de nécessité du traitement se retrouve formulée dans toutes les bases de licéité (à
l’exception de celle du consentement), du littera b) au littera f) de l’article 6 du RGPD.
50. Dans son arrêt Huber, la Cour de Justice de l’Union européenne (CJUE) a, au regard de cette
condition de nécessité, spécifié :
qu’« eu égard à l’objectif consistant à assurer un niveau de protection équivalent dans tous les
États membres, la notion de nécessité telle qu’elle résulte de l’article 7, sous e) 14, de la directive
95/46, qui vise à délimiter précisément une des hypothèses dans lesquelles le traitement de
données à caractère personnel est licite, ne saurait avoir un contenu variable en fonction des
États membres. Partant, il s’agit d’une notion autonome du droit communautaire qui doit
recevoir une interprétation de nature à répondre pleinement à l’objet de cette directive tel que
défini à l’article 1er, paragraphe 1, de celle-ci »15 (C’est la Chambre Contentieuse qui souligne).
14 Les Etats membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :
(…) e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique
dont est investi le responsable de traitement ou le tiers auquel les données sont communiquées.
15 CJUE,16 décembre 2008, ,arrêt Heinz Huber v. Bundesrepublik Deutschland, C-524/06, para.52.
Décision quant au font 38/2021 - 14/24
51. Aux termes des conclusions16 qu’il a déposées dans cette affaire, l’avocat général explicite à cet
égard que « le concept de nécessité a une longue histoire en droit communautaire et il est bien
établi en tant que partie intégrante du critère de proportionnalité. Il signifie que l’autorité qui adopte
une mesure qui porte atteinte à un droit fondamental en vue de réaliser un objectif justifié doit
démontrer que cette mesure est la moins restrictive permettant d’atteindre cet objectif. Par ailleurs,
si le traitement de données personnelles peut être susceptible d’enfreindre le droit fondamental au
respect de la vie privée, l’article 8 de la convention européenne de sauvegarde des droits de l’homme
et des libertés fondamentales (CEDH) qui garantit le respect de la vie privée et familiale, devient lui
aussi pertinent. Comme l’a Cour l’a énoncé dans l’arrêt Österreichischer Rundfunk e.a., si une
mesure nationale est incompatible avec l’article 8 de la CEDH, cette mesure ne peut pas satisfaire
à l’exigence de l’article 7, sous e), de la directive. L’article 8, paragraphe 2, de la CEDH prévoit
qu’une ingérence dans la vie privée peut être justifiée si elle vise l’un des objectifs qui y sont
énumérés et «dans une société démocratique, est nécessaire» à l’un de ces objectifs. La Cour
européenne des droits de l’homme a jugé que la notion de «nécessité» implique qu’un «besoin
social impérieux» soit en cause ».
52. Cette jurisprudence formulée certes au regard de l’article 7.e) de la directive 95/46/CE vaut pour
toutes les bases de licéité qui retiennent cette condition de nécessité. Elle demeure aujourd’hui
pertinente alors même que la directive 95/46 a été abrogée dès lors que cette condition de nécessité
est maintenue aux termes de l’article 6.1 b) à f) du RGPD. L’article 6.1 du RGPD reprend en effet
les termes de l’article 7 de la directive 95/46/CE dont elle est l’équivalent17.
53. Le Groupe de l’Article 29 a également fait référence à la jurisprudence de la Cour européenne des
droits de l’homme (Cour eur. D.H.) pour cerner l’exigence de nécessité18 et conclut que l’adjectif
« nécessaire » n’a ainsi pas la souplesse de termes tels que « admissible », « normal », « utile »,
« raisonnable » ou « opportun ».19
16 Conclusions de l’Avocat général Poiares Maduro présentées le 3 avril 2008 dans le cadre de la procédure devant
la CJU ayant abouti à l’arrêt cité en note de bas de page 15 ci-dessus ( C-524/06).
17 A noter que les seules différences à relever sont l’ajout à l’article 6.1.d) du RGPD de l’intérêt vital d’une autre
personne physique que la personne concernée ainsi que la suppression à l’article 6.1.e) du RGPD du « tiers auquel
les données sont communiquées », la mission d’intérêt public ou relevant de l’exercice de l’autorité publique devant
être celle du seul responsable de traitement. En outre, une légère différence de formulation existe à entre l’article
7.1. f) e la directive 95/46/Ce et l’article 6.1. f) du RGPD sans que la portée de cette disposition en soit modifiée.
Toutes ces modifications sont sans incidence sur la condition de nécessité.
18 Groupe de l’Article 29, Avis 06/2014 du 9 avril 2014 sur la notion d’intérêt légitime poursuivie par le responsable
de traitement des données au sens de l’article 7 de la directive 95/46/CE, WP 217.
19 Cour eur. D.H., 25 mars 1983, Silver et autres c. Royaume-Uni, para 97.
Décision quant au font 38/2021 - 15/24
54. A l’appui de ce qui précède, la Chambre Contentieuse conclut que l’appréciation par la défenderesse
de ce qui est « nécessaire à l’exécution de son obligation légale » ne peut être désincarné de la
finalité poursuivie par la publicité requise par le Code des sociétés20. Dans son arrêt Manni, la CJUE
précise en ce sens qu’afin de déterminer si les Etats membres sont tenus de prévoir pour les
personnes concernées le droit de demander à l’autorité chargée de la tenue d’un registre officiel
(Registre de commerce – mention des faillis en l’espèce), d’effacer ou de verrouiller les données
inscrites dans ce registre ou d’en restreindre l’accès, il convient de tenir compte de la finalité de
l’inscription au dit registre21.
55. Affirmer le contraire comme le défend la défenderesse reviendrait à accepter de la dispenser de
tout examen de la pertinence des données qu’elle publie alors même que bien au contraire, la mise
en œuvre de ce principe fondateur de la protection des données prévu à l’ article 5.1.c) du RGPD
lui revient en sa qualité de responsable de traitement.
56. Surabondamment, la Chambre Contentieuse attire l’attention sur le fait qu’en l’espèce, les données
publiées ont un lien relativement direct avec l’opération de réduction de capital intervenue (ce qui
pourrait conférer à leur publication une « apparence de légitimité » ou à tout le moins induire une
certaine compréhension pour la position de la défenderesse). Toutefois, la Chambre Contentieuse
tient à rendre ses lecteurs attentifs au fait que la conception de la défenderesse à l’égard de ce qu’il
faut comprendre par « traitement nécessaire à une obligation légale », pourrait, à suivre la
défenderesse, être invoquée à l’égard de la publication de toute donnée superflue, aussi anodine,
délicate ou sensible (en ce compris au sens des articles 9 et 10 du RGPD) qu’elle soit.
57. En conclusion sur ce point de l’article 6.1.c) du RGPD, la Chambre Contentieuse est d’avis que la
seule interprétation utile qui soit de nature à donner plein effet à la notion de nécessité telle que
l’impose la jurisprudence de la CJUE est celle qui consiste à qualifier de « nécessaire à l’obligation
légale de la défenderesse » les seules données nécessaires à l’objectif de la mesure de publicité
poursuivi par le Code des sociétés (articles 69 et 74 ) qui requiert la publication au Moniteur belge
par la défenderesse. Les montants versés aux associés et leur numéro de compte ne faisant pas
partie des données listées à ces articles et n’étant pas de nature à participer à l’objectif de publicité
poursuivi, elles ne sont pas nécessaires au respect de l’obligation légale de la défenderesse. Partant,
la Chambre Contentieuse conclut que la défenderesse ne peut s’appuyer sur l’article 6.1. c) au titre
de base de licéité pour leur traitement en l’espèce.
20 Voy. également l’avis 06/2014 du Groupe de l’Article 29 sur la notion d’intérêt légitime poursuivi par le responsable
du traitement des données au sens de l’article 7 de la directive 95/46/CE, WP 217 du 9 avril 2014 (page 21) :
« Pour que l’article 7, point c), puisse s’appliquer, l’obligation doit être imposée par la loi (et non, par exemple, par
une cause contractuelle). La loi doit remplir toutes les conditions requises pour rendre l’obligation valable et
contraignante, et doit aussi être conforme au droit applicable en matière de protection des données, notamment
aux principes de nécessité, de proportionnalité et délimitation de la finalité ».
21 CJUE, 9 mars 2017, arrêt Camera di Comercio c. S. Manni, C-398/15, para 48.
Décision quant au font 38/2021 - 16/24
58. Quant à l’article 6.1.e) du RGPD également invoqué par la défenderesse, la Chambre Contentieuse
estime qu’il ne peut en l’espèce pas davantage être retenu. Comme dans le cas de l’article 6 .1.c),
le critère de nécessité doit être satisfait. Il doit certes être apprécié ici au regard de la mission de
source de documentation officielle de la défenderesse. La défenderesse invoque à cet égard deux
textes de loi, soit la Loi du 28 février 1845 prescrivant un nouveau mode de sanction et de
promulgation des lois et de la Loi du 18 mai 1873 contenant le Titre IX, Livre I, du Code de
commerce relatif aux sociétés. La Chambre Contentieuse ne conteste pas que la mission de
publication poursuivie par la défenderesse au travers des publications (aux Annexes) du Moniteur
belge constitue une mission d’intérêt public au sens de l’article 6.1.e) du RGPD. Toutefois, comme
cela vient d’être rappelé au regard de l’article 6.1.c) du RGPD ci-dessus, seul le traitement de
données nécessaire à la réalisation de cet intérêt public peut être qualifié de licite à l’appui de
l’article 6.1.e) du RGPD. En l’espèce, la publication des données personnelles du plaignant contenues
dans le passage litigieux n’est pas plus nécessaire à cet intérêt qu’à la réalisation de l’obligation
légale de la défenderesse et ce pour les motifs déjà exposés (voy. point 56 notamment).
59. Quant à l’article 86 du RGPD également invoqué par la défenderesse à l’appui de sa mission d’intérêt
public, la Chambre Contentieuse partage l’analyse du plaignant selon laquelle la pertinence de cette
référence n’est pas évidente. De même, elle est d’avis que compte tenu de cet accès, il est d’autant
plus essentiel que la défenderesse s’assure que seules les données personnelles nécessaires soient
publiées.
60. L’application des articles 6.1. c) et 6.1.e) étant écartée, il reste à la Chambre Contentieuse à
examiner si le traitement des données personnelles relatives au plaignant pouvait, comme le défend
la défenderesse, s’appuyer en l’espèce sur le consentement du plaignant.
61. Il est certain, comme le souligne le considérant 43 du RGPD ainsi que le Comté européen de la
protection des données dans ses Lignes directrices 05/2020 22, qu’il n’est pas probable que les
autorités publiques puissent se fonder sur le consentement pour le traitement de données à
caractère personnel. En effet, lorsque le responsable du traitement est une autorité publique, il
existe souvent un déséquilibre manifeste des rapports de force entre le responsable du traitement
et la personne concernée qui ne permet pas de satisfaire à la condition de liberté du consentement.
Toutefois, sans préjudice de ces considérations générales, le cadre juridique du RGPD n’exclut pas
entièrement le recours au consentement en tant que base juridique du traitement de données par
des autorités publiques.
22 Comité Européen de la Protection des Données (CEPD), Lignes directrices 5/2020 sur le consentement au sens
du règlement (UE)2016/679, adoptées le 4 mai 2020 :
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_fr.pdf
Décision quant au font 38/2021 - 17/24
62. En l’espèce, la Chambre Contentieuse est d’avis que le consentement ne peut fonder la publication
de l’extrait litigieux. Conformément à l’article 7.1. du RGPD, il appartient en effet au responsable de
traitement, soit à la défenderesse, de démontrer qu’elle a obtenu de la personne concernée un
consentement valable, soit un consentement qui répond à toutes les conditions de l’article 4.11 du
RGPD. La Chambre Contentieuse est d’avis que la défenderesse ne démontre pas avoir obtenu un
tel consentement de la part du plaignant. À supposer même que la défenderesse eut obtenu un
consentement valable au moment de la publication de février 2019, et à suivre, quod non toujours,
la défenderesse selon laquelle le plaignant aurait retiré son consentement sans conséquence sur la
validité de la publication de février 2019, la Chambre Contentieuse est d’avis que la défenderesse
n’en dispose pas moins d’aucune base de licéité dès l’instant où ce consentement aurait été retiré,
les articles 6.1.c) et 6.1.e) ne pouvant être invoqués.
63. Quant à l’argument de la défenderesse selon lequel d’aucuns souhaitent publier davantage que ce
que ne prescrit la règlementation applicable, la Chambre Contentieuse est d’avis que dans ce cas,
la publication de telles données - acceptée et réalisée par la défenderesse en qualité de responsable
de traitement - s’appuierait sur un autre fondement que celui de l’exécution de son obligation légale
ou de la réalisation de sa mission d’intérêt public, qui pourrait être le consentement (article 6.1.a)
du RGPD) (voy. ci-dessus point 61). Celui-ci devra réunir toutes les qualités requises (voy. sa
définition à l’article 4.11 du RGPD). Il appartient dès lors également à la défenderesse d’en tirer
toutes les conséquences en termes de droits pour les personnes concernées et de recueil de preuve
de l’obtention du consentement.
64. En conclusion, il résulte de ce qui précède qu’en l’espèce, aucune base de légitimité n’est de nature
à fonder la publication par la défenderesse de l’extrait litigieux contenant les données à caractère
personnel relatives au plaignant. La Chambre Contentieuse constate dès lors un manquement à
l’article 6 du RGPD dans son chef. Ce manquement est combiné à un manquement à l’article 5.1.c)
du RGPD. En effet, à défaut de base de licéité sur laquelle s’appuyer, la publication de ces données
méconnait également le principe de minimisation.
4.2. Quant au manquement au droit à l’effacement du plaignant par la défenderesse (article 17.1
du RGPD)
65. La Chambre Contentieuse rappelle que l’article 17.1 du RGPD prévoit que la personne concernée a
le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données
à caractère personnel la concernant et que le responsable du traitement a l'obligation d'effacer ces
données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs listés à l’article 17.1.
du RGPD s'applique, dont le motif suivant:
- d) les données à caractère personnel ont fait l’objet d’un traitement illicite.
Décision quant au font 38/2021 - 18/24
Position du plaignant
66. A l’appui de l’article 17.1 d) du RGPD, le plaignant estime que la défenderesse aurait dû donner
suite à son droit à l’effacement au motif que le traitement de ses données aux termes du passage
litigieux est illicite dès lors qu’elle ne dispose pas de fondement légal (article 6 du RGPD) et que la
publication desdites données contrevient à l’article 5.1.c) du RGPD. Le plaignant estime que par
ailleurs, à supposer même que la défenderesse soit fondée à invoquer l’article 6.1 e), quod non
selon le plaignant, il se trouve dans les conditions de l’article 17.1 c) du RGPD 23. Par ailleurs, en
refusant d’effacer lesdites données, la défenderesse viole également l’article 5.1.e) du RGPD qui
requiert que la conservation des données personnelles soit limitée à une durée n’excédant pas celle
nécessaire à la réalisation de la finalité poursuivie.
Position de la défenderesse
67. La défenderesse ne conteste pas ne pas avoir donné suite à la demande d’effacement du plaignant.
Elle est d’avis qu’aucune hypothèse de l’article 17.1. du RGPD n’est d’application en l’espèce et
qu’elle est fondée à s’appuyer sur l’exception de l’article 17.3. b) du RGPD compte tenu de
l’obligation légale qui lui incombe, en particulier l’arrêté royal déjà cité du 29 avril 2019 qui prévoit
une procédure de rectification à l’exclusion de toute possibilité d’effacement (article 1-9 § 5). Elle
ajoute que dès lors que le législateur ne l’habilite pas à effacer les données d’un acte publié en tout
ou en partie, aucun manquement à l’article 5.1.e) du RGPD ne peut lui être imputé.
Position de la Chambre Contentieuse
68. La Chambre Contentieuse est d’avis, qu’à l’appui du manquement à l’article 6 du RGPD combiné à
l’article 5.1.c) du RGPD qu’elle a constaté dans le chef de la défenderesse (voy. point 64 ci-dessus),
le plaignant se trouve effectivement dans les conditions de l’article 17.1. d) du RGPD qui impose au
responsable de traitement d’effacer les données personnelles traitées de manière illicite dans les
meilleurs délais.
69. Toutefois, le droit à l’effacement consacré par l’article 17.1. du RGPD étant assorti d’exceptions, il
appartient à la Chambre Contentieuse de vérifier si une des exceptions prévues à l’article 17.3. du
RGPD est applicable en l’espèce, plus particulièrement l’article 17.3. b) du RGPD invoqué par la
défenderesse.
70. La Chambre Contentieuse considère que pour les motifs qui suivent, la défenderesse ne peut
s’appuyer sur l’article 17.3 b) du RGPD au titre d’exception au droit à l’effacement du plaignant.
23 La personne concernée s’oppose au traitement en vertu de l’article 21.1. et il n’existe pas de motif légitime
impérieux pour le traitement ou la personne concernée s’oppose au traitement en vertu de l’article 21.2.
Décision quant au font 38/2021 - 19/24
71. Cette exception prévoit que le droit pour la personne concernée d’obtenir du responsable de
traitement l’effacement de données à caractère personnel le concernant ne s’applique pas dans la
mesure où ce traitement de données est nécessaire pour respecter une obligation légale qui requiert
le traitement prévue par le droit de l’Union ou le droit de l’Etat membre auquel le responsable de
traitement est soumis ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de
l’autorité publique dont est investi le responsable de traitement ».
72. Comme évoqué ci-dessus, la défenderesse invoque à cet égard la procédure de rectification prévue
par l’arrêté royal du 29 avril 2019 dont il faut, selon elle, déduire qu’elle n’est pas autorisée par le
législateur national à effacer des données des publications officielles. En cela, la défenderesse serait
autorisée à invoquer l’article 17.3. b) du RGPD pour refuser de donner suite à toute demande
d’effacement compte tenu de son obligation légale qui lui interdirait tout effacement. Le traitement
de toutes données publiées serait donc, ici aussi, nécessaire à l’obligation légale qu’il lui revient de
respecter. La Chambre Contentieuse est d’avis que ce n’est pas parce qu’un arrêté royal ne prévoit
qu’une procédure de rectification qu’il faut nécessairement en déduire que tout effacement est
interdit. Cette interdiction si elle devait exister, devrait être prévue par la loi dans le respect des
conditions l’article 23 du RGPD et ne peut se déduire d’une absence de référence à ce droit dans
un arrêt royal. Le RGPD étant directement applicable, il est, à défaut d’exception prévue dans le
respect des conditions qu’il impose, d’application. La Chambre Contentieuse constate dès lors une
absence d’obligation légale qui permettrait à la défenderesse d’invoquer l’article 17.3.b) du RGPD.
73. Il a par ailleurs été démontré ci-dessus que l’obligation légale de publication aux Annexes du
Moniteur belge à laquelle est certes soumise la défenderesse, ne requiert pas le traitement des
données contenues dans le passage litigieux et que partant, le traitement de ces données n’est pas
nécessaire au respect de l’obligation légale de la défenderesse (point 57). Ce traitement n’est pas
plus nécessaire à la réalisation de sa mission d’intérêt public (point 58). Les conditions de l’article
17.3.b) du RGPD invoqué par la défenderesse ne sont donc pas réunies en l’espèce.
74. A suivre même le raisonnement de la défenderesse qui consiste à apprécier la condition de nécessité
à des temps différents, soit au moment de la publication initiale d’une part et au moment de la
demande d’effacement d’autre part, la conclusion de la Chambre Contentieuse n’en resterait pas
moins identique. A fortiori, si l’on se place au moment de la demande d’effacement du plaignant,
l’impossibilité (pratique) déjà évoquée de faire un tri préalable à la publication entre ce qu’il est
légalement requis de publier et ce qui résulte de la volonté des personnes concernées tombe. En
effet, le plaignant pointe précisément lors de sa demande d’effacement les données superflues
publiées.
75. La Chambre Contentieuse considère également que les arguments tirés de la nature du Moniteur
belge ne sont pas de nature à s’opposer à l’exercice du droit d’effacement du plaignant. La
Décision quant au font 38/2021 - 20/24
défenderesse met à cet égard en avant l’immuabilité des publications au Moniteur belge et de ses
Annexes après leur publication et le fait que la sécurité juridique des publications officielles serait
compromise par l’application d’un droit à l’effacement exercé au regard des données qu’elles
contiennent.
76. Une fois encore, la Chambre Contentieuse estime que dès lors qu’en l’espèce, les données n’auraient
jamais dû être publiées, leur effacement n’est pas de nature à compromettre la sécurité juridique
de la publication, les données dont la publicité doit être assurée consécutivement à la réduction de
capital demeurant intactes. Il n’existe pas de l’avis de la Chambre Contentieuse, d’immuabilité de
principe des publications officielles. La Chambre Contentieuse rappelle ici qu’aux termes de son
arrêt Manni, la CJUE admet que le législateur national pourrait introduire un délai au-delà duquel
les données contenues dans une base de données publiques telles le Registre de commerce (en
l’espèce il s’agissait de l’information selon laquelle le commerçant avait fait faillite) seraient
effacées24. Dans l’arrêt Huber, précité, la CJUE énonce le principe que les registres publics ne doivent
contenir que les données nécessaires à la finalité qu’ils poursuivent et ce, en application de la
condition de nécessité contenue dans la base de licéité sur laquelle ils s’appuient. La CJUE ajoute
que ces registres doivent être mis à jour et les données superflues effacées. 25
77. La Chambre Contentieuse conclut de ce qui précède que l’article 17.3. b) du RGOD n’est pas
applicable en l’espèce et qu’aucune autre dispense d’effacement ne peut valablement être invoquée
par la défenderesse.
78. Partant, compte tenu des manquements constatés au point 64, la Chambre Contentieuse constate
un manquement à l’article 17.1. d) du RGPD dans le chef de la défenderesse. Ce manquement est
combiné à un manquement à l’article 5.1.e) du RGPD dès lors qu’à défaut d’avoir été effacées sur
la base de l’article 17. 1 d) du RGPD, la conservation de ces données n’a pas respecté le principe
selon lequel les données ne peuvent être traitées pour une durée plus longue que celle nécessaire
à la réalisation de la finalité du traitement.
4. Quant aux mesures correctrices et sanctions
79. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
24 CJUE, arrêt du 9 mars 2017, Camera di Comercio c. S. Manni, C-398/15, para 32-35 et 58 et s.
25 Voy. les points 59 à 60 de l’arrêt Huber, cité dans la note 15 ci-dessus.
Décision quant au font 38/2021 - 21/24
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.
80. ll importe de contextualiser les manquements dont la défenderesse s’est rendue responsable en vue
d’identifier les mesures correctrices et sanctions les plus adaptées.
81. La Chambre Contentieuse rappelle à cet égard qu’il lui appartient souverainement en qualité
d’autorité administrative indépendante - dans le respect des articles pertinents du RGPD et de la
LCA - de déterminer la/les mesure(s) correctrice(s) et sanction(s) appropriée(s).
82. La Chambre Contentieuse note qu’à plusieurs reprise déjà, le Centre de Connaissance de l’APD a
mis en évidence des lacunes de mise en œuvre du RGPD au regard des traitements de données
opérés par le Moniteur belge. A titre d’exemple, dans un avis 99/20 récent, l’APD, se référant à
l’article 1250 du Code judiciaire qui renvoie à une obligation de publication officielle au Moniteur
belge, soulève ce qui suit. « Comme elle l'a déjà fait dans l'avis n° 141/2019, l'Autorité [lisez l’APD]
attire ici à nouveau l'attention sur le fait que cette publication, comme de manière générale toute
publication au Moniteur belge, n'est soumise à aucun délai de conservation concernant les données
à caractère personnel y figurant. À cet égard, l’Autorité [lisez l’APD] rappelle à nouveau que l’article
23 du RGPD permet au législateur d’apporter non seulement des limitations aux droits visés aux
Décision quant au font 38/2021 - 22/24
articles 12 à 22 inclus du RGPD mais également à la portée de l’article 5 du RGPD et dès lors, en ce
compris, à l’article 5.1.e) du RGPD. De telles limitations ne peuvent toutefois se faire sans veiller au
respect des conditions stipulées par l’article 23 § 2 du RGPD, à commencer par le fait qu’une telle
limitation doit être prévue par le droit de l’État membre en question. Or, à la connaissance de
l’Autorité [lisez l’APD], il n’existe toujours pas de telle norme en ce qui concerne les publications au
Moniteur belge. L'Autorité [l’APD] insiste dès lors à nouveau pour qu'il soit remédié à cette
situation. »
83. La Chambre Contentieuse est d’avis qu’en l’espèce, compte tenu des manquements constatés, la
mesure correctrice la plus appropriée consiste à adresser à la défenderesse une réprimande (article
100.1., 5° LCA) assortie d’un ordre de donner suite à l’exercice du droit à l’effacement du plaignant
basé sur l’article 100.1.,6° LCA et ce, dans les meilleurs délais mais pas plus tard que dans un délai
de 30 jours à dater de la notification de la présente décision aux parties. Les frais qu’engendrerait
la mise en oeuvre de cet ordre d’effacement ne pourront être imputés au plaignant, l’exercice des
droits des personnes concernées étant, comme requis par l’article 12.5. du RGPD, gratuit.
84. La Chambre Contentieuse ne s’exprime pas sur l’opportunité d’une éventuelle amende
administrative à l’encontre de la défenderesse. Compte tenu de la qualité « d’autorité publique » de
cette dernière au sens de l’article 5 de la Loi du 30 juillet 2018 relative à la protection des personnes
physiques à l'égard des traitements de données à caractère personnel , lu en combinaison avec les
article 83.7. du RGPD et 221 § 2 de la loi du 30 juillet 2018 précitée, la Chambre Contentieuse n’est
en effet pas autorisée à lui imposer une telle amende.
85. La Chambre Contentieuse invite par ailleurs le législateur à œuvrer à une mise en conformité des
traitements de données opérés par le Moniteur belge avec le RGPD, notamment en ce qui concerne
l’identification de la base de licéité des traitements de données opérés, la mise en œuvre du principe
de minimisation consacré à l’article 5.1.c) du RGPD et l’exercice du droit à l’effacement des
personnes concernées.
6. Quant à la transparence
86. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les
décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'APD
moyennant la suppression des données d’identification directe du plaignant et des personnes citées,
qu’elles soient physiques ou morales à l’exception toutefois du Moniteur belge et du SPF Justice.
87. Lorsqu’elle a décidé de publier ses décisions en mentionnant l’identité des parties défenderesses, la
Chambre Contentieuse a motivé sa décision par le fait que cette publicité garantirait une mise en
Décision quant au font 38/2021 - 23/24
conformité rapide, contribuerait à une diminution du risque de répétitions et visait à informer le
public compte tenu du responsable de traitement mis en cause. En outre, toute pseudonymisation
du nom de la défenderesse aurait été dans ces quelques cas, illusoire26.
88. En l’espèce, la Chambre Contentieuse est d’avis qu’à l’appui des motifs précités, la publication de
l’identité de la défenderesse est justifiée. La suppression de l’identification du SPF Justice / Moniteur
belge est, compte tenu de la nature unique du Moniteur belge, de surcroît illusoire. Le maintien de
cette identification est par ailleurs indispensable à la compréhension de la décision et donc, à
l’objectif de transparence poursuivi par la Chambre Contentieuse.
POUR CES MOTIFS
LA CHAMBRE CONTENTIEUSE
Après en avoir délibéré,
- Décide d’adresser à la défenderesse une réprimande sur la base de l’article 100.1, 5° LCA ;
- Décide, sur la base de l’article 100.1., 6° LCA d’ordonner à la défenderesse de donner suite à
l’exercice du droit à l’effacement du plaignant et ce dans les meilleurs délais et au plus tard dans
les 30 jours qui suivent la notification de la présente décision. La défenderesse en informera la
Chambre Contentieuse, documents probants à l’appui, dans le même délai à l’adresse
[email protected].
En vertu de l’article 108.1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa notification, avec
l’Autorité de protection des données en qualité de défenderesse.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse
26 Voy. la décision 37/2020 de la Chambre contentieuse (point
183)https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-37-2020.pdf