1/10
Chambre Contentieuse
Décision quant au fond 39/2022 du 17 mars 2022
Numéro de dossier : DOS-2019-04973
Objet : Plainte contre une société commerciale concernant une demande d’effacement de
données et une demande d’accès à ces données
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke Hijmans,
président, et de Messieurs Romain Robert et Christophe Boeraeve ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation
de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données),
ci-après "RGPD" ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA) ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018
et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
.
Le plaignant : M. X, ci-après "le plaignant" ; .
.
La défenderesse : Y, représentée par Me Olivier Proust avocat, ci-après : "la défenderesse".
Décision quant au fond 39/2022 - 2/10
I. Faits et procédure
1. Le plaignant est un ancien client de la défenderesse. Suite à un déménagement, le 10 juin 2019, il
sollicite la suppression de son compte client et de ses données personnelles auprès de la
défenderesse. Le plaignant utilise son adresse email actuelle [adresse email 2] pour envoyer cette
demande, et fait également mention de son ancienne adresse email [adresse email 1].
2. La défenderesse accuse réception de la demande et adresse au plaignant plusieurs messages
l’assurant qu’un suivi est en cours (11/07/2019 ; 22/07/2019 et 05/08/2019).
3. Le 13 septembre 2019, le plaignant reçoit toutefois un nouvel email publicitaire sur l’adresse
ancienne [adresse email 1] , et adresse une nouvelle demande de suppression de ses données à la
défenderesse. Le service clientèle de la défenderesse accuse réception de la demande à cette
même date et annonce une réponse dans les 7 jours ouvrables.
4. Le 1er octobre 2019, le plaignant introduit une plainte auprès de l’Autorité de protection des
données contre la défenderesse en raison du fait qu’aucune suite n’a été donnée à sa dernière
demande.
5. Le 31 octobre 2019, la plainte est déclarée recevable par le Service de Première Ligne sur la base
des articles 58 et 60 de la LCA et cette même plainte est transmise à la Chambre Contentieuse en
vertu de l'article 62, § 1er de la LCA.
6. Le 9 décembre 2019, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article
98 de la LCA, que le dossier peut être traité sur le fond.
7. L'objet de la plainte, selon les faits tels que compris et qualifiés par la Chambre Contentieuse dans
son invitation à conclure, concerne :
a. l’exercice du droit à l’effacement (article 17.1 du RGPD) des données personnelles du
plaignant dans les bases de données de la défenderesse et
b. le droit d’accès du plaignant aux catégories de données personnelles détenues à son sujet
dans la base de données de la défenderesse (articles 15.1.b RGPD) et le droit d’accès à des
informations concernant la durée de conservation des données à caractère personnel
détenues à son sujet par la défenderesse (15.1.d du RGPD).
8. En effet, la demande est rédigée comme suit dans la plainte : « Exposé des faits : en date du
10/06/2019, j’ai demandé à la société Y, en vertu des dispositions légales en matière de RGPD, de
supprimer mon compte, de supprimer toutes mes données personnelles et de donner une suite
positive à ma demande de « droit à l’oubli ». Le plaignant attache à sa plainte la demande initiale
adressée à la défenderesse du 10 juin 2019, dans laquelle il sollicite également la communication,
par la défenderesse, des « délais légaux que vous utiliserez et la nature des informations que vous
supprimerez (avec l’indication précise des différentes dates d’effacement) ».
Décision quant au fond 39/2022 - 3/10
9. Le 10 décembre 2019, les parties concernées sont informées par envoi recommandé des
dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont
également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs
conclusions.
10. La date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 17
janvier 2020, celle pour les conclusions en réplique du plaignant au 14 février 2020 et celle pour les
conclusions en réplique de la défenderesse au 28 février 2020.
11. Le 4 février 2020, la défenderesse sollicite un nouveau calendrier procédural, n’ayant pas reçu la
première invitation à conclure en raison de la fermeture du siège social de l’entreprise pendant la
période de Noël, et demande une copie intégrale du dossier par voie électronique (art. 95, §2, 3°
LCA). La défenderesse manifeste également son intention de recourir à la possibilité d’être
entendue, conformément à l’article 98 de la LCA.
12. Le 19 février 2020, la Chambre Contentieuse transmet aux parties une copie du dossier et accorde
un nouveau délai pour conclure. La nouvelle date limite pour la réception des conclusions en
réponse de la défenderesse est fixée au 11 mars 2020, celle pour les conclusions en réplique du
plaignant au 25 mars 2020 et celle pour les conclusions en réplique de la défenderesse au 8 avril
2020.
13. Le 26 février 2020, la défenderesse adresse un courrier au plaignant pour l’informer de la prise en
compte de sa demande d’effacement vis-à-vis de l’adresse e-mail [adresse email 2] et en ce qui
concerne le compte « prospect » lié à son ancienne adresse email [adresse email 1]1. La
défenderesse y informe le plaignant de la nature des informations supprimées et de la date
d’effacement de ces données. Concernant la demande d’effacement de la nouvelle adresse e-mail
du plaignant, la défenderesse indique dans ce courrier que « la demande faite le 10 juin a bien été
prise en compte s’agissant de votre compte client ».
14. Le 10 mars 2020, la Chambre Contentieuse reçoit les conclusions en réponse de la part de la
défenderesse. Elles peuvent être résumées comme suit :
- La défenderesse a promptement accédé à demande d’effacement des données pour l’adresse
email liée au compte « client » [adresse email 2], mais la suppression n’a pas eu lieu
immédiatement en ce qui concerne les données liées à l’ancienne adresse email du plaignant
[adresse email 1], cette adresse étant elle-même reliée à un compte « prospect » conservé par
la défenderesse dans une base de donnée séparée. Partant, la violation de l’article 17.1 du RGPD
n’était que partielle. Une fois confirmé que la 2e adresse e-mail appartenait également au
plaignant et qu’il ne s’agissait pas d’une homonymie, cette adresse a également été supprimée
définitivement de la base de données « prospects » de la défenderesse.
1
Pièce 5 de la défenderesse.
Décision quant au fond 39/2022 - 4/10
- La demande du plaignant relative aux « délais légaux que vous utiliserez et la nature des
informations que vous supprimerez avec l’indication précise des différentes dates
d’effacement » doit être rattachée à sa demande d’effacement, et ne doit pas s’interpréter
comme une demande d’accès au sens de l’article 15.1 d) du RGPD. Sa plainte indique qu’il
souhaitait obtenir la confirmation que ses données avaient été effectivement effacées. Le
RGPD n’impose pas au responsable de traitement une obligation de communiquer la date
d’effacement des données en tant que telle, mais plutôt une obligation de confirmer à la
personne concernée quelles mesures ont été prises pour répondre à sa demande (art. 12.3
RGPD). La défenderesse a par ailleurs fourni volontairement au plaignant une explication
détaillée sur la durée de conservation des données et la date d’effacement des données.
15. Suite à ces conclusions en réponse, la Chambre Contentieuse n’a pas reçu d’autre document de la
part des parties (aucune conclusion de la part du plaignant et pas de nouvelle conclusion - en
réplique - de la défenderesse).
16. Le 28 janvier 2022, les parties sont informées du fait que l'audition aura lieu le 17 février 2022. Par
ce même courrier, la Chambre Contentieuse informe les parties du fait que le plaignant a marqué
sa volonté de ne pas participer à l’audition.
17. Le 17 février 2022, la défenderesse est entendu par la Chambre Contentieuse.
18. Le 1ier mars 2022, le procès-verbal de l’audition est soumis à la défenderesse, avec la possibilité de
joindre dans le délai d’une semaine d’éventuelles remarques sans que cela n’implique de
réouverture des débats. La Chambre Contentieuse n’a reçu aucune remarque relative[s] au procès-
verbal.
II. Motivation
Sur la violation de l’article 17.1 du RGPD
19. L’article 17.1 du RGPD énonce que « la personne concernée a le droit d’obtenir du responsable du
traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant
et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les
meilleurs délais, lorsque l’un des motifs suivants s’applique :
a) Les données à caractère personnel ne sont plus nécessaires au regard des finalités pour
lesquelles elles ont été collectées ou traitées d’une autre manière ;
b) La personne retire le consentement sur lequel est fondé le traitement, conformément à l’article
6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre
fondement juridique au traitement ».
Décision quant au fond 39/2022 - 5/10
20. En l’espèce, se fondant sur les éléments précités et les conclusions de la défenderesse, celle-ci a
effectivement enfreint l’article 17.1 du RGPD car la circonstance que les deux adresses emails
étaient enregistrées dans des bases de données séparées et n’ont pas fait l’objet du même
traitement, n’est pas une justification suffisante pour écarter une violation de l’article 17.1 du RGPD,
d’autant que le plaignant a renseigné dans sa demande initiale du 10 juin 2019 l’ancienne adresse
électronique devant être supprimée.
21. Dès lors, vu la suppression partielle des données du plaignant, la Chambre Contentieuse doit
conclure à une violation partielle de l’article 17.1 du RGPD. La Chambre Contentieuse note que cette
violation résulte d’un examen superficiel de la demande du plaignant par la défenderesse à qui il
incombait de solliciter des précisions en cas de doute sur la portée de la demande de suppression.
La défenderesse semble estimer qu’elle pouvait légitimement croire que l’adresse email
renseignée comme ancienne n’était plus utilisée par la défenderesse et ne faisait pas l’objet de la
demande d’effacement. Or, la Chambre Contentieuse considère que la défenderesse aurait dû
vérifier s’il ne lui incombait pas également de retirer l’ancienne adresse email de son système de
mailing. La Chambre Contentieuse constate en outre que, selon la défenderesse, la service
customer care avait également accès à la base de données prospect, et aurait pu rechercher cette
ancienne adresse email pour lever tout doute. En outre, ce quiproquo aurait pu être évité si la
défenderesse avait informé le plaignant de la suite concrète donnée à sa demande d’effacement
concernant la première adresse email (voir ci-après, sur la violation de l’article 12.3 du RGPD).
22. La Chambre Contentieuse note également que la procédure de gestion des demandes a été revue
dans sa nouvelle politique de gestion des demandes d’accès (« département GDPR – data subject
rights – procedure ») et que ces demandes seront désormais dirigées vers le service du Délégué à
la protection des données (DPO), ce qui devrait éviter que ce genre d’erreur se reproduise.
23. La Chambre Contentieuse constate par ailleurs que les données de la deuxième adresse ont été
supprimées par la défenderesse après clarification par le plaignant des adresses dont il demandait
la suppression.
24. La Chambre Contentieuse comprend toutefois qu’à défaut de qualifier la demande du plaignant
comme une demande d’accès à toutes les données le concernant, la défenderesse s’est abstenue
de rechercher toutes les données qu’elle possédait à son égard, et a vraisemblablement perdu une
chance de faire le lien entre la base de données « client » et la base de données « prospects »
contenant des coordonnées email différentes pour ce même client. Ce dernier avait pourtant au
départ renseigné ses deux adresses dans sa demande d’effacement, l’une dans le corps de son
message à la défenderesse (mon ancienne email est [adresse email 1]), l’autre via l’adresse [adresse
email 2] à partir de laquelle sa demande elle-même était envoyée à la défenderesse. C’est cette
dernière adresse qui a été supprimée et pas l’adresse renseignée comme ancienne. Il incombait par
ailleurs à la défenderesse, en tant que responsable du traitement, de s’assurer qu’elle avait une vue
claire sur les données à supprimer en vue de répondre au souhait du plaignant à savoir, in fine, au-
Décision quant au fond 39/2022 - 6/10
delà de la demande d’effacement des données, ne plus recevoir d’email publicitaire de la part de la
défenderesse.
Sur la violation de l’article 15.1 du RGPD
25. L’article 15.1 du RGPD énonce que « la personne concernée a le droit d’obtenir du responsable du
traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont
pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les
informations suivantes :
a) Les finalités du traitement ;
b) Les catégories de données à caractère personnel concernées ;
c) […]
d) Lorsque cela est possible la durée de conservation des donnés à caractère personnel envisagée
ou, lorsque ce n’est pas possible, les critères utilisées pour déterminer cette durée ;
[…]».
26. Dans ses conclusions, la défenderesse argue que la demande du plaignant ne concernait pas une
demande d’accès au titre de l’article 15.1.b et de l’article 15.1.d du RGPD, mais bien une demande
d’information sur l’effacement des données par le responsable du traitement.
27. A cet égard, la Chambre Contentieuse tient à rappeler que la formulation incomplète ou inexacte
d’une demande d’exercice d’un droit, dans le cas d’espèce, le droit d’accès, ne peut être un prétexte
pour ne pas y donner suite (utile)2.
28. En vue de donner un effet utile à la demande du plaignant, le responsable de traitement doit
identifier proactivement la volonté de celui-ci. En l’espèce, et vu les différents échanges entre les
parties, la Chambre Contentieuse estime que l’objet principal de la demande du plaignant, telle que
formulée (demande de communiquer la « nature des informations que vous supprimerez (avec
l’indication précise des différentes dates d’effacement ») ne portait pas principalement sur l’accès
à ces données mais sur leur suppression.
29. Dès lors, la Chambre Contentieuse suit le raisonnement de la défenderesse et admet que la
demande du plaignant, y compris en ce qui concerne la nature des données supprimées, est liée à
l’exercice du droit à l’oubli. La demande d’information doit dès lors être traitée en vertu de l’article
12.3 du RGPD (droit à l’information sur les mesures prises à la suite d’une demande d’exercice de
droit), et non sur pied de l’article 15.1 du RGPD (droit d’accès).
2
Voir décision de la Chambre Contentieuse n°41/2020 du 29 juillet 2020 et décision de la Chambre Contentieuse n°44/2020 du 5
aout 2020.
Décision quant au fond 39/2022 - 7/10
Sur la violation de l’article 12.3 du RGPD
30. L’article 12.3 dispose que « le responsable du traitement fournit à la personne concernée des
informations sur les mesures prises à la suite d’une demande formulée en application des articles
15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la
réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la
complexité et du nombre des demandes liées à l’exercice d’un droit RGPD. Le responsable du
traitement est alors tenu d’informer la personne concernée de cette prolongation et des motifs du
report dans un délai d’un mois à compter de la réception de la demande ».
31. L’article 12.3 pose un délai maximal d’un mois pour répondre à pareille demande, et il ressort du
dossier de pièces de la défenderesse que l’information sur le suivi donné à la demande
d’effacement de la deuxième adresse email n’a été fournie qu’en date du 26 février 2020, soit plus
de huit mois après la demande initiale d’effacement, ce qui excède le délai légal y compris un délai
de grâce raisonnable en raison d’éventuelles contingences techniques ou organisationnelles.
32. En vertu de l’article 12.3 du RGPD, il incombait à la défenderesse d’informer le plaignant des
mesures prises pour répondre à la demande d’effacement des deux adresses emails concernées,
dans le délai légal d’un mois. Cette information n’a pas été fournie pour la première adresse e-mail
supprimée. De ce fait, la défenderesse s’est elle-même privée de la possibilité de clarifier
directement avec le plaignant le périmètre de la demande d’effacement, portant sur deux adresses
email et non sur une seule.
33. De plus, si la défenderesse a pu croire avoir répondu à sa demande initiale après effacement d’une
première adresse e-mail, cette confusion ne justifie pas la nouvelle absence de réponse sur l’action
entreprise par la défenderesse suite à la dernière demande du plaignant en date du 13 septembre
2019. La Chambre Contentieuse estime à cet égard particulièrement regrettable que la
défenderesse se soit engagée à répondre « dans les 7 jours » au dernier rappel du plaignant et se
soit ensuite abstenue d’un suivi dans le délai qu’elle s’était elle-même imposé si bien qu’au 1ier
octobre, le plaignant n’avait pas encore reçu de nouvelle à cet égard.
34. Dès lors, la Chambre Contentieuse doit conclure à la violation de l’article 12.3 du RGPD dans le chef
de la défenderesse du fait de l’absence d’information fournie par la défenderesse dans le délai légal
d’un mois sur les mesures prises pour répondre à la demande d’effacement de données du
plaignant, en ce qui concerne l’adresse email « client » [adresse email 2] et l’adresse « prospect » et
en ce qui concerne l’adresse email [adresse email 1]. Ce délai de réponse d’un mois devait être pris
en compte à compter de la demande initiale du plaignant formée le 10 juin 2019. Aucune
prolongation ou délai de grâce n’était en l’occurrence justifié par d’éventuelles contingences
techniques ou organisationnelles, dont la défenderesse ne fait pas la démonstration. La
défenderesse en effet, n’a formulé à l’égard du plaignant aucune demande justifiée de prolongation
de délai dans les conditions permises par l’article 12.3 du RGPD.
Décision quant au fond 39/2022 - 8/10
35. La Chambre Contentieuse prend toutefois acte des explications de la défenderesse en audience
concernant la politique de gestion des demandes d’accès instaurées postérieurement à cet
incident : il y est bien prévu que les demandes d’accès reçoivent par défaut une réponse dans le
mois au moyen d’une information concise, transparente, intelligible et aisément accessible (article
5.1 du document « GDPR Data subject rights – procedure », fourni à la Chambre Contentieuse ») . La
réitération de l’incident devrait par ailleurs être évitée par la nouvelle procédure de traitement de
plainte qui prévoit un mécanisme de transfert au DPO pour les demandes d’exercice de droit plus
complexes telle que la demande à l’origine de la plainte (concernant plusieurs adresses email et
nécessitant investigation dans les bases de données).
36. De plus, la Chambre Contentieuse souligne qu’un traitement de données à caractère personnel
n'est licite que s'il est réalisé conformément à l'article 6.1 du RGPD. Dans le cas d’espèce, la
Chambre Contentieuse marque toutes réserves quant à l’existence d’une base légale ayant permis
à la défenderesse d’adresser des emails à des prospects à l’époque, mais ne rouvre pas les débats
sur ce point à ce stade dans la mesure où l’inclusion de données personnelles « prospects » avait
lieu, soit sur la base légale du consentement, soit sur la base légale de l’intérêt légitime en vue
d’adresser des emails de prospection pour des produits ou services similaires à ceux achetés ou
souscrits précédemment par la personne concernée, selon les explications fournies par la
défenderesse en audience.
37. La Chambre Contentieuse rappelle les principes applicables exposés dans la recommandation de
l’Autorité de la Protection des Données nr 01/2020 du 17 janvier 2020 relative aux traitements de
données à caractère personnel à des fins de marketing direct.
« Avant d’examiner la manière dont fonctionne la base juridique des intérêts légitimes, vous devez
examiner si vous tombez ou non sous le coup de l’application de l’une ou l’autre loi spéciale qui vous
empêcherait d’y recourir. Pour rappel, lorsque vous adressez des communications non sollicitées
de marketing direct par voie électronique, en ce compris via des systèmes automatisés d’appel et
de communication sans intervention humaine (automates d’appel), de télécopieurs ou de courrier
électronique, à des fins commerciales, vous devez disposer du consentement préalable des
abonnés ou des utilisateurs pour ce faire (article 13.1 de la Directive e-Privacy).
Toutefois, l’article 13.2 de cette Directive prévoit une exception dite de «soft opt-in» pour les
courriers électroniques (définit comme: tout message sous forme de texte, de voix, de son ou
d'image envoyé par un réseau public de communications qui peut être stocké dans le réseau ou
dans l'équipement terminal du destinataire jusqu'à ce que ce dernier le récupère) de marketing
direct, adressés aux clients ou abonnés existants dont une organisation aurait obtenu les
coordonnées électroniques dans le cadre de la vente d’un produit ou d’un service de son propre fait.
Dans ce contexte, cette organisation est autorisée à adresser un courrier électronique à ces
catégories de personnes à des fins de prospection directe pour des produits ou services analogues
qu’elle-même fournit pour autant que lesdits clients se voient donner clairement et expressément
Décision quant au fond 39/2022 - 9/10
la faculté de s’opposer, sans frais et de manière simple, à une telle exploitation des coordonnées
électroniques au moment où elles sont recueillies et lors de chaque message, au cas où ils
n’auraient pas refusé d’emblée une telle exploitation.
Ces règles s’appliquent uniquement dans ce contexte précis et uniquement dans celui-ci. Si vous
souhaitez faire usage de cette exception, vous devez vous conformer à toutes ses conditions
d’application.Les principes qui y sont retenus sont par ailleurs utiles à l’examen de la base juridique
des intérêts légitimes pour les responsables du traitement qui souhaitent y recourir sans entrer
dans les situations de traitement de données couvertes par le champ d’application de la e-Privacy
Directive. »
Sur l’adresse du responsable de traitement et la mise en œuvre de l’article 13.1 du RGPD
38. Etant donné que la défenderesse a souhaité être contactée à une adresse différente de celle
renseignée par le plaignant dans sa plainte, la Chambre Contentieuse a demandé aux parties de
l’éclairer sur l’adresse de contact du responsable de traitement et la manière dont la défenderesse
remplit ses obligations d’information au titre de l’article 13.1.a du RGPD au sujet de l’identité et des
coordonnées du responsable de traitement (courrier d’invitation à conclure du 19 février 2020).
39. Dans ses conclusions, la défenderesse a informé la Chambre Contentieuse de son adresse telle que
mentionnée dans sa Politique de confidentialité, et qui correspond à son siège social. La demande
faite à l’APD de correspondre avec une autre adresse, à savoir l’adresse du site d’exploitation
principal de la défenderesse en Belgique et de son Directeur Général, n’est pas contraire à l’article
13.1.a du RGPD, le Directeur Général souhaitant être entendu lors de l’audition par la Chambre
Contentieuse.
40. Dès lors, la Chambre Contentieuse, qui n’avait au départ pas estimé nécessaire de solliciter
l’intervention du Service d’Inspection sur ce point, conclut qu’il n’y a in fine pas contestation sur
l’identité du responsable de traitement et son adresse de contact.
Sur la sanction à adopter par la Chambre Contentieuse
41. Sur base des éléments ci-dessus, la Chambre Contentieuse constate la violation des articles 12.3
et 17.1 du RGPD, du fait de (i) l’absence d’information quant à l’effacement de la première adresse
email [adresse email 2] et (ii) l’absence de suivi de la demande d’effacement du plaignant
concernant sa 2e adresse email [adresse email 1] dans le délai légal prescrit d’un mois.
42. La Chambre Contentieuse prend néanmoins en compte la réalisation partielle de la demande du
plaignant à titre de circonstance atténuante. L’absence de lien entre la base de données
« prospect » et la base de données « client » de la défenderesse ne constitue pas une circonstance
atténuante car il incombait à la défenderesse d’effectuer avec suffisamment de minutie une
Décision quant au fond 39/2022 - 10/10
recherche des données personnelles détenues au sujet du client dans les bases de données afin de
les effacer selon sa demande, compte tenu des données de base fournies par le client qui
mentionnait bel et bien son ancienne adresse email dans sa demande initiale. La Chambre
Contentieuse estime dès lors que la réprimande est la sanction la plus adaptée pour les atteintes
constatées et que les faits ne sont pas d’une gravité telle qu’il soit nécessaire d’imposer une
amende, notamment dans la mesure où la Chambre Contentieuse n’a pas observé que les
manquements constatés impacteraient un large groupe des citoyens.
III. Publication de la décision
43. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des
données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties
soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :
- En vertu de l'article 100, §1er, 5° de la LCA, d’imposer une réprimande pour violation des articles
12.3 et 17.1 du RGPD par la défenderesse ;
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la
Cour des marchés dans un délai de trente jours à compter de sa notification, avec l’Autorité de
protection des données en qualité de défenderesse.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse