Eski İşveren Nezdindeki Erişim Hakkı

1/31

Chambre Contentieuse

Décision quant au fond 41/2020 du 29 juillet 2020

N° de dossier : DOS-2019-01165

Objet : Plainte de x contre y (Droit d’accès auprès de l'ancien employeur)

La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs C. Boeraeve et R. Robert, membres, reprenant l’affaire dans cette
composition.

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces du dossier ;

A pris la décision suivante concernant:

La plaignante, représentée par ses conseils Maître S. Callens et C. Bachez, avocats.

Le responsable de traitement (ci-après la défenderesse), représentée par son conseil Maître O.
Louppe, avocat.

Décision quant au fond 41/2020- 2/31

1. Rétroactes de la procédure

Vu la requête adressée le 20 février 2019 par la plaignante à l’Autorité de protection des données
(APD) ;

Vu la mise en état du dossier par le Service de Première Ligne (SPL) et la tentative de médiation initiée
par le SPL auprès de la défenderesse ;

Vu l’échec de la médiation et l’information - en date du 14 août 2019 - à la plaignante selon laquelle,
l’article 62 LCA lui donne, dans cette hypothèse, la possibilité de requalifier sa demande initiale de
médiation en plainte moyennant consentement explicite de sa part ;

Vu le consentement de la plaignante à cet égard du 3 septembre 2019 ;

Vu la décision de recevabilité de la plainte du SPL du 25 novembre 2019 ;

Vu la décision prise par la Chambre Contentieuse le 18 décembre 2019 de considérer que le dossier
était prêt pour traitement quant au fond en vertu des articles 95 § 1 er, 1° et 98 LCA ;

Vu le courrier daté du 18 décembre 2019 de la Chambre Contentieuse informant les parties de sa
décision de considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98
LCA et leur communiquant un calendrier d’échange de conclusions ;

Vu le courrier adressé le 20 janvier 2020 à la Chambre Contentieuse par le conseil de la défenderesse
aux termes duquel il demande, à titre principal, à la Chambre Contentieuse d’acter la perte d’objet de
la plainte introduite. A titre subsidiaire, la défenderesse indique maintenir sa défense antérieure telle
que reprise dans son dossier de procédure, en particulier sa lettre du 29 juillet 2019 au SPL de l’APD ;

Vu le courrier du 24 janvier 2020 des conseils de la plaignante, aux termes duquel ils indiquent qu’ils
ne peuvent que constater la perte d’objet de la plainte introduite par leur cliente ;

Vu la décision de la Chambre Contentieuse du 28 janvier 2020 de poursuivre l’examen de la plainte
conformément au calendrier communiqué aux parties en date du 18 décembre 2019 ;

Vu les conclusions de la plaignante déposées par ses conseils, reçues le 7 février 2020 ;

Vu les conclusions en réplique de la défenderesse déposées par son conseil, reçues le 21 février 2020 ;

...

Décision quant au fond 41/2020- 3/31

Vu la demande formulée aux termes de ses conclusions par la défenderesse d’être entendue par la
Chambre Contentieuse en application de l’article 51 du Règlement d’ordre intérieur de l’APD;

Vu l’invitation à l’audition adressée par la Chambre Contentieuse aux parties en date du 21 avril 2020 ;

Vu l’audition lors de la séance de la Chambre Contentieuse du 13 mai 2020 en présence des conseils
de la plaignante et de la plaignante elle-même ainsi que du conseil de la défenderesse et de la
directrice juridique de la défenderesse ;

Vu le procès-verbal d’audition ;

Vu les remarques formulées par les parties au regard du procès-verbal auquel elles ont été jointes ;

Vu la décision de la Chambre Contentieuse du 18 juin 2020 de rouvrir les débats sur le seul élément
nouveau communiqué par la défenderesse eu égard à son obligation d’information, à savoir le
document d’information RGPD de la défenderesse.

Vu les conclusions déposées pour la plaignante le 25 juin 2020 et pour la défenderesse le 2 juillet 2020
par leurs conseils respectifs.

2. Les faits et l’objet de la plainte

1. La plaignante a exercé en qualité de médecin cheffe de service et de radiologue sous statut
d’indépendant au service d’imagerie médicale d’un hôpital de la défenderesse.

2. Plusieurs dysfonctionnements présents au sein de ce service d’imagerie médicale ont conduit
la défenderesse à mandater le Docteur Z en tant qu’expert externe afin de rédiger un rapport
expliquant les causes de ces dysfonctionnements et de proposer des pistes de solution.

Un premier rapport de 22 pages est ainsi établi par le docteur Z en date du 19 janvier 2018.

Un second rapport d’évaluation du même service de radiologie (de 37 pages cette fois) est ensuite
rédigé par le Docteur Z, toujours mandaté par la défenderesse (ci-après le rapport du Dr. Z). La
plaignante, comme de nombreux autres médecins et membres du personnel du service, est entendue
dans le cadre de la préparation de ce rapport. Ce rapport daté du 3 juin 2018 est présenté lors d’une
réunion du Comité Permanent de Concertation (CPC) de l’hôpital du 4 juin 2018.

...

Décision quant au fond 41/2020- 4/31

3. Dans le courant du mois d’août 2018, la défenderesse prend la décision de révoquer la
plaignante pour faute grave. La plaignante décide de contester en justice la validité de sa révocation.
Une procédure judiciaire est ainsi lancée devant le Tribunal par citation du 14 janvier 2019.

4. Le 2 janvier 2019, la plaignante contacte le Directeur général de la défenderesse et formule
la demande qui suit :
« Monsieur le Directeur Général (…),
Conformément à ce que prévoit le Règlement général relatif à la protection des données, je
souhaite pouvoir prendre connaissance des données à caractère personnel qui me concernent
et disposer par conséquent du rapport du Dr. [Z] reprenant le compte-rendu de sa mission
ainsi que ses pistes de solution, vraisemblablement déposé au CPC le 5 juin 2018 (ou aux
alentours de cette date).
Je vous demande de m’en fournir une copie, ou le cas échéant de me communiquer la partie
du rapport qui me concerne, conformément à l’article 15 § 3 du Règlement précité. Je n’ai
malheureusement pas pu trouver le DPO [de la défenderesse] auquel adresser cette demande,
raison pour laquelle c’est vous que je contacte. J’espère avoir un retour de votre part au plus
vite et avant le 27 janvier au plus tard.
( …. ) »

5. Le 25 janvier 2019, la défenderesse refuse de donner suite à la demande de la plaignante,
argumentant comme suit :
« Chère […],
Je donne suite à ton courrier du 2 janvier 2019 qui a retenu toute mon attention.
Sur le fondement du Règlement de l’Union européenne n° 2016/679 du 27 avril 2016 relatif à
la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, tu y demandes de pouvoir « disposer (…)
du rapport du Dr. [Z] reprenant le compte-rendu de sa mission ainsi que ses pistes de solution,
vraisemblablement déposé au CPC le 5 juin 2018 (ou aux alentours de cette date) ».
Je suis cependant au regret de t’informer qu’il ne peut être satisfait à cette demande dès lors
que tu ne justifies ni de l’existence d’un traitement de données à caractère personnel ni d’une
activité qui relèverait du champ d’application du droit de l’Union au sens du champ
d’application matériel de l’article 2 de ce règlement.
(…) »

Par courriel du 25 janvier même, la plaignante réagit immédiatement à ce refus, contestant les
exceptions invoquées au champ d’application matériel du RGPD.

...

Décision quant au fond 41/2020- 5/31

6. Le 20 février 2019, la plaignante saisit l’APD d’une demande de médiation. Aux termes de
celle-ci la plaignante précise en ces termes : « Je ne réclame évidemment pas l’entièreté du rapport,
je demande simplement de pouvoir prendre connaissance du passage qui m’évalue moi, mes
compétences et ma gestion du service, les 3 ayant été mis en cause suite à ce rapport en juillet ».
Cette médiation n’aboutira pas et comme évoqué dans les rétroactes de la procédure ci-dessus, le 3
septembre 2019, la plaignante a marqué son accord pour que sa demande de médiation initiale prenne
la forme d’une plainte compte tenu du refus persistant opposé par la défenderesse à sa demande du
2 janvier 2019.

7. Dans le dispositif de ses conclusions, la plaignante demande en outre que la Chambre
Contentieuse ordonne à la défenderesse de lui communiquer le procès-verbal de la réunion d’un CPC
qui s’est tenu le 11 juillet 2018. La plaignante expose qu’elle ignorait l’existence de ce conseil et que
c’est à la lecture d’un document produit dans le cadre de la procédure judiciaire concomitamment à la
communication du rapport du Dr Z qu’elle en a appris l’existence. Or, il semble que le docteur Z aurait
été nommé en qualité de coordinateur médical à l’occasion de ce conseil de juillet 2018. Dès lors qu’un
audit de service hospitalier doit légalement être mené par un médecin-chef (arrêté royal du 15
décembre 1987 portant exécution des articles 13 à 17 inclus de la loi sur les hôpitaux, coordonnée par
l’arrêté royal du 7 août 1987), la question se pose, selon la plaignante, de la qualité du Dr. Z au
moment de la rédaction du rapport et plus généralement dès lors, de la licéité des traitements de
données opérés dans ce cadre.

3. L’audition du 13 mai 2020 devant la Chambre Contentieuse

8. L’audition qui s’est déroulée le 13 mai 2020 a, outre les éléments de faits et arguments
développés dans les conclusions préalablement déposées par les parties, mit en lumière les éléments
suivants :

- Quant à l’arrêté royal du 15 décembre 1987 invoqué par la plaignante (voy. le point 7 ci-
dessus), la défenderesse défend que son article 6 vise une prérogative du médecin-chef. Si le
médecin chef constate que le bon fonctionnement en matière de gestion de risque et de
sécurité du patient au sein du service est compromis, il peut décider de solliciter un audit
médical. En l’espèce, il ne s’agissait pas selon la défenderesse, de défaillance sanitaire ou de
problème de qualité des soins ou encore de sécurité des patients mais bien d’un problème de
management. Il convient de distinguer selon elle d’une part la compétence du chef de service
(article 6/1 de l’AR de 1987) et d’autre part la compétence propre du gestionnaire de l’hôpital
décrite par la loi sur les hôpitaux lorsqu’il est confronté à un problème de management comme
dans le cas qui a conduit à sa décision de confier au Docteur Z une mission d’évaluation du
service de radiologie dirigé par la plaignante.

...

Décision quant au fond 41/2020- 6/31

- Quant au motif pour lequel elle a spontanément fait droit à la demande de production du
rapport litigieux sur la base de l’article 877 du Code judiciaire alors même qu’elle avait toujours
refusé l’accès aux données contenues dans celui-ci sur la base de l’article 15 du RGPD pour
des motifs invoqués de confidentialité et de respect dû au droit d’auteur, la défenderesse a
exposé que dès lors que la demande de communication s’appuyait sur un autre fondement
juridique, elle y a consenti.

- Quant à l’information fournie à l’époque des faits à la plaignante sur la base des articles 13 et
14 du RGPD et quant à la politique générale de la défenderesse en termes d’information à
l’égard des médecins comme la plaignante à ce jour, la défenderesse a exposé qu’en ce qui
concerne les agents contractuels et nommés, un point figure dans le Règlement de travail ou
dans le statut administratif. Par contre, la défenderesse a précisé qu’à l’égard des médecins,
ce type de communication d’informations n’existe, à sa connaissance, pas encore et qu’à
l’époque des faits, il n’y a pas eu, toujours à sa connaissance, d’information à la plaignante.

- La défenderesse a indiqué disposer d’un délégué à la protection des données (DPO) externe.

EN DROIT

4. Quant à la compétence de l’Autorité de protection des données, en particulier de
la Chambre Contentieuse

9. En application de l’article 4 § 1erLCA, l'Autorité de protection des données (APD) est
responsable du contrôle des principes de protection des données contenus dans le RGPD et d’autres
lois contenant des dispositions relatives à la protection du traitement des données à caractère
personnel.

10. En application de l’article 33 § 1 er LCA, la Chambre Contentieuse est l’organe de contentieux
administratif de l’APD.1 Elle est saisie des plaintes que le SPL lui transmet en application de l’article 62
§ 1er LCA, soit des plaintes recevables dès lors que conformément à l’article 60 alinéa 2 LCA, ces
plaintes sont rédigées dans l'une des langues nationales, contiennent un exposé des faits et les
indications nécessaires pour identifier le traitement de données à caractère personnel sur lequel elles
portent et relèvent de la compétence de l'APD.

1
La nature administrative du contentieux devant la Chambre Contentieuse a été confirmée par la Cour des marchés, juridiction
d’appel des décisions de la Chambre Contentieuse. Voy. notamment l’arrêt du 12 juin 2019 de la Cour d’appel de Bruxelles,
19eme chambre, section Cour des marchés publié sur le site de l’APD : https://www.autoriteprotectiondonnees.be/decisions-
de-la-cour-des-marches ainsi que la décision 17/2020 de la Chambre Contentieuse.

...

Décision quant au fond 41/2020- 7/31

11. Dans le cadre de la procédure judiciaire pendante devant le Tribunal se poursuivant
parallèlement à la procédure devant l’APD (voy. ci-dessus point 3), la plaignante a, par voie de
conclusions, sollicité la production du rapport du Docteur Z sur la base de l’article 877 du Code
judiciaire. Dans un courrier adressé à la Chambre Contentieuse le 20 janvier 2020, la défenderesse
indique que sur ce fondement, elle ne s’oppose pas à la production de ce rapport. La défenderesse
poursuit en indiquant que le rapport ayant été communiqué dans son intégralité à la plaignante, il
peut être considéré que la demande de cette dernière formulée dans le cadre de la procédure devant
l’APD est devenue sans objet.

12. Nonobstant l’accord de la plaignante pour considérer que la plainte est devenue sans objet,
la Chambre Contentieuse a, lors de sa séance du 28 janvier 2020, décidé d’en poursuivre l’examen.

Une fois saisie, la Chambre Contentieuse est compétente pour contrôler en toute indépendance, et
nonobstant le retrait de sa plainte par le plaignant ou la perte d’objet de celle-ci, le respect du RGPD
et veiller à son application effective. En l’espèce, nonobstant l’accord des parties pour considérer que
la plainte est devenue sans objet, elle demeure compétente pour examiner la légalité des motifs du
refus de la défenderesse de donner suite à l’exercice du droit d’accès de la plaignante à l’époque des
faits. Le constat qu’il ait, en cours d’examen de la plainte par l’APD, été satisfait à la demande de la
plaignante n’est d’une part, pas de nature à supprimer tout manquement antérieur éventuel dans le
chef de la défenderesse ni d’autre part, de nature, par principe, à priver les organes compétents de
l’APD, dont la Chambre Contentieuse, de l’exercice de leurs compétences respectives. A l’inverse, il
suffirait pour les responsables de traitement de se conformer aux demandes d’exercice de leurs droits
par les personnes concernées en cours de procédure pour, en quelque sorte, être immunisés pour le
manquement passé invoqué à l’appui de la plainte déposée. Le contrôle effectif que doit exercer toute
autorité de contrôle, telle l’APD et en particulier la Chambre Contentieuse, en application des articles
51 et s. du RGPD et de l’article 4 § 1 LCA s’y oppose sans conteste.

13. Comme la Chambre Contentieuse a déjà eu l’occasion de l’énoncer 2, des traitements de
données sont opérés dans de multiples secteurs d’activité, notamment dans le cadre professionnel
comme dans le cas d’espèce. Il n’en demeure pas moins que la compétence de l’APD en général, et
de la Chambre Contentieuse en particulier, est limitée au contrôle du respect de la règlementation
applicable aux traitements de données, quel que soit le secteur d’activité dans lequel ces traitements
de données interviennent. Son rôle n’est pas de se substituer aux juridictions de l’ordre judiciaire dans
l’exercice des compétences qui sont les leurs en matière de droit du travail ou de droit hospitalier
notamment.

2
Voy. la décision 03/2020 de la Chambre Contentieuse publiée sur le site Internet de l’APD :
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Decision_CC_03-2020ANO.pdf

...

Décision quant au fond 41/2020- 8/31

 L’extension de la demande de la plaignante par voie de conclusions et la réouverture des
débats

14. Comme mentionné ci-dessus au point 7, la plaignante a, par voie de conclusions, sollicité que
la Chambre Contentieuse ordonne qu’il lui soit donné accès au procès-verbal de la réunion du CPC du
11 juillet.

La défenderesse soutient qu’une telle demande n’est pas prévue par la loi et est irrecevable, la
plaignante étant libre toutefois de saisir l’APD d’une nouvelle plainte. Dans le même sens, la
défenderesse conteste la compétence de la Chambre Contentieuse quant au grief soulevé par voie de
conclusions par la plaignante au regard du respect des articles 12, 13 et 14 du RGPD.

15. Dans sa décision 17/2020, la Chambre Contentieuse a énoncé que compte tenu du rôle actif
qui peut être le sien aux fins de donner effet utile à la protection dont doivent bénéficier les personnes
concernées, la Chambre contentieuse peut également tenir compte de griefs développés
ultérieurement par voie de conclusion par le/la plaignant.e pour autant qu’il s’agisse de faits ou
arguments juridiques liés à l’atteinte alléguée dont elle a été saisie par voie de plainte, et dans le
respect des droits de la défense.3 Surabondamment, la Chambre Contentieuse rappelle de manière
générale que la compétence de la Chambre contentieuse n’est pas limitée aux griefs soulevés par le
plaignant.

En l’espèce, l’extension de la demande de la plaignante est liée à des griefs connexes à la demande
originale et la défenderesse a eu l’occasion de réagir à celle-ci par la voie de conclusions en réplique
du 21 février 2020 ainsi que par la voie de conclusions du 2 juillet 2020. La Chambre Contentieuse est
dès lors habilitée à les examiner dans le cadre de la présente décision.

Plus particulièrement, concernant l’argument de la défenderesse selon lequel la plainte initiale ne
portait que sur le droit d’accès, et que la question de l’information n’aurait été soulevée que lors des
dernières conclusions du demandeur et lors de l’audience, la Chambre contentieuse relève que ce
devoir d’information est inextricablement lié à l’exercice de leurs droits par les personnes concernées.
Il peut donc se justifier que la Chambre contentieuse se prononce sur cet aspect, soulevé par la
défenderesse dans la procédure écrite.

En outre, la défenderesse a en tout état de cause fait part à la Chambre Contentieuse, après l’audition,
de ses observations concernant son devoir d’information à l’égard de la défenderesse, et des autres
prestataires de soins indépendants. La Chambre a d’ailleurs pris connaissance de tous les arguments

3
Voy. plus particulièrement le point 28 de la Décision 17/2020 :
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Decision_CC_17-2020_FR_.pdf

...

Décision quant au fond 41/2020- 9/31

des parties soumis après l’audition et après réouverture des débats. Le principe du contradictoire a
donc été respecté.

Enfin, la défenderesse semble contester que la Chambre Contentieuse puisse décider de clore les
débats. Il est pourtant évident que, d’un point de vue d’efficacité et du fonctionnement des autorités
de protection des données, il doive être mis un terme aux échanges d’arguments entre les parties
pour que la procédure puisse aboutir à une décision de l’autorité.

5. Quant aux motifs de la décision

5.1. Sur le manquement de la défenderesse à son obligation de donner suite à l’exercice
du droit d’accès de la plaignante (article 15 du RGPD) dans le respect des modalités de
l’article 12 du RGPD

16. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les
principes de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés
(principe de responsabilité – article 5.2. du RGPD). Elle doit par ailleurs mettre en œuvre toutes les
mesures nécessaires à cet effet (article 24 du RGPD).

17. Aux termes de l’article 15 § 1 du RGPD, la personne concernée a le droit d’obtenir du
responsable de traitement la confirmation que des données à caractère personnel la concernant sont
ou ne sont pas traitées. Lorsque c’est le cas, la personne concernée a le droit d’obtenir l’accès aux
dites données à caractère personnel ainsi qu’une série d’informations listées à l’article 15 § 1 a) - h)
telles que la finalité du traitement de ses données, les destinataires éventuels de ses données ainsi
que des informations relatives à l’existence de ses droits dont celui de demander la rectification ou
l’effacement de ses données ou encore celui de déposer plainte auprès de l’autorité de contrôle de
protection des données (APD).

Aux termes du § 3 de l’article 15 du RGPD, la personne concernée a en outre le droit d’obtenir une
copie des données à caractère personnel qui font l’objet du traitement. Le § 4 de l’article 15 du RGPD
prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui.

18. L’article 12 du RGPD relatif aux modalités d’exercice de leurs droits par les personnes
concernées prévoit quant à lui notamment que le responsable de traitement doit faciliter l’exercice de
ses droits par la personne concernée (article 12 § 2 du RGPD) et lui fournir des informations sur les
mesures prises à la suite de sa demande dans les meilleurs délais et au plus tard dans le délai d’un
mois à compter de sa demande (article 12 § 3 du RGPD). Lorsque le responsable de traitement n’a
pas l’intention de donner suite à la demande, il doit notifier son refus dans un délai d’un mois

...

Décision quant au fond 41/2020- 10/31

accompagné de l’information selon laquelle un recours contre ce refus peut être introduit auprès de
l’autorité de contrôle de protection des données (12 § 4 du RGPD).

19. La défenderesse ne conteste pas avoir, le 25 janvier 2019, refusé de donner suite à la
demande d’accès formulée par la plaignante dans son courriel du 2 janvier 2019 (voy. ci-dessus points
4-5).

20. La Chambre Contentieuse examinera dès lors dans les paragraphes qui suivent la pertinence
de ce refus dans le chef de la défenderesse.

5.1.1. Quant à l’argument tiré de l’absence d’application du RGPD

 Quant à la qualité de responsable de traitement de la défenderesse

21. La Chambre Contentieuse rappelle que l’application de l’article 15 du RGPD requiert que la
demande d’accès soit adressée au responsable de traitement

22. Dans ses conclusions, la défenderesse soulève qu’elle n’est « pas l’auteur de ce rapport par
nature confidentiel rédigé par un expert indépendant extérieur [le docteur Z] (…) et « qu’il n’est pas
acquis que la [défenderesse] soit « responsable » d’un traitement de données soumis au RGPD »
(pages 2-3 des conclusions du 21 février 2020 de la défenderesse).

23. Le responsable de traitement est défini à l’article 4.7. du RGPD comme étant « la personne
physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement
avec d’autres, détermine les finalités et les moyens du traitement ».

En l’espèce, en mandatant le docteur Z, fut-ce en qualité d’expert indépendant, pour mener à bien
l’évaluation du service de radiologie de l’hôpital, la défenderesse a déterminé les finalités et les moyens
du traitement.

Dans son courrier adressé à l’APD le 29 juillet 2019, la défenderesse expose à cet égard elle-même ce
qui suit :
« En réunion du Comité de concertation Gestionnaire / conseil médical du 21 février 2018, il
est décidé par consensus d’assurer un suivi des recommandations du professeur [A] sur le
plan du « vivre ensemble » dans le Service (médecins, technologues et secrétaires) et de
demander au Docteur [Z] d’effectuer une mission d’accompagnement médical afin d’organiser
au mieux le Service.

...

Décision quant au fond 41/2020- 11/31

En réunion du Comité de concertation du 18 avril 2018, il est décidé par consensus d’étendre
la mission du docteur [Z] avec une logique de présence au sein du Service de radiologie et
d’audition des divers protagonistes.

Le Docteur [Z] procède à un rapport complémentaire de sa mission en réunion du Comité de
concertation du 4 juin 2018 et différentes mesures sont alors décidées par consensus […] ».

Le fait que la défenderesse ne soit pas l’auteur du rapport mais que ce soit le docteur Z qui en soit
l’auteur est indifférent et sans pertinence avec le critère de détermination des finalités et des moyens
du traitement au départ duquel la notion de responsable de traitement se définit.

24. La Chambre Contentieuse conclut que la défenderesse est le responsable de traitement des
données traitées dans le rapport d’évaluation du docteur Z à l’égard duquel la plaignante a exercé son
droit d’accès sur la base de l’article 15 du RGPD.

25. La Chambre Contentieuse rappelle également que, saisi d’une demande de droit d’accès telle
celle de la plaignante, le responsable de traitement est, dans un premier temps, tenu de vérifier
l’existence ou non de traitement(s) de données personnelles de la personne qui demande accès (article
15 § 1 du RGPD).

 Quant à l’existence de données à caractère personnel relatives à la plaignante

26. Dans la réponse qu’elle adresse le 25 janvier 2019 à la plaignante, la défenderesse indique
comme précisé dans l’exposé des faits, qu’il ne peut être satisfait à sa demande dès lors que la
plaignante ne justifie « ni de l’existence d’un traitement de données à caractère personnel ni d’une
activité qui relèverait du champ d’application du droit de l’Union au sens du champ d’application
matériel de l’article 2 de ce règlement ».

Dans ses conclusions, la défenderesse soulève, quant à la présence de données personnelles de la
plaignante, qu’« il ne s’agissait pas de recueillir des informations se rapportant spécifiquement [à la
plaignante], de collecter à son sujet des données à caractère personnel ou d’évaluer des aspects
personnels relatifs à sa personne mais bien de procéder à une évaluation du fonctionnement du service
de radiologie dans son ensemble » .4

La Chambre Contentieuse est d’avis que l’objectif poursuivi par le rapport commandé par la
défenderesse est sans pertinence. La finalité de ce rapport n’est pas déterminante. Dès lors qu’il
contient des données personnelles relatives à la plaignante – données qui ont été traitées selon un

4
Page 4 des conclusions en réplique de la défenderesse du 21 février 2020.

...

Décision quant au fond 41/2020- 12/31

procédé automatisé (voy. infra) – celle-ci est en droit d’invoquer le droit d’accès que lui confère le
RGPD.

27. La défenderesse soutient encore à tort que le rapport du Dr. Z constitue une analyse qui ne
pourrait pas faire l’objet du droit d’accès consacré par la règlementation de protection des données.
A l’appui de l’arrêt Y.S de la Cour de Justice de l’Union européenne (CJUE)5, la défenderesse argumente
qu’aux termes de cet arrêt, la CJUE a refusé d’étendre le droit d’accès à l’analyse juridique d’une
demande d’asile dès lors qu’une telle interprétation ne servirait pas l’objectif de la réglementation sur
la protection des données mais instaurerait un droit d’accès aux documents administratifs.

28. La Chambre Contentieuse rappelle que la notion de donnée à caractère personnel englobe
n’importe quel type d’informations : informations privées (intimes), publiques, professionnelles ou
commerciales, informations objectives ou subjectives.

Dans un arrêt Nowak6 postérieur à l’arrêt Y.S cité par la défenderesse, la Cour énonce clairement que
la notion de données à caractère personnel couvre tant les données qui résultent d’éléments objectifs,
vérifiables et contestables que des données subjectives qui contiennent une évaluation ou un jugement
porté sur la personne concernée. C’est ainsi le cas des annotations d’un examen qui reflètent l’avis ou
l’appréciation de l’examinateur sur les performances individuelles d’un candidat par exemple ou des
données d’évaluation des employés que cette évaluation soit exprimée sous la forme de points, d’une
échelle de valeurs ou par le biais d’autres paramètres d’évaluation. Au-delà du cas d’espèce (soit
l’accès à un examen), l’arrêt vise tout avis ou appréciation concernant la personne en cause (point 24
de l’arrêt) ;

29. A titre d’exemple, la Chambre Contentieuse relève les passages suivants dans le rapport du
Dr. Z :
- La plaignante a été nommée en 2013 sans être connue en interne ni par le service ni par
l’institution et sans période probatoire. En revanche elle était bien connue dans son milieu
radiologique d’origine pour avoir, disons, un caractère tranché (page 12 du rapport du Dr. Z)

- Cependant déjà en 2013 et dès son engagement, on note qu’une tentative de conciliation
menée par le Dr B et Mme C pour une problématique de refus d’entérinement et/ou signature
du ROI par la plaignante alors que cela faisait partie de son cahier des charges à son
engagement (page 12 du rapport du Dr. Z surligné en gras)

5
CJUE, arrêt Y.S du 17 juillet 2014, aff. Jointes C-141/12 et C-372/12.
6
Cour de Justice de l’Union européenne, 20 décembre 2017, arrêt Nowak, C-434/16 §§ 33, 34 et 49.

...

Décision quant au fond 41/2020- 13/31

- Il y a donc de ce fait un cumul de difficultés vis-à-vis duquel la réaction du Chef de service n’a
pas été la bonne sur le plan du soutien et de l’empathie ni vis-à-vis du personnel ni de ses
collaborateurs ni des médecins généralistes référents (pages 14 et 15 du rapport du Dr. Z)

- Il y a aussi un manque de coordination et de consultation réciproque du Chef de service
médecin avec le Chef technologue ce dont témoignent à suffisance les échanges de courriers
(page 15 du rapport du Dr. Z)

- Les principes de management suivis par la plaignante sont conformes aux normes et corrects
par rapport à ce qu’on attend du chef de service gestionnaire : mais ils sont viciés par un
manque de fondement juridique depuis l’origine (page 20 du rapport du Dr. Z)

- Les rapports de la plaignante sont superbes, détaillés, exhaustifs et argumentés. Elle est
visiblement prête pour un audit externe dans le cadre de l’Accréditation des hôpitaux ou du
contrôle qualitatif obligatoire de service d’imagerie en Belgique (page 25 du rapport du Dr. Z)

- Il parait évident à l’analyse qu’il manque malheureusement une qualité primordiale et
indispensable à la plaignante : celle d’emporter le consensus et de manifester de l’empathie
par rapport à ses collaborateurs et ses subordonnés pouvant susciter leur ralliement sans faille
(page 29 du rapport du Dr. Z).

A la lecture du rapport, la Chambre Contentieuse relève, comme en témoignent les extraits cités ci-
dessus, que des appréciations ou des faits rapportés relatifs à la plaignante (nommément citée ou
identifiée comme cheffe de service) sont énoncés à de nombreuses pages.

30. La Chambre Contentieuse souligne par ailleurs une certaine mauvaise foi dans le chef de la
défenderesse qui se défend en argumentant que seuls quelques passages de ce rapport pourraient
éventuellement contenir des données à caractère personnel concernant la plaignante.7

31. La Chambre Contentieuse conclut de qui précède que l’examen du rapport du Dr. Z démontre
qu’incontestablement, des données à caractère personnel relatives à la plaignante et évaluant cette
dernière - fut ce dans le contexte plus global de l’évaluation du service à la tête duquel elle travaillait-
y sont effectivement traitées, ce que la défenderesse ne pouvait ignorer.

 Quant à l’existence d’un traitement de données personnelles soumis au RGPD

7
Page 8 de lettre du 29 juillet de la défenderesse adressée au SPF dans le cadre de la médiation menée par celui-ci et reprise
au titre de conclusions le 20 janvier 2020).

...

Décision quant au fond 41/2020- 14/31

32. La Chambre Contentieuse constate enfin que la défenderesse soutient également dans ses
conclusions que le rapport du Dr. Z ne constituerait pas un traitement automatisé au sens de l’article
4.2. du RGPD pas plus qu’il ne constituerait un traitement manuel de données appelées à figurer dans
un fichier. Les traitements de données de la plaignante ne rentreraient donc pas dans le champ
d’application matériel du RGPD (article 2 du RGPD).

33. Quant à l’existence d’un traitement automatisé, la Chambre Contentieuse rappelle qu’est
qualifié d’ « automatisé » tout traitement dans lequel la technologue de l’information intervient, tel
que le traitement de texte utilisé en informatique. 8

34. La Chambre Contentieuse en conclut que les données personnelles de la plaignante traitées
dans le rapport d’évaluation du docteur Z l’ont bien été de manière automatisée. Partant, la Chambre
Contentieuse n’examine pas la question de savoir si ces traitements sont constitutifs de traitements
manuels de données appelées à figurer dans un fichier.
*
35. En conclusion de ce point 5.1.1., la Chambre Contentieuse constate que la plaignante était
bien habilitée à exercer son droit d’accès auprès de la défenderesse en sa qualité de responsable de
traitement à l’égard des données à caractère personnel la concernant traitées de manière automatisée
dans le rapport du Dr. Z et ce, en application de l’article 15 du RGPD.

5.1.2. Quant aux obstacles invoqués par la défenderesse à l’exercice du droit d’accès de la
plaignante tel que formulé par celle-ci

36. Outre l’argument tiré du champ d’application matériel du RGPD rejeté par la Chambre
Contentieuse ci-dessus (point 35), la défenderesse invoque plusieurs obstacles à l’exercice du droit
d’accès de la plaignante tel que celle-ci l’aurait formulé.

37. La défenderesse invoque ainsi que le caractère confidentiel du rapport destiné au seul Comité
de concertation gestionnaire / conseil médical de l’hôpital. Elle avance également le fait que la
plaignante ne justifierait pas d’une autorisation de l’auteur du rapport, rapport protégé par le droit
d’auteur. Enfin, dès lors que le rapport repose sur une série d’entretiens individuels avec les médecins
et autres membres du personnel du service de radiologie de l’hôpital, la défenderesse considère qu’une
transmission de ce rapport porterait atteinte aux engagements pris envers les personnes auditionnées
et serait susceptible de remettre en cause la protection des données à caractère personnel d’autrui.

8
Voy. F. Dumortier, note d’observations : la loi du 8 décembre 1992 : un obstacle au métier de détective privé ?, RTDI, n°
41/2010, pp. 45 et s. La définition de traitement n’ayant pas été modifiée (si ce n’est l’ajout de la « structuration ») par le RGPD
(article 4.2 du RGPD), cette jurisprudence demeure pertinente même après l’abrogation de la Directive 95/46/CE et de la Loi
du 8 décembre 1992.

...

Décision quant au fond 41/2020- 15/31

38. La Chambre Contentieuse rappelle que l’article 15 § 4 du RGPD limite le droit à l’obtention
d’une copie dans les termes suivants : « le droit d’obtenir une copie ne porte pas atteinte aux droits
et libertés d’autrui ». Le considérant 63 du RGPD explicite à cet égard que « ce droit ne devrait pas
porter atteinte aux droits et libertés d’autrui, y compris au secret des affaires ou à la propriété
intellectuelle, notamment au droit d’auteur protégeant le logiciel. Cependant, ces considérations ne
devraient pas aboutir à refuser toute communication d’informations à la personne concernée (…). »
En d’autres termes, la mise en balance du droit à l’obtention d’une copie avec les droits et libertés
d’autrui, ne peut aboutir à l’absence de toute communication d’information à la personne concernée.

39. La Chambre Contentieuse ajoute que l’article 15 § 3 ne requiert pas qu’une copie du document
original soit fournie à la personne concerne. L’article 15 § 3 exige du responsable du traitement qu’il
fournisse une copie des données à caractère personnel traitées à la personne concernée. Ce droit à
l’obtention d’une copie des données n’emporte pas le droit pour la personne concernée d’obtenir une
copie du document original contenant ces données puisque dans certains cas, la communication de
ce document pourrait porter atteinte aux droits et libertés d’autrui (voy. l’article 15 § 4 rappelé ci-
dessus).

40. La Chambre Contentieuse considère qu’aucun des arguments de la défenderesse ne résiste à
l’analyse

 Concernant le caractère prétendument confidentiel du rapport du Dr. Z, la Chambre
contentieuse prend note à cet égard de l’article 14.5 (d) du RGPD, concernant l’obligation
d’information et non le droit d’accès, qui mentionne l’obligation de secret professionnel
réglementé par le droit de l’Union ou le droit d’un état membre comme exception justifiant
l’absence d’information. A supposer même que cet article pourrait s’appliquer ici par analogie,
quod non, la défenderesse n’avance aucun élément juridique permettant de conclure que ce
rapport est effectivement confidentiel. 9 L’argument de cette dernière ne peut donc convaincre
et être retenu pour refuser le droit d’accès de la plaignante.

 Concernant la protection par le droit d’auteur du rapport , à supposer même que la
défenderesse soit habilitée à invoquer le droit d’auteur d’un tiers sur un document qu’elle a
commandité pour refuser le droit d’accès, la Chambre Contentieuse constate ce qui suit :
- La défenderesse n’apporte aucune preuve selon laquelle l’expert auteur du rapport
s’opposerait à la communication de ce dernier en dehors des destinataires premiers. Elle

9
Si ce n’est la considération de la défenderesse selon laquelle le rapport serait « nécessairement confidentiel ».

...

Décision quant au fond 41/2020- 16/31

avait, depuis le mois de janvier 2019, tout le loisir de demander à ce dernier sa position
à cet égard.

- En exécution du principe d’accountability (articles 5.2. et 24 du RGPD), il appartient au
responsable de traitement de développer les procédures internes destinées à permettre
un exercice effectif de leurs droits par les personne concernées. Il lui incombe également,
en application de l’article 25 du RGPD, d’intégrer le nécessaire respect des règles du RGPD
en amont de ses actes et procédures (par exemple s’assurer contractuellement de la
possibilité de communiquer copie du rapport si elle ne détient pas les droits nécessaires).
A défaut, il suffirait pour un responsable de traitement d’invoquer le droit d’auteur sans
autre considération, ce que ne permet pas l’article 15 du RGPD.

- Enfin, à supposer que le titulaire du droit s’oppose in concreto à la demande d’accès de
la plaignante, et qu’une balance des intérêts en présence empêche la communication
d’une copie, rien n’empêchait le défendeur d’organiser une consultation sur place du
document, n’impliquant pas de copie et donc une absence de toute atteinte au droit
d’auteur.

 Concernant la circonstance que des données relatives à d’autres médecins et membres du
personnel du service de radiologie y seraient traitées (et à l’égard desquels des engagements
de confidentialité auraient été pris), la Chambre contentieuse considère que cette dernière est
indifférente dès lors que la défenderesse peut, en réponse à la demande formulée par la
plaignante, communiquer à cette dernière les seules données traitées qui la concernent à
l’exclusion de données relatives à d’autres médecins et membres du personnel visés dans la
rapport.

La Chambre contentieuse constate, en outre, que dans le cadre de la procédure judiciaire existante
entre les parties, le rapport en cause a été transmis dans son intégralité au conseil de la partie adverse,
sans que les obstacles invoqués par la défenderesse et évoqués ci-dessus ne semblent avoir constituer
une raison de ne pas accéder à la demande de production judiciaire sur la base de l’article 877 du
Code judiciaire..

41. Concernant l’argument de la défenderesse tiré de la formulation de la demande de la
plaignante et de sa nature (trop) étendue, la Chambre Contentieuse constate certes que la plaignante
avait précisé aux termes de sa demande du 2 janvier 2019 qu’elle souhaitait pouvoir prendre
connaissance des données à caractère personnel qui la concernaient et disposer par conséquent du
rapport du Dr. Z sur la base de l’article 15 § 3 du RGPD.

...

Décision quant au fond 41/2020- 17/31

42. Toutefois, la formulation d’une demande d’accès ou de l‘exercice de tout autre droit – fut-elle
incomplète ou fondée sur une disposition erronée ou à l’appui d’une mauvaise compréhension ou
interprétation du droit invoqué – ne peut servir de prétexte au responsable de traitement pour ne pas
y donner une suite utile.

En d’autres termes, la défenderesse ne peut se retrancher derrière la formulation de la demande de
la plaignante pour ne pas y donner un effet utile et ainsi satisfaire à son obligation de faciliter l’exercice
des droits des personnes concernées, en l’espèce, le droit d’accès de la plaignante (article 12 § 2 du
RGPD). A supposer même, quod non, qu’elle aurait été fondée à s’appuyer sur la limitation prévue au
§ 4 de l’article 15 du RGPD, la défenderesse, aurait à tout le moins pu donner suite à la demande de
la plaignante sur la base de l’article 15 § 1 du RGPD.

43. La Chambre Contentieuse relève que la défenderesse reproche également à la plaignante de
n’avoir exercé son droit d’accès qu’au moment de l’introduction de sa procédure judiciaire contestant
sa révocation comme cheffe de service, instrumentalisant - toujours selon la défenderesse - la
règlementation en matière de protection des données pour obtenir de manière détournée accès au
rapport du Dr. Z. Cette circonstance est aux yeux de la Chambre Contentieuse indifférente, la
plaignante est libre d’accéder aux données qui la concernent à tout moment.

44. La défenderesse invoque encore en termes de conclusions que les données personnelles que
contiendraient quelques pages du rapport du Dr Z seraient, en toute hypothèse, connues de la
plaignante, telle sa qualité de cheffe de service.

45. La Chambre Contentieuse tient à préciser qu’aucune exception comparable à celle prévue à
l’article 13 § 4 du RGPD (absence d’obligation d’information lorsque que, et dans la mesure où, la
personne concernée dispose déjà de ses informations) ou de l’article 14 § 5 a) du RGPD (absence
d’information à fournir en cas de collecte indirecte lors que la personne concernée dispose déjà de ces
informations) n’existe à l’article 15 du RGPD. Le droit d’accès permet à la personne concernée de
s’assurer qu’aucune donnée la concernant n’est traitée à son insu et constitue une première étape
vers l’exercice éventuel (voy. ci-dessous les points 46-47) de ses droits de rectification, d’effacement
ou d’objection. L’objectif du doit d’accès va donc bien au-delà de la seule prise de connaissance des
données traitées, raison pour laquelle la circonstance que les données traitées seraient connues de la
personne concernée est indifférente. L’argument de la défenderesse démontre une mauvaise
compréhension du droit d’accès.

...

Décision quant au fond 41/2020- 18/31

46. Enfin, s’appuyant une fois encore sur l’arrêt Y.S. de la Cour de Justice de l’Union européenne 10,
la défenderesse soutient que l’analyse ou l’évaluation du service de radiologie d’un hôpital par un
médecin expert n’est pas en elle-même susceptible de faire l’objet d’une vérification de son exactitude
par la personne concernée et d’une rectification au titre de la règlementation en matière de protection
des données. Partant, il n’y aurait pas lieu de reconnaitre à la plaignante un droit d’accès au rapport
du docteur Z.

47. La Chambre Contentieuse estime que c’est à tort que la défenderesse semble ainsi
conditionner l’exercice du droit d’accès à la possibilité ou à l’intention de rectifier les données
personnelles auxquelles il serait accédé et/ou dont une copie serait délivrée. En effet, les données
traitées, comme déjà rappelé, peuvent être des données subjectives et ne pas nécessairement se
prêter à l’exercice d’un droit de rectification. Plus fondamentalement, s’il est, comme déjà mentionné,
certes la « porte d’entrée » qui permet l’exercice des autres droits que le RGPD confère à la personne
concernée, tel le droit à la rectification, le droit d’accès n’est pas conditionné par la possibilité ou le
souhait de la personne concernée d’exercer ces autres droits.

48. La plaignante indique dans ses conclusions qu’il n’y a pas que l’article 15 du RGPD qui n’ait
pas été respecté à son égard. Elle soutient également le fait que l’article 12 du RGPD a été méconnu
dès lors que la défenderesse n’a pas facilité l’exercice de son droit d’accès et s’est abstenue de lui
répondre après le 25 janvier 2019.

49. La Chambre Contentieuse relève que la défenderesse a réagi à la demande du 2 janvier 2019
de la plaignante par son courriel du 25 janvier 2019, soit dans le délai d’un mois requis par l’article 12
§ 3 du RGPD. La défenderesse s’est par contre abstenue de réagir une nouvelle fois à la réponse que
lui a adressée la plaignante en réaction à son refus notifié dans ce courriel du 25 janvier 2019. Cette
dernière absence de réaction n’est pas constitutive d’un manquement à l’article 12 § 3 du RGPD.

50. Si la Chambre Contentieuse note que la défenderesse a réagi dans le délai prescrit par l’article
12 § 3 du RGPD en répondant une première fois le 25 janvier 2019, elle n’en relève pas moins que la
défenderesse a omis, dès lors qu’elle n’entendait pas donner suite à la demande de la plaignante,
d’informer cette dernière de la possibilité d’introduire une plainte auprès de l’APD. Les modalités
prescrites par l’article 12 § 4 du RGPD qui doivent entourer l’exercice du droit d’accès n’ont donc pas
été respectées.

*

10
Voir supra la note de bas de page n° 5.

...

Décision quant au fond 41/2020- 19/31

51. En conclusion, à l’appui des paragraphes qui précèdent, la Chambre Contentieuse conclut que
la défenderesse n’a pas respecté les articles 15 § 3 et 12 § 4 du RGPD.

5.2. Quant au manquement de la défenderesse à son obligation d’information (articles
13 et 14 du RGPD, combinés à l’article 12 du RGPD

52. Pour la première fois dans ses conclusions également, la plaignante relève le fait qu’aucune
information concernant la collecte et les traitements des données dans le cadre de l’élaboration du
rapport du Dr. Z ne lui a été communiquée.

53. En application des articles 13 et 14 du RGPD, toute personne dont des données à caractère
personnel sont traitées doit, selon que les données sont collectées directement auprès d’elle ou auprès
de tiers, être informée des éléments listés à ces articles (§§ 1 et 2)11. En cas de collecte directe de
données auprès de la personne concernée, celle-ci sera informée tant des éléments listés au § 1 qu’au
§ 2 de l’article 13 du RGPD soit : de l’identité et des coordonnées du responsable de traitement ainsi
que des coordonnées du délégué à la protection des données éventuel, des finalités du traitement
ainsi que de la base juridique de celui-ci (lorsque le traitement se fonde sur l’intérêt légitime du
responsable de traitement, cet intérêt devra être précisé), des destinataires ou catégories de
destinataires du traitement, de l’intention du responsable de traitement de transférer les données hors
de l’Espace Economique Européen, de la durée de conservation des données, des droits que lui confère
le RGPD en ce compris le droit de retirer son consentement à tout moment et celui de déposer une
plainte auprès de l’autorité de contrôle de protection des données (en l’espèce l’APD), des informations
sur la question de savoir si l'exigence de fourniture de données à caractère personnel a un caractère
réglementaire ou contractuel et les conséquences de leur non-fourniture ainsi que de l’existence d’une
prise de décision automatisée y compris un profilage, visé à l’article 22 du RGPD. La Chambre
Contentieuse rappelle par ailleurs qu’en cas de collecte directe (article 13 du RGPD), aucune exception
n’est prévue.

54. L’article 14 §§ 1-2 liste des éléments qui sont similaires tenant compte toutefois que
l’hypothèse visée à l’article 14 du RGPD est celle où des données ne sont pas collectées directement
auprès de la personne concernée mais bien auprès de tiers.

11
Dans les lignes directrices qu’il a consacrées au principe de transparence (point 13), le Groupe 29 énonce ainsi : « ( …) la
position du G29 est qu’il n’y a pas de différence entre le statut des informations à fournir au titre du paragraphe 1 et du
paragraphe 2 des articles 13 et 14, respectivement. Toutes les informations contenues dans ces paragraphes sont d’égale
importance et doivent être fournies à la personne concernée ». La Chambre Contentieuse fait sienne cette position.

...

Décision quant au fond 41/2020- 20/31

55. Ces informations sont, que ce soit sur la base de l’article 13 ou de l’article 14 du RGPD à
fournir à la personne concernée dans le respect des modalités fixées à l’article 12 du RGPD.

56. Au cours de l’audition du 13 mai 2020, la défenderesse a indiqué qu’au moment des faits,
aucune information n’avait, à sa connaissance, été fournie à la plaignante quant aux traitements de
données opérés dans le cadre de sa relation professionnelle avec la défenderesse. La défenderesse a
également exposé qu’en ce qui concerne les agents contractuels et nommés, un point figure à cet
effet dans le Règlement de travail ou dans le statut administratif. Par contre, la défenderesse a précisé
qu’à l’égard des médecins tels la plaignante, ce type de communication d’informations n’existait, à sa
connaissance, pas encore mais était en cours d’élaboration. La défenderesse a, à cet égard, mentionné
le travail de son délégué à la protection des données.

57. A la suite de l’audition du 13 mai 2020, la défenderesse a produit un document daté du 6 juin
2018 destiné aux prestataires de soins indépendants avec lesquels elle travaille (le document
d’information RGPD de la défenderesse). Ce document indique qu’il poursuit l’objectif d’informer sur
la façon dont les données personnelles des collaborateurs de l’hôpital sont traitées dans le cadre de
l’organisation des soins et des activités de la défenderesse. Il ajoute que cette démarche d’information
s’inscrit dans le cadre du RGPD. C’est la communication de ce document qui a justifié la réouverture
des débats déjà évoquée.

58. La Chambre Contentieuse relève que ce document a été communiqué aux prestataires de
soins indépendants par e-mail du 19 juin 2018. Si la plaignante devait effectivement avoir figuré dans
la liste des destinataires de cet-e-mail, cette communication n’est toutefois intervenue qu’ après les
traitements opérés dans le cadre de l’élaboration du rapport du docteur Z vu son rapport déposé le 4
juin 2018.

59. Or, l’article 13 du RGPD précise que c’est au moment où les données sont obtenues de la
personne concernée que les éléments d’information rappelés ci-dessus doivent lui être communiqués
(article 13 § 1 du RGPD). L’article 14 du RGPD impose quant à lui une information à la personne
concernée dans un délai raisonnable, et au plus tard lorsque les données sont communiquées pour la
première fois à un autre destinataire. Le rapport ayant été présenté le 4 juin 2018 en CPC, reprenant
des membres du Conseil médical et du gestionnaire, de l’hôpital c’est au plus tard à cette date que la
plaignante aurait dû recevoir l’information.

60. En effet, comme le précise la plaignante, pour l’établissement de ce rapport déposé en CPC
le 4 juin 2018, le Dr. Z a collecté des données pour partie directement auprès de la plaignante et pour
partie auprès de tiers, de telle sorte que tant l’article 13 que l’article 14 du RGPD sont d’application.

...

Décision quant au fond 41/2020- 21/31

61. Le RGPD étant directement applicable, ces dispositions étaient d’application dès le 25 mai
2018.

62. Partant, et dès lors que la défenderesse ne démontre en aucune façon qu’une information
aurait été donnée préalablement au 19 juin 2018 à la plaignante, la Chambre Contentieuse en conclut
que la défenderesse a manqué à son obligation d’information à l’égard de celle-ci.

63. La Chambre Contentieuse rappelle qu’un aspect primordial du principe de transparence mis
en lumière aux articles 12, 13 et 14 du RGPD est que la personne concernée devrait être en mesure
de déterminer à l’avance ce que la portée et les conséquences du traitement englobent afin de ne pas
être pris au dépourvu à un stade ultérieur quant à la façon dont ses données à caractère personnel
ont été utilisées. Les informations devraient être concrètes et fiables, elles ne devraient pas être
formulées dans des termes abstraits ou ambigus ni laisser de place à différentes interprétations. Plus
particulièrement, les finalités et fondements juridiques du traitement des données à caractère
personnel devraient être clairs.

64. Quant au document d’information RGPD de le défenderesse, la Chambre Contentieuse relève
son caractère généralement imprécis et incomplet.

65. Ce document contient à l’estime de la Chambre Contentieuse, des énoncés vagues - sans
granularité suffisante -, qui ne permettent pas aux prestataires de soins indépendants - tels la
plaignante - qui en sont ou en étaient les destinataires de prévoir et de comprendre clairement quelles
sont les données traitées, quels sont les traitements opérés, leurs finalités ainsi que les bases du
traitement envisagé. De manière générale, contrairement à ce qu’avance la défenderesse, le fait
qu’aucun prestataire de soins n’ait formulé de demande d’explication à l’égard de ce document
d’information n’est pas de nature à qualifier l’information donnée d’adéquate ni plus encore, de
conforme aux prescrits du RGPD.

66. La Chambre Contentieuse formule les remarques ci-dessous au regard de la conformité de ce
document aux articles 12, 13 et 14 du RGPD et partant, au principe de transparence (article 5 § 1 a)
du RGPD).

67. La Chambre rappelle, quant à l’information relative aux finalités du traitement (articles 13 § 1
c) et 14 § 1 c) du RGPD) que comme l’énonce le considérant 60 du RGPD, le principe de traitement
loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de
traitement et de ses finalités.

68. La Chambre Contentieuse est ainsi d’avis que les finalités reprises à la rubrique « Finalités des
traitements de données personnelles » du document d’information RGPD de la défenderesse devraient

...

Décision quant au fond 41/2020- 22/31

être décrites de manière plus précise en ce qui concerne les « autres finalités », le cas échéant en
donnant quelques exemples. Les principales finalités découlant des obligations légales de la
défenderesse devraient également être précisées. La Chambre Contentieuse rappelle qu’en plus
d’établir la finalité du traitement visé, la base juridique pertinente appliquée en exécution de l’article
6 du RGPD doit être communiquée. Le second paragraphe de la rubrique « Finalité des traitements de
données personnelles » du document d’information RGPD de la défenderesse n’est à cet égard pas
suffisamment précis. S’agissant du consentement invoqué par la défenderesse à l’appui des
traitements de données pour « d’autres finalités », la Chambre Contentieuse rappelle que ce
consentement doit être éclairé (article 4.11.du RGPD).

69. Enfin, dans la rubrique « Catégories de données traitées », la défenderesse n’exclut pas de
traiter des données judiciaires. La Chambre Contentieuse souligne à cet égard que pour autant que
ce que la défenderesse qualifie de « données judiciaires » corresponde à la définition retenue par
l’article 10 du RGPD, cet article 10 et l’article 10 de la loi du 30 juillet 2018 doivent être respectés dans
tous leurs aspects (bases de légitimité et garanties)12.

70. Quant à l’information relative aux catégories de donnés traitées (article 14 § 1 d) du RGPD),
la Chambre Contentieuse relève ici encore l’absence de précision, en particulier au regard des « autres
données nécessaires à l’exécution de finalités déterminées par [la défenderesse] ou imposées par la
loi, telles que des données judiciaires » de la rubrique « « Catégories de données traitées » de son
document d’information. A tout le moins, certains exemples pourraient être donnés. Combinée à
l’absence de précision sur ces « autres finalités » (voy. ci-dessus points 67-68), la personne concernée
est laissée dans le flou complet ce qui, s’agissant potentiellement de données judiciaires, est d’autant
plus inadmissible.

12
Art. 10. § 1er. En exécution de l'article 10 du Règlement, le traitement des données à caractère personnel relatives aux
condamnations pénales et aux infractions pénales ou aux mesures de sûreté connexes est effectué :
1° par des personnes physiques ou par des personnes morales de droit public ou de droit privé pour autant que la gestion de
leurs propres contentieux l'exige; ou
2° par des avocats ou d'autres conseils juridiques, pour autant que la défense de leurs clients l'exige; ou
3° par d'autres personnes lorsque le traitement est nécessaire pour des motifs d'intérêt public important pour l'accomplissement
de tâches d'intérêt général confiées par ou en vertu d'une loi, d'un décret, d'une ordonnance ou du droit de l'Union européenne;
ou
4° pour les nécessités de la recherche scientifique, historique ou statistique ou à des fins d'archives; ou
5° si la personne concernée a autorisé explicitement et par écrit le traitement de ces données à caractère personnel pour une
finalité ou plusieurs finalités spécifiques et si leur traitement est limité à ces finalités; ou
6° si le traitement porte sur des données à caractère personnel manifestement rendues publiques par la personne concernée,
de sa propre initiative, pour une finalité ou plusieurs finalités spécifiques et si leur traitement est limité à ces finalités.
§ 2. Le responsable du traitement et, le cas échéant, le sous-traitant établissent une liste des catégories de personnes, ayant
accès aux données à caractère personnel avec une description de leur fonction par rapport au traitement des données visées.
Cette liste est tenue à la disposition de l'autorité de contrôle compétente. Le responsable du traitement et, le cas échéant, le
sous-traitant veillent à ce que les personnes désignées soient tenues, par une obligation légale ou statutaire, ou par une
disposition contractuelle équivalente, au respect du caractère confidentiel des données visées.

...

Décision quant au fond 41/2020- 23/31

71. Quant à l’information relative aux « transferts de données », la Chambre Contentieuse relève
qu’en réalité cette rubrique du document d’information RGPD de la défenderesse couvre à la fois les
catégories de destinataires des données traitées (articles 13 § 1 e) et 14 § 1 e) du RGPD) et les
éventuels transferts au sens du Chapitre V du RGPD (articles 13 § 1 f) et 14 § 1 f) du RGPD). Quant
aux destinataires listés, le principe de transparence serait ici aussi davantage rencontré si quelques
exemples étaient ajoutés aux catégories « autorité publiques » et « autres destinataires ».

72. Quant à l’information relative à la période de conservation (articles 13 § 2, a) et 14 § 2 a) du
RGPD), la Chambre Contentieuse est d’avis qu’elle doit être formulée de manière à ce que la personne
concernée puisse, au minimum, évaluer, selon la situation dans laquelle elle se trouve, quelle sera la
période de conservation de ses données. Le responsable de traitement ne peut se contenter de
déclarer de façon générale que les données personnelles seront conservées aussi longtemps que la
finalité du légitime du traitement l’exige ou conformément à ses obligations légales. Si une durée
précise ne peut être communiquée, des critères permettant cette évaluation par la personne concernée
doivent être prévus. Le cas échéant, différentes périodes de stockage devraient être mentionnées pour
les différentes catégories de données personnelles et/ou finalités de traitement.

73. En l’espèce, la Chambre Contentieuse constate que l’information communiquée par la
défenderesse (rubrique « Durées de conservation ») se limite à mentionner que « la durée de
conservation des données personnelles des prestataires de soins respecte les obligations légales ».
Aucun élément n’est ainsi communiqué permettant à la personne concernée d’évaluer la durée de
conservation de ses données.

74. Un second paragraphe ajoute qu’à l’expiration de la période de conservation, « les données
personnelles seront supprimées dans un délai d’un an sauf si la conservation est considérée comme
importante pour la défense des intérêts légitimes de l’institution ou du prestataire ou de ceux de ses
successeurs légaux ou encore s’il existe un accord sur la conservation entre le prestataire et
l’institution ».

75. La Chambre Contentieuse est d’avis que ce paragraphe doit être clarifié. La défenderesse ne
peut, par précaution, pour le cas où un litige surviendrait, conserver a priori toutes les données
traitées au-delà de la période nécessaire à l’exécution des finalités pour lesquelles elles sont traitées
sans enfreindre le principe de minimisation. Par contre, la conservation des données à des fins de
défense en justice est une finalité admissible en tant que telle dont la durée s’appuiera sur les délais
de prescription par exemple.

76. Quant à l’information relative à l’exercice de leur droits par les prestataires de soins
indépendants (rubrique « droits du prestataire » du document d’information RGPD de la

...

Décision quant au fond 41/2020- 24/31

défenderesse), la Chambre Contentieuse relève que la liste des droits dont bénéficient les personnes
concernées aux termes du RPD n’est pas reprise de manière complète. Ainsi, le droit à la limitation du
traitement (article 18 du RGPD) et le droit à la portabilité des données (article 20 du RGPD) ne sont
pas mentionnés. Dès lors que la défenderesse n’exclut pas de fonder certains traitements sur le
consentement, le droit à la portabilité – d’application lorsque les traitements de données sont fondés
sur le consentement ou le contrat - ne peut d’emblée être exclu. Dans le même sens, le droit pour le
prestataire de soins de retirer son consentement à tout moment n’est pas mentionné (article 7.3. du
RGPD).

77. Quant aux éléments constitutifs du droit à l’information, comme déjà rappelé, la personne
concernée doit recevoir l’ensemble des éléments d’information listés aux paragraphes 1 et 2 des
articles 13 et 14 du RGPD. Il n’est donc pas suffisant de lui communiquer - comme actuellement prévu
par le document - qu’elle recevra des éléments d’information relatifs aux seules finalités des
traitements, catégories de données traitées, durée de conservation, et catégories de destinataires et
source des données.

78. Quant à la procédure mise en place pour l’exercice de leurs droits par les personnes
concernées, la Chambre Contentieuse est d’avis qu’elle ne respecte pas les prescrits des articles 12. 2
(facilitation de l’exercice des droits) et 12.3. (délai de réponse) du RGPD.

79. S’il ne peut être exclu que la réponse à l’exercice de ses droits par la personne concernée
nécessite parfois de s’entretenir avec elle, devoir systématiquement passer par une prise de rendez-
vous tel que prévu par la défenderesse est excessif et peut être perçu comme intimidant pour certains
et constituer un frein à l’exercice effectif des droits conférés par le RGPD. Une demande d’accès devrait
par exemple pouvoir se faire par un e-mail adressé directement au responsable de traitement ou au
délégué à la protection des données via une adresse électronique dédiée.

80. La Chambre Contentieuse invite par ailleurs la défenderesse à vérifier si la transmission de la
copie de la carte d’identité des prestataires de soins est, comme exigé aux termes de son document
d’information RGPD, systématiquement nécessaire à leur identification ou si d’autres moyens
d’identification moins intrusifs ne pourraient pas être utilisés.

81. La Chambre Contentieuse considère par ailleurs qu’accorder un rendez-vous dans le délai d’1
mois n’équivaut pas à « fournit à la personne concernée des informations sur les mesures prises » à
la suite de sa demande dans un délai d’1 mois (article 12.3. du RGPD). A cet égard, la Chambre
Contentieuse note que pour toute question relative à la protection des données (en ce compris les
plaintes), les prestataires de soins indépendants sont invités à envoyer un email à une adresse du

...

Décision quant au fond 41/2020- 25/31

DPO externe alors que pour tout exercice de leurs droits, elles sont invitées à s’adresser directement
au responsable de traitement via une autre adresse mail.

82. Si comme la Chambre Contentieuse le comprend, la défenderesse choisit de conserver la
gestion de l’exercice de leurs droits par les prestataires de soins en interne, le délégué à la protection
des données n’en devrait pas moins, selon des modalités à définir par la défenderesse, être informé
pour pouvoir assurer au mieux ses missions.

83. En toute hypothèse, la personne concernée ne devrait pas être pénalisée de quelque manière
que ce soit pour n’avoir pas adressé sa demande à la bonne adresse.

84. L’adresse de contact de l’Autorité de protection des données ou un lien vers son site Internet
pourrait utilement être ajouté au dernier paragraphe de la rubrique relative aux droits de la personne
concernée, toujours dans le but de faciliter l’exercice de leurs droits par les personnes concernées.

85. Enfin, la Chambre Contentieuse relève que le document d’information ne reprend pas les
éléments d’information requis par l’article 13 § 2 e) du RGPD. Cette disposition prévoit que lorsque
des données à caractère personnel sont collectées auprès de la personne concernée, il importe que
celle-ci sache également si elle est obligée de fournir ces données à caractère personnel et soit
informée des conséquences auxquelles elle s’expose si elle ne les fournit pas. Aucune information n’est
prévue quant à cet aspect dans le document d’information de la défenderesse.

86. En conclusion de ce qui précède, la Chambre Contentieuse conclut que le document
d’information RGPD de la défenderesse n’informe pas les prestataires de soins indépendants
conformément à ce que requièrent les articles 13 et 14 du RGPD, combinés à l’article 12 du RGPD.

87. Quant au délégué à la protection des données (ci-après DPO), la Chambre Contentieuse
rappelle que l’article 38, paragraphe 2, du RGPD exige que l’organisme aide son DPD en fournissant
les ressources nécessaires pour exercer [ses] missions, ainsi que l’accès aux données à caractère
personnel et aux opérations de traitement, et lui permettant d’entretenir ses connaissances
spécialisées. A cet égard, la Chambre Contentieuse est d’avis que les aspects suivants, en particulier,
doivent être pris en considération:

- Un soutien actif de la fonction du DPO par l’encadrement supérieur (par exemple, au niveau
du conseil d’administration);

- Un temps suffisant pour que le DPO puisse accomplir ses tâches. Cet aspect est
particulièrement important lorsqu’un DPO qu’il soit interne ou externe à l’organisation est
désigné à temps partiel pour exercer sa fonction. A défaut de temps suffisant alloué au DPO
pour l’exercice de ses tâches, des conflits de priorités pourraient conduire à ce que les tâches

...

Décision quant au fond 41/2020- 26/31

du DPD soient négligées. Il est primordial que le DPD puisse consacrer suffisamment de temps
à ses missions ;

- Un soutien adéquat du point de vue des ressources financières, des infrastructures (locaux,
installations, équipements) et du personnel, le cas échéant;

- Une communication officielle de la désignation du DPO à l’ensemble du personnel afin de
veiller à ce que l’existence et la fonction de celui-ci soient connues au sein de l’organisme;

- Un accès nécessaire à d’autres services, tels que les ressources humaines, le service juridique,
l’informatique, la sécurité, etc., de manière à ce que le DPO puisse recevoir le soutien, les
contributions et les informations essentiels de ces autres services;

- Une formation continue ;
- Compte tenu de la taille et de la structure de l’organisme, il est possible qu’il faille mettre en
place une équipe de DPO (un DPO et son personnel). En pareils cas, la structure interne de
l’équipe ainsi que les tâches et responsabilités de chacun de ses membres doivent être
clairement établies. De même, lorsque la fonction du DPO est exercée par un prestataire de
services externe, une équipe de personnes travaillant pour le compte de cette entité peut
exercer, dans les faits, les missions du DPO en tant que groupe, sous la responsabilité d’une
personne de contact principale désignée pour le client.

88. D’une manière générale, la Chambre Contentieuse insiste sur le fait que plus les opérations
de traitement sont complexes ou sensibles comme c’est le cas en l’’espèce compte tenu de la qualité
de la défenderesse et partant, du volume très important de données (relatives à la santé notamment)
traitées, plus les ressources octroyées au DPO devront être importantes. La fonction de délégué à la
protection des données doit pouvoir s’exercer de manière effective et bénéficier de ressources
adéquates au regard des traitements de données réalisés et des risques qu’ils comportent.

89. Enfin, sans que cet aspect ne fasse l’objet de la plainte aboutissant à la présente décision, la
Chambre Contentieuse rappelle qu’à l’évidence, la défenderesse est également tenue d’informer non
seulement l’ensemble de son personnel quel que soit son statut (médecin, personnel soignant et
administratif,…) mais également les patients des traitements de données opérés les concernant et ce,
conformément au RGPD et aux autres dispositions légales applicables.

5.3. Quant au manquement à l’article 6 du RGPD

90. Toujours aux termes de ses conclusions, la plaignante dénonce enfin le fait qu’un audit destiné
à évaluer la qualité des soins mis en place au sein d’un milieu hospitalier - tel le travail du Dr Z qui a
abouti au rapport litigieux - doit être réalisé par le directeur médical (voy. ci-dessus points 7-8) . Elle
expose que cette exigence est prévue à l’article 6/1 de l’arrêté royal du 15 décembre 1987 portant

...

Décision quant au fond 41/2020- 27/31

exécution des articles 13 à 17 inclus de la loi sur les hôpitaux, coordonnée par l’arrêté royal du 7 août
1987. Elle dénonce le fait qu’à la date de la réalisation de cet audit lequel a débouché sur son rapport,
le docteur Z n’était pas directeur médical mais un expert externe à qui la défenderesse avait choisi de
confier la mission d’évaluation du service de radiologie de l’hôpital.

91. Il n’appartient pas à la Chambre Contentieuse de qualifier le rapport du docteur Z au regard
du droit hospitalier et de conclure que celui-ci répond effectivement ou non aux critères d’audit tel que
défini par l’arrêté royal du 15 décembre 1987 précité (voy. point 13 ci-dessus). Cet examen sort du
champ de la compétence de la Chambre Contentieuse. La Chambre Contentieuse n’en rappelle pas
moins que tout traitement de donnée doit être licite, c’est-à-dire qu’il doit non seulement s’appuyer
sur une des base des licéité exhaustivement listées à l’article 6 § 1 du RGPD – à l’exception de l’article
6 § 1 f) qui ne s'applique pas au traitement effectué par les autorités publiques telles que définies à
l’article 5 de la loi du 30 juillet 2018 dans l'exécution de leurs missions - mais doit également respecter
l’ensemble des obligations légales dont est tenu le responsable de traitement en application de l’article
5 § 1 a) du RGPD. En d’autres termes, le traitement ne peut contrevenir à la loi.

5.4. Quant à la demande de production du procès-verbal de la réunion du CPC du 11
juillet 2018 sur la base de l’article 15 du RGPD

92. Enfin, comme il a été rappelé aux termes de la description de l’objet de la plainte, la plaignante
demande à la faveur du dispositif de ses conclusions que le procès-verbal du CPC du 11 juillet 2018
lui soit communiqué. La plaignante indique que c’est à cette date que le docteur Z aurait été nommé
en qualité de coordinateur médical (voy. supra).

93. A titre subsidiaire, si cette extension de l’objet de la plainte devait être considérée recevable
par la Chambre Contentieuse, la défenderesse considère qu’à défaut d’indication de données à
caractère personnel la concernant par la plaignante, sa demande est non fondée.

94. La Chambre Contentieuse a considéré qu’elle était habilitée à traiter cette extension de la
demande (voy. point 15 ci-dessus).

95. La Chambre Contentieuse renvoie aux critères d’application de l’article 15 détaillés dans la
présente décision pour conclure que dès lors que des données à caractère personnel relatives à la
plaignante figureraient dans ce procès-verbal, une copie de celles-ci doit être communiquée à la
plaignante.

6. Mesures correctrices et sanctions

...

Décision quant au fond 41/2020- 28/31

96. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.

97. Il importe de contextualiser le manquement à l’article 15 § 3 combiné à l’article 12 § 4 d’une
part (droit d’accès) ainsi que le manquement aux articles 12, 13 et 14 du RGPD d’autre part (droit à
l’information) en vue d’identifier les sanctions et/ou mesures correctrices les plus adaptées.

98. Quant au manquement à l’article 15 § 3 combiné à l’article 12 § 4 du RGPD, la Chambre
Contentieuse relève que l’obtention d’une copie des données est l’apport majeur du RGPD en termes
de droit d’accès. Elle doit permettre le renforcement du contrôle des personnes concernées sur les
données personnelles les concernant. L’autodétermination informationnelle dont le RGPD est empreint
trouve dans cette nouvelle version du droit d’accès (incluant le droit à l’obtention d’une copie) l’une
de ses plus fortes expressions.

99. La défenderesse s’est, aux yeux de la Chambre Contentieuse, rendue coupable à cet égard
d’un manquement grave. S’agissant de données personnelles liées à l’évaluation d’un service
hospitalier à la tête duquel se trouvait la plaignante (et l’évaluant par ailleurs), ce manquement l’est
d’autant plus.

...

Décision quant au fond 41/2020- 29/31

100. En refusant la communication des données la concernant à la plaignante, la défenderesse a
non seulement privé la plaignante du droit que lui confère l’article 15 du RGPD mais plus largement,
elle a porté atteinte à son autonomie informationnelle en ne lui permettant pas de prendre
connaissance de ces données ni, le cas échéant, de faire valoir celles-ci dans le cadre de la procédure
judiciaire qu’elle avait initiée et que la défenderesse n’ignorait pas ou dans tout autre contexte.

101. Alors même qu’elle n’avait communiqué aucune information à la plaignante en violation des
articles 13 et 14 du RGPD (voy. supra), la défenderesse n’a pas non plus satisfait à l’article 15 du
RGPD au moment de la demande d’exercice de son droit d‘accès par la plaignante.

102. Quant au manquement aux articles 12, 13 et 14 du RGPD, la Chambre Contentieuse constate
qu’il s’agit d’un manquement grave. L’absence de transparence et d’information complète et adéquate
sur les éléments listés aux articles 13 et 14 du RGPD au regard des traitements de leurs données,
combinés au manquement à l’article 12 §§ 2-3 du RGPD compromet l’exercice de leurs droits par les
personnes concernées (tels le droit d’accès, le droit à la rectification, le droit d’opposition ou encore
le droit de déposer plainte auprès de l’APD) voire aboutit à les en priver.

103. Quant à la durée de ce manquement, la Chambre Contentieuse doit constater qu’il existe
depuis le 25 mai 2018, date d’entrée en application du RGPD. La Chambre Contentieuse rappelle ici
que deux ans ont séparé l’entrée en vigueur du RGPD de son entrée en application pour permettre
aux responsables de traitement de se conformer aux obligations qui leur incombent et ce même si
une obligation d’information comparable existait en application de l’article 9 de la Loi du 8 décembre
1992 relative à la protection de la vie privée à l’égard des traitements de données à caractère
personnel.

104. La Chambre Contentieuse relève également le nombre important de personnes dont des
données à caractère personnel sont traitées par la défenderesse dans le cadre de la relation
professionnelle – sous quel que statut que ce soit (certes pas toutes sous statut d’indépendant) -
qu’elles entretiennent avec elle. Au cours de l’audition du 13 mai 2020, le nombre de plusieurs milliers
de personnes, tous statuts confondus, a été cité. Il importe que toutes bénéficient d’une information
conforme quant aux traitements de leurs données.

105. Compte tenu de la qualité de la défenderesse, la Chambre Contentieuse n’est, fussent ces
manquements caractérisés comme exposé ci-dessus, pas autorisée à lui infliger une amende
administrative. Au regard des éléments développés ci-dessus propres à cette affaire, la Chambre
Contentieuse estime que les faits constatés et les manquements aux articles 15 § 3 et 12 § 4 d’une
part et aux articles 12 §§ 2-3, 13 et 14 du RGPD d’autre part , justifient qu’au titre de sanction effective,
proportionnée et dissuasive telle que prévue à l’article 83 du RGPD une réprimande (article 100 § 1er,

...

Décision quant au fond 41/2020- 30/31

5° LCA) assortie d’ordres de mise en conformité soit prononcée à l’encontre de la défenderesse (100
§ 1, 6° LCA).

106. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel
et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de
l'Autorité de protection des données moyennant la suppression des données d’identification directe
des parties et des personnes citées, qu’elles soient physiques ou morales.

POUR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE

Décide, après délibération

- De prononcer à l’encontre de la défenderesse une réprimande sur la base de l’article 100 §
1er, 5° LCA ;

- D’assortir cette réprimande :
o D’un ordre de se conformer à l’exercice du droit d’accès de la plaignante au regard
du procès-verbal de la réunion du CPVP du 11 juillet dans la mesure où celui-ci
contiendrait des données à caractère personnel relatives à la plaignante, et ce sur la
base de l’article 100 § 1, 6° LCA ;

o D’un ordre de mise en conformité de ses traitements de données relatifs aux
prestataires de soins indépendants avec les articles 12, 13 et 14 du RGPD dans un
délai de 3 mois à dater de la notification de la présente décision et ce, sur la base de
l’article 100 § 1, 9° LCA13. La défenderesse en informera la Chambre Contentieuse par
courriel à l’adresse [email protected] dans le même délai de 3 mois. La
non production de l’information obligatoire ou sa non-conformité pourra, le cas
échéant, donner lieu à l’ouverture d’une enquête d’initiative de l’autorité de protection
des données, pouvant aboutir à une nouvelle décision de la Chambre Contentieuse
concernant la question de l’information obligatoire.

*

13
L’envoi de la présente décision vaut notification.

...

Décision quant au fond 41/2020- 31/31

En vertu de l’article 108, § 1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés dans un délai de 30 jours à compter de sa notification, avec l'Autorité de protection des
données en qualité de défenderesse.

(signé) Hielke Hijmans
Président de la Chambre Contentieuse