¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.
1/6
Chambre Contentieuse
Décision 41 /2023 du 14 avril 2023
N° de dossier : DOS-2022-04587
Objet : Plainte relative à une communication de données à caractère personnel à un
tiers par un ex-employeur
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel (ci-après LTD) ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : M. X, ci-après « le plaignant » ;
La défenderesse : Y , ci-après « la défenderesse » ;
Décision 2022-01356/2023 - 2/6
I. Faits et procédure
1. L’objet de la plainte concerne l’envoi d’un email contenant des données à caractère
personnel à un tiers par la défenderesse. L’email litigieux concerne une facture à payer au
nom du plaignant par son ex-employeur (V), pour une pension complémentaire que l’ex-
employeur payait pour le plaignant lorsque celui-ci travaillait pour lui. L’ex-employeur a
demandé à la défenderesse de contacter la compagnie d’assurance pension
complémentaire (Z) pour comprendre la raison de l’émission de la facture. Suite à question
en ce sens par la défenderesse, Z indique qu’elle n’a pas été informée de la fin du contrat de
travail entre le plaignant et son ex-employeur, et qu’elle a donc émis une nouvelle facture
pour la pension complémentaire du plaignant. Dans ce contexte, le plaignant estime que ses
données personnelles n’auraient pas dû être envoyées, dans la mesure où la défenderesse
n’est pas courtier d’assurance ni preneur de contrat.
2. Le 8 novembre 2022, le plaignant a formulé une demande de médiation auprès de l’Autorité
de protection des données (ci-après APD) pour les faits susmentionnés. Le plaignant n’a
néanmoins pas été satisfait du résultat de la médiation, et a demandé le 23 février 2023 au
Service de Premier Ligne de l’APD de transformer la médiation en plainte.
3. Le 28 février 2023, le Service de Premier Ligne prend acte de la demande du plaignant de
transformer le formulaire de médiation en plainte. Le même jour, la plainte est déclarée
recevable sur la base des articles 58 et 60 de la LCA, et transmise à la Chambre
Contentieuse conformément à l’article 62, § 1 de la LCA.
II. Motivation
4. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur base
des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95, § 1 de la
LCA, la Chambre Contentieuse décide de la suite à donner au dossier ; en l’occurrence, la
Chambre Contentieuse décide de procéder au classement sans suite de la plainte,
conformément à l’article 95, § 1, 3° de la LCA, pour les raisons exposées ci-après.
5. En matière de classement sans suite, la Chambre Contentieuse est tenue de motiver sa
décision par étape1 et de :
- prononcer un classement sans suite technique si le dossier ne contient pas ou pas
suffisamment d’élément susceptibles d’aboutir à une sanction ou s’il comporte un
obstacle technique l’empêchant de rendre une décision ;
- ou prononcer un classement sans suite d’opportunité, si malgré la présence
d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du
1
Cour des marchés (Cour d’appel de Bruxelles), 2 septembre 2020, arrêt 2020/AR/329, p. 18.
Décision 2022-01356/2023 - 3/6
dossier ne lui semble pas opportune compte tenu des priorités de l’Autorité de
protection des données telle que spécifiées et illustrées dans la Politique de
classement sans suite de la Chambre Contentieuse 2.
6. En cas de classement sans suite fondé sur plusieurs motifs de classement sans suite, ces
derniers (respectivement, classement sans suite technique et classement sans suite
d’opportunité) doivent être traitées par ordre d’importance3.
7. En l’occurrence, la Chambre Contentieuse décide de procéder à un classement sans suite de
la plainte pour motif technique.
8. La Chambre Contentieuse procède à un classement sans suite technique, pour absence de
de manquement au RGPD ou aux lois de protection des données personnelles. Le plaignant
reproche à la défenderesse d’avoir traité et communiqué ses données à caractère personnel
de façon non conforme au RGPD. La Chambre Contentieuse examine cette plainte sous
l’angle de la base de licéité du traitement.
9. Conformément à l'article 6.1.f) du RGPD et à la jurisprudence de la Cour de Justice de l'Union
européenne (ci-après "la Cour"), trois conditions cumulatives doivent être remplies pour
qu'un responsable du traitement puisse valablement invoquer ce fondement de licéité, à
savoir, « premièrement, la poursuite d’un intérêt légitime par le responsable du traitement
ou par le ou le ou les tiers auxquels les données sont communiquées, deuxièmement, la
nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt
légitime poursuivi et, troisièmement, la condition que les droits et les libertés fondamentaux
de la personne concernée par la protection des données ne prévalent pas" (arrêt "Rigas" 4).
10. En d'autres termes, afin de pouvoir invoquer le fondement de licéité de l’”intérêt légitime"
conformément à l'article 6.1.f) du RGPD, le responsable de traitement doit démontrer que :
1) les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme légitimes
(critère de « finalité ») ;
2) le traitement envisagé est nécessaire à la réalisation de ces intérêts (critère de «
nécessité ») ; et
2
À cet égard, la Chambre Contentieuse renvoie à sa politique de classement sans suite telle que développée et publiée sur
le site de l’Autorité de protection des données: https://www.autoriteprotectiondonnees.be/publications/politique-de-
classement-sans-suite-de-la-chambre-contentieuse.pdf.
3
Politique de classement sans suite, Titre 3 – Dans quels cas ma plainte est-elle susceptible d’être classée sans suite par la
Chambre Contentieuse?, https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-
la-chambre-contentieuse.pdf.
4
CJUE, 4 mai 2017, C-13/16, Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde contre Rīgas pašvaldības SIA
„Rīgas satiksme”, considérant 28. Voir également CJUE, 11 décembre 2019, C-708/18, TK c/ Asociaţia de Proprietari bloc
M5A-ScaraA, considérant 40
Décision 2022-01356/2023 - 4/6
3) la pondération de ces intérêts avec les intérêts, libertés et droits fondamentaux
des personnes concernées penche en faveur du responsable du traitement ou d’un tiers
(critère de « pondération »).
11. Aussi, conformément au considérant 47 du RGPD, "l'existence d'un intérêt légitime devrait
faire l'objet d'une évaluation attentive, notamment afin de déterminer si une personne
concernée peut raisonnablement s'attendre, au moment et dans le cadre de la collecte des
données à caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin
donnée".
12. Dans le présent dossier, la défenderesse a transmis les données du plaignant à Z dans le
cadre de l’exercice des missions qui lui ont été confiées par l’ex-employeur du plaignant
(comprendre pour quelle raison une facture a été envoyée à l’ex-employeur du plaignant
pour celui-ci). La Chambre Contentieuse considère par conséquent que le traitement de
données à caractère personnel à cette fin est légitime. La première condition reprise à
l'article 6.1.f) du RGPD est donc remplie.
13. Afin de remplir la deuxième condition, il faut démontrer que le traitement est nécessaire
pour la réalisation des finalités poursuivies. Cela signifie plus précisément qu'il faut se
demander si le même résultat ne peut pas être atteint avec d'autres moyens, sans
traitement de données à caractère personnel ou sans traitement substantiel inutile pour les
personnes concernées. La Chambre Contentieuse constate qu’au regard de cette finalité de
poursuivre la mission qui lui a été confiée par l’ex-employeur (de comprendre l’origine de la
facture reçue au nom du plaignant), d’autres moyens que des échanges email incluant les
données personnelles pertinentes du plaignant n’auraient pas permis d’arriver au même
résultat. Le traitement étant nécessaire pour la réalisation des finalités poursuivies, il est
satisfait à la deuxième condition.
14. Afin de vérifier si la troisième condition de l'article 6.1.f) du RGPD - le "test de pondération"
entre les intérêts du responsable du traitement d'une part et les libertés et droits
fondamentaux de la personne concernée d'autre part - peut être remplie, il convient de tenir
compte des attentes raisonnables de la personne concernée, conformément au considérant
47 du RGPD. Il faut plus spécialement évaluer si la personne concernée peut
« raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à
caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée »5.
15. A cet égard, la Chambre Contentieuse note que l’email litigieux concerne une facture à payer
au nom du plaignant par son ex-employeur (V), pour une pension complémentaire que l’ex-
employeur payait pour le plaignant lorsque celui-ci travaillait pour lui. Or, suite aux échanges
email entre la défenderesse et la compagnie d’assurance (Z) afin de comprendre la raison de
5
Considérant 47 du RGPD
Décision 2022-01356/2023 - 5/6
l’envoi de ladite facture, il ressort que la compagnie d’assurance n’avait pas été informée de
la fin du contrat de travail du plaignant. Dans ce contexte, il peut raisonnablement être
attendu que la défenderesse envoie les données personnelles permettant de comprendre
l’origine de la facture à la compagnie d’assurance. Ces données sont par ailleurs limitées aux
éléments nécessaires pour comprendre l’origine de la facture.
16. Il est dès lors satisfait aux critères de l’article 6.1.f) du RGPD. Par conséquent, la Chambre
conclut à l’absence de manquement au principe de licéité dans le chef de la défenderesse.
17. Sur la base de ces considérations, la Chambre Contentieuse considère qu'il est inopportun
de poursuivre le suivi du dossier.
III. Publication et communication de la décision
18. Compte tenu de l'importance de la transparence en ce qui concerne le processus
décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le
site Internet de l'Autorité de protection des données. Il n’est toutefois pas nécessaire à cette
fin que les données d’identification des parties soient directement communiquées.
19. Conformément à sa politique de classement sans suite, la Chambre Contentieuse
communiquera la décision au défendeur 6. En effet, la Chambre Contentieuse a décidé de
communiquer les décisions de classement sans suite aux défendeurs par défaut. La
Chambre Contentieuse s’abstient toutefois d’une telle communication lorsque le ou la
plaignant.e a demandé l’anonymat vis-à-vis du défendeur et lorsque la communication de la
décision au défendeur, même pseudonymisée, risque néanmoins de permettre sa ré-
identification7. Ceci n’est pas le cas dans la présente affaire.
POUR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide de classer la
présente plainte sans suite en application de l’article 95, § 1, 3° de la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
6
Cf. Titre 5 – Le classement sans suite sera-t-il publié? La partie adverse en sera-t-elle informée? de la politique de
classement sans suite de la Chambre Contentieuse.
7
Ibidem.
Décision 2022-01356/2023 - 6/6
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire8. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.9, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
Pour lui permettre d’envisager toute autre voie d’action possible, la Chambre Contentieuse renvoie
le plaignant aux explications fournies dans sa politique de classement sans suite 10.
(Sé) Hielke HIJMANS
Président de la Chambre Contentieuse
8
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
9
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.
10
Cf. Titre 4 – Que puis-je faire si ma plainte est classée sans suite ? de la politique de classement sans suite de la Chambre
Contentieuse.