1/6
Chambre Contentieuse
Décision 45/2023 du 27 avril 2023
N° de dossier : DOS-2023-00609
Objet : Plainte relative à l’absence alléguée de suite à l’exercice du droit à la portabilité
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA) ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel (ci-après LTD) ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, ci-après «le plaignant»;
Le défendeur : Y Assurances, ci-après : « la défenderesse ».
Décision 45/2023 - 2/6
I. Faits et procédure
1. La plainte concerne l’absence de réponse à l’exercice du droit à la portabilité portant sur les
données à caractère personnel relatives à un dossier d’affiliation à la mutualité Y.
Le plaignant était affilié auprès de la mutualité Y, la défenderesse. Le plaignant a par la suite
changé de mutualité et a demandé le transfert de son dossier à la défenderesse le 1 er janvier
2023. Le transfert de son dossier n’aurait pas eu lieu, ce qui empêcherait le plaignant de
toucher des indemnités. Le 3 février 2023, le plaignant a exercé son droit à la portabilité
auprès de la défenderesse, lui enjoignant de transférer son dossier à sa nouvelle mutualité.
Cette demande serait restée sans réponse.
2. Le 6 mars 2023, le plaignant dépose plainte auprès de l’Autorité de protection des données.
3. Le 9 mars 2023, le Service de Première Ligne de l’Autorité de protection des données
déclare la plainte recevable sur la base des articles 58 et 60 de la LCA, et transmet celle-ci
à la Chambre Contentieuse conformément à l’article 62, § 1 de la LCA.
II. Motivation
4. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur la
base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95, § 1
de la LCA, la Chambre Contentieuse décide de la suite à donner au dossier ; en l’occurrence,
la Chambre Contentieuse décide de procéder au classement sans suite de la plainte,
conformément à l’article 95, § 1, 3° de la LCA, pour les raisons exposées ci-après.
5. En matière de classement sans suite, la Chambre Contentieuse est tenue de motiver sa
décision par étape1 et de :
- prononcer un classement sans suite technique si le dossier ne contient pas ou pas
suffisamment d’éléments susceptibles d’aboutir à une sanction ou s’il comporte un
obstacle technique l’empêchant de rendre une décision ;
- ou prononcer un classement sans suite d’opportunité, si malgré la présence
d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du
dossier ne lui semble pas opportune compte tenu des priorités de l’Autorité de
protection des données telle que spécifiées et illustrées dans la Politique de
classement sans suite de la Chambre Contentieuse 2.
1
Cour des marchés (Cour d’appel de Bruxelles), 2 septembre 2020, arrêt 2020/AR/329, p. 18.
2
À cet égard, la Chambre Contentieuse renvoie à sa politique de classement sans suite telle que développée et publiée sur
le site de l’Autorité de protection des données: https://www.autoriteprotectiondonnees.be/publications/politique-de-
classement-sans-suite-de-la-chambre-contentieuse.pdf.
Décision 45/2023 - 3/6
6. En cas de classement sans suite fondé sur plusieurs motifs de classement sans suite, ces
derniers (respectivement, classement sans suite technique et classement sans suite
d’opportunité) doivent être traitées par ordre d’importance3.
7. En l’occurrence, la Chambre Contentieuse décide de procéder à un classement sans suite de
la plainte pour motif technique. La décision de la Chambre Contentieuse repose plus
précisément sur le fait que le RGPD et d’autres lois de protection des données personnelles
ne sont pas applicables aux griefs du plaignant. La Chambre Contentieuse décide en
conséquence de ne pas procéder, entre autres, à un examen de l’affaire quant au fond.
8. Le droit à la portabilité permet à une personne concernée de recevoir ou de faire transférer
ses données à caractère personnel d’un responsable du traitement à un autre 4. Afin
d’appliquer le droit à la portabilité de l’article 20 du RGPD au cas d’espèce, la Chambre
Contentieuse doit vérifier si les trois conditions cumulatives suivantes sont réunies5:
- Premièrement : le traitement de données doit être basé sur le consentement de la
personne concernée (article 6.1.a ou 9.2.a du RGPD) ou nécessaire à l’exécution d’un
contrat (article 6.1.b du RGPD) ;
- Deuxièmement : les données à caractère personnel traitées doivent avoir été fournies
par la personne concernée. Sont exclues du droit à la portabilité les données dérivées ou
déduites par le responsable du traitement à partir des informations apportées par la
personne concernée6 ;
- Troisièmement : le traitement est effectué à l’aide de procédés automatisés.
9. En ce qui concerne la première condition, la défenderesse, en tant qu’organisme assureur,
garantit l’exécution de l’assurance obligatoire soins de santé et indemnités, dont le régime
est réglé par la loi coordonnée du 14 juillet 1994 relative à l’assurance obligatoire soins de
santé et indemnités7. Elle exécute donc l’une des branches de la sécurité sociale8.
10. Afin de bénéficier de l’assurance obligatoire soins de santé et indemnités, l’affiliation à l’un
des organismes assureurs est obligatoire 9. Les bénéficiaires de la sécurité sociale peuvent
faire le choix de l’organisme assureur, mais cette affiliation reste une des conditions d’octroi
des services de la sécurité sociale mentionnés.
3
Cf. Titre 3 – Dans quels cas ma plainte est-elle susceptible d’être classée sans suite par la Chambre Contentieuse ? de la
politique de classement sans suite de la Chambre Contentieuse.
4
Article 20.2 du RGPD.
5
O. TAMBOU, Manuel de droit européen de la protection des données à caractère personnel, Bruxelles, Larcier, 2020, p. 203-
205.
6
Groupe de travail Article 29, Lignes directrices relatives au droit à la portabilité des données, page 12.
7
Article 3 de la loi du 6 août 1990 relative aux mutualités et aux unions nationales de mutualité, M.B. du 28 septembre 1990.
De ce fait, une mutualité qui exécute une des branches de la sécurité sociale doit être distinguée d’une compagnie
d’assurance privée dont le régime légal est établi par la loi du 4 avril 2014 relative aux assurances.
8
Voyez notamment les articles 3 et 21, 1° de la loi du 29 juin 1981 établissant les principes généraux de la sécurité sociale des
travailleurs salariés, M.B. du 2 juillet 1981.
9
Article 118, alinéa 1er de la loi coordonnée du 14 juillet 1994 relative à l’assurance obligatoire soins de santé et indemnités,
M.B. du 27 août 1994.
Décision 45/2023 - 4/6
11. Tant le financement des prestations10, les bénéficiaires11, les conditions d’octroi des
prestations12 et les interventions de l’assurance obligatoire soins de santé et indemnités
sont déterminés par des dispositions légales. La mutualité a également l’obligation de tenir
un dossier pour chaque bénéficiaire, dossier dont le contenu et les données à caractère
personnel à traiter sont déterminés par l’article 254 de l’arrêté royal du 3 juillet 1996 portant
exécution de la loi coordonnée du 14 juillet 1994 relative à l’assurance obligatoire soins de
santé et indemnités (ci-après « l’arrêté royal du 3 juillet 1996 »)13. Le changement de
mutualité est également encadré par l’arrêté royal du 3 juillet 1996 : les mutualités doivent
respecter une certaine procédure établie par l’arrêté royal du 3 juillet 1996 pour que le
changement de mutualité soit effectif, ce qui implique le transfert du dossier de l’affilié 14.
12. Comme les mutualités sont obligées de réaliser les prestations de l’assurance obligatoire
soins de santé et indemnités, la Chambre Contentieuse juge que ces traitements de
données à caractère personnel sont nécessaires au respect d’une obligation légale au sens
de l’article 6.1.c du RGPD. La Chambre Contentieuse constate en effet que la nature et l’objet
des traitements des données d’un bénéficiaire de l’assurance obligatoire sont explicitement
mentionnés dans les dispositions légales mentionnées ci-dessus.
13. Les organismes assureurs peuvent également offrir des services complémentaires
d’assurance,15 dont le contenu relève de leur choix. Ces services complémentaires sont
proposés aux affiliés sous forme de contrats d’assurance.
14. Sur base des éléments mentionnés ci-dessus, la Chambre Contentieuse constate que le
traitement des données effectué par la défenderesse pour la gestion du dossier du plaignant
se justifie, dans le cadre de l’assurance obligatoire soins de santé et indemnités, sur base
d’une obligation légale au sens de l’article 6.1.c du RGPD et, dans le cadre d’une assurance
complémentaire, sur la base d’un contrat d’assurance au sens de l’article 6.1.b du RGPD.
10
Article 191 de la loi coordonnée du 14 juillet 1994 relative à l’assurance obligatoire soins de santé et indemnités.
11
Article 32 de la loi coordonnée du 14 juillet 1994 relative à l’assurance obligatoire soins de santé et indemnités.
12
Voyez le Chapitre I du Titre VI « Des conditions d’octroi des prestations » de la loi coordonnée du 14 juillet 1994 relative à
l’assurance obligatoire soins de santé et indemnités.
13
Article 254 : « L'organisme assureur établit au nom de chaque titulaire, un dossier contenant la demande d'inscription, ainsi
qu'une fiche qui reproduit les données suivantes :
1. la date et le numéro d'inscription du titulaire, son identité ainsi que celle des personnes à charge et leur adresse ainsi que
leur numéro d'identification dans le Registre national ;
2. toute modification dans le nombre et la qualité de personnes à charge ;
3. la nature des documents de cotisation, le type de transmission de données et les données y figurant relatives à
l'assurabilité ;
4. le montant et la nature des cotisations personnelles et des compléments de cotisation, la date de leur paiement et la
période à laquelle elles se rapportent ;
5. un relevé des sanctions qui ont été infligées au titulaire ainsi qu'aux personnes à sa charge.
Ce dossier contient également tous les documents relatifs à la qualité de bénéficiaire du titulaire et des personnes à charge.
Le dossier est conservé au niveau de la mutualité ou de l'office régional.
Tous les renseignements d'ordre médical relatifs au titulaire et aux personnes à sa charge sont conservés par le médecin-
conseil dans un dossier spécial. »
14
Articles 255 et 257 à 274 de l’arrêté royal du 3 juillet 1996.
15
Article 3, alinéa §1er, b) et c) de la loi coordonnée du 14 juillet 1994 relative à l’assurance obligatoire soins de santé et
indemnités lu en combinaison avec l’article 67 de la loi du 26 avril 2010 portant des dispositions en matière d’organisation de
l’assurance maladie complémentaire, M.B. du 28 mai 2010.
Décision 45/2023 - 5/6
15. Cependant, l’article 20 paragraphe 3 exclut explicitement le droit à la portabilité pour les
données traitées nécessaire au respect d’une obligation légale. Il n’y a donc pas de droit
général à la portabilité quand des opérations de traitement de données ne se fondent pas
sur le consentement ou sur un contrat.
16. Dès lors, la Chambre Contentieuse en conclut que le droit à la portabilité ne peut pas être
invoqué par le plaignant pour exiger le transfert de son dossier à sa nouvelle mutualité, car
le traitement des données nécessaires à la gestion du dossier du plaignant trouve sa base
de licéité dans une obligation légale. La première condition d’application du droit à la
portabilité n’est alors pas respectée.
17. Par ailleurs, la Chambre Contentieuse note que la deuxième condition pour invoquer le droit
à la portabilité n’est pas non plus réunie. En effet, les données comprises dans le dossier du
plaignant comprennent, entre autres, des données liées à l’assurabilité du plaignant. Or
l’assurabilité – qui concerne la détermination des droits aux prestations de l’assurance
obligatoire soins de santé et invalidité - est évaluée par la mutualité à l’aide d’informations
fournies par le du bénéficiaire. Ce sont donc des données à caractère personnel déduites
des données fournies par le plaignant.
III. Publication et communication de la décision
18. Compte tenu de l'importance de la transparence en ce qui concerne le processus
décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le
site Internet de l'Autorité de protection des données. Il n’est toutefois pas nécessaire à cette
fin que les données d’identification des parties soient directement communiquées.
19. Conformément à sa politique de classement sans suite, la Chambre Contentieuse
communiquera la décision à la défenderesse16. En effet, la Chambre Contentieuse a décidé
de communiquer les décisions de classement sans suite aux défendeurs par défaut. La
Chambre Contentieuse s’abstient toutefois d’une telle communication lorsque le plaignant
a demandé l’anonymat vis-à-vis de la défenderesse et lorsque la communication de la
décision à la défenderesse, même pseudonymisée, risque néanmoins de permettre sa ré-
identification17. Ceci n’est pas le cas dans la présente affaire.
16
Cf. Titre 5 – Le classement sans suite sera-t-il publié ? La partie adverse en sera-t-elle informée ? de la politique de
classement sans suite de la Chambre Contentieuse.
17
Ibidem.
Décision 45/2023 - 6/6
POUR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération,
de classer la présente plainte sans suite en application de l’article 95, § 1, 3° de la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire18. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.19, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
Pour lui permettre d’envisager toute autre voie d’action possible, la Chambre Contentieuse renvoie
le plaignant aux explications fournies dans sa politique de classement sans suite 20.
La Chambre Contentieuse souligne que les classements sans suite intervenus sont susceptibles
d’être pris en compte par l’Autorité de protection des données afin de fixer ses futures priorités
et/ou pourrait inspirer de futures enquêtes d’initiative du Service d’Inspection de l’Autorité de
protection des données.
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
18
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
19
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.
20
Cf. Titre 4 – Que puis-je faire si ma plainte est classée sans suite ? de la politique de classement sans suite de la Chambre
Contentieuse.