Eski Çalışanın E-posta Kutularının İşlenmesi

1/28

Chambre Contentieuse

Décision quant au fond 46/2022 du 1er avril 2022
Cette décision a été partiellement annulée par l’arrêt
2022/AR/549 de la Cour des marchés du 7 décembre 2022

Numéro de dossier : DOS-2020-02892

Objet: Plainte d’un ex-employé contre son ex-employeur pour traitement de boite

email, et refus de faire suite à la demande d’exercice de ses droits

La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Y. Poullet et C. Boeraeve, membres, reprenant l’affaire en cette
composition ;

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;

Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces du dossier ;

Vu l’audition du 12 avril 2021 ;

Vu le formulaire de sanctions envisagées envoyé à la partie défenderesse et ses observations,

a pris la décision suivante concernant :

Le plaignant : Monsieur X, représenté par son conseil Maître Dr Jan-Henning Strunz, Matray,
Matray & Hallet, s.c.r.l, rue des Fories, 2, 4020 Liège, ci-après "le plaignant"

Décision quant au fond 46/2022 - 2/28

La défenderesse : Y, représentée par ses conseils, Maître Inger Verhelst et Wouter Van Loon, City
Link Posthofbrug 12, à 2600 Anvers ainsi que Maître Florence Sine, avocat,
boulevard du souverain 280, à 1160 Auderghem, ci-après : "la défenderesse"

I. Faits et antécédents de procédure

1. Le plaignant a exercé au sein de la défenderesse, dont il a été l’actionnaire unique durant
plusieurs années, la fonction d’administrateur délégué du 15 octobre 2004 jusqu’au 29 mai
2019. En cette date, le plaignant a revendu l’intégralité de ses actions à Z et a cessé ses
fonctions d’administrateur. Z a ensuite cédé tous ses droits et obligations à la société de droit
luxembourgeois W.

2. Le plaignant a ensuite été engagé par la défenderesse en tant qu’employé, à partir du 29 mai
2019.

3. En date du 26 novembre 2019 et du 14 décembre 2019, le plaignant et la société actionnaire W
échangent des courriers concernant des manquements invoqués par les deux parties au sujet
de la convention de cession des actions.

4. Le 23 avril 2020, le plaignant cite les sociétés Z et W devant le Tribunal de Première Instance
francophone à Bruxelles, devant lequel le litige est pendant. Le plaignant reproche à la
défenderesse de lui devoir un solde impayé suite à la cession de ses actions, alors que la
défenderesse lui réclame des indemnités liées aux dettes de la société rachetée. La
défenderesse avance que ces manquements seraient dus au fait que le plaignant aurait
dissimulé et tronqué certaines informations lors de la cession des actions. Les sommes en jeux
sont importantes, et font l’objet de divergences entre les parties. Le plaignant conteste
fermement les manquements allégués, et a par ailleurs aussi cité la défenderesse devant les
tribunaux turcs pour diffamation, licenciement abusif, et paiement de dommages et intérêts (la
société défenderesse est aussi implémentée en Turquie).

5. Les faits à l’origine de la plainte devant l’APD sont les suivants. Le 18 février 2020, le plaignant
est licencié par la défenderesse. Avant la remise de son matériel informatique suite à son
licenciement, le plaignant a procédé à l’effacement des données présentes sur son laptop
professionnel. Il avance n’avoir effacé que ses données privées (boites email privées), alors que
la défenderesse avance qu’il aurait effacé l’entièreté des boites emails (tant professionnelles
que privées). Les seules preuves avancées à cet égard constituent en deux témoignages
d’employés soumis par la défenderesse, affirmant que toutes les boites emails auraient été
effacées.

6. Le plaignant a ensuite pris connaissance de l’intention de la défenderesse de procéder à la
récupération des données auparavant présentes sur son laptop, et met en demeure la
défenderesse, le 26 février 2020 de suspendre tout traitement de ses données à caractère
personnel, tant que les informations au titre de l’article 14 du RGPD ne lui seraient pas fournies.

Décision quant au fond 46/2022 - 3/28

Il demande par ailleurs l’exercice de son droit à l’effacement, la limitation du traitement, et
l’opposition.

7. Le 28 février 2020 la défenderesse refuse de donner suite aux demandes du plaignant, sur base
du contrat de travail qui les liait, ainsi que sur base de l’article 6.1.f du RGPD (intérêt légitime)
justifiant selon elle le traitement des données à caractère personnel du plaignant.

8. Le 4 mars 2020 le plaignant conteste la licéité du traitement par la défenderesse, en particulier
concernant ses données purement privées, ainsi que celles professionnelles antérieures au 1er
juin 2019 (période non couverte pas le contrat de travail d’employé sur lequel se basait la
défenderesse, contrat datant du 01 juin 2019). Il met par ailleurs la défenderesse en demeure de
lui transmettre son contrat de sous-traitance avec la V (ayant procédé à la récupération des
données auparavant présentes sur le laptop du plaignant).

9. Le 7 mars 2020 la défenderesse refuse de suspendre le traitement pour les données à caractère
personnel (professionnelles) du plaignant antérieures au 01 juin 2019, en avançant son intérêt
légitime à la continuité de ses activités, et afin de vérifier des manquements allégués dans son
chef en tant que travailleur.

10. La défenderesse ajoute que bien que pour la période antérieure au 01 juin 2019 le plaignant
n’était pas sous contrat d’employé, il exerçait des fonctions de management et utilisait le laptop
en question. Elle déduit que pour les données antérieures au 01 juin 2019, l’intérêt légitime
constitue bien une base licite de traitement.

11. La défenderesse s’engage néanmoins aussi à ne pas traiter les boites mail privées du plaignant,
mais uniquement les boites professionnelles. Elle s’engage de même à cesser le traitement actif
des données personnelles trouvées lors de l’analyse des boites mail professionnelles du
plaignant, mais refuse de les effacer.

12. La défenderesse refuse par ailleurs de produire le contrat de sous-traitance, au motif que le
sous-traitant n’aurait pas traité de données personnelles en procédant à la récupération des
boites emails.

13. Le 16 mars 2020 le plaignant informe la défenderesse qu’elle n’a pas d’intérêt légitime à traiter
ses données personnelles antérieures aux cinq dernières années, et l’invite à limiter la période
de temps pour laquelle elle traite ses emails à ces cinq dernières années (correspondant au délai
de prescription de la responsabilité des dirigeants d’entreprises 1) .

14. Il demande par ailleurs l’exercice de son droit d’accès et de copie à tous les emails traités par la
défenderesse.

15. Le 7 avril 2020 la défenderesse refuse de limiter le traitement des données aux cinq dernières
années, sur base de son intérêt légitime au traitement. Elle ajoute que les demandes

1
Art 2:143 § 1er Code des Sociétés et Associations.

Décision quant au fond 46/2022 - 4/28

d’effacement, d’opposition et de limitation ne peuvent être suivies, de même, sur base de
l’exception de motifs légitimes impérieux (intérêt légitime de défense en justice, d’assurer la
continuité des services de l’entreprise, et potentielle mise en cause de la responsabilité
professionnelle et pénale du plaignant).

16. Elle accepte par ailleurs la demande d’accès du requérant, mais indique qu’elle ne pourra s’y
conformer dans le délai légal d’un mois, mais de trois mois (en raison de la complexité de la
requête et des circonstances liées à la crise sanitaire).

17. Le 25 mai 2019 le plaignant conteste l’intérêt légitime tel que mis en avant par la défenderesse
comme base de licéité de traitement, en avançant que ces intérêts ne sont ni actuels ni précis,
et qu’elle n’ a pas procédé à la balance d’intérêts, ni pris en compte le déséquilibre entre le
plaignant et elle-même dans le cadre de leur relation d’ex employé à ex-employeur.

18. Il lui reproche par ailleurs une violation du principes de minimisation, dans la mesure où les
données plus anciennes que cinq ans n’étaient pas pertinentes pour les finalités poursuivies.

19. Il lui reproche aussi d’avoir manqué au principe de nécessité, en avançant que d’autres mesures
moins invasives auraient permis à la défenderesse de disposer des données nécessaires en
ménageant ses intérêts (un tri des emails aurait par exemple pu être opéré par un tiers en
présence du plaignant, afin de ne remettre que les emails pertinents à la défenderesse, au lieu
d’une restauration complète).

20. Le plaignant réitère ses demandes de suspension du traitement, ainsi que d’exercice de ses
droits à l’effacement, limitation, opposition (particulièrement pour les données datant de plus de
cinq ans).

21. Le 5 juin, la défenderesse répond au plaignant qu’elle maintient sa position quant à son intérêt
légitime au traitement, ainsi que concernant l’absence d’obligation de lui transmettre le contrat
de sous-traitance avec V. Elle répète qu’elle ne traitera pas les boites emails privées du plaignant
ni les emails trouvés sur ses boites mail professionnelles provenant de ces adresses email
(privées).

22. Le 15 juin 2020, la défenderesse envoie au plaignant un courrier contenant une liste des
données personnelles qu’elle détient à son sujet (pièce 11 du plaignant).

23. Le 16 juin 2020 le plaignant informe la défenderesse de son intention de déposer plainte à
l’Autorité de Protection des Données (APD ci-dessous), ce qu’il fait le 17 juin 2020.

24. La présente décision se fonde sur les articles invoqués par le plaignant. Concernant le grief du
défaut d’information soulevé par le requérant, bien que celui-ci reprenne l’article 14 dans ses
conclusions, dans la mesure où les données du plaignant ont été collectées dans le cadre de son
contrat de travail avec la défenderesse et qu’il ressort que c’est cet article qui était visé par le
plaignant dans une formulation maladroite, la Chambre Contentieuse considère que l’article 13
RGPD est d’application.

Décision quant au fond 46/2022 - 5/28

II. Quant aux motifs de la décision

II.1. Quant à la licéité du traitement opéré par le responsable de traitement

25. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les principes
de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés
(principe de responsabilité – article 5.2. du RGPD) et de mettre en œuvre toutes les mesures
nécessaires à cet effet (article 24 du RGPD).

26. En application de l’article 5.1.a) du RGPD, tout traitement de données à caractère personnel, fut-
il totalement ou partiellement automatisé, doit notamment être loyal et licite. Pour être licite,
tout traitement de données à caractère personnel doit notamment trouver un fondement à
l’article 6 du RGPD. Il appartient au responsable de traitement de déterminer quel est ce
fondement.

27. En l’espèce, la récupération par V, sous-traitant du responsable de traitement, des données
présentes sur le matériel informatique (laptop) remis par le plaignant à la défenderesse ainsi que
l’analyse des emails contenus dans les boites emails récupérées constituent un traitement de
données à caractère personnel soumis à l’application du RGPD. A l’inverse de ce qu’affirme la
défenderesse, la récupération des données par la SA sous-traitante et l’analyse subséquente
des emails récupérés correspondent bien à un traitement au sens de l’article 4.2 du RGPD 2.

28. Ces traitements doivent par conséquent se fonder sur l’une des bases de licéité listées à l’article
6 du RGPD.

29. Il convient d’emblée de faire la distinction entre le traitement (ou la récupération) d’une boite
email privée d’un employé, et le traitement de la boite email professionnelle. Le principe est que
les courriels professionnels d’un employé peuvent être traités par son employeur. La Chambre
Contentieuse conçoit néanmoins que lors d’une utilisation tant privée que professionnelle d’une
même boite email par l’employé en étant le titulaire, cette distinction peut être difficile à
effectuer. Il est à noter qu’en principe, un employeur ne peut pas librement consulter les emails
d’ordre privés de ses employés, même s’il a interdit d’utiliser les outils de l’entreprise à des fins
personnelles. Ce principe souffre néanmoins d’exception, dans un cadre légal strict et
prévisible3, comme lors d’une procédure judiciaire pendante. En cas de contrôle par l’employeur,
les employés doivent par ailleurs en être informés au préalable, ainsi que notamment des
finalités poursuivies, de la base de licéité du traitement de contrôle, de la durée de conservation

2
Article 4.2 du RGPD : «traitement» : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés
automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte,
l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation,
l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou
l'interconnexion, la limitation, l'effacement ou la destruction;
3
En accord notamment avec la jurisprudence Bărbulescu de la Cour Européenne des Droits de l’Homme, voir points 50 à 53

Décision quant au fond 46/2022 - 6/28

des données, du droit d’opposition pour motif légitime, du droit d’accès et de rectification, ou
encore de la possibilité d’introduire une réclamation auprès de l’autorité de contrôle.

II.1.1. Les arguments avancés par la défenderesse quant à la base de licéité du traitement opéré

30. La défenderesse indique qu’elle se fonde sur l’article 6.1.f) du RGPD aux termes duquel le
traitement de données est licite « si, et dans la mesure où, il est nécessaire aux fins des intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent
les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une
protection des données à caractère personnel, notamment lorsque la personne concernée est
un enfant ».

31. La défenderesse expose que son intérêt légitime à procéder au traitement des données
susmentionnées est multiple :

• assurer la continuité de services de l’entreprise

• défense en justice : la défenderesse (son actionnaire unique W4) doit pouvoir
démontrer dans le litige pendant devant les juridictions judiciaires que le plaignant n’a
pas communiqué toutes les informations dont il disposait, et qu’il a communiqué des
fausses informations dans le cadre de ses activités professionnelles (alors qu’il était
employé du responsable du traitement)

• potentielle mise en cause de la responsabilité du plaignant en sa qualité d’ex
administrateur de la société défenderesse : selon la défenderesse, le plaignant s’est
rendu coupable de plusieurs manquements graves. Elle avance à ce titre qu’ « Il n’est
donc pas impossible, même si ce n’est naturellement pas le souhait d’Y, que la
responsabilité de Monsieur X doive être engagée pour certains des actes qu’il a posés
en tant qu’administrateur. (…) Il est dans ce cadre de l’intérêt légitime d’Y de disposer
de l’ensemble des informations nécessaires.» 5

• potentiel dépôt de plainte avec constitution de partie civile par la défenderesse envers
le plaignant pour manquements qualifiés de graves par la défenderesse : la
défenderesse avance à cet égard qu’ «Il est dans l’intérêt légitime de la société de
pouvoir déposer une plainte avec constitution de partie civile si elle le juge nécessaire
lorsque le délai de prescription n’est pas écoulé… A nouveau, Y ne demande
naturellement pas à l’Autorité de Protection des données de confirmer le bien-fondé
de son point de vue, mais il est nécessaire de pouvoir laisser l’opportunité à Y de
déposer une telle plainte, et le cas échéant de la documenter. Monsieur X ne peut, sous
couvert de la protection de ses données à caractère personnel, être libéré d’avoir à

4
En 2019, Monsieur X a revendu l’intégralité de ses actions représentatives du capital de Y à la société de droit allemand Z.
Celle-ci a ensuite revendu en 2019 les actions de Y à la société de droit luxembourgeois W, qui est actuellement l’actionnaire
unique de Y (cf conclusions additionnelles et de synthèse de la défenderesse p.2 et 4).
5
conclusions additionnelles et de synthèse p14.

Décision quant au fond 46/2022 - 7/28

répondre de ses actes parce que toutes les données relatives aux actes qu’il a commis
auraient été supprimées. Il est dans l’intérêt légitime d’Y de pouvoir continuer à
disposer de ces informations tant que le délai de prescription ne sera pas venu à
échéance.»6

• Intérêt légitime de documenter la réalité afin de pouvoir contrer les allégations du
plaignant

La Chambre Contentieuse comprends les quatre derniers points comme des parties
intégrantes de l’exception de défense en justice, comme intérêt légitime sur lequel se base
la défenderesse.

II.1.2. Les arguments avancés par le plaignant

32. Le plaignant estime quant à lui qu’il n’existe pas de base licite de traitement dans le chef de la
défenderesse. Il affirme ainsi à l’égard des intérêts listés par la défenderesse les éléments
suivants :

- assurer la continuité des services de l’entreprise : la défenderesse aurait uniquement
besoin des données concernant l’année en cours, voir l’année antérieure, mais pas
celles des années précédentes. La défenderesse ne pourrait pas justifier la
conservation de données antérieures au 01-01-2017, soit deux exercices comptables7,
dans la mesure où les faits reprochés par la défenderesse au plaignant remontent au
mois de novembre 2017.

- défense en justice : dans la mesure où les juridictions de l’ordre judiciaires sont saisies
du litige, l’APD ne devrait pas se prononcer sur le fond du litige, et devrait traiter les
griefs reprochés dans ce cadre comme non établis à défaut de témoignage

- le plaignant avance qu’il n’existe pas d’intérêt légitime dans le chef de la défenderesse
au traitement des données, à tout le moins pas pour les données plus anciennes que
cinq ans. Il estime que seul pour les données plus récentes que 5 ans l’intérêt légitime
peut éventuellement constituer une base de licéité du traitement en raison de la
procédure judiciaire pendante, mais pas celles plus anciennes.

- les autres intérêts avancés par la défenderesse sont vagues, non actuels, et imprécis ;

- la défenderesse n’a pas réalisé de balance d’intérêts dans le cadre de l’appréciation de
l’intérêt légitime : pas de prise en compte du déséquilibre inhérent à la situation d’ex-
employé et ex-employeur entre le plaignant et la défenderesse ;

6
conclusions additionnelles et de synthèse p14.
7
conclusions principales du plaignant p18-19

Décision quant au fond 46/2022 - 8/28

- violation du principe de minimisation des données, dans la mesure où les données plus
anciennes que cinq ans n’ont pas de pertinence ;

- violation du principe de nécessité puisque d’autres mesures moins invasives auraient
pu être envisagées afin de permettre à la défenderesse de disposer des données (par
exemple désignation d’un tiers avec qui la défenderesse aurait pu procéder à l’analyse
des données ensemble avec le plaignant).

- potentielle mise en cause de la responsabilité du plaignant en sa qualité d’ex
administrateur de société défenderesse : le délai de prescription de la responsabilité
des administrateurs étant de cinq ans, l’intérêt légitime ne peut justifier un traitement
allant au-delà de cette période

II.1.3. Discussion en droit

33. La Chambre Contentieuse relève que le point f) de l’article 6.1 du RGPD renvoie à un intérêt
légitime poursuivi par le responsable du traitement. Le traitement des données à caractère
personnel doit être «nécessaire à la réalisation de l’intérêt légitime» poursuivi par le responsable
du traitement.

34. Par ailleurs, le recours à l’intérêt légitime est expressément subordonné à un critère
supplémentaire de mise en balance, qui vise à protéger l’intérêt et les droits et libertés
fondamentaux des personnes concernées. En d’autres termes, l’intérêt légitime poursuivi par le
responsable du traitement doit être comparé avec l’intérêt ou les droits et libertés
fondamentaux de la personne concernée, l’objectif de la mise en balance étant de prévenir une
incidence disproportionnée sur ses droits et libertés.

35. L’intérêt poursuivi par le responsable de traitement, fut-il légitime et nécessaire, ne peut donc
valablement être invoqué que si les droits et libertés fondamentaux des personnes concernées
ne prévalent pas sur cet intérêt. La Cour de Justice de l’Union européenne 8 a précisé que ces
trois conditions – soit la poursuite d’un intérêt légitime par le responsable de traitement (a), la
nécessité du traitement pour la réalisation de l’intérêt légitime poursuivi (b) et la condition que
les droits et libertés fondamentaux des personnes concernées ne prévalent pas sur l’intérêt
poursuivi (c), sont cumulatives .

36. En d'autres termes, afin de pouvoir invoquer le fondement de licéité de l' "intérêt légitime"
conformément à l'article 6.1.f) du RGPD, le responsable du traitement doit démontrer que:

1) les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme légitimes (le
"test de finalité") ;

2) le traitement envisagé est nécessaire pour réaliser ces intérêts (le “test de nécessité”) ;

8
Voy. notamment Cour de Justice de l’Union européenne ( CJUE), Arrêt du 11 novembre 2019 ( C-708/18), TK c. Asociația de
Proprietari bloc M5A-ScaraA prononcé au regard de l’article 7 f) de la directive 95/46/CE.

Décision quant au fond 46/2022 - 9/28

3) la pondération de ces intérêts par rapport aux intérêts, libertés et droits fondamentaux
des personnes concernées pèse en faveur du responsable du traitement (le "test de
pondération").

37. Ces principes sont aussi soulignés dans l’Avis 2/2017 sur le traitement des données sur le lieu
de travail du Groupe de Travail 29, selon lequel « l’exécution d’un contrat et des intérêts
légitimes peuvent parfois être invoqués, à condition que le traitement soit strictement
nécessaire à des fins légitimes et respecte les principes de proportionnalité et de subsidiarité; »9.
Le groupe 29 rappelle plus précisément que : « Pour invoquer l’article 7, point f), comme
fondement juridique du traitement, il est essentiel que des mesures spécifiques d’atténuation
soient prévues de sorte à assurer un juste équilibre entre l’intérêt légitime de l’employeur et les
libertés et droits fondamentaux des employés. De telles mesures, selon la forme de surveillance,
devraient imposer des limites aux activités de surveillance afin d’éviter toute violation de la vie
privée de l’employé. Ces limites pourraient être:

- géographiques (par exemple, surveillance uniquement dans des endroits
spécifiques; la surveillance des zones sensibles telles que les lieux religieux et, par
exemple, les zones sanitaires et les salles de repos devrait être interdite),
- liées aux données (par exemple, les dossiers électroniques personnels et la
communication ne devraient pas être surveillés), et
- temporelles (par exemple, un échantillonnage au lieu d’une surveillance
continue). »10

38. Si c’est au responsable du traitement des données qu’il revient initialement d’apprécier si les
conditions énoncées à l’article 6.1.f du RGPD sont satisfaites, la légitimité du traitement peut
ensuite faire l’objet d’une autre évaluation, et éventuellement être contestée, entre autres par
les personnes concernées et par les autorités chargées du contrôle de la protection des
données. Un examen au cas par cas, tenant compte des circonstances concrètes de chaque cas,
permettra ainsi à la Chambre Contentieuse de conclure quant à la licité de traitements fondés
sur la base de l’intérêt légitime invoqué, comme en l’espèce, par le responsable de traitement.

39. Le traitement des données à caractère personnel doit être «nécessaire à la réalisation de
l’intérêt légitime» poursuivi par le responsable du traitement. Cette condition de nécessité entre
le traitement opéré et l’intérêt légitime poursuivi est particulièrement pertinente dans le cas de
l’article 6.1.f) du RGPD afin de garantir que le traitement des données fondé sur l’intérêt légitime
ne débouche pas sur une interprétation trop large de l’intérêt à traiter des données.

40. La défenderesse invoque plusieurs éléments pour fonder son intérêt légitime, éléments qui sont
analysés plus avant ci-dessous.

9
Avis 2/2017 sur le traitement des données sur le lieu de travail du Groupe de Travail 29, p2
10
Ibid, p7

Décision quant au fond 46/2022 - 10/28

II.1.4. L’intérêt légitime de la défense en justice

41. La défense en justice est un droit fondamental consacré à l’article 48 de la Charte des droits
fondamentaux de l’Union. De manière générale, la « défense en justice » peut effectivement être
considérée comme un intérêt légitime licite dans le contexte de l’application de l’article 6.1.f. du
RGPD. Conformément à l’Avis 06/2014 du Groupe de l’Article 29 sur la notion d’intérêt légitime,
cet intérêt doit être réel et présent, soit non hypothétique.

42. La Chambre Contentieuse constate que cet intérêt constitue un intérêt légitime réel et présent.
En effet, lors du traitement (récupération et analyse) par la défenderesse des données à
caractère personnel sur le laptop du plaignant, le litige devant les juridictions de l’ordre judiciaire
entre le plaignant et la défenderesse était déjà pendant 11.

43. Néanmoins, il convient de remplir le test de nécessité, tel que le prescrit la CJUE (cf supra). En
effet, pour que cet intérêt légitime de « défense en justice » de la défenderesse prévale, le
traitement des données doit être «nécessaire» pour l’exercice de cette défense en justice. Il
serait excessif et contraire à ces exigences de nécessité et de proportionnalité d’admettre que
tous les précédents employeurs d’un employé puissent, de par cette qualité, traiter toutes les
données à caractère personnelle relatives à cet ex employé, fut-ce pour des besoins de défense
en justice.

44. Dans le cas d’espèce, dans la mesure où la défenderesse base ses griefs envers le plaignant
(dans le cadre du litige devant les juridictions de l’ordre judiciaire) sur le fait qu’il se serait
fautivement abstenu de communiquer des informations (ou aurait communiqué des
informations tronquées), la Chambre Contentieuse estime que la défenderesse est fondée à se
baser sur l’article 6.1.f du RGPD afin de pouvoir étayer le litige pendant et parallèle à la présente
procédure, et ce uniquement pour les données nécessaires à cet effet.

45. En l’espèce, le litige au fond opposant les parties trouve sa source dans la cession des actions
du plaignant à la défenderesse, en date du 29 mai 2020. Le plaignant avance que les griefs que
la défenderesse lui reproche remontent au mois de novembre 2017 12. Il reconnait par ailleurs lui-
même et en parallèle que ses données personnelles remontant à une période de cinq ans
pourraient être traitées par la défenderesse sur base de l’intérêt légitime lié à la défense en
justice de celle-ci. La défenderesse a néanmoins refusé de se conformer à la demande du
plaignant de ne traiter que ses données personnelles antérieures à cinq ans. La Chambre
Contentieuse suit le plaignant dans son affirmation selon laquelle il convient de placer une limite
temporelle à la période de temps dans laquelle la défenderesse peut s’appuyer sur l’intérêt
légitime de sa défense en justice, justifiant uniquement le traitement de données nécessaires et
proportionnées à l’exercice de cette défense en justice. La limite temporelle des 5 années

11
Voir aussi fiche thématique de la CNIL, « Les outils informatiques au travail »,
https://www.cnil.fr/sites/default/files/atoms/files/_travail-vie_privee_outils_informatiques_travail.pdf
12
Conclusions du plaignant p 8

Décision quant au fond 46/2022 - 11/28

antérieures, correspondant à la prescription de la responsabilité du plaignant en tant
qu’administrateur convient dès lors d’être retenue.

46. Il demeure que ces traitements de données doivent aussi (pour correspondre aux conditions
nécessité et proportionnalité) s’inscrire de manière pertinente et proportionnée dans la finalité
précisément identifiée de cet intérêt légitime, soit la défense en justice à l’égard du litige
concerné. Il convient donc encore de s’assurer que les exigences du test de pondération soient
rencontrées.

47. A cet égard, la Chambre contentieuse estime que le plaignant peut être suivi dans son argument
selon lequel la défenderesse n’a pas réalisé de balance d’intérêt avant de procéder au traitement
litigieux dans la mesure où il ressort des faits que celle-ci a refusé la proposition du plaignant de
ne pas procéder à la restauration intégrale, mais de faire intervenir un tiers avec lequel le
plaignant pourrait procéder, en présence de la défenderesse, à un tri des emails pertinents. En
d’autres mots, des mesures moins invasives qu’une restauration de toutes les boites email du
plaignant, tant privées que professionnelles auraient été possibles. La défenderesse a par
ailleurs procédé, dans un premier temps, à l’analyse de toutes ses boites mails (privées et
professionnelles) malgré l’opposition du plaignant. Elle ne s’est engagée qu’à cesser de traiter
activement les boites mails privées du plaignant, et à ne pas analyser les emails provenant de
ces boites privées présentes sur les boites professionnelles que sur insistance du plaignant.

48. Dans ses conclusions en réplique, la défenderesse avance à cet égard que la balance d’intérêts
à laquelle se réfère le plaignant peut-être détaillée lorsque des informations sont demandées.
Le RGPD n’impose pas selon elle, « dans son texte, de détailler pour chaque opération de
traitement pour laquelle une balance d’intérêts est souhaitée, de documenter cette balance
d’intérêts »13. La défenderesse ne soumet aucune disposition sur laquelle elle se baserait pour
justifier cet affirmation. Elle ne peut pas être suivie à cet égard, en ce que cette balance d’intérêt
doit bien à tout le moins ressortir de l’historique des échanges entre les parties, ce qui n’est pas
le cas en l’espèce.

49. Les conditions liées au test de pondération susmentionné ne sont donc pas rencontrées dans le
chef de la défenderesse.

50. La Cour Européenne des Droits de l’Homme (CEDH ci-après) s’est par ailleurs exprimé sur le
sujet de la surveillance par un employeur des communications électroniques de ses employés
dans l’affaire Bărbulescu c. Roumanie, concernant la décision d’une entreprise privée de mettre
fin au contrat de travail d’un employé après avoir surveillé ses communications électroniques et
avoir eu accès à leur contenu.

51. La Cour a conclu que les juridictions roumaines n’ont pas vérifié si M. Bărbulescu avait été
préalablement averti par son employeur de la possibilité que ses communications soient

13
Conclusions additionnelles et de synthèse p16

Décision quant au fond 46/2022 - 12/28

surveillées. Elles n’ont pas non plus tenu compte du fait qu’il n’avait été informé ni de la nature
ni de l’étendue de cette surveillance, ni, en particulier, de la possibilité que son employeur ait
accès au contenu même de ses messages. De surcroît, les juridictions nationales n’ont pas
déterminé, premièrement, quelles raisons spécifiques avaient justifié la mise en place des
mesures de surveillance, deuxièmement, si l’employeur aurait pu faire usage de mesures moins
intrusives pour la vie privée et la correspondance de M. Bărbulescu et, troisièmement, si l’accès
au contenu des communications avait été possible à son insu 14.

52. Dans son arrêt de Grande Chambre, la CEDH indique que les autorités roumaines n’ont pas
ménagé un juste équilibre entre le droit au respect de la vie privée et familiale, du domicile et de
la correspondance du plaignant et les intérêts de son ex-employeur, et conclut à une violation
de l’article 8 de la Convention européenne des droits de l’homme.

53. Il ressort clairement de cet arrêt que lorsqu’un employeur prend des mesures pour surveiller les
communications de ses employés, ces mesures doivent s’accompagnent de garanties
adéquates et suffisantes contre les abus, dont l’utilisation des mesures les moins intrusives
possibles (notamment que l’accès direct au contenu des communications de l’employé)15.

54. Dans le cas d’espèce, la Chambre Contentieuse relève que la défenderesse a rejeté la
proposition du plaignant de procéder à un examen ensemble avec un tiers des emails, et n’ a pas
proposé de mesure alternative moins intrusive que le traitement de l’entièreté des emails du
plaignant (et de leur contenu). De cette façon, sans examiner plus avant les autres critères
retenus par la CEDH pour évaluer s’il y a eu balance d’intérêts, la défenderesse se place donc en
manquement vis-à-vis de la jurisprudence susmentionnée de la CEDH.

55. La Chambre Contentieuse conclut au regard de ce qui précède et en accord avec la
jurisprudence susmentionnée tant de la CJUE que de la CEDH, que la défenderesse ne pouvait
fonder les traitements de données visés par la plainte et plus anciennes que cinq ans sur son
intérêt légitime de la défense en justice, à défaut pour ces traitements d’être nécessaires au
sens de l’article 6.1.f) du RGPD. Cet intérêt légitime constitue néanmoins bien une base de licéité
pour les données personnelles du plaignant afférentes à la période antérieure à cinq ans.

56. A titre informatif, la Chambre Contentieuse souligne qu’elle s’est prononcée auparavant sur le
traitement des boites emails lors du départ d’un employé. Elle a ainsi déjà rappelé «qu’en cas de
départ de l'organisme, l'employeur doit supprimer les adresses électroniques lorsque celles-ci
constituent une donnée à caractère personnel, après avoir averti leurs titulaires et les tiers de la
date de fermeture de la messagerie. Cette obligation a également vocation à permettre aux

14
Questions-réponses, Arrêt de Grande Chambre dans l’affaire Bărbulescu c. Roumanie, (requête no 61496/08)
15
Affaire Bărbulescu c. Roumanie, requête no 61496/08, 05 septembre 2017, §136, disponible via
https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22001-177083%22]}: « 136. Qui plus est, ni le tribunal départemental ni la
cour d’appel n’ont examiné de manière suffisante la question de savoir si le but poursuivi par l’employeur aurait pu être
atteint par des méthodes moins intrusives que l’accès au contenu même des communications du requérant. »

Décision quant au fond 46/2022 - 13/28

titulaires de faire le tri et de transférer leurs éventuels messages privés vers leur messagerie
personnelle.

Au même titre qu’il doit être laissé à la personne concernée le soin de reprendre ses effets
personnels, il convient de lui laisser le soin de reprendre ou d’effacer ses communications
électroniques d’ordre privé avant son départ. De même, si une partie du contenu de sa
messagerie doit être récupérée pour assurer la bonne marche de l’entreprise (comme
avancé par la défenderesse en l’espèce), cela doit se faire avant son départ et en sa
présence. En cas de situation litigieuse, l’intervention d’une personne de confiance est
recommandée16. L’hypothèse de la démission ou du licenciement ou toute autre forme de
cessation d’activité et ses conséquences devrait être réglée dans une Charte interne
relative à l’utilisation des outils informatiques. 17»

57. Bien qu’à l’initiative des deux parties ces principes ne peuvent plus être appliqués dans le cas
d’espèce, la Chambre Contentieuse recommande à la défenderesse de mettre sur pied une telle
Charte pour prévenir la répétition de situations similaires dans le future. La mise en place d’une
charte réglant les conditions dans lesquelles un employeur peut consulter les boites emails
professionnelles ou surveiller les outils informatiques de ses employés, reprend le nécessaire
respect des enseignements jurisprudentiels repris supra, en offrant des garanties adéquates et
suffisantes contre les abus (notamment en prévenant les employés de possibles mesures de
contrôle) et en respectant le principe de proportionnalité est recommandée par la Chambre
Contentieuse de façon plus générale.

II.1.5. Quant à l’intérêt légitime lié à la potentielle mise en cause de la responsabilité du
plaignant en sa qualité d’ex administrateur de société défenderesse

58. La défenderesse indique dans ses conclusions qu’elle se réserve la possibilité d’engager la
responsabilité du plaignant pour certains des actes (communication de fausse informations)
qu’il a posés en tant qu’administrateur de Y.

59. La Chambre Contentieuse renvoie à cet égard au considérant 47 du RGPD qui énonce que le
traitement de données à caractère personnel strictement nécessaire à des fins de prévention
de la fraude constitue un intérêt légitime du responsable du traitement concerné.

60. La Chambre a auparavant estimé que, selon le cas d’espèce, la finalité de prévention des abus
et de la fraude peut constituer une base d’intérêt légitime 18, dans le respect du triple test de la
CJUE (cf supra). Dans ce contexte, s’il est établi que le traitement de données à caractère

16
Depuis plusieurs années déjà, la Commission de la protection de la vie privée à laquelle l’APD a succédé avait mis à la
disposition des employeurs une note juridique sur son site
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/note-juridique-e-mails-employes-
absents_0.pdf ainsi que des FAQ : https://www.autoriteprotectiondonnees.be/faq-themas/acc%C3%A8s-aux-e-mails-
demploy%C3%A9s-absentslicenci%C3%A9s relative à cette thématique de la clôture des adresses de messagerie en cas
de départ/cessation de fonction notamment.
17
Décision 64/2020 du 29 septembre 2020, points 39-40, pages 12-13
18
Cf décision 24/2020 du 14 mai 2020

Décision quant au fond 46/2022 - 14/28

personnel pour cette finalité est nécessaire aux fins de l'intérêt légitime du défendeur et que cet
intérêt prévaut sur l'intérêt du plaignant à la protection de ses données à caractère personnel,
le traitement doit être considéré comme disposant d’une base de licéité.

61. En accord avec cette position, au vu du fait que la défenderesse reproche au plaignant dans le
litige devant le Tribunal de Première Instance déjà pendant la communication d’informations
tronquées et/ou fausses, la Chambre Contentieuse considère la potentielle mise en cause de la
responsabilité du plaignant en sa qualité d’ex administrateur comme un intérêt légitime dans le
chef de la défenderesse (pour les traitements de données personnelles afférents aux cinq
dernières années uniquement).

II.1.6. Quant à l’intérêt légitime lié au potentiel dépôt de plainte au pénal avec constitution de
partie civile par la défenderesse envers le plaignant pour manquements qu’elle qualifie
de graves

62. La défenderesse indique par ailleurs dans ses conclusions qu’elle se réserve la possibilité de
déposer plainte au pénal avec constitution de partie civile par la défenderesse envers le
plaignant pour manquements qualifiés de graves (abus de la carte de crédit de la société).

63. La Chambre Contentieuse renvoie à cet égard au considérant 47 du RGPD qui énonce que le
traitement de données à caractère personnel strictement nécessaire à des fins de prévention
d’abus et de la fraude constitue un intérêt légitime du responsable du traitement concerné.

64. La Chambre a auparavant estimé que, selon le cas d’espèce, la finalité de prévention des abus
et de la fraude peut constituer une base d’intérêt légitime 19, dans le respect du triple test de la
CJUE (cf supra). Dans ce contexte, s’il est établi que le traitement de données à caractère
personnel pour cette finalité est nécessaire aux fins de l'intérêt légitime du défendeur et que cet
intérêt prévaut sur l'intérêt du plaignant à la protection de ses données à caractère personnel,
le traitement doit être considéré comme disposant d’une base de licéité.

65. En accord avec cette position, au vu du fait que la défenderesse reproche au plaignant dans le
litige devant le Tribunal de Première Instance déjà pendant la communication d’informations
tronquées et/ou fausses, et qu’elle lui reproche aussi un abus de la carte de crédit de la société
sous son mandat d’administrateur, la Chambre Contentieuse considère le potentiel dépôt de
plainte au pénal avec constitution de partie civile par la défenderesse envers le plaignant pour
manquements qualifiés de graves comme un intérêt légitime dans le chef de la défenderesse
(pour les traitements afférents aux données personnelles du plaignant des cinq dernières
années uniquement).

II.1.7. Concernant la continuité des services de la défenderesse

66. Comme indiqué supra, le plaignant peut être suivi dans son raisonnement selon lequel il convient
de placer une limite temporelle à la période durant laquelle la défense en justice peut fonder

19
Cf décision 24/2020 du 14 mai 2020

Décision quant au fond 46/2022 - 15/28

l’intérêt légitime de la défenderesse, et ainsi constituer la base de licéité du traitement litigieux.
Le plaignant conçoit dans ses conclusions que la nécessité d’assurer la continuité de ses
services par la défenderesse peut constituer une base de licéité du traitement, mais uniquement
pour les données remontant à deux exercices comptables, c’est-à-dire pour les données
antérieures au premier janvier 2017 20.

67. Par soucis de cohérence, dans la mesure où la limite est placée (par le plaignant lui-même) au
cinq dernières années pour l’intérêt légitime de la défense en justice de la défenderesse, cette
même limite est retenue concernant l’intérêt légitime de la continuité des services de la
défenderesse (au lieu des deux exercices comptables ramenant la période de traitement au
premier janvier 2017 comme avancé par le plaignant).

68. Comme indiqué supra, en l’absence de base de licéité, la Chambre Contentieuse conclut que
l’article 5.1.a. du RGPD combiné à l’article 6 du RGPD n’ont pas été respectés en ce qui concerne
le traitement des données plus anciennes que cinq ans. A l’inverse, en ce qui concerne les
données personnelles du plaignant plus récentes que cinq ans, l’intérêt légitime constitue bien
une base de licéité.

3- Sur le manquement à l’obligation d’informations (articles 13 du RGPD, combinés à l’article
12 du RGPD)

69. En application des articles 13 et 14 du RGPD, toute personne dont des données à caractère
personnel sont traitées doit, selon que les données sont collectées directement auprès d’elle ou
auprès de tiers, être informée des éléments listés à ces articles (§§ 1 et 2). En cas de collecte
directe de données auprès de la personne concernée, celle-ci sera informée tant des éléments
listés au paragraphe 1 qu’au paragraphe 2 de l’article 13 du RGPD soit : de l’identité et des
coordonnées du responsable de traitement ainsi que des coordonnées du délégué à la
protection des données éventuel, des finalités du traitement ainsi que de la base juridique de
celui-ci (lorsque le traitement se fonde sur l’intérêt légitime du responsable de traitement, cet
intérêt devra être précisé), des destinataires ou catégories de destinataires du traitement, de
l’intention du responsable de traitement de transférer les données hors de l’Espace Economique
Européen, de la durée de conservation des données, des droits que lui confère le RGPD en ce
compris le droit de retirer son consentement à tout moment et celui de déposer une plainte
auprès de l’autorité de contrôle de protection des données (en l’espèce l’APD), des informations
sur la question de savoir si l'exigence de fourniture de données à caractère personnel a un
caractère réglementaire ou contractuel et les conséquences de leur non-fourniture ainsi que de
l’existence d’une prise de décision automatisée y compris un profilage, visé à l’article 22 du
RGPD. L’article 14.1 et 14.2 liste des éléments qui sont similaires tenant compte toutefois que
l’hypothèse visée à l’article 14 du RGPD est celle où des données ne sont pas collectées
directement auprès de la personne concernée mais bien auprès des tiers. Ces informations sont,

20
Conclusions principales du plaignant p18-19

Décision quant au fond 46/2022 - 16/28

que ce soit sur la base de l’article 13 ou de l’article 14 du RGPD à fournir à la personne concernée
dans le respect des modalités fixées à l’article 12 du RGPD.

70. La Chambre Contentieuse rappelle qu’un aspect primordial du principe de transparence mis en
lumière aux articles 12, 13 et 14 du RGPD est que la personne concernée devrait être en mesure
de déterminer à l’avance ce que la portée et les conséquences du traitement englobe, afin de ne
pas être prise au dépourvu à un stade ultérieur quant à la façon dont ses données à caractère
personnel ont été utilisées. Les informations devraient être concrètes et fiables, elles ne
devraient pas être formulées dans des termes abstraits ou ambigus ni laisser de place à
différentes interprétations. Plus particulièrement, les finalités et fondements juridiques du
traitement des données à caractère personnel devraient être clairs.

71. L’article 12.3 du RGPD impose une information à la personne concernée dans un délai maximum
de trois mois. Le plaignant a demandé pour la première fois en date du 26 février 2020 à la
défenderesse de lui faire parvenir les informations au titre de l’article 14 du RGPD. La Chambre
Contentieuse note ici que l’article 14 du RGPD est d’application en cas de collecte indirecte des
données personnelles. Dans le cas d’espèce, bien que les conclusions du plaignant reprennent
l’article 14 à cet égard, dans la mesure où les données du plaignant ont été collectées dans le
cadre de son contrat de travail avec la défenderesse, l’article 13 RGPD est d’application.

72. Il ressort des faits que la défenderesse s’est contenté d’envoyer au plaignant une liste des
données à caractère personnel le concernant qu’elle détient, par courrier du 15 juin 2020 (pièce
11 du plaignant), sans y adjoindre toutes les autres informations requises aux termes de l’article
13 RGPD. Néanmoins, l’article 13.4 du RGPD dispense de la nécessité de communiquer les
informations au titre des points 1 à 3 du même article si la personne concernée disposait déjà de
ces informations. Le document envoyé par la défenderesse au plaignant n’indique pas la durée
de conservation des données (aspect d’importance dans le litige opposant les parties), ni
l'existence du droit de demander l'accès, la rectification ou l'effacement de celles-ci, ou une
limitation du traitement, ni ne mentionne le droit de s'opposer au traitement, ou encore le droit
d'introduire une réclamation auprès de l'autorité de contrôle. Néanmoins, il est raisonnable de
supposer que le plaignant n’ignorait pas ces informations, au vu de ses anciennes fonctions
d’administrateur. L’élément d’information au titre de l’article 13 du RGPD particulièrement
pertinent au cas d’espèce et absent dans le document est donc la durée de conservation des
données traitées par la défenderesse. Bien que cet élément constitue un point central dans le
présent litige et dans les revendications du plaignant, il convient aussi de prendre en compte la
difficulté pour la défenderesse d’estimer le temps que prendra la résolution du litige pendant
devant les juridictions de l’ordre judiciaire, durée durant laquelle elle est fondée à conserver les
données (plus récentes que cinq ans).

73. Dans ces circonstances, il ne peut être conclu à un manquement à l’article 13 du RGPD.

Décision quant au fond 46/2022 - 17/28

III. Quant à la communication du contrat de sous-traitance entre la défenderesse et son
sous-traitant

74. L’article 28.3 du RGPD stipule :

« Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique
au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard
du responsable du traitement, définit l'objet et la durée du traitement, la nature et la
finalité du traitement, le type de données à caractère personnel et les catégories de
personnes concernées, et les obligations et les droits du responsable du traitement.
Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant:

a) ne traite les données à caractère personnel que sur instruction documentée du
responsable du traitement, y compris en ce qui concerne les transferts de données
à caractère personnel vers un pays tiers ou à une organisation internationale, à
moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État
membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le
responsable du traitement de cette obligation juridique avant le traitement, sauf si
le droit concerné interdit une telle information pour des motifs importants d'intérêt
public;

b) veille à ce que les personnes autorisées à traiter les données à caractère
personnel s'engagent à respecter la confidentialité ou soient soumises à une
obligation légale appropriée de confidentialité;

c) prend toutes les mesures requises en vertu de l'article 32;

d) respecte les conditions visées aux paragraphes 2 et 4 pour recruter un autre
sous-traitant;

e) tient compte de la nature du traitement, aide le responsable du traitement, par
des mesures techniques et organisationnelles appropriées, dans toute la mesure
du possible, à s'acquitter de son obligation de donner suite aux demandes dont
les personnes concernées le saisissent en vue d'exercer leurs droits prévus au
chapitre III;

f) aide le responsable du traitement à garantir le respect des obligations prévues
aux articles 32 à 36, compte tenu de la nature du traitement et des informations à
la disposition du sous-traitant;

g) selon le choix du responsable du traitement, supprime toutes les données à
caractère personnel ou les renvoie au responsable du traitement au terme de la
prestation de services relatifs au traitement, et détruit les copies existantes, à
moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation
des données à caractère personnel; et

Décision quant au fond 46/2022 - 18/28

h) met à la disposition du responsable du traitement toutes les informations
nécessaires pour démontrer le respect des obligations prévues au présent article
et pour permettre la réalisation d'audits, y compris des inspections, par le
responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à
ces audits.

En ce qui concerne le point h) du premier alinéa, le sous-traitant informe
immédiatement le responsable du traitement si, selon lui, une instruction constitue une
violation du présent règlement ou d'autres dispositions du droit de l'Union ou du droit
des États membres relatives à la protection des données. »

75. L’article 4.8 du RGPD définit un sous-traitant de la façon suivante :

« la personne physique ou morale, l'autorité publique, le service ou un autre organisme
qui traite des données à caractère personnel pour le compte du responsable du
traitement; »

76. Il n’est pas contesté par la défenderesse que la V ayant procédé à la restauration des données
personnelles est un tiers21, et qu’il a agi en qualité de sous-traitant. Par ailleurs, la défenderesse
reconnaît l’absence de contrat la liant à ce sous-traitant. Elle justifie ceci dans ses conclusions
en avançant que le sous-traitant « n’a pas traité d’informations à caractère personnel, mais
restauré les données supprimées par M.X, sans examiner le contenu de ces données et sans
effectuer un tri qu’il ne lui appartenait pas d’effectuer »22. La défenderesse ajoute que le sous-
traitant « n'a pas accédé à la boîte aux lettres électronique avant de récupérer les éléments
supprimés (…) n’a pas récupéré les éléments supprimés de l'e-mail de Monsieur X (après la
demande d'Y), aucune action n’a été effectuée (…) », et qu’il « n'a pas lu les e-mails de Monsieur
X ».23

77. La Chambre Contentieuse constate que ceci constitue une lecture erronée de la notion
de « traitement », telle que reprise à l’article 4.2 du RGPD :

“toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés
automatisés et appliquées à des données ou des ensembles de données à caractère
personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la
conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation,
la communication par transmission, la diffusion ou toute autre forme de mise à
disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la
destruction;”.

78. Il n’est par ailleurs pas contesté que les emails contenus dans les boites électroniques
(professionnelles et/ou privées) constituent des données à caractère personnel. La restauration

21
Elle indique ainsi dans ses conclusions de synthèse p8 que le sous-traitant est « un prestataire de services tiers »
22
Conclusions de synthèse de a défenderesse p17
23
Ibid. p18

Décision quant au fond 46/2022 - 19/28

des données personnelles relatives au plaignant constitue par conséquent bien un traitement
de données à caractère personnel au sens du RGPD.

79. Le fait que ces données ont été cryptées dans le cadre du traitement par le sous-traitant de la
défenderesse, et que seule celle-ci puisse les décrypter (comme son conseil l’indique dans un
courrier du 4 mai 2021), ne modifie pas la nature de cette conclusion, puisque bien que cryptées,
ces données restent des données personnelles du plaignant, et que le traitement demeure. En
effet, dans la mesure où des données pseudonymisées24 ou cryptées peuvent permettre
l’identification d’une personne via des informations additionnelles 25, notamment via la clé de
cryptage (détenue dans le cas d’espèce par la défenderesse), des données cryptées constituent
bien des données personnelles au sens de l’article 4.1 du RGPD.

80. La défenderesse fait donc preuve d’un manquement à l’article 28.3 du RGPD.

IV. Quant aux demandes du plaignant d’exercice de ses droits

IV.1. Sur le manquement de la défenderesse à son obligation de donner suite à l’exercice du
droit d’accès du plaignant (article 15 du RGPD) dans le respect des modalités de l’article
12 du RGPD

81. Comme indiqué supra, en sa qualité de responsable de traitement, la défenderesse est tenue de
respecter les principes de protection des données et doit être en mesure de démontrer que
ceux-ci sont respectés. Elle doit par ailleurs mettre en œuvre toutes les mesures nécessaires à
cet effet (principe de responsabilité – articles 5.2. et 24 du RGPD).

24
L’article 4.5 du RGPD définit la notion de pseudonymisation de la façon suivante :

« le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne
concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations
supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de
garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable »
Le considérant 26 du RGPD indique de même :
« Il y a lieu d'appliquer les principes relatifs à la protection des données à toute information concernant une personne
physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui
pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être
considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne
physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles
d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique
directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être
utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels
que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment
du traitement et de l'évolution de celles-ci. »
25
Voir à ce sujet l’arrêt Breyer de la CEDH, Case C‑582/14 , 19 Octobre 2016, § 49

Décision quant au fond 46/2022 - 20/28

82. A titre liminaire, la Chambre rappelle que le droit d’accès est un des fondements du droit à la
protection des données, il constitue la « porte d’entrée » qui permet l’exercice des autres droits
que le RGPD confère à la personne concernée, tel le droit à la rectification, le droit à l’effacement,
à la limitation ou à la limitation.

83. Aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du responsable
de traitement la confirmation que des données à caractère personnel la concernant sont ou ne
sont pas traitées. Lorsque c’est le cas, la personne concernée a le droit d’obtenir l’accès aux
dites données à caractère personnel ainsi qu’une série d’informations listées à l’article 15.1 a) -
h) telles que la finalité du traitement de ses données, la durée de conservation des données, les
destinataires éventuels de ses données ainsi que des informations relatives à l’existence de ses
droits dont celui de demander la rectification ou l’effacement de ses données ou encore celui de
déposer plainte auprès de l’APD.

84. Aux termes de l’article 15.3 du RGPD, la personne concernée a en outre le droit d’obtenir une
copie des données à caractère personnel qui font l’objet du traitement. L’article 15.4 du RGPD
prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui.

85. L’article 12 du RGPD relatif aux modalités d’exercice de leurs droits par les personnes
concernées prévoit quant à lui notamment que le responsable du traitement doit faciliter
l’exercice de ses droits par la personne concernée (article 12.2 du RGPD) et lui fournir des
informations sur les mesures prises à la suite de sa demande dans les meilleurs délais et au plus
tard dans le délai d’un mois à compter de sa demande (article 12.3 du RGPD). Ce délai peut, en
circonstances particulières, être étendu à trois mois (article 12.3 du RGPD). Lorsque le
responsable de traitement n’a pas l’intention de donner suite à la demande, il doit notifier son
refus dans un délai d’un mois accompagné de l’information selon laquelle un recours contre ce
refus peut être introduit auprès de l’autorité de contrôle de protection des données (12.4 du
RGPD).

86. Le 16 mars 2020, le plaignant a exercé auprès de la défenderesse son droit d’accès et de copie.
Celle-ci lui a répondu le 7 avril 2020 qu’elle serait incapable de faire suite à sa demande dans le
délai d’un mois en raison de la complexité de la requête et des circonstances de travail difficiles
liées à la crise sanitaire, mais s’est engagé à le faire dans un délai de trois mois.

87. Le 15 juin 2020, soit la veille de l’expiration du délai de trois mois, la défenderesse envoi au
plaignant une liste des données personnelles à son sujet qu’elle détient. Elle reste cependant en
double défaut de lui communiquer les informations requises au titre de l’article 15.1 a) à f) (dont
la durée de conservation des données), et ne lui transmet pas de copie de ces données.

88. La défenderesse se prévaut à ce sujet de l’argument selon lequel, dans son courrier du 16 mars
demandant l’application de l’article 15 du RGPD, le plaignant se serait limité à demander l’accès
et non pas la copie, car le courrier ne se réfère qu’à l’article 15.1 et pas 15.3 (volet copie du droit
d’accès).

Décision quant au fond 46/2022 - 21/28

89. La Chambre Contentieuse ne peut souscrire à ce raisonnement, dans la mesure où bien que ledit
courrier ne reprenne expressément que l’article 15.1 et pas 15.3, le terme « copie » (« copy » dans
le courrier en anglais) est mentionné explicitement à deux reprises (pièce 7 du plaignant) :

90. La Chambre Contentieuse ne peut donc que constater un manquement à l’article 15.1, pour suite
incomplète à la demande de droit d’accès du plaignant, et un manquement à l’article 15.3 pour
refus de faire suite au volet copie du droit d’accès.

IV.2. Sur le manquement de la défenderesse à son obligation de donner suite à l’exercice du
droit d’effacement du plaignant (article 17 du RGPD), du droit de limitation (article 18
RGPD), ainsi que du droit d’opposition (article 21 RGPD)

91. L’article 17 du RGPD stipule :

1. « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans
les meilleurs délais, de données à caractère personnel la concernant et le responsable du
traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais,
lorsque l'un des motifs suivants s'applique:

a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour
lesquelles elles ont été collectées ou traitées d'une autre manière;

b) la personne concernée retire le consentement sur lequel est fondé le traitement,
conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et
il n'existe pas d'autre fondement juridique au traitement;

c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il
n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée
s'oppose au traitement en vertu de l'article 21, paragraphe 2;

d) les données à caractère personnel ont fait l'objet d'un traitement illicite;

e) les données à caractère personnel doivent être effacées pour respecter une obligation
légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le
responsable du traitement est soumis;

f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services
de la société de l'information visée à l'article 8, paragraphe 1.

2. Lorsqu'il a rendu publiques les données à caractère personnel et qu'il est tenu de les effacer en
vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies
disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d'ordre
technique, pour informer les responsables du traitement qui traitent ces données à caractère

Décision quant au fond 46/2022 - 22/28

personnel que la personne concernée a demandé l'effacement par ces responsables du
traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou
reproduction de celles-ci.
3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire:

a) à l'exercice du droit à la liberté d'expression et d'information;

b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de
l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis,
ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité
publique dont est investi le responsable du traitement;

c) pour des motifs d'intérêt public dans le domaine de la santé publique, conformément à
l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3;

d) à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou
historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la
mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de
compromettre gravement la réalisation des objectifs dudit traitement; ou

e) à la constatation, à l'exercice ou à la défense de droits en justice. »

92. Le considérant 65 du RGPD reprend par ailleurs l’exception de la défense en justice telle que
prévue à l’article 17.3.e du RGPD au droit à l’effacement.

93. Comme indiqué supra, la Chambre Contentieuse estime qu’au vu du litige pendant devant les
juridictions de l’ordre judiciaire, et à fortiori dans la mesure où celui-ci est lié aux échanges
d’informations (et d’emails) entre le plaignant, la défenderesse, et des tiers, l’intérêt légitime
pour défense en justice constitue bien une base de licéité valable dans le chef de la
défenderesse, pour les données plus récentes que cinq ans, au départ du traitement litigieux.
Pour les données postérieures à cette date, la défenderesse ne peut se baser sur l’intérêt
légitime (voir supra section 2.1.3) pour fonder les traitements litigieux.

94. En toute cohérence, l’exception au droit à l’effacement reprise à l’article 17.3.e du RGPD (la
défense de droits en justice) est d’application au cas d’espèce, selon le même critère temporel.

95. Il n’y a donc pas de manquement par la défenderesse à l’article 17 du RGPD en ce qui concerne
le traitement des données antérieures de cinq années au traitement, mais bien concernant les
données postérieures à cette date.

96. Dans la mesure où les articles 18.2 (droit à la limitation) et 21.1 (droit d’opposition) reprennent
l’exception de la défense en justice, le même raisonnement s’applique concernant la demande
d’exercice de son droit de limitation et d’opposition par le plaignant.

97. Il n’y a donc pas de manquement par la défenderesse à l’article 18 du RGPD et 21 du RGPD en ce
qui concerne le traitement des données antérieures de cinq années au traitement, mais bien
concernant les données postérieures à cette date.

Décision quant au fond 46/2022 - 23/28

V. Mesures correctrices et sanctions

98. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :

1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un
organisme international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection
des données.

99. Quant à l’amende administrative qui peut être imposée en exécution de l’ articles 83 du RGPD
et des articles 100, 13° et 101 LCA, l’article 83 du RGPD prévoit :

1. « Chaque autorité de contrôle veille à ce que les amendes administratives imposées en
vertu du présent article pour des violations du présent règlement, visées aux paragraphes
4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2,
points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour
décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque
cas d'espèce, des éléments suivants :

a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi;
b) le fait que la violation a été commise délibérément ou par négligence ;

Décision quant au fond 46/2022 - 24/28

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer
le dommage subi par les personnes concernées;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu
des articles 25 et 32;
e) toute violation pertinente commise précédemment par le responsable du traitement
ou le sous-traitant;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la
violation et d'en atténuer les éventuels effets négatifs;
g) les catégories de données à caractère personnel concernées par la violation;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la
violation;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour
le même objet, le respect de ces mesures;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement
ou indirectement, du fait de la violation ».

100. ll importe de contextualiser les manquements à ces articles en vue d’identifier les mesures
correctrices les plus adaptées. Dans ce cadre, la Chambre Contentieuse tiendra compte de
l’ensemble des circonstances de l’espèce, en ce compris - dans les limites qu’elle précise ci-
après - de la réaction communiquée par la défenderesse au montant d’amende envisagée qui lui
a été communiqué (voir rétroactes de la procédure). A cet égard, la Chambre Contentieuse
précise que ledit formulaire mentionne expressément qu’il n’implique pas de réouverture des
débats. Il poursuit comme seul but de recueillir la réaction de la défenderesse sur le montant de
l’amende envisagée.

101. La Chambre Contentieuse tient également à préciser qu’il lui appartient souverainement en
qualité d’autorité administrative indépendante - dans le respect des articles pertinents du RGPD
et de la LCA - de déterminer la/les mesure(s) correctrice(s) et sanction(s) appropriée(s).

102. Ainsi, il n’appartient pas au plaignant de solliciter de la Chambre Contentieuse qu’elle ordonne
telle ou telle mesure correctrice ou sanction. Si, nonobstant ce qui précède, le plaignant(e) devait
néanmoins demander à la Chambre Contentieuse qu’elle prononce l’une ou l’autre mesure et/ou
sanction, il n’incombe pas dès lors à cette dernière de motiver pourquoi elle ne retiendrait pas
l’une ou l’autre demande formulée par le/la plaignant(e). Ces considérations laissent intacte
l’obligation pour la Chambre Contentieuse de motiver le choix des mesures et sanctions

Décision quant au fond 46/2022 - 25/28

auxquelles elle juge, (parmi la liste des mesures et sanctions mises à sa disposition par les
articles 58 du RGPD et 95.1 et 100.1 de la LCA) approprié de condamner la partie mise en cause.

103. En l’espèce, la Chambre Contentieuse relève que le plaignant sollicite notamment de la Chambre
Contentieuse qu’elle sanctionne la défenderesse pour son absence de suite à ses demandes
d’exercice de ses droits. Il demande aussi que la Chambre émette une injonction à la
défenderesse, à double titre. Premièrement, il demande une injonction de cesser le traitement
des données personnelles le concernant plus anciennes que 5 ans (et même plus récentes si la
Chambre devait conclure à une absence de base de licéité pour celles-ci également), ainsi que
leur suppression. Ensuite, le plaignant sollicite qu’injonction soit faite à la défenderesse de faire
suite aux demandes d’exercice de ses divers droits. Il demande enfin confirmation de ce que la
défenderesse ne peut valablement se baser sur l’article 6.1.f (intérêt légitime) pour fonder les
traitements litigieux, sans considération de temps à tout le moins.

V.1. Quant aux manquements

104. La Chambre Contentieuse a constaté un manquement aux articles 5.1.a combiné à l’article 6.1.f
du RGPD, en raison de l’absence partielle de base légale de traitement. Elle a aussi relevé un
manquement à l’article 15 (droit d’accès et de copie), 17 (droit d’effacement), 18 (droit de
limitation), et 21 (droit d’opposition). Enfin, l’article 28 a aussi été violé (en l’absence de contrat
entre la défenderesse et son sous-traitant).

105. Il ressort des conclusions du plaignant que la défenderesse s’était engagée, sur insistance du
plaignant, à ne pas analyser les données personnelles du plaignant trouvées dans ses boites
mails privées, ainsi qu’à cesser tout traitement actif des emails privés trouvés lors de l’analyse
des boites mail professionnelles26.

106. La Chambre Contentieuse relève par ailleurs que la défenderesse indique dans ses conclusions
être disposée à supprimer les emails relatifs aux boites mail privées du plaignant, pour autant
que les emails en question n’entravent pas son droit de défense en justice27. Cependant, au vu
des nombreux manquements dans le chef de la défenderesse, la Chambre Contentieuse est
d’avis que cette concession ne suffit pas pour justifier une absence de sanctions.

107. Partant, la Chambre Contentieuse ordonne à la défenderesse :

- de se conformer aux demandes du plaignant d'exercer ses droits dans la mesure
explicitée ci-dessus

- de mettre une place une charte telle qu’énoncé au point 56

26
Conclusions du plaignant p.5
27
Conclusions de synthèse de la défenderesse p.17

Décision quant au fond 46/2022 - 26/28

- de cesser le traitement des données personnelles relatives au plaignant plus anciennes
que 5 ans

108. Outre cet ordre de mise en conformité, la Chambre Contentieuse est d’avis qu’en complément,
une amende administrative est en l’espèce justifiée pour les motifs ci-après, motifs analysés sur
base de l’article 83.2 RGPD et conformément à l’enseignement récent de la Cour des Marchés.

109. Les droits des personnes concernées font partie de l'essence du RGPD et les violations de ces
droits sont punies des amendes les plus élevées, conformément à l'article 83.5 RGPD. Dans cet
esprit, les manquements sérieux au droit des personnes concernées doivent être sanctionnés
d’amendes proportionnellement élevées, en fonction des circonstances du cas d’espèce. A cet
égard, on peut citer les Lignes directrices du Groupe 29 sur l’application et la fixation des
amendes administratives , selon lesquelles :

« Les amendes sont un instrument important que les autorités de contrôle devraient utiliser
dans les circonstances appropriées. Les autorités de contrôle sont encouragées à adopter
une approche mûrement réfléchie et équilibrée lorsqu’elles appliquent des mesures
correctives afin de réagir à la violation d’une manière tant effective et dissuasive que
proportionnée. Il ne s’agit pas de considérer les amendes comme un recours ultime ni de
craindre de les imposer, mais, en revanche, elles ne doivent pas non plus être utilisées de
telle manière que leur efficacité s’en trouverait amoindrie. »

110. Dans son alinéa a), l’article 83.2. concerne « la nature, la gravité et la durée de la violation, compte
tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de
personnes concernées affectées et le niveau de dommage qu'elles ont subi ». Dans le cas
d’espèce, la Chambre Contentieuse relève que les principes de licéité et de minimisation
(articles 5.1.a et 5.1.c RGPD) que le droit d’accès (article 15), d’effacement (article 17), de
limitation (article 18) et d’opposition (article 21) sont des principes essentiels du régime de
protection mis en place par le RGPD. Le principe de responsabilité énoncé à l’article 5.2. du
RGPD et développé à l’article 24 est par ailleurs au coeur du RGPD et traduit le changement de
paradigme amené par celui-ci, soit un basculement d’un régime qui s’appuyait sur des
déclarations et autorisations préalables de l’autorité de contrôle vers une plus grande
responsabilisation et responsabilité du responsable de traitement. Le respect de ses obligations
par ce dernier et sa capacité à le démontrer n’en sont dès lors que plus importants. Les
manquements à ces principes sont constitutifs de manquements graves. La violation de l’article
28 RGPD constitue par ailleurs aussi un manquement grave.

111. Concernant plus spécifiquement la nature des données, bien qu’il ne ressorte pas clairement
des conclusions déposées (dans la mesure où les parties se contredisent à ce sujet et en
l’absence de preuves) si la défenderesse a restauré les boites mails tant privées que
professionnelles du plaignant, la Chambre note que la défenderesse reconnait à tout le moins

Décision quant au fond 46/2022 - 27/28

avoir traité (restauré) aussi les emails privés sur plaignant contenus dans ses boites
professionnelles.

112. En ce qui concerne la durée et la portée du traitement litigieux, la Chambre relève que la
défenderesse a procédé d’emblée et délibérément (art 83.2.b RGPD) à une restauration des
emails du plaignant sans aucune limite temporelle, et ce malgré l’opposition de celui-ci et sa
demande de placer une limite 5 ans.

113. Les autres critères de l’article 83.2. du RGPD ne sont ni pertinents ni susceptibles d’influer sur
la décision de la Chambre Contentieuse quant à l’imposition d’une amende administrative et son
montant.

114. Aux termes de l’article 83.4 et 83.5 RGPD, les violations des dispositions identifiées supra
peuvent s’élever jusqu’à 20.000.000 d’euros ou dans le cas d’une entreprise, jusqu’à 4% du
chiffre d’affaire annuel mondial total de l‘exercice précédent. Un manquement aux articles 5.1.a
combiné à l’article 6.1.f du RGPD, aux articles 12 et 13, 15, 17, 18, et 21 et 28 RGPD est retenu. Le
montant maximum de l’amende dans le cas d’espèce, tel que prévu par l’article 83.5 est donc de
20 000 000 EUR.

115. S’agissant, entre autre, de manquements à un droit fondamental, consacré à l’article 8 de la
Charte des droits fondamentaux de l’Union européenne, l’appréciation de leur gravité se fera,
comme la Chambre Contentieuse a déjà eu l’occasion de le souligner, à l’appui de l’article 83.2.a)
du RGPD, de manière autonome.

116. En conclusion, au regard des éléments développés ci-dessus propres à cette affaire, la Chambre
Contentieuse estime que les manquements susmentionnés justifient qu’au titre de sanction
effective, proportionnée et dissuasive telle que prévue à l’article 83 du RGPD et compte tenu
des facteurs d’appréciation listés à l’article 83.2. RGPD et de la réaction de la défenderesse au
formulaire de sanctions envisagées, un ordre de mise en conformité assorti d’une amende
administrative d’un montant de 7500 euros (article 100.1, 13° et 101 LCA) soient prononcés à
l’encontre de la défenderesse.

117. Le montant de 7500 euros demeure eu égard à ces éléments proportionné aux manquements
dénoncés. Ce montant demeure en outre largement inférieur au montant maximum prévu par
l’article 83.5 RGPD, de 20.000.000 euros (voir supra).

118. Ce montant se justifie pour les raisons énoncées supra, y compris le fait que la défenderesse ait
traité d’emblée les boites mail du plaignant sans aucune limite temporelle.

119. La Chambre Contentieuse est d’avis qu’un montant d’amende inférieur ne rencontrerait pas, en
l’espèce, les critères requis par l’article 83.1. du RGPD selon lesquels l’amende administrative
doit être non seulement proportionnée, mais également effective et dissuasive. Ces éléments
constituent une spécification de l’obligation générale des États membres sous le droit de l’Union

Décision quant au fond 46/2022 - 28/28

Européenne, basé sur le principe de coopération loyale (article 4.3 du Traité sur l’Union
européenne).

120. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse et conformément à l’article 100, § 1er, 16° de la LCA, la présente décision est
publiée sur le site Internet de l’Autorité de protection des données en supprimant les données
d’identification des parties, vu que celles-ci ne sont ni nécessaires ni pertinentes dans le cadre
de la publication de la présente décision.

PAR CES MOTIFS,

la Chambre Contentieuse de l'Autorité de protection des données émet, après délibération:

- Sur base de l’article 100, § 1er, 9° de la LCA un ordre de mise en conformité tel que libellé
supra, y compris la mise en place d’une charte telle qu’énoncé au point 56
- Sur base de l’article 83 du RGPD et des articles 100, 13° et 101 de la LCA, une amende
de 7500 EUR

En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès
de la Cour des marchés dans un délai de trente jours à compter de sa notification, avec
l’Autorité de protection des données en qualité de défenderesse.

(sé.) Hielke Hijmans
Président de la Chambre Contentieuse