APD/GBA (Belgium) - 48/2022

1/74

Chambre Contentieuse

Décision quant au fond 48/2022 du 4 avril 2022
Cette décision a été partiellement annulée en ce qui concerne la première défenderesse et
annulée dans son intégralité en ce qui concerne la deuxième défenderesse par l’arrêt
2022/AR/560&564 de la Cour des marchés du 7 décembre 2022

Numéro de dossier : DOS-2020-02823

Objet : Mesure de température et traitement portant sur des catégories particulières
de données à caractère personnel à Brussels Airport dans le cadre du COVID-19

La Chambre Contentieuse de l’Autorité de protection des données, constituée de Monsieur
Hielke Hijmans, président, et de Messieurs Romain Robert et Jelle Stassijns ;

Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à caractère personnel
et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement général
sur la protection des données), ci-après RGPD ;

Vu la loi du 3 décembre 2017 portant création de l’Autorité de protection des données (ci-après
LCA) ;

Vu le règlement d’ordre intérieur tel qu’approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;

Vu les pièces du dossier ;

a pris la décision suivante concernant :

La défenderesse : - Brussels Airport Company SA (« BAC »), dont le siège social est situé .

Boulevard Auguste Reyers 80 - 1030 Schaerbeek, inscrite sous le numéro .

d’entreprise 0890.082.292, représentée par Me Peter Van Dyck, dont le .

siège est situé Avenue de Tervueren 268A - 1150 Bruxelles, ci-après « la
première défenderesse » ; et

Décision quant au fond 48/2022 - 2/74

- Ambuce Rescue Team SA (« B-Art »), dont le siège social est situé
Bijkhoevelaan 8 - 2110 Wijnegem, inscrite sous le numéro d’entreprise
0878.991.927, représentée par Me Evelien Delbeke, dont le siège est
situé Natiënlaan 237 - 8300 Knokke, ci-après « la seconde
défenderesse ».

I. Faits et procédure

1. Le 17 juin 2020, à la suite d’informations diffusées dans la presse, conformément à l’article
20, §1, 1° de la LCA, le Secrétariat Général de l’Autorité de protection des données (ci-après :
APD) a adressé un questionnaire à la première défenderesse concernant l’utilisation de
caméras thermiques à Brussels Airport pour mesurer la température corporelle des
passagers dans le cadre du Covid-19 et le(s) éventuel(s) traitement(s) connexe(s) de données
à caractère personnel. Plus précisément, il ressort des informations précitées que la
température corporelle des passagers, tant à l’arrivée qu’au départ, est mesurée à l’aéroport
Brussels Airport au moyen d’un système de caméras thermiques, et ce depuis le 15 juin 2020.

2. Par e-mail et par lettre du 29 juin 2020, la première défenderesse a répondu aux questions
posées par l’APD.

3. Par e-mail du 6 juillet 2020, le Secrétariat Général de l’APD a posé une série de questions
supplémentaires à la première défenderesse concernant la base légale du ou des traitements
de données à caractère personnel dans le cadre de la prise de température (art. 6 du RGPD).

4. Le 9 juillet 2020, le Comité de direction de l’Autorité de protection des données a décidé, en
vertu de l’article 63, 1° de la LCA, de déposer un dossier auprès du Service d’inspection, car il
a observé des indications sérieuses selon lesquelles le contrôle de température à l’aéroport
Brussels Airport dans le cadre du COVID-19 pourrait donner lieu à une infraction aux principes
fondamentaux de la protection des données à caractère personnel.

5. Par lettre recommandée et e-mail du 27 juillet 2020, le Service d’inspection, conformément
à l’article 66, §1, 3° de la LCA, a adressé à la première défenderesse une demande écrite
d’informations et de documents supplémentaires concernant l’activité de traitement
mentionnée ci-dessus.

6. Par lettre et e-mail du 14 août 2020, la première défenderesse transmet au Service
d’inspection ses réponses aux questions mentionnées ci-dessus.

Décision quant au fond 48/2022 - 3/74

7. Le 19 janvier 2021, le Service d’inspection, conformément à l’article 91, §2 de la LCA, soumet
son rapport d’inspection au président de la Chambre Contentieuse, à la suite de quoi la
Chambre Contentieuse est constituée conformément à l’article 92, 3° de la LCA.

Dans son rapport, le service d’inspection fait des constatations concernant :
- l’applicabilité du RGPD (art. 2 du RGPD) ;
- la qualification du ou des responsables du traitement (art. 4.7 du RGPD) ;
- le respect des exigences de proportionnalité et de nécessité (art. 5.1 c), 6.1
c) et e) et art. 9.2 du RGPD) ;
- la base de la licéité du traitement (art. 6 du RGPD) ;
- le respect de l’obligation d’information et de transparence (art. 12, 13 et 14
du RGPD) ;
- la réalisation d’une analyse d’impact sur la protection des données (art. 35
du RGPD) ; et
- L’intervention du délégué à la protection des données (art. 38 et 39 du
RGPD).

8. Le 19 août 2021, la Chambre Contentieuse décide, en vertu des articles 95, § 1, 1° et 98 de la
LCA, que le dossier est prêt pour un traitement quant au fond.

9. Par lettre du 19 février 2021, la première et la seconde défenderesse sont informées que le
dossier est prêt à être traité quant au fond et sont également informées des délais pour
présenter leurs moyens de défense en application de l’article 99 de la LCA. La date limite de
réception de la réponse de la première comme de la seconde défenderesse a été fixée au
2 avril 2021.

10. Le 2 avril 2021, la Chambre Contentieuse a reçu la réponse de la seconde défenderesse.

11. Par lettre du 6 juillet 2021, la première et la seconde défenderesse sont invitées à une
audience devant la Chambre Contentieuse, conformément à l’article 52 du règlement d’ordre
intérieur.

12. Le 8 septembre 2021, la première et la seconde défenderesse sont entendues par la Chambre
Contentieuse conformément à l’article 53 du règlement d’ordre intérieur.

13. Le 30 septembre 2021, conformément à l’article 54 du règlement d’ordre intérieur, le procès-
verbal de l’audience est transmis à la première et la seconde défenderesse.

Décision quant au fond 48/2022 - 4/74

14. Le 5 octobre 2021, la première défenderesse transmet ses remarques relatives au procès-
verbal précité de l’audience à la Chambre Contentieuse, qui les inclut dans ses délibérations.

15. Le 6 octobre 2021, la seconde défenderesse transmet ses remarques relatives au procès-
verbal précité de l’audience à la Chambre Contentieuse, qui les inclut dans ses délibérations.

16. Le 9 février 2022, la Chambre Contentieuse a notifié à la défenderesse son intention de
procéder à l’imposition d’une amende administrative, ainsi que le montant de celle-ci, afin de
donner à la défenderesse la possibilité de se défendre avant que la sanction ne soit
effectivement imposée.

17. Le 25 février 2022, la Chambre Contentieuse reçoit la réaction de la première défenderesse
à l’intention d’imposer une amende administrative ainsi qu’au montant de celle-ci.

18. Le 2 mars 2022, la Chambre Contentieuse reçoit la réaction de la seconde défenderesse à
l’intention d’imposer une amende administrative, ainsi qu’au montant de celle-ci.

II. Motivation

II.1. Considérations préliminaires

19. La Chambre Contentieuse rappelle tout d’abord que la présente décision concerne le
traitement de données à caractère personnel dans le cadre de la pandémie de COVID-19.

20. Dans le contexte de cette crise sanitaire, des mesures ont été et sont prises qui impliquent un
traitement sans précédent de (catégories spéciales de) données à caractère personnel.

21. La Chambre Contentieuse comprend, compte tenu de la situation critique, l’urgence avec
laquelle certaines de ces mesures ont dû être prises par les autorités et instances
compétentes et ont dû être mises en œuvre par les responsables du traitement concernés,
ainsi que les difficultés rencontrées. Il convient toutefois de noter que cela ne porte pas
préjudice au fait que le respect des exigences du RGPD et des autres législations relatives à
la protection des données à caractère personnel, qui constituent une protection essentielle
des droits et libertés des personnes concernées, doit être garanti dans toute la mesure du
possible.

22. La Chambre Contentieuse rappelle que la surveillance exercée par l’Autorité de protection
des données sur les évolutions technologiques, commerciales ou autres 1 et les avis préalables

1
Art. 10 de la LCA.

Décision quant au fond 48/2022 - 5/74

du Centre de Connaissances ne remettent pas en cause l’obligation des responsables du
traitement de se conformer à la législation en vigueur et que, à défaut, ils peuvent être
sanctionnés par la Chambre Contentieuse.

II.2. Identification du ou des traitements litigieux et applicabilité du Règlement général sur
la protection des données (RGPD)

A. Constatations du Service d’inspection

23. Il ressort des pièces du dossier et du rapport d’enquête du Service d’inspection que le
traitement litigieux consiste en un contrôle de température qui, à partir du 15 juin 2020, a été
effectué quotidiennement entre 4 heures et 22 heures, dans le cadre de la pandémie de
COVID-19, devant l’entrée du terminal de l’aéroport Brussels Airport, et ce en deux étapes2 :

1. Contrôle de première ligne : la température corporelle des passagers est mesurée à l’aide
de caméras thermiques. Si les caméras indiquent une température élevée (c.-à-d. >= 38 °
Celsius), le passager concerné est d’abord invité à retraverser la camera lane. En cas de
deuxième observation d’une température élevée, le passager est conduit auprès d’un
prestataire de services médicaux reconnu dans l’aéroport.

2. Contrôle de seconde ligne : dans un cabinet médical séparé, la température de l’intéressé
est à nouveau mesurée, cette fois à l’aide d’un thermomètre (auriculaire) manuel. Le
passager est également examiné par un expert médical de B-Art en vue de détecter
d’éventuels symptômes de COVID-19 et un questionnaire est rempli. Si, sur cette base, le
prestataire de services médicaux décide que le passager présente des symptômes de
COVID-19, l’accès au terminal lui est refusé. La personne concernée reçoit un document
contenant les conclusions de l’expert médical.

24. Dans son rapport d’enquête, le Service d’inspection constate - sur la base des déclarations de
la première défenderesse - que le contrôle de première ligne consiste à filmer les passagers
au moyen d’une camera lane où ils sont identifiables. La première défenderesse précise à cet
égard : « Les personnes filmées sont brièvement identifiables par l’opérateur pendant le
processus. À tout moment, seules les 15 dernières images sont disponibles afin que

2
Les documents déposés par la première défenderesse montrent en outre que les enfants de moins de 6 ans étaient
admis dans le terminal indépendamment de leur température corporelle (cf. Temperature Check Process Description, p.
2).

Décision quant au fond 48/2022 - 6/74

l’opérateur puisse demander aux personnes concernées de traverser la camera lane une
seconde fois si le premier contrôle indique une température corporelle élevée.3 »

25. Il ressort notamment des pièces transmises par la première défenderesse (voir entre autres
la pièce 3) que les images des caméras thermiques sont immédiatement converties en
photographies disponibles temporairement, ce qui permet d’indiquer, pour chaque passager,
si la température est « verte » (< 38 ° Celsius) ou « rouge » (>= 38 ° Celsius). Cette image
statique de chaque intéressé - encadrée en vert ou en rouge (en fonction de la température
corporelle mesurée) - est stockée temporairement dans la mémoire volatile (RAM) des postes
de travail des caméras.

26. La première défenderesse précise dans ses réponses fournies par lettre du 29 juin 2020 que
l’utilisation de ces caméras thermiques et des logiciels associés a été sous-traitée à la société
de sécurité X, avec laquelle la première défenderesse a déjà conclu un contrat-cadre depuis
2017 concernant les contrôles d’accès et de sécurité à Brussels Airport. La première
défenderesse joint à ses réponses la convention de traitement conclue à cette fin avec X
conformément à l’article 28 du RGPD.

27. Dans son rapport d’enquête, le Service d’inspection constate, sur la base des interrogations
de la première et de la seconde défenderesse, que le contrôle de seconde ligne implique que
les personnes concernées, pour lesquelles une température corporelle de 38 degrés Celsius
ou plus a été constatée lors du contrôle de première ligne, ont d’une part été soumises à un
contrôle manuel de la température et, d’autre part, qu’un questionnaire - établi par un médecin
spécialiste - a été parcouru avec la personne concernée afin d’effectuer une analyse de risque
concernant la possibilité d’une infection par le COVID-19. Ce questionnaire était rempli et
signé par la personne concernée, assistée d’un(e) infirmier(ère). 4 D’après les constatations du
Service d’inspection et les déclarations des parties, les questionnaires mentionnés ci-dessus
ont été conservés sur papier (dans un système de classeurs à anneaux) et les informations qui
en ont été extraites ont également été stockées sous forme numérique pour la finalité du
traçage des contacts.5

28. Plus particulièrement, il ressort des explications de la seconde défenderesse que les données
suivantes ont été recueillies auprès des personnes concernées dont le risque d’infection par

3
Lettre de la première défenderesse datée du 29/06/2020, p. 3, point 8 (points 2 et 3).
4
Cf. pièce 25 (lettre B-Art datée du 9/10/2020), p. 3.
5
Cf. rapport d’enquête, p. 7.

Décision quant au fond 48/2022 - 7/74

le COVID a été évalué comme « élevé » sur la base de l’analyse de risque mentionnée ci-
dessus6 :

29. La seconde défenderesse précise à cet égard que ces données sont enregistrées dans un
fichier Excel, protégé par un mot de passe. Celle-ci explique notamment que tous les
enregistrements sont consignés quotidiennement dans un fichier, après quoi ce fichier Excel
est envoyé par e-mail en fin de journée à un collaborateur interne de la seconde
défenderesse ; ce dernier enregistre ces données dans un second fichier (également protégé
par un mot de passe) dans lequel toutes les données - recueillies depuis le début des
enregistrements - sont centralisées.

30. Selon les déclarations de la première défenderesse et sa réponse, les évaluations des risques
effectuées par la seconde défenderesse à cet égard et les données gérées n’ont à aucun
moment été transmises à la première défenderesse. 7

B. Moyens de défense des parties

31. Tant la première que la seconde défenderesse, dans leurs contacts avec le Service
d’inspection et dans leurs réponses, adhèrent à la constatation du Service d’inspection selon
laquelle le contrôle de température constitue un traitement de données à caractère personnel
au sens du RGPD.8

C. Analyse de la Chambre Contentieuse

32. Selon l’article 2.1 du RGPD, le Règlement s’applique « au traitement entièrement ou
partiellement automatisé et au traitement de données à caractère personnel contenues ou
appelées à figurer dans un fichier ».

33. L’article 4.1 du RGPD définit les données à caractère personnel comme étant « toute
information se rapportant à une personne physique identifiée ou identifiable (ci-après

6
Cf. pièce 25 (lettre B-Art datée du 9/10/2020), addendum procédure de contrôle de seconde ligne (p. 10).
7
Réponse de la première défenderesse, p. 6, marg. 4.
8
Réponse de la première défenderesse, p. 9, marg. 13 ; Réponse de la seconde défenderesse, p. 7, marg. 15.

Décision quant au fond 48/2022 - 8/74

dénommée “personne concernée”) ; est réputée être une “personne physique identifiable”
une personne physique qui peut être identifiée, directement ou indirectement, notamment
par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de
localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son
identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

34. L’article 4.2 du RGPD définit le traitement comme étant « toute opération ou tout ensemble
d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données
ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement,
l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la
consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme
de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la
destruction ».

35. Sur la base de ce qui précède, la Chambre Contentieuse constate que les traitements litigieux
constituent effectivement des traitements de données à caractère personnel au sens de
l’article 2.1 du RGPD et qu’ils relèvent donc du champ d’application du RGPD et de la
compétence de l’APD.

36. La Chambre Contentieuse constate notamment qu’il existe deux traitements de données à
caractère personnel :
- d’une part, le traitement impliquant le stockage temporaire des photos
des passagers dans le cadre du contrôle de première ligne. La
conservation de photos dans lesquelles les personnes concernées sont
identifiables, même pour une période très courte, doit être considérée
comme un traitement de données à caractère personnel. Il s’agit d’un
« traitement » au sens de l’article 4.2 précité du RGPD, à savoir la collecte
et la conservation (brève) « appliquées à des données ou des ensembles
de données à caractère personnel » (notamment « un ou plusieurs
éléments spécifiques propres à l’identité physique [...] » au sens de l’article
4.1 précité du RGPD - à savoir une photo). En outre, le traitement au moyen
de caméras thermiques constitue un traitement automatisé de données à
caractère personnel au sens de l’article 2 du RGPD.

- d’autre part, le traitement par lequel, dans le cadre du contrôle de seconde
ligne, les questionnaires écrits contenant les données à caractère
personnel des passagers concernés sont conservés dans des classeurs
ainsi que sous forme numérique, et ce pendant une période de cinq ans.

Décision quant au fond 48/2022 - 9/74

Dans la mesure où ces données sont stockées dans des classeurs, il s’agit
d’un traitement de données à caractère personnel qui sont destinées à
être intégrées dans un fichier au sens de l’article 2 du RGPD (cf. les fichiers
Excel conservés par la seconde défenderesse). Dans la mesure où elles
sont stockées sous forme numérique, le traitement tombe par définition
dans le champ d’application du RGPD.

37. En ce qui concerne la durée des traitements mentionnés ci-dessus, il est noté que le contrôle
de température a commencé le 15 juin 2020 et s’est arrêté pour les passagers à l’arrivée en
octobre 2020. En janvier 2021, ce contrôle de température a également été supprimé pour
les passagers au départ. Par ailleurs, il ressort des pièces du dossier et des déclarations des
parties que les données à caractère personnel collectées dans le cadre du contrôle de
seconde ligne sont conservées pendant cinq ans.

38. La Chambre Contentieuse constate également que (certaines) des données à caractère
personnel traitées concernent des catégories particulières de données à caractère personnel
au sens de l’article 9 du RGPD, et plus particulièrement des données relatives à la santé des
personnes concernées. La Chambre Contentieuse constate tout d’abord que la température
corporelle est mesurée et traitée lors des contrôles de première et de seconde ligne. Ensuite,
des données supplémentaires concernant la santé des personnes concernées sont
collectées et traitées dans le cadre du contrôle de seconde ligne. La Chambre Contentieuse
se réfère à cet égard aux questionnaires (visant à déterminer le profil de risque de la personne
concernée) que la seconde défenderesse a transmis au Service d’inspection. 9 Il s’agit
notamment de questions relatives aux antécédents médicaux de la personne concernée et
aux symptômes éventuels qu’elle présente ou a récemment présentés et/ou à des affections
dont elle souffre ou a souffert.

II.3. Identification du ou des responsables du traitement au sens de l’article 4.7 du
RGPD

Constatations du Service d’inspection

9
Lettre du 9 octobre 2020 de la seconde défenderesse + annexes.

Décision quant au fond 48/2022 - 10/74

39. Sur la base des contacts avec la première et la seconde défenderesse et de l’analyse des
pièces demandées, le Service d’inspection détermine la responsabilité pour les traitements
concernés de données à caractère personnel dans la présente affaire comme suit10 :

40. Le Service d’inspection conclut notamment que, dans le cadre de l’exécution du Contrat
principal (qui a été conclu fin 2018 et porte sur la « prestation de services en cas d’urgence
médicale » et ne concerne donc pas, en soi, le traitement litigieux), la première et la seconde
défenderesse doivent être considérées comme des responsables conjoints du traitement
des données. Toutefois, en ce qui concerne les deux contrôles (de température), le Service
d’inspection estime que la première défenderesse doit être considérée comme un
responsable du traitement et la seconde défenderesse comme un sous-traitant. En ce qui
concerne le volet « traçage des contacts », la seconde défenderesse est qualifiée de
responsable du traitement par le Service d’inspection.

41. Le Service d’inspection fonde l’analyse ci-dessus sur plusieurs éléments, et notamment sur
les constatations suivantes :

1) les contrôles de première et de seconde ligne ont une finalité identique : le Service
d’inspection constate que la finalité des deux contrôles est fondée sur la mise en œuvre
d’un élément du Protocole, notamment le chapitre 2 du Protocole : « La mesure de la
température corporelle des passagers ». Le Service d’inspection précise à cet égard que
le contrôle de première ligne est un contrôle technique et le contrôle de seconde ligne un
contrôle médical, mais que les deux ont la même finalité.11

2) les traitements de la première et de la seconde ligne impliquent le même type de données
à caractère personnel à la lumière de l’article 9.1 du RGPD : le Service d’inspection

10
Rapport d’enquête, p. 8-14.
11
Rapport d’enquête, p. 10.

Décision quant au fond 48/2022 - 11/74

constate notamment que les contrôles de la première et de la seconde ligne visent tous
deux à enregistrer la température corporelle (soit au moyen de caméras thermiques, soit
au moyen d’un thermomètre auriculaire manuel) et que chaque enregistrement de la
température corporelle doit être considéré comme un traitement de données à caractère
personnel. Le Service d’inspection conclut que dans les deux cas, il s’agit d’un traitement
de données à caractère personnel au sens de l’article 9.1 du RGPD. 12

3) les traitements ont été réalisés dans le même contexte et au même endroit (Brussels
Airport).

4) la finalité juridique du Contrat principal conclu entre la première et la seconde
défenderesse (à savoir les « services d’urgence médicale ») n’est toutefois pas
équivalente au traitement effectué dans le cadre des addenda (c’est-à-dire dans le cadre
du contrôle de la température). Le Service d’inspection constate qu’il s’agit d’une
extension de l’objet du contrat initial et que l’objet et les moyens du nouveau contrat
décrit dans les addenda ont été déterminés par la première défenderesse sur la base du
Protocole. Le Service d’inspection conclut que pour ce traitement - contrairement à ce
qui est le cas pour la prestation de services décrits au point 2.3 du Contrat principal - la
première et la seconde défenderesse ne peuvent donc être qualifiées de responsables du
traitement entièrement distincts.

Moyens de défense des parties

42. La première défenderesse conteste l’analyse précitée du Service d’inspection concernant la
responsabilité du traitement. Celle-ci estime en effet qu’elle et la seconde défenderesse
doivent être considérées comme des responsables du traitement distincts, en raison des
accords contractuels entre la première et la seconde défenderesse, d’une part, et d’une série
de circonstances factuelles, d’autre part.

43. En premier lieu, la première défenderesse se réfère à cet égard à l’article 19 du Contrat
principal conclu entre la première et la seconde défenderesse, qui prévoit que cette dernière
est responsable du traitement de ses propres données à caractère personnel 13

12
Ibid.
13
Réponse de la première défenderesse, p. 10-11, marg. 16.

Décision quant au fond 48/2022 - 12/74

44. La première défenderesse fait valoir qu’il ressort de ce qui précède que les deux parties ont
convenu contractuellement qu’elle et la seconde défenderesse agissent en tant que
responsables du traitement distincts pour leur propre traitement.

45. La première défenderesse conteste l’affirmation du Service d’inspection selon laquelle le
Contrat principal ne serait pas pertinent pour le traitement litigieux et que, par conséquent,
l’article 19 de ce contrat ne serait pas applicable. Elle se réfère à cet égard notamment à
l’article 4 de l’addendum au Contrat principal, qui stipule : « Pour l’extension du mandat de
contrôle de la température COVID-19, le contractant traite des données à caractère
personnel pour ses propres besoins et sous sa propre responsabilité. Ces données ne sont en
aucun cas transmises à [la première défenderesse]. [La première défenderesse] ne porte
aucune responsabilité à cet égard. »

46. La première défenderesse fait valoir qu’il ressort des accords contractuels mentionnés ci-
dessus que les deux parties ont convenu que la seconde défenderesse détermine elle-même
les finalités et les moyens de son traitement dans le cadre du contrôle de température et qu’à
aucun moment la première défenderesse n’a accès aux données traitées par la seconde
défenderesse.

47. En second lieu, la première défenderesse se réfère à une série de circonstances factuelles
qui, selon elle, impliquent que les deux parties doivent être considérées comme des
responsables du traitement distincts, et notamment que :
- les traitements effectués par la première défenderesse, d’une part, et par
la seconde défenderesse, d’autre part, constituent deux traitements
distincts puisque la finalité des traitements concernés n’est pas la même.
La première défenderesse considère notamment que la finalité du
traitement qu’elle effectue elle-même est de procéder à un contrôle
technique de la température corporelle des personnes concernées, alors
que la finalité du traitement effectué par la seconde défenderesse est de
procéder à une évaluation médicale individuelle.

- la seconde défenderesse a déterminé elle-même les moyens du
traitement qu’elle a effectué dans le cadre du contrôle de seconde ligne.
Pour étayer ses dires, la première défenderesse se réfère à :

o L’article 2 de l’addendum qui établit que : « Dans le cadre des mesures de
lutte contre le virus COVID-19, le Mandat est étendu à une nouvelle
vérification de la température corporelle (2e ligne), au passage en revue de

Décision quant au fond 48/2022 - 13/74

questionnaires médicaux et à la délivrance d’un document d’évaluation des
risques au passager (...). »
o Le fait que la seconde défenderesse a établi les questionnaires médicaux
précités de manière totalement indépendante.
o Le fait que la seconde défenderesse traite des données de santé sous la
responsabilité d’un professionnel de la santé xxx
o La politique de confidentialité publiée sur le site internet de la seconde
défenderesse, indiquant : « (...) Afin de fournir un service de qualité, [la
seconde défenderesse] traitera donc des données à caractère personnel en
tant que responsable du traitement au sens du Règlement général sur la
protection des données (...). »

- la première défenderesse n’a eu accès à aucun moment aux données de
santé traitées par la seconde défenderesse.14

- la seconde défenderesse, dans sa correspondance avec le Service
d’inspection, s’est initialement présentée comme devant être qualifiée de
responsable du traitement.15

48. Dans sa réponse et conformément à l’analyse du Service d’inspection, la seconde
défenderesse estime qu’elle doit être qualifiée de sous-traitant et que la première
défenderesse est responsable du traitement. Il ressort toutefois des pièces du dossier que la
seconde défenderesse avait précédemment indiqué qu’elle devait également être
considérée comme un responsable du traitement. La seconde défenderesse l’indique
également expressément dans sa réponse.16

49. En premier lieu, la seconde défenderesse fait valoir dans sa réponse qu’il est établi que le
traitement de données à caractère personnel qu’elle effectue/a effectué dans le cadre du
contrôle de seconde ligne résulte directement de la mission qui lui a été confiée par la
première défenderesse. La seconde défenderesse précise que la première défenderesse a
sous-traité sa mission d’intérêt général à la première défenderesse et que la mission sous-
traitée était triple : (i) effectuer un contrôle manuel de la température, (ii) passer en revue un
questionnaire médical et (iii) délivrer un document d’évaluation des risques à la personne
concernée.

14
Réponse de la première défenderesse, p. 13, marg. 20.
15
Réponse de la première défenderesse, p. 13, marg. 21.
16
Réponse de la seconde défenderesse, p. 11-12, marg. 26 et suiv.

Décision quant au fond 48/2022 - 14/74

50. En second lieu, la seconde défenderesse fait valoir que le fait qu’une partie dispose d’une
certaine marge d’appréciation dans le cadre de la détermination des moyens n’empêche pas
que cette partie soit toujours qualifiée de sous-traitant. La seconde défenderesse fait valoir
qu’il est déterminant de savoir si la partie établit ou non un moyen substantiel et qu’il ne peut
y avoir de responsabilité quant au traitement que si celle-ci établit également un ou plusieurs
moyens substantiels. La seconde défenderesse se réfère à cet égard aux avis du Groupe de
travail Article 29 sur la Protection des données.

51. La seconde défenderesse souligne à cet égard qu’elle n’a pas déterminé elle-même les
éléments suivants : la nature des données traitées, les catégories de personnes concernées,
la fréquence des traitements, les destinataires des données traitées.

Analyse par la Chambre Contentieuse

52. La Chambre Contentieuse constate qu’il n’y a pas d’unanimité entre les parties concernant la
responsabilité du traitement.

53. Conformément à l’art 4.7 du RGPD, doit être considéré comme le responsable du traitement :
la « personne physique ou morale, l’autorité publique, le service ou un autre organisme qui,
seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ».

54. Conformément à l’avis 1/2010 du Groupe de travail 29 et aux Lignes directrices 07/2020 de
l’EDPB sur les concepts de responsable du traitement et de sous-traitant, adoptées le 7 juillet
2021, la capacité du ou des responsables du traitement concernés doit être appréciée in
concreto.17

55. Les lignes directrices mentionnées ci-dessus soulignent que la responsabilité du traitement
peut être déterminée par la loi ou découler de circonstances factuelles. Elles précisent que
les termes d’un contrat entre les parties peuvent également contribuer à la qualification du
responsable du traitement, mais ne sont pas déterminants. 18

56. La Cour de justice de l’Union européenne a également confirmé dans sa jurisprudence que
l’identification du ou des responsables du traitement nécessite une appréciation factuelle de
quelle personne physique ou morale détermine(nt) « la finalité » et « les moyens » du

17
Voir Groupe de travail 29, Avis 1/2010 sur les notions de « responsable du traitement » et de « sous-traitant » (version
2.0), 16 février 2010 (WP 169), telles que précisées par l’APD dans une note intitulée « Aperçu des notions de responsable
du traitement/sous-traitant à la lumière du Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril
2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD)
et quelques applications spécifiques pour les professions libérales telles que les avocats »..
18
EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, 7 juillet 2021, p. 3.

Décision quant au fond 48/2022 - 15/74

traitement, en donnant une définition large à la notion afin de protéger les personnes
concernées.19

57. La Chambre Contentieuse constate en l’espèce que la responsabilité des traitements relative
aux traitements litigieux n’a pas été formellement établie par la loi.

58. On ne peut que constater que le Protocole de l’aviation commerciale du 11 juin 2020 - qui
contient une série de mesures sanitaires pour le secteur de l’aviation dans le cadre de la lutte
contre le COVID-19 - indique que les mesures précitées sont appliquées « par tout exploitant
d’aéroport et toute compagnie aérienne (...) ». En vertu de l’article 3 de l’Arrêté royal du 21 juin
2004 relatif à l’octroi de la licence d’exploitation de l’aéroport de Bruxelles-National, la
première défenderesse est l’exploitant de l’aéroport précité.

59. La Chambre Contentieuse note également que - comme soulevé par les parties (cf. supra) -
les contrats conclus entre les deux défenderesses contiennent plusieurs dispositions
relatives à la responsabilité du traitement.

60. Tout d’abord, il est relevé que le Contrat principal conclu entre les parties le 12 décembre
2018 prévoit dans son article 19 que « [la seconde défenderesse] est responsable du
traitement de ses propres données à caractère personnel dans le cadre de l’exécution de sa
mission et doit être considérée comme le responsable du traitement de ces données à
caractère personnel, à l’exception des données à caractère personnel traitées par le
Contractant dans les rapports au Donneur d’ordre pour le compte de ce dernier (...) ».

61. En ce qui concerne cette disposition, le Service d’inspection est d’avis qu’elle n’est pas
pertinente pour le traitement litigieux et ne peut être prise en compte, car elle ne concerne
que l’objet initial du contrat conclu entre les parties (à savoir la « prestation de services en cas
d’urgence médicale ») et que celle-ci est antérieure aux contrats entre les parties concernant
le traitement litigieux (à savoir la prise de la température dans le cadre du COVID-19). Le
Service d’inspection conclut que l’objectif juridique du Contrat principal (tel qu’il est décrit à
l’article 2.3 dudit contrat) et des addenda (concernant le contrôle de seconde ligne dans le
cadre du contrôle de température) n’est pas le même et que ce dernier est différent en termes
d’objectif, de conception et de moyens. La Chambre Contentieuse partage l’analyse du
Service d’inspection selon laquelle les traitements litigieux doivent être considérés et
appréciés séparément des contrats initiaux entre les parties, mais constate que les addenda
spécifiques - établis dans le cadre des traitements litigieux - contiennent également des
dispositions similaires concernant la responsabilité du traitement.

19
CdJ UE, 13 mai 2014, Google Spain, C-131/12, par. 34.

Décision quant au fond 48/2022 - 16/74

62. Comme indiqué ci-dessus, le contrôle de la température par la première et la seconde
défenderesse était effectivement régi par un addendum au Contrat principal. Cet addendum
a été signé par les parties le 29 juillet 2020 et a été prolongé à quatre reprises (cf. pièces 11 à
12D première défenderesse). L’addendum mentionné ci-dessus indique dans son article 4
(« Data Privacy ») : « Pour l’extension du Mandat accordé pour contrôler la température
COVID-19, le contractant [= la seconde défenderesse] traite les données à caractère
personnel pour ses propres finalités et sous sa propre responsabilité. Ces données ne seront
en aucun cas transmises à [la première défenderesse]. [La première défenderesse] ne porte
aucune responsabilité à cet égard. »20

63. Par conséquent, la Chambre Contentieuse constate que non seulement dans le Contrat
principal de décembre 2018, mais également dans les addenda prolongeant le mandat
accordé à la seconde défenderesse dans le cadre du contrôle de la température COVID-19,
les parties ont contractuellement convenu que la seconde défenderesse agit en tant que
responsable du traitement des données à caractère personnel qu’il collecte et traite dans le
cadre du contrôle précité.

64. Il convient toutefois de noter que, conformément aux Lignes directrices de l’EDPB et à la
jurisprudence de la Cour de Justice, les notions de « responsable du traitement » et de « sous-
traitant » sont des concepts fonctionnels et que les clauses contractuelles ne fournissent/ne
peuvent fournir qu’une indication en ce qui concerne la responsabilité du traitement, mais que
la détermination de cette responsabilité est une appréciation plutôt factuelle que formelle et
qu’il faut établir quelle partie a effectivement déterminé la finalité et les moyens du traitement
litigieux au sens de l’article 4.7 du RGPD.21

65. La Chambre Contentieuse procède donc à l’identification du ou des responsables du
traitement en fonction des circonstances concrètes de la situation telle qu’elle se présente
dans cette affaire.

66. À cet égard, la Chambre Contentieuse note tout d’abord qu’après concertation et
collaboration par le biais d’ateliers avec la première défenderesse, le Service public fédéral
Mobilité et Transports a rédigé le Chapitre 2 (« Mesure de la température corporelle des
passagers ») du Protocole de l’aviation commerciale, qui prévoit le contrôle de la température
dans les aéroports. La première défenderesse a donc pris une part active à l’élaboration du

20
Protocole de l’aviation commerciale 11 juin 2020, p. 5. C’est la Chambre Contentieuse qui souligne.
21
EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, 7 juillet 2021, p. 3
(Executive Summary) et p. 9, marg. 12: « (…) the terms of a contract can help identify the controller, although they are not
decisive in all circumstances » et « The concepts of controller and processor are functional concepts: they aim to allocate
responsibilities according to the actual roles of the parties. This implies that the legal status of an actor as either a
“controller” or a “processor” must in principle be determined by its actual activities in a specific situation, rather than upon
the formal designation of an actor as being either a “controller” or “processor” (e.g. in a contract). »

Décision quant au fond 48/2022 - 17/74

protocole précité. En outre, selon le libellé du Chapitre 2, la tâche de mettre en œuvre les
mesures qu’il prévoit incombait à la première défenderesse, qui est l’exploitant de Brussels
Airport (art. 3 AR juin 2004, cf. supra). En particulier, le texte du Protocole stipule que « (...) les
mesures sanitaires énoncées dans le présent document sont/doivent être mises en œuvre
par chaque exploitant d’aéroport et chaque compagnie aérienne (...) ». 22 Ce protocole établit
également la finalité du traitement litigieux (quoique de manière quelque peu ambiguë, en lien
avec les dispositions de l’Arrêté ministériel du 5 juin 2020 ; cf. infra), à savoir : « le redémarrage
des activités de transport de passagers de l’aviation commerciale ».

67. Deuxièmement, il ressort des pièces du dossier 23 que c’est la première défenderesse qui a
contacté des fournisseurs potentiels et a entamé des négociations pour une « fever screening
solution ». Cela vaut tant que pour le traitement de données à caractère personnel dans le
cadre du contrôle de première ligne qu’en ce qui concerne le traitement du contrôle de
seconde ligne. La première défenderesse a notamment contacté X pour le contrôle par
caméras thermiques (première ligne) X et a conclu avec cette dernière un addendum au
contrat-cadre existant déjà avec cette dernière à cet égard. En ce qui concerne le contrôle de
la seconde ligne, la première défenderesse a demandé à la seconde défenderesse de lui
envoyer un devis pour effectuer ce contrôle. Il ressort des pièces du dossier que la première
défenderesse avait déjà déterminé la finalité et les moyens du mandat et, par conséquent, les
traitements litigieux. Il ressort des échanges entre la première et la seconde défenderesse et
des offres faites par la seconde défenderesse que le mandat pour lequel un devis a été
demandé consistait en un « Nouveau contrôle de la température corporelle (2e ligne) +
examen du questionnaire médical + remise du document “évaluation des risques” au
passager ».24

68. La première défenderesse a donc initié les traitements litigieux et a décidé de sous-traiter
une partie du contrôle de température à la seconde défenderesse après avoir réalisé une
étude de marché préalable et demandé un devis à la seconde défenderesse.

69. Or, il ressort de l’analyse du dossier que la seconde défenderesse, en ce qui concerne le
traitement des données à caractère personnel dans le cadre du contrôle de seconde ligne, a
elle aussi déterminé de manière autonome au moins certains moyens au sens de l’article 4.7
du RGPD.

22
C’est la Chambre Contentieuse qui souligne.
23
Voir également le rapport d’enquête du Service d’inspection, p. 9.
24
Cf. lettre de la seconde défenderesse datée du 30/09/2020 adressée au Service d’inspection (annexes 3 et 4 ; devis).

Décision quant au fond 48/2022 - 18/74

70. Cela se déduit tout d’abord du fait que, dans ses réponses au Service d’inspection, la seconde
défenderesse indique que « les modalités concrètes du mandat attribué par [la première
défenderesse] ont été déterminées par [la seconde défenderesse] (...) Ces procédures
internes relatives au traitement litigieux figurent à l’annexe 11 ».25

71. Il ressort de l’analyse de l’annexe 11 précitée que la procédure interne précitée de la seconde
défenderesse prévoyait, notamment, quelles catégories précises de données à caractère
personnel seraient collectées lors du contrôle de seconde ligne et comment et sous quelle
forme elles seraient conservées (point 8.1.3.1 de la procédure) et que le nom et le numéro de
vol des personnes présentant un profil de risque élevé seraient transmis à la compagnie
aérienne concernée (point 8.1.3.4). Il ressort des pièces du dossier et de l’audition que la
seconde défenderesse a, de sa propre initiative, sollicité l’avis du Conseil national de l’Ordre
des médecins à cet égard afin d’obtenir la confirmation qu’il ne s’agissait pas d’une violation
du secret professionnel. Par ailleurs, il ressort également du dossier que la seconde
défenderesse a déterminé la durée de conservation à appliquer aux données à caractère
personnel collectées et traitées lors du contrôle de seconde ligne. Elle indique notamment
dans sa lettre datée du 9 octobre 2020 adressée au Service d’inspection :

« Les données relatives à la santé doivent être conservées en vertu de la législation belge
(obligation de tenir un dossier, Loi Droits des patients). Il a été décidé de prévoir un délai de
conservation de 5 ans, délai dicté par la possibilité pour le passager d’engager une action en
responsabilité contre [la seconde défenderesse] (5 ans étant le délai de prescription d’une
action extracontractuelle) ».26

72. Il convient de noter que dans ses lignes directrices, l’EDPB fait une distinction entre les
« moyens essentiels » et « non essentiels » de traitement et précise à cet égard que la
détermination des moyens essentiels est inhérente au statut de responsable du traitement.
L’EDPB définit comme moyens essentiels les moyens qui sont étroitement liés à la finalité et
à la portée du traitement et qui déterminent si le traitement en question est licite, nécessaire
et proportionné. L’EDPB donne ici une liste non exhaustive d’exemples de moyens essentiels
de traitement des données à caractère personnel, en indiquant : le type de données à
caractère personnel traitées, la durée de conservation des données à caractère personnel
collectées et traitées et les catégories de personnes concernées. Les moyens non essentiels,
selon l’EDPB, concernent plutôt des aspects purement pratiques du traitement, tels que le
choix d’utiliser un type particulier de matériel ou de logiciel ou les mesures de sécurité plus

25
Ibid, p. 2.
26
Cf. lettre de la seconde défenderesse datée du 09/10/2020 au Service d’inspection, p. 5.

Décision quant au fond 48/2022 - 19/74

détaillées.27 La détermination de ces derniers éléments peut également être laissée à un
sous-traitant, conformément aux lignes directrices mentionnées ci-dessus.

73. Il ressort de ce qui précède que (contrairement à ce qu’elle affirme dans sa réponse) la
seconde défenderesse a effectivement établi ou, à tout le moins, contrôlé une série de
moyens essentiels de traitement - à savoir, les catégories exactes de données à caractère
personnel collectées par le biais des questionnaires médicaux, la période de conservation et
(l’un) des destinataires des données (à savoir, les compagnies aériennes). C’est logique dans
la mesure où le contrôle de seconde ligne a un caractère médical et est effectué par le
personnel de santé, tandis que le contrôle de première ligne est plutôt de nature technique et
est effectué par le personnel de sécurité.

74. La Chambre Contentieuse constate toutefois que la première défenderesse a également
établi, outre la finalité (voir ci-dessus), les moyens essentiels du traitement litigieux, et ceci
vaut également pour les traitements dans le cadre du contrôle de seconde ligne. Il ressort en
fait des pièces du dossier que, lorsque le cahier des charges a été demandé à la seconde
défenderesse, il était déjà prévu comment le contrôle de seconde ligne serait effectué, à
savoir par un contrôle de la température corporelle, un questionnaire médical et la délivrance
d’un document d’évaluation des risques à la personne concernée.

75. En ce qui concerne le traitement dans le cadre de la seconde ligne de défense, la première
défenderesse indique dans sa réponse que les données à caractère personnel traitées par la
seconde défenderesse ne lui ont pas été transmises (marg. 20). Elle affirme ne pas savoir
combien de questionnaires médicaux ont été remplis et comment (combien de temps) ils sont
conservés. Cependant, l’EDPB souligne dans ses Lignes directrices 7/2020 qu’un
responsable du traitement ne doit pas nécessairement avoir accès aux données à caractère
personnel traitées pour être qualifié de responsable du traitement.28 En conséquence,
l’argument ci-dessus de la première défenderesse ne peut être accepté.

76. Sur la base de ce qui précède, la Chambre Contentieuse conclut tout d’abord que la première
défenderesse doit être considérée comme la seule responsable du traitement au sens de
l’article 4.7 du RGPD pour le traitement des données à caractère personnel dans le cadre
du contrôle de première ligne, à savoir la mesure de la température corporelle des passagers
au moyen de caméras thermiques, et la prise et la conservation brève d’images
photographiques des personnes concernées. En second lieu, la Chambre Contentieuse

27
EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, 7 juillet 2021, p. 15,
marg. 40.
28
EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, 7 juillet 2021, p. 15,
Executive summary, p. 3.

Décision quant au fond 48/2022 - 20/74

constate que la première et la seconde défenderesse doivent être considérées comme des
responsables du traitement conjointes au sens de l’article 26.1 du RGPD pour le traitement
de données à caractère personnel dans le cadre du contrôle de seconde ligne. En
conséquence, en cette qualité, elles sont toutes deux tenues au respect de l’obligation de
responsabilité contenue dans les articles 5.2 et 24 du RGPD pour garantir le respect des
principes et des dispositions du RGPD.

77. L’article 26.1 du RGPD définit les responsables du traitement conjoints comme
suit : « Lorsque deux responsables du traitement ou plus déterminent conjointement les
finalités et les moyens du traitement, ils sont les responsables conjoints du traitement ». La
disposition précitée précise en outre qu’ils définissent de manière transparente leurs
responsabilités respectives en matière de respect des obligations du chef de ce règlement,
notamment en ce qui concerne l’exercice des droits de la personne concernée et leurs
obligations respectives de fournir les informations visées aux articles 13 et 14 du RGPD, par
le biais d’un arrangement entre eux, sauf si et dans la mesure où les responsabilités
respectives des responsables du traitement sont établies par une disposition du droit de
l’Union ou du droit d’un État membre applicable aux responsables du traitement.

78. Dans ses lignes directrices, l’EDPB précise, en ce qui concerne la responsabilité conjointe en
matière de traitement, qu’elle peut prendre différentes formes. Ainsi, il convient de noter que
la détermination conjointe de la finalité et des moyens du traitement en question peut être
effectuée soit par le biais d’une décision conjointe, soit à la suite de décisions convergentes
prises par deux ou plusieurs entités en ce qui concerne la finalité et/ou les moyens (essentiels)
du traitement.29

79. En l’espèce, il est établi qu’il existe à tout le moins des décisions convergentes de la première
et de la seconde défenderesse en ce qui concerne la détermination de la finalité et des
moyens du traitement des données à caractère personnel collectées dans le cadre du
contrôle de seconde ligne.

80. Enfin, la Chambre Contentieuse relève, comme l’a fait le Service d’inspection dans son rapport
d’enquête, que la seconde défenderesse agit en tant que seule responsable du traitement des
données en ce qui concerne l’activité de traitement dérivé « traçage des contacts » et doit
donc veiller au respect des dispositions précitées pour cette activité de traitement.

II.3. Le respect du principe de nécessité et la licéité du traitement (art. 5.1, 6.1 e) et 9.2 g) du
RGPD)

29
EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, 7 juillet 2021, p. 19,
marg. 54.

Décision quant au fond 48/2022 - 21/74

Constatations du Service d’inspection

81. Dans son rapport d’enquête, le Service d’inspection constate que la première défenderesse
enfreint les exigences de nécessité contenues dans les articles 5.1 c) et 6.1 c) et e) et 9.2 du
RGPD en choisissant de ne pas effectuer de contrôle de température sans traitement de
données à caractère personnel.

82. Selon le Service d’inspection, il convient de vérifier si le traitement répond à une nécessité
médicale et juridique.

o Quant à la nécessité médicale, le Service d’inspection précise qu’il n’appartient
pas à l’APD de se prononcer sur ce point, mais note que la nécessité médicale du
contrôle de seconde ligne est contestée par diverses sources faisant autorité. Le
Service d’inspection fait référence dans ce contexte aux informations figurant sur
le site internet de l’Organisation mondiale de la santé (OMS) 30, au rapport
technique de l’ECDC (Centre européen de prévention et de contrôle des maladies)
du 12 juin 202031, aux avis des autorités de surveillance françaises et
néerlandaises32 et à la position commune de l’AESA et de l’ECDC du 30 juin
2020.33

o En ce qui concerne la nécessité juridique, le Service d’inspection indique tout
d’abord qu’il résulte du texte de l’article 9.2 i) du RGPD que, outre la nécessité
médicale (qui est contestée), une nécessité juridique doit exister et avoir une base
légale. En ce qui concerne ce dernier point, le Service d’inspection est d’avis que
ni le Protocole ni les autres normes invoquées ne contiennent une obligation
d’organiser un contrôle de température en deux lignes et qu’en conséquence, les
conditions de l’article 9.2 i) du RGPD ne sont pas remplies (ni aucun autre motif
d’exemption applicable).

En ce qui concerne cette nécessité juridique, le Service d’inspection précise en
outre qu’elle doit être appréciée à la lumière des critères fixés par la jurisprudence
en ce qui concerne l’article 8 de la CEDH et l’article 22 de la Constitution (cf. infra
point II.4).

30
Rapport d’enquête, p. 17.
31
Ibid, p. 18.
32
Ibid, p. 19-20.
33
Ibid, p. 21.

Décision quant au fond 48/2022 - 22/74

Moyens de défense des parties

83. En ce qui concerne la nécessité, la première défenderesse conteste les constatations du
Service d’inspection et estime que le principe de nécessité contenu dans les articles 5.1, 6.1
et 9.2 du RGPD est bien respecté. La première défenderesse fait valoir, en particulier, que :
▪ au moment où la vérification de la température a été effectuée, il n’y avait pas d’autres
alternatives (sûres) pour atteindre le même objectif. La première défenderesse fait valoir
qu’il n’existait pas de tests rapides et qu’un contrôle manuel individuel de la température
aurait provoqué des files d’attente, ce qui aurait créé une situation dangereuse ;
▪ le système des contrôles de température dans 65 autres aéroports européens et non
européens, a été mis en œuvre dans le cadre de la lutte contre le COVID-19 ;
▪ la référence faite par le Service d’inspection aux avis de l’OMS et de l’ECDC n’est pas
pertinente, puisque la première défenderesse ne faisait qu’appliquer le Protocole qui lui
était applicable et n’avait donc pas le choix en la matière ;
▪ le Service d’inspection considère à tort qu’elle pouvait opter pour un contrôle autre qu’un
contrôle à deux lignes. la première défenderesse se réfère à cet égard aux lignes
directrices de l’AESA et indique qu’elles prescrivent ce qui suit :
« Le processus doit viser à identifier les passagers dont la température cutanée est égale
ou supérieure à 38 ° Celsius, sauf indication contraire des autorités sanitaires nationales.
Pour les passagers présentant des températures cutanées élevées, le contrôle thermique
doit être répété au moins une fois pour confirmation. Les passagers présentant une
température cutanée élevée doivent être orientés vers une évaluation secondaire par un
spécialiste de la santé ou suivre le protocole de contrôle convenu ».
▪ le contrôle de température a été arrêté dès qu’il n’était plus nécessaire (notamment en
raison des tests COVID négatifs exigés pour les passagers en partance).

84. La seconde défenderesse conteste - en ce qui concerne le contrôle de seconde ligne auquel
elle a procédé - les constatations du Service d’inspection selon lesquelles l’exigence de
nécessité aurait été enfreinte. Plus précisément, elle affirme que :
▪ la position de l’AESA (voir ci-dessus) et une étude réalisée à Taïwan le 9 mai 2020
montrent que ce type de contrôle permet de détecter 32,7 % des infections au COVID-
19 ;
▪ la directive de l’AESA prescrit également qu’en cas de contrôle de la température par
caméras thermiques, un contrôle de seconde ligne doit être effectué ;
▪ la tâche de la seconde défenderesse consistait uniquement à effectuer le contrôle de
seconde ligne et que cette tâche consistait à contrôler la mesure des caméras
thermiques, d’une part en mesurant à nouveau manuellement la température corporelle

Décision quant au fond 48/2022 - 23/74

et, d’autre part, en évaluant d’autres symptômes (éventuels) sur la base d’un
questionnaire médical. La seconde défenderesse fait valoir à cet égard que ce contrôle
de seconde ligne a permis d’éviter de procéder uniquement sur la base d’un des
symptômes possibles du COVID-19, à savoir la fièvre ;
▪ le contrôle médical de deuxième ligne préserve les droits et libertés des personnes
concernées et peut être considéré comme une mesure de protection des données de par
sa conception ;
▪ le contrôle de seconde ligne est nécessaire pour une évaluation complète et
médicalement fondée du profil de risque des passagers.

85. En ce qui concerne la licéité du traitement, force est de constater que la première
défenderesse n’indique pas expressément dans sa réponse sur quelle base juridique de
l’article 6.1 du RGPD elle se fonde pour les traitements litigieux. Lors de l’audience, elle a
toutefois précisé qu’elle se fondait sur l’article 6.1 e) du RGPD (nécessité d’exécuter une
mission d’intérêt public ou relevant de l’exercice de l’autorité publique) combiné à l’article 9.2
g) du RGPD comme motif de licéité et d’exception. Elle précise que cette dernière disposition
doit être interprétée en ce sens que, outre un motif important d’intérêt public, il convient de
démontrer une obligation légale en vertu du droit d’un État membre ou du droit européen.

86. À cet égard, la première défenderesse rappelle, d’une part, que l’article 9.2, g) du RGPD
autorise le traitement de données relatives à la santé si « le traitement est nécessaire pour
des motifs importants d’intérêt public sur la base du droit de l’Union ou du droit d’un État
membre (...) ». Elle précise que la lutte contre la pandémie de COVID-19 doit être considérée
comme entrant dans le champ d’application de la disposition précitée et renvoie, à cet égard,
au considérant 46 du RGPD qui indique, à titre d’exemple de motifs d’intérêt public
importants : « (...) lorsque le traitement est nécessaire à des fins humanitaires, y compris pour
suivre des épidémies et leur propagation (...) ».

87. Tant la première que la seconde défenderesses invoquent la licéité des traitements :
1) le Protocole de l’aviation commerciale du ministre de la Mobilité et des Transports
daté du 11 juin 2020. La première défenderesse précise à cet égard que la base
juridique du protocole précité est l’Arrêté ministériel du 23 mars 2020 portant des
mesures d’urgence pour limiter la propagation du coronavirus COVID-19 (tel que
modifié à plusieurs reprises), d’une part, et la loi du 31 décembre 1963 sur la protection
civile (telle que remplacée par la loi du 15 mai 2007), d’autre part. La première
défenderesse mentionne à cet égard que le Conseil d’État, dans un arrêt du
30 octobre 2020, a approuvé l’utilisation des normes précitées comme base légale
pour prendre des mesures dans le cadre de la lutte contre le COVID-19. En ce qui

Décision quant au fond 48/2022 - 24/74

concerne ce document, la première défenderesse affirme que l’objectif du protocole
était d’assurer la protection de la santé des passagers à l’aéroport. Elle affirme que
cela inclut l’obligation d’effectuer les contrôles de température - le traitement
litigieux ; et

2) l’AR octroyant la licence d’exploitation. La première défenderesse rappelle que
l’article 4 de l’AR précité stipule que : « Le titulaire assure pour l’aéroport de Bruxelles-
National (...) 4° le maintien de la sécurité et de la sûreté au sol (...). » La première
défenderesse affirme être obligée de se conformer à cet AR et fait valoir que la seule
façon dont elle pouvait se conformer à cette disposition dans le contexte de la
pandémie de COVID-19 était de procéder à un contrôle de la température.

Analyse de la Chambre Contentieuse

1 - Généralités

88. La Chambre Contentieuse rappelle que le traitement de données à caractère personnel n’est
licite que s’il est effectué conformément à l’article 6.1 du RGPD.

89. Compte tenu du fait qu’il a été établi en l’espèce (voir ci-dessus) que le système de contrôle
implique également de traiter des catégories particulières de données à caractère personnel
- notamment des données sur la santé des personnes concernées au sens de l’article 4.15 du
RGPD - les responsables du traitement doivent également démontrer qu’un des motifs de
dérogation à l’interdiction fondamentale de traiter ce type de données à caractère personnel,
énumérés à l’article 9.2 du RGPD, est applicable. Comme la Chambre Contentieuse l’a déjà
indiqué34, le traitement de catégories particulières de données à caractère personnel au sens
de l’article 9 du RGPD doit être fondé sur l’article 9.2 du RGPD lu conjointement avec l’article
6.1 du RGPD. Ceci a été établi par la Commission européenne et l’EDPB 35 et est également
confirmé par le considérant 51 du RGPD, qui indique, en ce qui concerne le traitement de
catégories particulières de données à caractère personnel, que « outre les exigences
spécifiques applicables à ce traitement, les principes généraux et les autres règles du présent

34
Cf. Décision quant au fond 76/2021, paragraphe 33, https://www.autoriteprotectiondonnees.be/publications/decision-
quant-au-fond-n-76-2021.pdf.
35
Cf. sur ce point GEORGIEVA, L. et KUNER, C., « Article 9. Processing of special categories of personal data” in KUNER,
C., BYGRAVE, L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University
Press, Oxford, p. 37: “The Commission has stated that the processing of sensitive data must always be supported by a
legal basis under Article 6 GDPR, in addition to compliance with one of the situations covered in Article 9(2). The EDPB
has also stated that ‘If a video surveillance system is used in order to process special categories of data, the data controller
must identify both an exception for processing special categories of data under Article 9 (i.e. and exemption from the
general rule that one should not process special categories of data) and a legal basis under Article 6’.

Décision quant au fond 48/2022 - 25/74

règlement [doivent] s’appliquer, en particulier en ce qui concerne les conditions de licéité du
traitement. »36

2- En ce qui concerne l’application de l’article 9.2 g) combiné à l’article 6.1 e) du RGPD dans le
cas présent

90. La Chambre Contentieuse rappelle que, pour se prévaloir valablement du motif de dérogation
à l’interdiction de traiter des catégories particulières de données à caractère personnel prévu
à l’article 9.2 g) du RGPD, le responsable du traitement doit démontrer que :

(i) il existe un motif important d’intérêt public ;
(ii) un motif est présent dans le droit de l’Union ou le droit d’un État membre pour le
traitement litigieux, assurant la proportionnalité par rapport à l’objectif poursuivi,
respectant l’essence du droit à la protection des données à caractère personnel et
prévoyant des mesures appropriées et spécifiques pour protéger les droits et intérêts
fondamentaux de la personne concernée ; et
(iii) le traitement litigieux est nécessaire dans le cadre du motif important d’intérêt public
mentionné ci-dessus.

91. Comme précisé ci-dessus, pour le traitement de catégories particulières de données à
caractère personnel, l’article 9 doit être appliqué en liaison avec l’article 6.1 du RGPD. Les
responsables du traitement prétendent se fonder en l’espèce sur l’article 6.1 e) du RGPD. La
Chambre Contentieuse rappelle que l’utilisation du motif de licéité contenu dans la disposition
précitée implique que le responsable du traitement doit être en mesure de démontrer que :
i) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou
relevant de l’exercice de l’autorité publique ; et
ii) le traitement en question est nécessaire à l’exécution de la mission mentionnée
ci-dessus.

92. En ce qui concerne le premier élément constitutif de l’article 9.2 g) du RGPD, en particulier
l’existence d’un « intérêt public important », le Service d’inspection, dans son rapport
d’enquête, ne remet pas en cause l’existence d’un tel intérêt en l’espèce. À cet égard, la
Chambre Contentieuse estime que l’on peut effectivement considérer qu’il y avait
un « intérêt public important » au sens de l’article 9.2 g) du RGPD. La Chambre Contentieuse
est d’avis qu’il ne fait aucun doute que (la lutte contre) la pandémie de COVID-19 doit être
considérée comme telle. La Chambre Contentieuse rappelle que l’évaluation de l’existence ou
non d’un intérêt public important implique de mettre en balance l’intérêt public, d’une part, et

36
C’est la Chambre Contentieuse qui souligne.

Décision quant au fond 48/2022 - 26/74

les risques pour les droits et libertés des personnes concernées, d’autre part. 37 La Chambre
Contentieuse rappelle que le seuil de satisfaction du critère précité doit être apprécié de
manière stricte, mais estime qu’en l’espèce, il peut être reconnu que ce critère était rempli.
Ceci est d’ailleurs expressément indiqué, comme le soulignent également les défenderesses,
au considérant 46 du RGPD, qui mentionne que « suivre des épidémies et leur propagation »
est un « motif important d’intérêt public ».

93. Le deuxième élément constitutif concerne l’existence d’une base juridique dans « le droit
de l’Union ou le droit d’un État membre, qui doit être proportionné à l’objectif poursuivi,
respecter l’essence du droit à la protection des données et prévoir des mesures appropriées
et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne
concernée » au sens de l’article 6. 1 j° 9.2 g) du RGPD.

94. Conformément à l’article 6.3 du RGPD, lu à la lumière du considérant 41 du RGPD, le
traitement de données à caractère personnel qui est nécessaire à l’exécution d’une obligation
légale38 et/ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité
publique dont est investi un responsable du traitement 39 doit être régi par une réglementation
claire et précise, dont l’application doit être prévisible pour les personnes concernées.

95. L’article 6.3 du RGPD est plus précis : « Le fondement du traitement visé au paragraphe 1,
points c) et e), est défini par : a) le droit de l’Union ; ou b) le droit de l’État membre auquel le
responsable du traitement est soumis. Les finalités du traitement sont définies dans cette
base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont
nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité
publique dont est investi le responsable du traitement. »

96. Le considérant 41 du RGPD précise à cet égard : « Lorsque le présent règlement fait référence
à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que
l’adoption d’un acte législatif par un parlement est exigée, sans préjudice des obligations
prévues en vertu de l’ordre constitutionnel de l’État membre concerné. Cependant, cette base
juridique ou cette mesure législative devrait être claire et précise et son application devrait
être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de
l’Union européenne (ci-après dénommée « Cour de justice ») et de la Cour européenne des
droits de l’homme. » En outre, selon l’article 22 de la Constitution belge, il est nécessaire que

37
GEORGIEVA, L. en KUNER, C., « Article 9. Processing of special categories of personal data” in KUNER, C., BYGRAVE,
L.A. en DOCKSEY, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford,
p. 379.
38
Art. 6.1.c) du RGPD
39
Art. 6.1.e) du RGPD

Décision quant au fond 48/2022 - 27/74

les « éléments essentiels » du traitement soient définis au moyen d’une norme légale formelle
(loi, décret ou ordonnance).40

97. En ce qui concerne la base juridique invoquée par les défenderesses, il convient de noter que
ni l’Arrêté royal octroyant la licence d’exploitation, ni l’Arrêté ministériel, ni la Loi sur la sécurité
civile ne réglementent le traitement litigieux en tant que tel. Ce traitement est prévu par le
Protocole de l’aviation commerciale, adopté par le Service public fédéral Mobilité et
Transports (DG Aviation), après négociations avec le secteur concerné. Ce dernier point
ressort de la formulation de l’article 1, 3° de l’Arrêté ministériel : « protocole » : le document
déterminé par le ministre compétent en concertation avec le secteur concerné ». C’est ce qui
ressort également des pièces du dossier et, entre autres, de l’e-mail envoyé par le cabinet du
ministre compétent aux exploitants d’aéroports, aux compagnies aériennes et aux autorités
régionales en date du 11 juin 2020. La Chambre Contentieuse rappelle que, dans le cadre de
l’article 6.3 du RGPD et du considérant 41, la concertation et la collaboration avec le secteur
ne posent pas de problème en soi, pour autant que l’obligation légale et/ou la mission d’intérêt
public soient explicitement prévues dans une réglementation édictée par les autorités. Ce
n’était toutefois pas le cas dans cette affaire.

98. En effet, les pièces et normes auxquelles se réfèrent les défenderesses ne peuvent être
considérées comme une loi selon les critères qualitatifs établis par la jurisprudence de la Cour
de justice de l’Union européenne et de la Cour constitutionnelle. La Chambre Contentieuse se
réfère à cet égard notamment à l’arrêt Privacy International de la Cour de justice en date du
6 octobre 2020, dans lequel la Cour indique que la législation en question doit contenir des
règles claires et précises « sur la portée et l’application de la mesure concernée, afin que les
personnes dont les données à caractère personnel sont en cause disposent de garanties
adéquates que ces données seront protégées efficacement contre tout risque d’abus ». La
Cour ajoute : « Ces règles doivent être juridiquement contraignantes en droit interne et
doivent préciser, notamment, les circonstances et les conditions dans lesquelles une mesure
prévoyant le traitement de ces données peut être prise, garantissant ainsi que toute
ingérence est limitée au strict nécessaire. (...) Ces considérations s’entendent en particulier
lorsqu’il s’agit de protéger une catégorie particulière de données à caractère personnel, à
savoir les données sensibles. »

99. Au regard des normes précitées, la première défenderesse indique dans sa réponse que le
Conseil d’État, dans son arrêt du 30 octobre 2020, « [a] approuvé la base légale de l’article 4
de la Loi du 31 décembre 1963 et des articles 181, 182 et 187 de la loi du 15 mai 2007. » Il

40
« Chacun a droit au respect de sa vie privée et familiale, sauf dans les cas et conditions fixés par la loi. La loi, le décret ou
la règle visée à l’article 134 garantissent la protection de ce droit. »

Décision quant au fond 48/2022 - 28/74

convient toutefois de noter que l’arrêt mentionné ci-dessus ne concerne pas l’utilisation de
cette législation comme base juridique pour le traitement de (catégories spéciales de)
données à caractère personnel et ne concerne en aucun cas une évaluation des normes
mentionnées ci-dessus à la lumière du RGPD. L’arrêt porte sur la fermeture imposée aux
restaurants et débits de boissons dans le cadre du COVID-19 et, en tant que tel, il n’est donc
pas pertinent pour la présente affaire. En outre, les arrêts du Conseil d’État concernent la
légalité des mesures imposées par Arrêtés ministériels, qui ont un caractère normatif. Or, ce
n’est pas du tout le cas pour le Protocole en question.

100. Ceci a également été confirmé par le Conseil d’État dans son avis n° 69.253/AG du 23 avril
2021, émis par l’Assemblée générale de la section Législation, dans lequel il affirme :
« De deux choses l’une : soit les protocoles n’ont aucun caractère réglementaire, mais dans
ce cas, les mesures concrètes qu’ils contiennent ne sont pas contraignantes, les protocoles
ne peuvent pas déroger à l’arrêté ministériel et leur respect ne peut pas être contrôlé ni
maintenu par l’intentement d’une action publique en cas de non-respect ; soit les protocoles
sont effectivement réglementaires et les mesures qu’ils contiennent sont bel et bien
contraignantes, mais dans ce cas, ces mesures doivent figurer dans des arrêtés de
l’autorité compétente en la matière ».41

101. Le Conseil d’État, en réponse à une question du délégué du ministre, déclare ce qui suit dans
le même avis en ce qui concerne la valeur juridique des protocoles :

« Les protocoles et les guides constituent un cadre d’évaluation indicatif. Les protocoles et
les guides ne peuvent que concrétiser les mesures réglementaires, comme le prévoit l’AM,
mais ne sont pas eux-mêmes réglementaires. »42

102. La Chambre Contentieuse se réfère également à un arrêt du Conseil d’État français relatif au
traitement de catégories particulières de données à caractère personnel au moyen de
caméras thermiques sans base juridique valable, dans lequel celui-ci a indiqué « il n’est pas
possible d’estimer que les conditions légales d’un traitement de données personnelles de
santé prévues au g) sous 2. de l’article 9 du RGPD sont réunies, faute de texte régissant
l’emploi des caméras thermiques déployées par la commune et précisant l’intérêt public qui
peut le rendre nécessaire ».43

41
Section Législation du Conseil d’État, avis n° 69.253/AG du 23 avril 2021, p. 22, marg. 20.3, http://www.raadvst-
consetat.be/dbx/avis/69253.pdf.
42
Ibid., p. 42, marg. 20.2.
43
Traduction libre : « il n'est pas possible d'estimer que les conditions légales d'un traitement de données personnelles de
santé prévues au g) sous 2. de l'article 9 du RGPD sont réunies, faute de texte régissant l'emploi des caméras thermiques
déployées par la commune et précisant l'intérêt public qui peut le rendre nécessaire ».

Décision quant au fond 48/2022 - 29/74

103. Sur la base de ce qui précède, la Chambre Contentieuse constate que le Protocole de
l’aviation commerciale ne constitue pas une base juridique valable au sens de l’article 6 du
RGPD en raison de son absence de caractère contraignant en droit belge.

104. Même si cet instrument devait être considéré comme contraignant, quod non, il convient de
constater que le protocole n’a nullement imposé aux défenderesses l’exécution du traitement
litigieux. Ceci est particulièrement évident dans ce qui suit :

- le Protocole lui-même stipule : « La mesure de la température corporelle
des passagers pour qu’ils puissent voyager avec un “passeport
d’immunité” n’est pas recommandée par l’AESA et l’ECDC. L’AESA
rappelle que la pertinence de cette mesure n’est pas étayée par les
connaissances scientifiques actuelles sur le SARS-CoV-2. Néanmoins,
l’AESA et l’ECDC suivent les évolutions scientifiques et, le cas échéant,
mettront à jour leurs recommandations si un test approprié devient
disponible. »44

La version du protocole datée du 11 juin 2020 ne mentionne rien concernant
Brussels Airport à Zaventem. Il précise toutefois :
« À la demande des compagnies aériennes qui y opèrent des vols, l’aéroport de
Charleroi (Brussels South Charleroi Airport) a toutefois décidé de mettre en place
des tests permettant de mesurer la température corporelle pour les personnes
entrant dans le bâtiment de l’aéroport. L’aéroport garantit que la méthode choisie
n’entraînera aucun retard ni aucune concentration de personnes à l’entrée de ses
infrastructures. »

À cet égard, la version du 31 juillet 2020 mentionne toutefois en ce qui concerne
Brussels Airport :
« L’aéroport de Bruxelles-National nous a également informés qu’il a été décidé de
mettre en place des tests permettant de mesurer la température corporelle pour les
personnes entrant dans le bâtiment de l’aéroport. » 45

- la première défenderesse a elle-même pris l’initiative d’arrêter le
traitement litigieux. C’est ce qui ressort de la lettre adressée à l’APD le
21 janvier 2021, qui indique : « Par la présente, nous souhaitons vous

44
Protocole de l’aviation commerciale, 11 juin 2020, p. 5. C’est la Chambre Contentieuse qui souligne.
45
Ibid, version du 31 juillet 2020, p. 5. C’est la Chambre Contentieuse qui souligne.

Décision quant au fond 48/2022 - 30/74

informer que Brussels Airport Company (BAC) a décidé de mettre fin au
contrôle de température en raison de l’évolution de la situation. »

La Chambre Contentieuse considère que les éléments qui précèdent démontrent que
le Protocole n’avait aucun caractère contraignant et ne pouvait constituer une base
juridique valable pour le traitement litigieux.

105. Ce qui précède est également confirmé - malgré ce qui est dit dans sa réponse - par la
première défenderesse dans son analyse d’impact relative à la protection des données (AIPD ;
voir infra). Celle-ci mentionne elle-même ce qui suit comme l’un des risques identifiés pour les
droits et libertés des personnes physiques : « currently there is no legal framework. No law
exists that obligates or allows airports to check the temperature of passengers ».46 La
première défenderesse qualifie elle-même l’impact du risque précité de « critical ». Dans la
version initiale de l’AIPD transmise au Service d’inspection, la première défenderesse ne
fournit pas de solution à ce risque identifié. Dans la version de l’AIPD soumise à la Chambre
Contentieuse en annexe à la réponse, il est indiqué ce qui suit sous « risk solution » : « Brussels
Airport bases itself on a Ministerial Decree (AM du 23 mars 2020 contenant des mesures
urgentes pour limiter la propagation du coronavirus COVID-19) and FAQ of the Centre de
Crise national and a Protocol drafted by the Conseil de Sécurité for the aviation industry in
Belgium ».47 Il résulte de ce qui précède que la première défenderesse, en tant que
responsable du traitement, était consciente que le traitement qu’elle effectuait n’était pas
fondé sur une base juridique valable. Toutefois, sur la base de la responsabilité prévue à
l’article 5.2 du RGPD, il appartient au responsable du traitement de s’assurer qu’un motif de
licéité valable et adéquat au sens de l’article 6.1 du RGPD existe dès le début du traitement
litigieux.

106. Comme déjà mentionné ci-dessus, la Chambre Contentieuse souligne que les normes
juridiques invoquées par les défenderesses ne satisfont pas aux conditions de l’article 6.3 du
RGPD et de la jurisprudence de la Cour de justice, pour les raisons exposées ci-après.

La ou les finalités des traitements litigieux ne sont pas énoncées de manière suffisamment
claire et cohérente dans les normes invoquées

107. Comme mentionné ci-dessus, en vertu de l’article 6.3 du RGPD, le traitement visé au
paragraphe 1, points c) et e), doivent être prévus par le droit de l’Union ou le droit d’un État

46
Cf. l’analyse d’impact relative à la protection des données de la première défenderesse, pièce 29, sous l’onglet « DPIA ».
Traduction libre : À l’heure actuelle, il n’existe aucun cadre juridique. Aucune loi n’oblige ou n’autorise les aéroports à
mesurer la température corporelle des passagers.
47
Traduction libre : Brussels Airport se base sur un Arrêté ministériel (AM du 23 mars 2020 contenant des mesures
urgentes pour limiter la propagation du coronavirus COVID-19) et sur les FAQ du Centre de Crise national et un Protocole
établi par le Conseil de Sécurité pour l’industrie aéronautique belge.

Décision quant au fond 48/2022 - 31/74

membre applicable au responsable du traitement. L’article 6.3 du RGPD stipule en outre que
« la finalité du traitement [est] prévue dans cette base juridique ou, en ce qui concerne le
traitement visé au paragraphe 1, point e), [elle est] nécessaire à l’exécution d’une mission
d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable
du traitement ». Le considérant 45 précise par rapport à ce qui précède : Il devrait également
appartenir au droit de l’Union ou au droit d’un État membre de déterminer la finalité du
traitement. En outre, ce droit pourrait préciser les conditions générales de ce règlement
auxquelles le traitement des données à caractère personnel doit se conformer pour être licite,
et établir des spécifications pour la détermination du responsable du traitement, le type de
données à caractère personnel traitées, les personnes concernées, les entités auxquelles les
données à caractère personnel peuvent être divulguées, la limitation des finalités, la période
de conservation et d’autres mesures visant à garantir un traitement licite et approprié. Le
droit de l’Union ou le droit d’un État membre devrait également déterminer si le responsable
du traitement qui est chargé d’une mission d’intérêt public ou relevant de l’exercice de
l’autorité publique, est une autorité publique ou une autre personne de droit public (...) »48.

108. Toutefois, la Chambre Contentieuse constate que les normes invoquées par les
défenderesses n’énoncent pas de manière claire et non ambiguë la finalité exacte du
traitement.

109. Quant à l’Arrêté ministériel du 5 juin 2020 et à la loi sur la Sécurité civile, il convient de noter
que ni l’un ni l’autre ne mentionne le traitement litigieux. Il ressort clairement des termes de
l’Arrêté ministériel que l’objectif des mesures qu’il contient consiste à « limiter la propagation
du coronavirus COVID-19 ».

110. De même, le Protocole de l’aviation commerciale - qui prévoit (partiellement) le traitement
litigieux - ne contient aucune description claire des finalités du traitement mentionné ci-
dessus. Du titre du document, on peut déduire que l’objectif des mesures qu’il contient est « la
reprise des activités liées à l’aviation commerciale passagers ».

Les modalités de base du traitement n’ont pas été établies par la loi

111. Comme expliqué ci-dessus, selon l’article 6.3 du RGPD, lu en combinaison avec l’article 22 de
la Constitution et les articles 7 et 8 de la Charte, une norme législative doit fixer les
caractéristiques essentielles d’un traitement de données nécessaire à l’exécution d’une
mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le

48
C’est la Chambre Contentieuse qui souligne.

Décision quant au fond 48/2022 - 32/74

responsable du traitement. Les dispositions mentionnées ci-dessus soulignent que le
traitement en question doit être encadré par une norme suffisamment claire et précise, dont
l’application est prévisible pour les personnes concernées.

112. Le protocole de l’aviation commerciale ne définit toutefois pas les éléments essentiels du
traitement litigieux. Cela laisse une grande marge d’appréciation aux responsables du
traitement quant à la manière dont la mesure de la température corporelle doit être effectuée.
Par conséquent, le Protocole laisse même la liberté aux gestionnaires d’aéroports de
procéder à ce contrôle avec ou sans traitement de données à caractère personnel et de
déterminer eux-mêmes les autres modalités (telles que les périodes de conservation). Ceci
est également démontré par le fait que les contrôles de température ont été effectués
différemment dans les aéroports belges concernés.

La prévisibilité (ou l’imprévisibilité) du Protocole de l’aviation commerciale

113. La jurisprudence européenne impose à la législation une exigence de prévisibilité. Les normes
invoquées doivent également être suffisamment accessibles aux personnes concernées par
leur publication et, en particulier, par leur nature et leurs conséquences juridiques pour les
personnes concernées.

114. À cet égard, il convient de noter que le Protocole ne stipule pas les conséquences pour la
personne qui refuse de se soumettre au contrôle de température. Cet élément n’apparaît que
dans les directives opérationnelles conjointes de l’AESA et de l’ECDC. Le Protocole ne précise
pas non plus la finalité de l’identification et le principe du contrôle à deux niveaux. En outre, le
Protocole n’a pas été publié à temps et correctement. Il a notamment été publié sur le site
internet du Service public fédéral Mobilité et Transports après son entrée en vigueur.

Garanties insuffisantes pour les droits et libertés des personnes concernées.

115. Conformément à l’article 9.2 g) du RGPD, « des mesures appropriées et spécifiques [doivent
être prises] pour la sauvegarde des droits fondamentaux et des intérêts de la personne
concernée » si le traitement de catégories particulières de données à caractère personnel est
fondé sur l’exception contenue dans la disposition mentionnée ci-dessus (c.-à-d. des motifs
importants d’intérêt public).

Décision quant au fond 48/2022 - 33/74

116. Comme l’indique également le Service d’inspection, tant l’Arrêté ministériel que le Protocole
permettent aux responsables du traitement de déterminer les modalités essentielles du
traitement, telles que le choix de la technologie (cf. la commande du système par la première
défenderesse avec un disque dur d’une capacité de stockage de 1 téraoctet) et les périodes
de conservation (cf. la période de conservation de cinq ans fixée par la seconde
défenderesse).

117. En ne réservant pas la détermination de ces modalités au législateur, des risques dérivés
importants pour les droits et libertés des personnes concernées apparaissent (par exemple
le flou qui entoure la finalité et la complication de l’exercice des droits des personnes
concernées ; cf. également infra titre II.6 ; AIPD). Conformément à la jurisprudence de la Cour
(Privacy International) citée ci-dessus, celle-ci ne satisfait pas à la condition de prendre des
mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des
intérêts des personnes concernées.

118. Un troisième élément constitutif des articles 6.1 e) et 9.2 g) du RGPD est le respect du
principe de nécessité dans le cadre du traitement litigieux. À cet égard, la Chambre
Contentieuse rappelle qu’elle ne peut se prononcer sur la nécessité médicale de cette mesure
dans le cadre de la lutte contre le COVID-19 en tant que telle ni sur l’exactitude et la justesse
scientifiques des avis et rapports cités. Il convient toutefois de noter que cette nécessité,
comme le mentionne également le rapport d’enquête du Service d’inspection, doit ressortir
de la base juridique invoquée par le responsable du traitement (dans la présente affaire sur la
base des articles 6.1 e) et 9.2 g) du RGPD).

119. Les défenderesses soutiennent que les traitements litigieux étaient nécessaires parce qu’ils
étaient imposés par le Protocole de l’aviation commerciale.

120. Or, à cet égard, la Chambre Contentieuse constate toutefois, comme déjà indiqué ci-dessus,
que le Protocole de l’aviation commerciale du ministre de la Mobilité - tant dans sa version
datée du 11 juin 2020 que dans celle datée du 31 juillet 2020 - à la page 5, il est indiqué ce qui
suit : « La mesure de la température corporelle des passagers pour qu’ils puissent voyager
avec un “passeport d’immunité” n’est pas recommandée par l’AESA et l’ECDC. L’AESA
rappelle que la pertinence de cette mesure n’est pas étayée par les connaissances
scientifiques actuelles sur le SARS-CoV-2.49

49
Protocole de l’aviation commerciale, p. 5. C’est la Chambre Contentieuse qui souligne.

Décision quant au fond 48/2022 - 34/74

121. La Chambre Contentieuse constate ainsi que la base juridique invoquée par les
défenderesses elle-même indique que la nécessité du traitement en question n’a pas été
établie, et conclut par conséquent que la nécessité requise par les articles 5.1 c), 6.1 e) et 9.2 g)
n’a pas été suffisamment démontrée.

En particulier, il est noté que cette nécessité n’est nullement démontrée en l’espèce en ce qui
concerne le traitement des (catégories particulières de) données à caractère personnel dans
le cadre du contrôle dit de « seconde ligne ». Comme expliqué ci-dessus, des questionnaires
médicaux ont été remplis par les personnes concernées dans le cadre de ce contrôle de
seconde ligne - en plus de la réalisation d’un contrôle manuel de température. Il ressort des
pièces du dossier et de l’audition que les données à caractère personnel ainsi collectées sont
conservées tant en version papier qu’en version numérique (plus précisément dans un fichier
Excel global protégé par un mot de passe) pendant une période de 5 ans. Il convient toutefois
de noter tout d’abord que ni le Protocole de l’aviation commerciale, ni l’Arrêté royal relatif à
l’octroi de droits d’exploitation, ni l’Arrêté ministériel invoqué ne contiennent le moindre motif
justifiant ce traitement. Les défenderesses fondent ce traitement uniquement sur les
directives de l’AESA. En ce qui concerne le délai de conservation de cinq ans appliqué, il
ressort des pièces du dossier que les défenderesses se réfèrent à cet égard à la Loi relative
aux droits des patients50 et à l’obligation de conserver un dossier médical qu’elle contient. La
seconde défenderesse indique à cet égard qu’« il a été décidé de prévoir un délai de
conservation de 5 ans, délai motivé par la possibilité pour le passager d’engager une action en
responsabilité contre [la seconde défenderesse] (5 ans étant le délai de prescription pour une
action non contractuelle) ». Il ressort de ce qui précède que les modalités du traitement ont
été déterminées par les défenderesses elles-mêmes et non par les normes juridiques
invoquées, comme l’exige l’article 6.3 du RGPD, lu en combinaison avec les articles 7 et 8 de
la Charte des droits fondamentaux de l’UE et 22 de la Constitution.

122. Pour les raisons exposées ci-dessus, la Chambre Contentieuse constate qu’il y a eu en
l’espèce infraction aux articles 5.1 c), 6.1 e), 6.3 et 9.2 g) du RGPD. Les infractions
mentionnées ci-dessus sont imputables tant à la première qu’à la seconde défenderesse,
étant donné que, comme exposé ci-dessus, la première défenderesse doit être considérée
comme responsable du traitement pour le traitement des données à caractère personnel
dans le cadre du contrôle de première ligne et les deux doivent être considérées comme
responsables conjointes du traitement pour les données à caractère personnel dans le cadre
du contrôle de seconde ligne.

50
La loi du 22 août 2002 relative aux droits des patients, M.B. 26 septembre 2002.

Décision quant au fond 48/2022 - 35/74

123. La Chambre Contentieuse comprend l’urgence avec laquelle les mesures ont été prises dans
le cadre de la lutte contre la pandémie de COVID-19. Elle rappelle toutefois que cela n’affecte
pas le fait que les exigences des dispositions précitées, qui constituent une protection
essentielle des droits et libertés dans le cadre du droit à la protection des données à caractère
personnel, doivent être respectées.

124. Les défenderesses, en tant que responsables des traitements litigieux, sont responsables, en
vertu de la responsabilité prévue à l’article 5.2 du RGPD combiné à l’article 24 du RGPD, du
respect des principes relatifs à la protection des données à caractère personnel (notamment
les principes de licéité et de nécessité et le principe du traitement minimal des données) et de
la fourniture de preuves à cet égard. La Chambre Contentieuse rappelle à cet égard que la
première défenderesse elle-même, dans le cadre de son AIPD, a établi l’absence de base
légale valide.

125. La Chambre Contentieuse rappelle que, dès le début des traitements litigieux, les
défenderesses devaient s’assurer de disposer d’un motif valable de licéité et d’exception au
sens des articles 6.1 et 9.2 du RGPD, respectivement. Il ressort de l’AIPD établie par la
première défenderesse qu’elle était effectivement consciente de l’absence de base juridique
valable pour le traitement litigieux. L’analyse des pièces du dossier montre que la base
juridique invoquée n’a été déterminée par les défenderesses que post factum - pendant la
procédure devant l’Autorité de protection des données. Cela ressort également de l’absence
de toute référence spécifique à la base juridique pertinente dans l’avis de confidentialité de la
première défenderesse (cf. infra).

126. En outre, il convient de noter que les normes juridiques invoquées par les responsables du
traitement ne contiennent aucune obligation et ne créent pas de cadre légal pour la réalisation
d’un contrôle de température en deux lignes, les données à caractère personnel concernant
la santé des personnes concernées collectées dans le cadre du contrôle de seconde ligne
étant conservées pendant une période de 5 ans.

127. La Chambre Contentieuse constate que la seconde défenderesse, dans sa réponse, pendant
l’audience et dans sa réaction au formulaire de sanction, fait valoir qu’aucune infraction aux
articles 5, 6 et 9 du RGPD ne pourrait être retenue à son encontre vu que le rapport d’enquête
dans son chef ne contenait aucune constatation à cet égard. La seconde défenderesse fait
valoir que, de ce fait, les charges retenues contre elle au titre des dispositions précitées n’ont
pas été clairement et définitivement déterminées lors de l’ouverture de la procédure devant
la Chambre Contentieuse, ce qui ne serait pas conforme à la jurisprudence de la Cour des

Décision quant au fond 48/2022 - 36/74

marchés.51 Il convient toutefois de noter que le rapport d’enquête du Service d’inspection
contient des constatations claires en fait et en droit à cet égard. À cet égard, la Chambre
Contentieuse se réfère aux sections 3.4 et 3.5 du rapport d’enquête, dans lesquelles le
Service d’inspection se prononce, entre autres, sur la licéité du traitement litigieux (art. 5.1 c),
6.1 et 9.2 du RGPD) en ce qui concerne la seconde défenderesse, entre autres : « Le traitement
dans le chef de BAC n’ayant pas de base selon l’article 6 du RGPD (voir constatation 12), B-Art
ne peut difficilement se prévaloir de cette même base ».52

128. La Chambre Contentieuse rappelle en outre que dans les contrats conclus entre les deux
parties, la seconde défenderesse a été désignée comme seule responsable du traitement en
ce qui concerne le contrôle de seconde ligne et qu’elle était donc tenue, conformément à la
responsabilité contenue dans l’article 5.2 du RGPD, de respecter les dispositions du RGPD, en
particulier les articles 5, 6 et 9 du RGPD, et d’en apporter la preuve. En outre, la seconde
défenderesse a eu amplement l’occasion d’exercer ses droits de la défense en ce qui
concerne les charges mentionnées ci-dessus. Cette dernière a d’ailleurs fait usage de cette
occasion. Par conséquent, l’argument mentionné ci-dessus de la seconde défenderesse ne
peut être accepté.53

II.5. L’obligation d’information et de transparence (art. 12-14 du RGPD)

Constatations du Service d’inspection

129. Dans son rapport d’enquête, le Service d’inspection constate que la première défenderesse a
enfreint l’obligation d’information prévue aux articles 12.1 et 13 du RGPD 54.

130. Plus précisément, le Service d’inspection constate des infractions aux dispositions précitées
en ce qui concerne la politique de confidentialité, la signalisation dans les bâtiments et le
règlement intérieur de la première défenderesse.

131. En ce qui concerne la déclaration de confidentialité de la première défenderesse, comme
publié sur le site internet https://www.brusselsairport.be/fr/mentions-legales/privacy-policy
le service d’inspection constate que celle-ci ne contient/contenait pas (aux dates de la
vérification, c.-à-d. le 14 juin et le 6 octobre 2020) toutes les informations énumérées dans

51
Plus particulièrement : Cour des marchés de Bruxelles, le 24 février 2021 (2020/AR/1159).
52
Rapport d’enquête, p. 38.
53
Cf. réponse de la deuxième défenderesse, p. 9-21.
54
Rapport d’enquête point 3.7, p. 38-43.

Décision quant au fond 48/2022 - 37/74

les dispositions précitées En particulier, le Service d’inspection note dans son rapport que les
informations suivantes n’ont pas été mentionnées de manière claire ou cohérente :
- la durée de conservation des données à caractère personnel (art. 13.2 a)
du RGPD ;
- l’identité du responsable du traitement (art. 13.1 a) du RGPD ; le Service
d’inspection constate notamment que le nom et les coordonnées de la
première défenderesse en tant que tels figuraient dans la déclaration de
confidentialité, mais qu’ils n’étaient pas liés de manière suffisamment
claire au traitement litigieux des données à caractère personnel ;
- l’objectif du traitement (art. 13.1 c) du RGPD.
- la possibilité d’introduire une plainte auprès de l’Autorité de protection des
données (ou de toute autre autorité de contrôle) (art. 13.2 d) du RGPD.
- les conséquences pour la personne concernée (art. 13.2 e) du RGPD) si les
données ne sont pas fournies.

132. En ce qui concerne la signalisation dans les bâtiments et le règlement intérieur de la première
défenderesse, le Service d’inspection constate que :
- la première défenderesse enfreint l’article 5.1 a) du RGPD vu que les
informations relatives aux « experts indépendants » figurant dans le
règlement intérieur sont présentées de manière incorrecte ou, à tout le
moins, fallacieuse, étant donné que ces experts prétendument
indépendants sont le sous-traitant sous contrat rémunéré par la première
défenderesse et sont liés par le contrat de base à cette dernière ;
- les informations selon lesquelles les données ne sont pas stockées et
conservées sont incorrectes ;
- la première défenderesse communique différemment à l'égard de l'APD
qu'à l'égard des passagers concernés, puisque la base légale n'est pas
clairement communiquée aux personnes concernées et qu'il est
seulement indiqué « Votre santé et votre sécurité sont importantes pour
nous », alors que ces informations relèvent de l'obligation d'information de
l'article 13.2 e) du RGPD.

133. En outre, le Service d’inspection constate que les contacts entre la première défenderesse et
les compagnies aériennes en vue d’informer les passagers ainsi que les articles de presse ne
sont pas pertinents pour évaluer l’obligation d’informer, car la première défenderesse ne peut
pas démontrer avoir satisfait à son obligation d’informer en se référant à des communiqués
de tiers.

Moyens de défense de la première défenderesse

Décision quant au fond 48/2022 - 38/74

134. Dans sa réponse, la première défenderesse conteste toutes les constatations ci-dessus.

135. Plus précisément, la première défenderesse fait valoir que :
- le fait que la seconde défenderesse soit rémunérée pour un service qu’elle
effectue pour la première défenderesse ne signifie pas que le personnel
(médical) de la première défenderesse ne travaillerait pas de manière
indépendante ;
- aucune information erronée n’a été fournie en ce qui concerne le stockage
des données à caractère personnel (lors du contrôle en première ligne),
étant donné que le disque dur d’une capacité de stockage de 1 téraoctet
commandé chez X n’a jamais été utilisé et que, en ce qui concerne le
stockage des données à caractère personnel en seconde ligne, la
première défenderesse n’a jamais donné mandat à la seconde
défenderesse pour stocker les questionnaires (dans des classeurs à
anneaux) ;
- la politique de confidentialité contenait, conformément à l’article 13.2 a) du
RGPD, les informations nécessaires concernant la durée de conservation
des données et, en particulier, que les données à caractère personnel des
personnes concernées ne seraient pas conservées plus longtemps que
nécessaire pour la ou les finalités pour lesquelles elles ont été collectées ;
- l’identité du responsable du traitement était indiquée clairement
(« Brussels Airport Company SA (ci-après : « Brussels Airport » ou « nous »)
et que la politique de confidentialité faisait également le lien avec le
traitement litigieux, à savoir le contrôle de température ;
- les finalités du traitement mentionnées dans la politique de confidentialité
et dans la signalisation ne sont pas contradictoires (« votre santé et votre
sécurité » et « missions d’intérêt public »), car toutes deux se réfèrent à la
mission d’intérêt public - à savoir assurer la sécurité à l’aéroport - dont est
chargée la première défenderesse. La première défenderesse fait en
outre valoir, en réponse à l’observation du Service d’inspection
concernant la longueur de la politique de confidentialité, que la raccourcir
signifierait que toutes les informations nécessaires ne pourraient pas y
figurer ;
- les conséquences pour la personne concernée en cas de refus de fournir
les données n’étaient effectivement mentionnées que dans le règlement
d’ordre intérieur, mais que le RGPD n’exige pas que les mentions
obligatoires soient fournies dans un document unique ;

Décision quant au fond 48/2022 - 39/74

- à la suite de l’enquête d’inspection, des modifications ont été apportées à
la politique de confidentialité, qui a été élaborée en trois couches.

Analyse de la Chambre Contentieuse

136. La Chambre Contentieuse rappelle que, conformément à l’article 12.1 du RGPD, le
responsable du traitement « [doit prendre] des mesures appropriées pour fournir toute
information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre
des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée
d’une façon concise, transparente, compréhensible et aisément accessible, en des termes
clairs et simples (...) ».

137. Les considérants 58 et 60 du RGPD précisent que « Le principe de traitement loyal et
transparent exige que la personne concernée soit informée de l’existence de l’opération de
traitement et de ses finalités » et que « le principe de transparence exige que toute
information adressée au public ou à la personne concernée soit concise, aisément accessible
et facile à comprendre, et formulée en des termes clairs et simples (...) ».

138. Dans le cas où les données à caractère personnel concernées ont été collectées auprès de la
personne concernée elle-même, l’article 13 du RGPD précise quelles informations doivent
être fournies à cette dernière :
« Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :
a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel
ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts
légitimes poursuivis par le responsable du traitement ou par un tiers ; e) les destinataires
ou les catégories de destinataires des données à caractère personnel, s’ils existent ;
f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la
Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;

Décision quant au fond 48/2022 - 40/74

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à
la personne concernée, au moment où les données à caractère personnel sont obtenues,
les informations complémentaires suivantes qui sont nécessaires pour garantir un
traitement équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas
possible, les critères utilisés pour déterminer cette durée ;
b) l’existence du droit de demander au responsable du traitement l’accès aux données à
caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du
droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9,
paragraphe 2, point a), l’existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;
e) des informations sur la question de savoir si l’exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d’un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données ;
f) l’existence d’une prise de décision automatisée, y compris un profilage, visée à
l’article 22, paragraphes 1 et 4, et, au moins en pareil cas, des informations utiles
concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues
de ce traitement pour la personne concernée.

139. Dans ses lignes directrices relatives à la transparence, le Groupe de travail 29 a précisé que
l’article 13 du RGPD s’applique à la fois dans les cas où les données à caractère personnel sont
transmises en connaissance de cause par la personne concernée au responsable du
traitement et dans les cas où les données sont collectées par le responsable du traitement
par observation (par exemple en utilisant des équipements de collecte automatisée de
données ou de logiciels destinés à la collecte de données tels que des caméras). 55

140. En ce qui concerne la déclaration de confidentialité de la première défenderesse (au moment
des constatations du Service d’inspection), la Chambre Contentieuse constate que, s’agissant
de la période de conservation des données à caractère personnel collectées, elle ne contenait
en effet aucune période concrète pendant laquelle les données concernées étaient
conservées. Celle-ci stipule notamment : « Nous ne conserverons pas vos données à

55
Groupe de travail 29, Guidelines on transparency under Regulation 2016/679, 11 avril 2018, p. 14-15, marg. 26.

Décision quant au fond 48/2022 - 41/74

caractère personnel plus longtemps que nécessaire pour la ou les finalités pour lesquelles
elles ont été collectées ou pour lesquelles elles seront traitées (...). » Toutefois, la Chambre
Contentieuse rappelle que l'article 13.2 e) du RGPD indique à cet égard que le responsable du
traitement doit mentionner « la durée de conservation des données à caractère personnel ou,
lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ». La Chambre
Contentieuse constate également sur la base des conclusions de la première défenderesse
et des pièces jointes (cf. pièce 34) qu’elle a modifié ce point à la suite des remarques du
Service d’inspection. La politique de confidentialité de la première défenderesse mentionne
désormais des informations plus concrètes concernant les périodes de conservation (par
exemple, 30 jours pour les images des caméras).

141. En ce qui concerne la communication de l’identité du responsable du traitement dans la
politique de protection de confidentialité de la première défenderesse, la Chambre
Contentieuse ne constate aucune infraction. Il ressort des pièces du dossier que celui-ci
contenait (également au moment des constatations) une référence suffisamment claire à la
personne morale « Brussels Airport Company SA » en tant que responsable du traitement des
données collectées et traitées : « Brussels Airport Company SA » (ci-après : « Brussels
Airport » ou « nous ») respecte votre vie privée et protège et traite vos Données à caractère
personnel conformément au Règlement général sur la protection des données (...). » C’était
également suffisamment clair en ce qui concerne l’activité de traitement concernée (le
contrôle de température) : « Contrôle de température. Les passagers au départ et à l’arrivée
doivent passer par un contrôle de la température. Brussels Airport ne conserve pas les
données issues de ces mesures et ne les transmet pas à des tiers non autorisés (...). »

142. En ce qui concerne les finalités du traitement, le Service d’inspection constate que les
informations mentionnées sur la signalisation de l’aéroport ne correspondraient pas aux
informations contenues dans la politique de confidentialité de la première défenderesse. Ceci
d’autant plus que la signalisation ne mentionnait pas expressément les finalités et la base
juridique du traitement litigieux, conformément à l’article 13.1 c) du RGPD (« les finalités du
traitement auquel sont destinées les données à caractère personnel ainsi que la base
juridique du traitement »). À cet égard, la Chambre Contentieuse constate, sur la base de la
réponse de la première défenderesse ainsi que des pièces du dossier, que la signalisation
faisait bien référence à la politique de confidentialité de la première défenderesse sur le site
internet de celle-ci. La Chambre Contentieuse en conclut que l’obligation de l’article 13.1 c) du
RGPD est remplie.

143. En ce qui concerne la mention de la possibilité d’introduire une réclamation auprès de
l’autorité de protection des données (art. 13.2 d) du RGPD), le Service d’inspection constate

Décision quant au fond 48/2022 - 42/74

que « la personne concernée [doit consulter] un document distinct en ligne de 25 pages (la
politique de confidentialité) pour apprendre qu’elle peut introduire une réclamation auprès de
l’APD, ce qui n’est pas si évident si l’on est pressé sur le chemin vers ou depuis une
destination ». La Chambre Contentieuse constate que la possibilité d’introduire une
réclamation auprès de l’APD n’était effectivement pas mentionnée sur la signalisation, mais
qu’elle figurait bien dans la politique de confidentialité de la première défenderesse, à laquelle
la signalisation fait référence : « En outre, vous pouvez également introduire une réclamation
auprès de l’Autorité de protection des données, que vous pouvez contacter par e-mail :
[email protected] ». La Chambre Contentieuse estime que la première défenderesse a
ainsi satisfait à l’exigence de l’article 13.2 d) du RGPD. En ce qui concerne le point mentionné
ci-dessus, la Chambre Contentieuse remarque seulement que, conformément à la disposition
précitée, les parties concernées ont non seulement le droit d’introduire une réclamation
auprès de l’APD belge, mais aussi auprès de toute autre autorité de contrôle européenne. Il
est donc approprié - en particulier compte tenu de l’audience internationale dans le cas
présent - de le préciser également dans la politique de confidentialité.

144. En ce qui concerne les conséquences pour la personne concernée si les données ne sont pas
fournies (art. 13.2 e) du RGPD), le Service d’inspection constate que ces informations ne sont
pas claires dans la politique de confidentialité ni sur la signalisation. Elle indique notamment
que la personne concernée doit consulter plusieurs documents pour obtenir les informations
requises. Il ressort de la réponse de la première défenderesse et des pièces du dossier que
les informations précitées ne figuraient effectivement pas dans la déclaration de
confidentialité et n’étaient mentionnées que dans le règlement intérieur de la première
défenderesse et sur la signalisation. Le règlement intérieur stipule ce qui suit à cet égard :
« Dans le cas d’un passager en partance, le passager sera orienté vers les experts médicaux
indépendants qui évalueront si le passager présente un risque et si l’accès à l’aéroport doit
donc lui être refusé. Les personnes entrant dans l’aéroport par des vols à l’arrivée seront
priées de quitter le bâtiment le plus rapidement possible. » La Chambre Contentieuse est
d'avis que, conformément à l'article 12 du RGPD combiné à l'article 13.2 e) du RGPD, la
première défenderesse aurait dû inclure les informations mentionnées ci-dessus dans sa
politique de confidentialité afin de les mettre à la disposition des personnes concernées sous
« une forme aisément accessible ».

145. La Chambre Contentieuse constate en outre - comme le Service d'inspection - d'après les
pièces du dossier, que la politique de confidentialité n'indique pas clairement la base juridique
utilisée, comme l'exige l'article 13.2 e) du RGPD. La politique de confidentialité ne fait qu’une
mention générale des « obligations légales et des missions d’intérêt public », mais ne précise
pas lesquelles des deux (art. 6.1 c) ou 6.1 e) du RGPD) est applicable au traitement litigieux. Le

Décision quant au fond 48/2022 - 43/74

texte ne mentionne pas non plus les normes qui ont ensuite été indiquées par la première
défenderesse au cours de la procédure devant la Chambre Contentieuse comme base
juridique du traitement litigieux, au sens des articles 6.1 e) combinés aux art. 6.3 du RGPD et
9.2 g) du RGPD (à savoir l’AR octroyant la licence d’exploitation, l’Arrêté ministériel du 5 juin
2020 relatif aux mesures urgentes visant à limiter la propagation du coronavirus COVID-19,
la loi du 31 décembre 1963 relative à la protection civile [telle que remplacée par la loi du
15 mai 2007] et le Protocole de l’aviation commerciale du 11 juin 2020).

146. Le point 4.6.1 de la politique de confidentialité telle qu’elle a été publiée le 6 octobre 2020
indique uniquement ce qui suit :

« 4.6.1 Obligations statutaires et missions d’intérêt public
(…)
Contrôle de température Les passagers au départ et à l’arrivée doivent passer par un
contrôle de température. Brussels Airport ne conserve pas les données de ces mesures
et ne les transmet pas à des tiers non autorisés. Les contrôles médicaux pouvant
éventuellement suivre sont effectués par des médecins. »

147. La Chambre Contentieuse attire l’attention sur le caractère essentiel de cette information, qui
porte sur la licéité du traitement litigieux au sens des articles 6 et 9 du RGPD, et souligne que
le motif de licéité et les bases légales qu’ils contiennent doivent être établis au plus tard au
début du traitement des données à caractère personnel, et être communiqués de manière
transparente aux personnes concernées. Elle ne peut plus être déterminée a posteriori.
Comme le soulignait l’avocat général P. Cruz Villalón ainsi que la Cour de justice de l’Union
européenne dans l’affaire Bara56, le respect des dispositions en matière de transparence et
d’information est essentiel, car il constitue une condition préalable à l’exercice par les
personnes concernées de leurs droits, qui sont l’un des fondements du RGPD. La Chambre
Contentieuse souligne, comme déjà mentionné ci-dessus (cf. supra n° 125 et 145), qu’il n’est
donc en aucun cas acceptable que la base juridique du traitement ne soit déterminée ou
précisée par le responsable du traitement qu’au cours de la procédure pour l’APD.

148. En fonction de ce qui précède, la Chambre Contentieuse constate que la première
défenderesse a commis une infraction à l'article 12 combiné aux articles 13.1 c) et 13.2 e) du
RGPD.

149. En ce qui concerne la déclaration de confidentialité de la seconde défenderesse, la Chambre
Contentieuse constate que la version telle qu’elle est publiée sur le site internet

56
CdJ UE, 1er octobre 2015, Bara, C-201/14, point 33 (Conclusions de l’avocat général P. Cruz Villalón, 9 juillet 2015, par.
74).

Décision quant au fond 48/2022 - 44/74

https://www.ambuce.be/privacy-policy/ au début de l’enquête du Service d’inspection ne
contenait aucune information concernant le traitement litigieux des données à caractère
personnel.

150. Comme l’a constaté le Service d’inspection dans son rapport d’enquête, la seconde
défenderesse a publié une nouvelle déclaration de confidentialité sur son site internet après
le début de cette enquête https://www.ambuce.be/airport-rescue/.

151. Dans son rapport d’enquête, le Service d’inspection indique que, compte tenu de l’importance
d’une enquête efficace et proportionnée, aucune enquête supplémentaire n’a été menée sur
la comparaison de la cohérence des politiques de confidentialité de la première et de la
seconde défenderesse. Ceci compte tenu de la qualification par le Service d’inspection de
cette dernière en tant que sous-traitant.57

152. La Chambre Contentieuse rappelle que la seconde défenderesse était également tenue de
respecter les obligations de transparence imposées par les articles 12 et suivants du RGPD. Il
convient de noter à cet égard que les contrats conclus entre la première et la seconde
défenderesse qualifiaient cette dernière de responsable du traitement et qu’elle devait donc
agir en conséquence en ce qui concerne les obligations de transparence imposées aux
responsables du traitement par le RGPD.

153. Vu que cet aspect n’a pas été approfondi par le Service d’inspection, aucune infraction ne peut
toutefois être constatée dans le chef de la seconde défenderesse à cet égard.

II.6. L’analyse d’impact relative à la protection des données (article 35 du RGPD)

Constatations du Service d’inspection

154. Dans son rapport d’enquête, le Service d’inspection constate plusieurs infractions concernant
l’analyse d’impact relative à la protection des données (AIPD) réalisée par la première
défenderesse :
- Tout d’abord, le Service d’inspection constate que cette AIPD ne contient
pas toutes les mentions requises par l’article 35.7 du RGPD.
- Deuxièmement, le Service d’inspection fait valoir que la première
défenderesse n’a pas suffisamment pris en compte le contexte du
traitement dans l’AIPD. À cet égard, le Service d’inspection indique plus

57
Voir le rapport d’enquête du Service d’inspection, p. 44.

Décision quant au fond 48/2022 - 45/74

précisément que l’AIPD n’a pas été utilisée comme un instrument
permettant de réévaluer les risques et l’efficacité du traitement litigieux.
- Troisièmement, le Service d’inspection indique dans son rapport
d’enquête que la première défenderesse nie sa responsabilité pour une
partie du traitement et a exclu cette partie du champ d’application de
l’AIPD.
- Quatrièmement, le Service d’inspection constate que la première
défenderesse n’a pas appliqué les trois éléments contenus dans l’article
24.1 du RGPD, à savoir (i) tenir compte du contexte, (ii) prendre des
mesures organisationnelles et (iii) évaluer et actualiser les mesures
techniques et organisationnelles.
- Cinquièmement, le Service d’inspection indique dans son rapport
d’enquête que le risque en fonction du type de traitement, notamment le
traitement de données relatives à la santé, a été insuffisamment examiné.
- Sixièmement, le Service d’inspection fait valoir que l’AIPD ne contient pas
une enquête adéquate sur les normes invoquées.
- Septièmement, le Service d’inspection indique que l’AIPD contient un
défaut méthodologique qui l’empêche d’examiner les risques pour les
droits et libertés des personnes physiques.
- Huitièmement, le Service d’inspection affirme que l’AIPD contient des
déclarations inexactes ou une présentation minimisante des faits.
- Neuvièmement, le Service d’inspection note dans son rapport d’enquête
que l’AIPD n’a pas fait l’objet d’un examen externe.

Moyens de défense de la première défenderesse

155. La première défenderesse fait valoir que ni le RGPD ni l’APD n’imposent ou ne proposent un
template pour l’élaboration d’une analyse d’impact sur la protection des données.

156. En ce qui concerne les constatations du Service d’inspection, la première défenderesse fait
valoir que :
- celle-ci contient bien toutes les mentions prescrites par l’article 35.7 du
RGPD. Dans sa réponse, la première défenderesse inclut à cet égard un
tableau récapitulatif de toutes les exigences ainsi que des mentions.
- le contexte du traitement était suffisamment exposé et qu’il n’était pas
nécessaire d’actualiser l’AIPD vu qu’aucune modification n’avait été
apportée au processus de contrôle de température depuis juin 2020.

Décision quant au fond 48/2022 - 46/74

- elle n’a pas intégré de déclarations inexactes dans l’AIPD.

Moyens de défense de la seconde défenderesse

157. En ce qui concerne les constatations du Service d’inspection concernant l’AIPD, la seconde
défenderesse déclare que :
- elle ne peut pas se prononcer sur l’AIPD réalisée par la première
défenderesse.
- elle estime que la réalisation d’une AIPD n’était pas nécessaire pour le
contrôle de seconde ligne vu que le traitement de données en question ne
relevait pas de l’article 35 du RGPD. À cet égard, la seconde défenderesse
fait en premier lieu valoir que le traitement de données relatives à la santé
dans le cadre de la seconde ligne de contrôle n’a pas été effectué à grande
échelle et renvoie, à cet égard, au considérant 91 du RGPD. Elle précise
qu’en moyenne huit passagers étaient soumis à ce contrôle. En second
lieu, la seconde défenderesse fait valoir que le traitement litigieux ne
relève d’aucun des cas de la liste des traitements pour lesquels, selon
l’Autorité de protection des données, une AIPD doit être effectuée
conformément à l’article 35.4 du RGPD.
- le fait qu’aucune AIPD n’ait été effectuée en ce qui concerne le contrôle
de seconde ligne ne signifie pas qu’aucune analyse (de risque) n’aurait eu
lieu à cet égard. Elle précise à cet égard que les processus relatifs au
traitement des données litigieux ont été soigneusement élaborés au
préalable, évalués et - le cas échéant - adaptés.

Analyse de la Chambre Contentieuse
Généralités

158. L’article 35 du RGPD énumère les cas dans lesquels l’exécution d’une AIPD est requise. En
particulier, la disposition précitée indique que « lorsqu’un type de traitement, en particulier par
le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte
et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et
libertés des personnes physiques, le responsable du traitement effectue, avant le traitement,
une analyse de l’impact des opérations de traitement envisagées sur la protection des
données à caractère personnel ».58

58
Article 35.1 du RGPD.

Décision quant au fond 48/2022 - 47/74

159. L’article 35.3 du RGPD prévoit qu’une AIPD est requise notamment dans les cas suivants :
a) l’évaluation systématique et approfondie d’aspects personnels concernant des
personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage,
et sur la base de laquelle sont prises des décisions produisant des effets juridiques à
l’égard d’une personne physique ou l’affectant de manière significative de façon similaire ;
b) le traitement à grande échelle de catégories particulières de données visées à l’article 9,
paragraphe 1, ou de données à caractère personnel relatives à des condamnations
pénales et à des infractions visées à l’article 10 ; ou
c) la surveillance systématique à grande échelle d’une zone accessible au public.

160. Conformément à l’article 35.4 du RGPD, l’Autorité de protection des données a également
publié sur son site internet une liste des types de traitements pour lesquels une analyse
d’impact sur la protection des données est également obligatoire. 59 Conformément à la liste
mentionnée ci-dessus, la réalisation d’une AIPD est également requise dans les cas suivants
notamment :
1) lorsque le traitement utilise des données biométriques en vue de l’identification unique
des personnes concernées se trouvant dans un lieu public ou dans un lieu privé accessible
au public ;
2) lorsque des données sont collectées à grande échelle auprès de tiers afin d’analyser ou
de prédire la situation économique, la santé, les préférences ou centres d’intérêt
personnels, la fiabilité ou le comportement, la localisation ou les déplacements de
personnes physiques ;
3) lorsque des données de santé d’une personne concernée sont collectées par voie
automatisée à l’aide d’un dispositif médical implantable actif ;
4) lorsque des données sont collectées à grande échelle auprès de tiers afin d’analyser ou
de prédire la situation économique, la santé, les préférences ou centres d’intérêt
personnels, la fiabilité ou le comportement, la localisation ou les déplacements de
personnes physiques ;
5) lorsque des catégories particulières de données à caractère personnel au sens de l’article
9 du RGPD ou des données de nature très personnelle (comme des données sur la
pauvreté, le chômage, l’implication de l’aide à la jeunesse ou le travail social, des données
sur les activités domestiques et privées, des données de localisation) sont échangées
systématiquement entre plusieurs responsables du traitement ;
6) lorsqu’il est question d’un traitement à grande échelle de données générées au moyen
d’appareils dotés de capteurs qui envoient des données via l’internet ou via un autre
moyen (applications de « l’Internet des objets », comme les télévisions intelligentes, les

59
https://www.autoriteprotectiondonnees.be/publications/decision-n-01-2019-du-16-janvier-2019.pdf

Décision quant au fond 48/2022 - 48/74

appareils ménagers intelligents, les jouets connectés, les « smart cities », les compteurs
d’énergie intelligents, etc.) et que ce traitement sert à analyser ou prédire la situation
économique, la santé, les préférences ou centres d’intérêt personnels, la fiabilité ou le
comportement, la localisation ou les déplacements de personnes physiques ;
7) lorsqu’il est question d’un traitement à grande échelle et/ou systématique de données de
téléphonie, d’internet ou d’autres données de communication, de métadonnées ou de
données de localisation de personnes physiques ou permettant de mener à des
personnes physiques (par exemple le tracking wifi ou le traitement de données de
localisation de voyageurs dans les transports publics) lorsque le traitement n’est pas
strictement nécessaire pour un service demandé par la personne concernée ;
8) lorsqu’il est question de traitements de données à caractère personnel à grande échelle
où le comportement de personnes physiques est observé, collecté, établi ou influencé, y
compris à des fins publicitaires, et ce de manière systématique via un traitement
automatisé.

161. En ce qui concerne l’utilisation de caméras thermiques, la Chambre Contentieuse rappelle que
le Contrôleur européen du traitement de la protection des données (CEPD) a déjà confirmé
explicitement dans un document de position daté du 1er février 2016 que la réalisation d’une
AIPD est requise à cet égard.60 En conséquence, la Chambre Contentieuse estime qu’une
AIPD devait effectivement être réalisée pour le traitement des données à caractère
personnel dans le cadre du contrôle de première ligne, par l’utilisation de caméras thermiques.

162. La Chambre Contentieuse souligne que la nécessité de procéder à une AIPD en l’espèce est
également confirmée par le considérant 91 du RGPD qui stipule : qu’« une analyse d’impact
relative à la protection des données devrait également être effectuée lorsque des données à
caractère personnel sont traitées en vue de prendre des décisions relatives à des personnes
physiques spécifiques à la suite d’une évaluation systématique et approfondie d’aspects
personnels propres à des personnes physiques sur la base du profilage desdites données ou
à la suite du traitement de catégories particulières de données à caractère personnel, de
données biométriques ou de données relatives à des condamnations pénales et à des
infractions, ou encore à des mesures de sûreté connexes ».

163. Il est constant en l’espèce que le traitement concerné porte sur des catégories particulières
de données (données relatives à la santé) et que, à tout le moins en ce qui concerne le
traitement lors d’un départ, il a pour effet de décider si les passagers peuvent ou non entrer
dans le terminal de l’aéroport.

60
https://edps.europa.eu/data-protection/our-work/publications/opinions-prior-check/use-thermal-imaging-cameras-
and-auto_en.

Décision quant au fond 48/2022 - 49/74

164. La Chambre Contentieuse ne se prononce pas en l’espèce sur la question de savoir si les
caméras thermiques utilisées doivent être considérées comme une « nouvelle technologie »
au sens de l’article 35.1 du RGPD, mais souligne que dans le cas présent, cela ne peut pas
conduire à une conclusion différente puisque, conformément à ce qui a été exposé ci-dessus,
une AIPD était nécessaire en l’espèce.

165. La Chambre Contentieuse évalue ci-dessous les différentes constatations du Service
d’inspection en ce qui concerne l’AIPD, à la lumière des moyens de défense des deux
défenderesses.

Constatation 1 : concernant l’obligation de réaliser une AIPD avant le début du traitement et
de prendre en compte le contexte du traitement dans l’AIPD (art. 35.1 du RGPD)

166. Selon l’article 35.1 du RGPD et le considérant 90 du RGPD, le responsable du traitement doit
d’abord effectuer l’AIPD avant le début du traitement des données à caractère personnel
concerné.

167. Le rapport d’enquête du Service d’inspection et les pièces du dossier montrent que la
première défenderesse a commencé à effectuer l’AIPD le 5 juin 2020 et que celle-ci s’est
achevée le 25 juin 2020. Le traitement concerné a commencé le 15 juin 2020. La première
défenderesse affirme à cet égard dans sa lettre datée du 15 novembre 2020 adressée au
Service d’inspection : « Pour le lancement du contrôle de température, l’AIPD a été élaborée,
sur le plan du contenu, avec les départements concernés chez [la première défenderesse],
comme le montre l’e-mail du 11 juin 2020 (annexe 1). La signature finale (signature officielle) a
eu lieu le 25 juin 2020 (annexe 2). Il faut tenir compte du fait que ce projet a été lancé au sein
de l’aéroport dans un délai très court. Le protocole décrivant le contrôle de température n’a
été porté à la connaissance de [la première défenderesse] que le 11 juin 2020 ».61

168. Le Service d’inspection relève également à cet égard qu’il ressort des pièces du dossier et de
la chronologie que la première défenderesse n’a décidé de réaliser une AIPD qu’après avoir
décidé de passer commande à X et à la seconde défenderesse dans le cadre du traitement
litigieux.62

61
Pièce 30 dossier Service d’inspection, p. 5.
62
Rapport d’enquête, p. 46-47.

Décision quant au fond 48/2022 - 50/74

169. Sur la base de ce qui précède, la Chambre Contentieuse estime que l’exigence de réaliser
l’AIPD avant le début du traitement des données à caractère personnel n’a pas été respectée,
puisque l’AIPD n’a été finalisée qu’après le début du traitement litigieux. Par conséquent, la
Chambre Contentieuse estime qu’il y a lieu de constater une infraction à l’article 35.1 du
RGPD dans le chef de la première défenderesse pour ne pas avoir terminé l’AIPD avant le
début du traitement litigieux.

170. L’article 35.1 (combiné à l’article 24 du RGPD) prévoit en second lieu que le responsable du
traitement, lors de la réalisation de l’AIPD, doit tenir compte de « la nature, de la portée, du
contexte et des finalités du traitement » afin d’évaluer le risque.

171. Dans son rapport d’enquête, le Service d’inspection constate à cet égard que la première
défenderesse n’a pas suffisamment pris en compte le contexte changeant lors de la
réalisation de l’AIPD et n’a pas suffisamment utilisé l’AIPD comme outil de réévaluation du
traitement litigieux.

172. À cet égard, la première défenderesse indique dans sa réponse qu’elle estime avoir
suffisamment décrit le traitement dans l’AIPD. Cela indique que pendant la période de
contrôle de la température, il n’était pas nécessaire d’actualiser l’AIPD car, depuis juin 2020,
il n’y a pas eu de changements dans le processus de contrôle de la température qui auraient
modifié les risques et que la nécessité du contrôle de la température est restée inchangée en
l’absence d’alternatives plus appropriées pour détecter le COVID-19 à l’aéroport.

173. En ce qui concerne ce deuxième aspect, la Chambre Contentieuse souligne que la réalisation
d’une AIPD ne doit en fait pas être considérée comme un exercice ponctuel, mais plutôt
comme un exercice continu, et que - dans le contexte de la responsabilité - il est de bonne
pratique de revoir et de réévaluer régulièrement une AIPD. À cet égard, il convient de se
référer à l’article 35.11 du RGPD et aux Guidelines on Data Protection Impact Assessment
(DPIA) and determining whether processing is “likely to result in a high risk” for the purposes
of Regulation 2016/679 du 4 avril 2017, selon lequel un réexamen de l’AIPD est approprié en
cas de « modification du risque présenté par les opérations de traitement ».63

174. Toutefois, en ce qui concerne ce deuxième aspect, la Chambre Contentieuse constate qu’en
l’espèce, il ne peut être établi que, entre le moment où l’AIPD a été réalisée en juin 2020 et
l’arrêt du traitement litigieux en janvier 2021, il y a eu une modification du risque lié au

63
Cf. article 35.11 in fine du RGPD et Groupe de travail 29, Guidelines on Data Protection Impact Assessment (DPIA) and
determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, 4 avril 2017, p.
12.

Décision quant au fond 48/2022 - 51/74

traitement précité qui nécessitait une révision de l’AIPD. Aucune infraction n’est donc
constatée à cet égard.

Constatations 2 et 3 : en ce qui concerne la délimitation du traitement dans l’AIPD (art. 35.7 du
RGPD) et maintien d’une partie du traitement hors du champ d’application

175. Conformément à l’article 35.7 du RGPD, l’AIPD doit contenir au moins les informations
suivantes :
a. une description systématique des opérations de traitement envisagées et des finalités du
traitement, y compris, le cas échéant, l’intérêt légitime poursuivi par le responsable du
traitement ;
b. une évaluation de la nécessité et de la proportionnalité des opérations de traitement au
regard des finalités ;
c. une évaluation des risques pour les droits et libertés des personnes concernées
conformément au paragraphe 1 ; et
d. les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et
mécanismes de sécurité visant à assurer la protection des données à caractère personnel
et à apporter la preuve du respect du présent règlement, compte tenu des droits et des
intérêts légitimes des personnes concernées et des autres personnes affectées.

176. Selon les constatations du Service d’inspection dans le rapport d’enquête, il n’a pas été
suffisamment satisfait à l’obligation de décrire et de délimiter le traitement litigieux (art. 35.7
a) du RGPD). À cet égard, le Service d’inspection indique que les contrôles de première et de
seconde ligne ne sont pas explicitement mentionnés, pas plus que le motif du traitement.64

177. Il ressort des pièces du dossier que l’AIPD décrit le traitement litigieux dans les onglets
intitulés « Identify the needs », « Information flows » et « DPIA » du document transmis par la
première défenderesse. À cet égard, le premier onglet mentionne : « Project Name :
Temperature Screening COVID19 ».

64
Rapport d’enquête, p. 49.

Décision quant au fond 48/2022 - 52/74

178. L’onglet « Information flow » mentionne : « Processor : X gets a notification as soon as a
passenger passed. X does not in any way process personal data for other use then sending
passenger on to additional check if required. They only register the number of passengers
going through the check. Also medical checks are done by medical staff and neither BAC or X
are involved. »65

179. L’onglet « DPIA » reprend des descriptions supplémentaires, telles que « In case of high
temperature the passenger is assisted towards medical staff that decides if a person is
allowed to continue his trip. Medical staff will perform an elaborate medical check by doing a
manual temperature check as well as other medical tests and an interview. »66

180. En ce qui concerne les finalités du traitement, il est constaté que l’onglet « DPIA », sous
l’évaluation des risques pour les droits et libertés des personnes concernées, indique : « (...)
purpose: detecting potential COVID19 cases ».

181. Sur la base de ce qui précède, la Chambre Contentieuse constate que les mentions requises
par l’article 35.1 a) du RGPD ne sont pas reprises de manière centralisée dans l’AIPD, ce qui ne
favorise pas la lisibilité. Il convient toutefois de noter que l’article 35 du RGPD n’impose
aucune exigence de forme particulière à cet égard et ne contient que les mentions
obligatoires. La Chambre Contentieuse ne constate donc aucune infraction à l’article 35.7 du
RGPD à cet égard.

182. Cependant, la Chambre Contentieuse note, tout comme le Service d’inspection dans son
rapport d’enquête67, que l’AIPD ne porte que sur le contrôle de première ligne (contrôle de la

65
Traduction libre : « Sous-traitant : X reçoit une notification lorsqu’un passager est passé. X ne traite en aucun cas les
données à caractère personnel à des fins autres que l’orientation du passager vers un contrôle supplémentaire si
nécessaire. Il enregistre uniquement le nombre de passagers passant par le contrôle. Des contrôles médicaux sont
également effectués par le personnel médical, mais ni BAC ni X n’y sont associés. »
66
Traduction libre : « En cas de température élevée, le passager est accompagné chez les membres du personnel médical
qui décide si la personne peut poursuivre son voyage. Le personnel médical effectue un contrôle médical étendu au moyen
d’un contrôle de température manuel et d’autres tests médicaux, ainsi que d’un entretien ».
67
Rapport d’enquête, p. 49-50.

Décision quant au fond 48/2022 - 53/74

température) et ne contient pas d’évaluation des risques concernant le contrôle de seconde
ligne.

183. Pour ce qui est de la question de savoir s’il y a lieu ou non de procéder à une AIPD en ce qui
concerne le contrôle de la seconde ligne, la première et la seconde défenderesse indiquent
dans leurs conclusions en réponse qu’il n’y a pas eu de traitement de données à caractère
personnel à grande échelle au sens de l’article 35 du RGPD et renvoient au considérant 91 du
RGPD, selon lequel le traitement de données à caractère personnel ne doit pas être considéré
comme un traitement à grande échelle lorsqu’il s’agit du traitement de données à caractère
personnel de patients ou de clients par un médecin individuel, un autre professionnel de la
santé ou un avocat. Selon les défenderesses, le traitement qui a été effectué dans le cadre du
contrôle de seconde ligne est donc comparable au traitement des données à caractère
personnel des patients par un médecin individuel et, par conséquent, une AIPD ne pouvait pas
être exigée pour le traitement effectué dans ce contexte. La première défenderesse fait en
outre valoir qu’il existe deux responsables du traitement distincts et qu’elle n’était pas
responsable du contrôle de seconde ligne. Elle n’était donc pas tenue de préparer une AIPD
pour ces opérations de traitement.

184. La Chambre Contentieuse rappelle que le traitement des données à caractère personnel lors
du contrôle de seconde ligne ne peut toutefois pas être considéré (exclusivement) comme un
traitement des données de patients par un médecin individuel. Dans ce contexte, il convient
de rappeler que le considérant 91 précité du RGPD indique également qu’« une analyse
d’impact relative à la protection des données devrait également être effectuée lorsque des
données à caractère personnel sont traitées en vue de prendre des décisions relatives à des
personnes physiques spécifiques à la suite d’une évaluation systématique et approfondie
d’aspects personnels propres à des personnes physiques sur la base du profilage desdites
données ou à la suite du traitement de catégories particulières de données à caractère
personnel, de données biométriques ou de données relatives à des condamnations pénales
et à des infractions, ou encore à des mesures de sûreté connexes ».68

185. La Chambre Contentieuse constate qu’en l’espèce, il y a bien un traitement de données à
caractère personnel (plus précisément de catégories particulières de données à caractère
personnel) sur la base duquel une décision a été prise à l’égard d’une personne physique
déterminée, à savoir la décision d’accorder ou non l’accès au terminal de l’aéroport à la
personne concernée. L’argument ci-dessus des défenderesses ne peut donc pas être
accepté.

68
C’est la Chambre Contentieuse qui souligne.

Décision quant au fond 48/2022 - 54/74

186. Quant à la question de savoir si le traitement était ou non à grande échelle, la Chambre
Contentieuse souligne tout d’abord qu’au moment où l’AIPD devait être effectuée par les
parties, on ne savait pas quel pourcentage des passagers soumis au contrôle de température
aurait une température corporelle de 38 °C ou plus et serait ensuite soumis au contrôle de
seconde ligne. Par conséquent, dans ce cas, il a fallu considérer que tous les passagers
contrôlés pouvaient potentiellement être concernés par ce traitement et prendre en compte
ce chiffre pour apprécier le caractère massif ou non du traitement.

187. En outre, il convient de noter que le caractère massif du traitement des catégories
particulières de données à caractère personnel n’est pas uniquement déterminé par le
nombre de personnes concernées. À cet égard, la seconde défenderesse souligne qu’en
moyenne, seules huit personnes ont été soumises au contrôle de seconde ligne, de sorte que
le traitement litigieux ne tombe pas sous le coup de l’article 35.3 b) du RGPD. Toutefois,
conformément aux lignes directrices du Groupe de travail 29, le caractère massif (ou non) du
traitement doit être évalué sur la base de plusieurs facteurs : (a) le nombre de personnes
concernées, (b) la quantité de données à caractère personnel et/ou la portée des données
concernées, (c) la durée ou le caractère continu de l’activité de traitement et (d) la portée
géographique du traitement.69

188. La Chambre Contentieuse a jugé que, par conséquent, il fallait procéder à une AIPD qui
comprenait également le traitement des données à caractère personnel dans le cadre du
contrôle de deuxième ligne. À cet égard, la Chambre Contentieuse se rallie également à la
constatation du Service d’inspection et estime qu’une infraction aux articles 35.1 et 35.3 du
RGPD a été commise dans le chef des deux défenderesses en raison de l’absence dans l’AIPD
d’une évaluation des risques liés à des traitements dans le cadre de la seconde ligne.

189. La Chambre Contentieuse constate que la seconde défenderesse, dans sa réponse, lors de
l’audience et dans sa réaction au formulaire de sanction, fait valoir qu’aucune infraction à
l’article 35 du RGPD ne pourrait être retenue contre elle vu que le rapport d’enquête ne
contiendrait aucune constatation à cet égard. La seconde défenderesse fait valoir que, de ce
fait, les charges retenues contre elle au titre de la disposition précitée n’ont pas été
déterminées clairement et définitivement lors de l’ouverture de la procédure devant la
Chambre Contentieuse, ce qui ne serait pas conforme à la jurisprudence de la Cour des
marchés.70 Il convient toutefois de noter que le rapport d’enquête du Service d’inspection
contient bien des constatations claires en fait et en droit à cet égard, indiquant, entre autres :

69
Groupe de travail 29, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is
“likely to result in a high risk” for the purposes of Regulation 2016/679, 4 avril 2017, p. 9.
70
Plus particulièrement : Cour des marchés de Bruxelles, le 24 février 2021 (2020/AR/1159).

Décision quant au fond 48/2022 - 55/74

« D’autre part, B-Art a confirmé ne pas avoir effectué d’analyse d’impact pour cette partie du
même traitement, car elle considère “qu’aucune analyse d’impact n’est exigée”, car cela ne
relèverait pas de l’article 35 du RGPD. La combinaison de ces deux éléments signifie que les
traitements les plus sensibles et les plus risqués sont actuellement totalement exclus de
l’AIPD (indépendamment de la question de savoir qui est responsable du traitement), car BAC
nie sa responsabilité et B-Art considère même qu’aucune analyse ne doit avoir lieu. »71

190. La Chambre Contentieuse rappelle en outre que dans les contrats conclus entre les deux
parties, la seconde défenderesse a été désignée comme seule responsable du traitement en
ce qui concerne le contrôle de seconde ligne et qu’elle était donc tenue, conformément à la
responsabilité contenue dans l’article 5.2 du RGPD, de respecter les dispositions du RGPD,
notamment l’article 35 du RGPD, et d’en apporter la preuve. En outre, la seconde
défenderesse a eu amplement l’occasion d’exercer ses droits de défense par rapport à la
charge mentionnée ci-dessus. Cette dernière a d’ailleurs fait usage de cette occasion. Par
conséquent, l’argument mentionné ci-dessus de la seconde défenderesse ne peut être
accepté.72

Constatation 4 : en ce qui concerne l’examen des normes invoquées

191. Conformément à l’article 35.10 du RGPD, si le traitement au titre de l’article 6.1 c) ou e) du
RGPD a pour base juridique le droit de l’Union ou le droit d’un État membre, il est supposé
qu’une AIPD générale est réalisée par l’autorité normative.

192. À cet égard, le Service d’inspection note dans son rapport d’enquête que l’autorité normative
n’a pas réalisé d’AIPD.

193. Dans l’AIPD réalisée par la première défenderesse, l’un des risques identifiés pour les droits
et libertés des personnes physiques est repris comme suit : “currently there is no legal
framework. No law exists that obligates or allows airports to check the temperature of
passengers”.73 La première défenderesse qualifie elle-même l’impact du risque précité de
« critical ». Dans la version initiale de l’AIPD transmise au Service d’inspection, la première
défenderesse ne fournit pas de solution à ce risque identifié. Dans la version de l’AIPD
soumise à la Chambre Contentieuse en annexe à la réponse, il est indiqué ce qui suit sous « risk
solution » : « Brussels Airport bases itself on a Ministerial Decree (AM du 23 mars 2020
contenant des mesures urgentes pour limiter la propagation du coronavirus COVID-19) and

71
Rapport d’enquête, p. 50.
72
Cf. réponse de la seconde défenderesse, marg. n° 57-59.
73
Cf. l’analyse d’impact relative à la protection des données de la première défenderesse, pièce 29, sous l’onglet « DPIA ».
Traduction libre : À l’heure actuelle, il n’existe aucun cadre juridique. Aucune loi n’oblige ou n’autorise les aéroports à
mesurer la température corporelle des passagers.

Décision quant au fond 48/2022 - 56/74

FAQ of the Centre de Crise national and a Protocol drafted by the Conseil de Sécurité for the
aviation industry in Belgium. »74 Toutefois, l’AIPD - contrairement aux réponses présentées
par la première et la seconde défenderesse - ne mentionne aucunement les directives
opérationnelles de l’AESA et de l’ECDC.

194. L’AIPD indique dans sa dernière version que le risque de ne pas disposer d’un cadre juridique
valide est réduit à 32 % (risque résiduel) par l’existence de l’Arrêté ministériel et du Protocole
mentionnés ci-dessus. L’absence de base juridique ne peut toutefois pas conduire à une telle
conclusion. Comme indiqué dans le rapport d’enquête établi par le Service d’inspection, la
seule conclusion concernant ce risque identifié devrait être « non tolerance ». En effet, le
traitement ne peut avoir lieu s’il n’existe pas de base juridique valable.

195. Sur la base de ce qui précède, il faut conclure que l’AIPD réalisée par la première défenderesse
ne contient pas un examen adéquat de (l’absence de qualité de) la norme invoquée et, par
conséquent, de la nécessité et de l’obligation du traitement qui lui incombe. En conséquence,
la Chambre Contentieuse juge qu’une infraction à l’article 35.7 du RGPD a été commise.

II.7. La position du délégué à la protection des données (articles 37-39 du RGPD)

Constatations du Service d’inspection
196. Dans son rapport d’enquête, le Service d’inspection constate que le délégué à la protection
des données de la première défenderesse a été entravé dans sa capacité à exercer ses
fonctions de manière indépendante au sens de l’article 39 du RGPD. Le Service d’inspection
fait valoir qu’il n’est donc pas démontré que l’article 37.5 RGPD a été respecté. 75

197. Le Service d’inspection fonde cette constatation notamment sur les éléments suivants :
▪ il note que le délégué à la protection des données - au moment de l’enquête d’inspection
- était encadré par deux « privacy platforms », à savoir le « Privacy comité » et le « Privacy
Watch and Action group », le Privacy Comité étant composé du Director Compliance &
Operations Continuity, du Director Legal & Regulations, du Chief Experience Officer, du
Head of Compliance & Certification Unit et du Data Protection Officer. Le Service
d’inspection indique que le Comité est donc composé de deux supérieurs du délégué ;

74
Traduction libre : Brussels Airport se base sur un Arrêté ministériel (AM du 23 mars 2020 contenant des mesures
urgentes pour limiter la propagation du coronavirus COVID-19) et sur les FAQ du Centre de Crise national et un Protocole
établi par le Conseil de Sécurité pour l’industrie aéronautique belge.
75
Rapport d’enquête, p. 67.

Décision quant au fond 48/2022 - 57/74

▪ que, selon le manuel, le Privacy Comité se voit confier certaines des tâches que le RGPD
attribue au délégué. Le Service d’inspection indique que le Privacy Comité « veille à
l’application de la réglementation relative à la vie privée et à la protection des données à
caractère personnel » alors que, selon l’article 39.1 b) du RGPD, il incombe au délégué de
veiller au respect du RGPD, et ce sans conflit d’intérêts (article 38.6 du RGPD).

Moyens de défense de la première défenderesse
198. La première défenderesse conteste la constatation précitée du Service d’inspection et
affirme dans sa réponse que76 :
- depuis le 1er janvier 2021, le délégué à la protection des données fait partie du
département « Legal & Regulations » ;
- le Privacy Comité n’exerce aucun contrôle sur le délégué à la protection des données et
n’influence en aucune façon ses décisions, mais a pour seul objectif de discuter des
dossiers en cours et des éventuels problèmes de protection des données ;
- le PRIMA (« Privacy Management Manual ») prévoit la possibilité pour le délégué à la
protection des données - en cas de conflit avec le comité - d’en référer au CEO. La
première défenderesse se réfère à cet égard à un rapport d’audit préparé par Grant
Thornton (avant l’enquête du Service d’inspection) dans lequel cette question est
abordée.
- BAC fait également référence aux nouvelles mesures introduites à la suite de l’enquête
d’inspection77, notamment une adaptation du PRIMA.

Analyse de la Chambre Contentieuse

199. Conformément à l’article 37.5 du RGPD, le délégué à la protection des données est « désigné
sur la base de ses qualités professionnelles et, en particulier, de ses connaissances
spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité
à accomplir les missions visées à l’article 39".

200. De l’avis de la Chambre Contentieuse, les documents soumis par la première défenderesse
au Service d’inspection en réponse aux questions posées par ce dernier 78 démontrent
suffisamment que le niveau de formation et l’expérience pratique du délégué à la protection
des données de la première défenderesse répondent aux exigences de la disposition
précitée. Il ressort de la lettre du 8 décembre 2020 adressée par la première défenderesse

76
Réponse de la première défenderesse, p. 41-45.
77
Ibid, marg. 69.
78
Pièces 33 et 34 (lettre du 8 décembre 2020).

Décision quant au fond 48/2022 - 58/74

au Service d’inspection et de ses annexes que l’intéressé est titulaire d’un diplôme de droit et
d’un certificat IAPP (CIPP/E et CIPM). L’intéressé dispose en outre d’une expérience
professionnelle pertinente. Par conséquent, la Chambre Contentieuse ne constate aucune
infraction à l’article 37.5 du RGPD.

201. Conformément à l’article 38.3 du RGPD, le responsable du traitement veille à ce que « le
délégué à la protection des données ne reçoive aucune instruction en ce qui concerne
l’exercice de ses missions ». Le considérant 97 du RGPD ajoute que les « délégués à la
protection des données, qu’ils soient ou non des employés du responsable du traitement,
devraient être en mesure d’exercer leurs fonctions et missions en toute indépendance ».

202. L’article 38.3 du RGPD stipule en outre que « le délégué à la protection des données fait
directement rapport au niveau le plus élevé de la direction du responsable du traitement ou
du sous-traitant ». Selon les Lignes directrices à l’intention des délégués à la protection des
données du Groupe de travail Article 29 sur la protection des données du 5 avril 2017, un tel
rapport direct permet d’assurer que la haute direction (par exemple le Conseil
d’administration) a connaissance des avis et recommandations du délégué à la protection des
données dans le cadre de sa mission d’informer et de conseiller le responsable du traitement
ou le sous-traitant.79

203. Sur la base des documents transmis par la première défenderesse - notamment le Privacy
Management Manual (PRIMA ; version du 25/03/2019) - la Chambre Contentieuse constate
que dans l’organigramme, le délégué à la protection des données de la première
défenderesse est sous la supervision hiérarchique du Head of Compliance and Certification
Unit, du Director Compliance and Operations Continuity et, enfin, du CEO, respectivement.
L’organigramme montre également une ligne pointillée directe du DPD à ce dernier.

79
Groupe de travail Article 29 Protection des données, Lignes directrices pour les délégués à la protection des données,
5 avril 2017, p. 19.

Décision quant au fond 48/2022 - 59/74

204. Par ailleurs, il ressort du PRIMA de la première défenderesse que son délégué à la protection
des données est encadré par deux plates-formes de concertation, à savoir le Privacy comité
ainsi que le Privacy Watch and Action Group.

205. En ce qui concerne l’exigence d’un rapport direct du délégué à la protection des données au
responsable hiérarchique le plus haut placé (art. 38.3, in fine RGPD), la Chambre Contentieuse
constate, sur la base des pièces du dossier, qu’il n’y a pas d’indices permettant de supposer
qu’en l’espèce cette exigence n’est pas remplie. La Chambre Contentieuse est d’avis qu’il
apparaît suffisamment qu’une ligne directe existe entre le DPD et le CEO du responsable du
traitement. Cela ressort tout d’abord de l’organigramme présenté ci-dessus (« dotted line »
entre les deux) ainsi que du PRIMA, dans lequel la description de poste de CEO indique qu’il
« [doit] établir et maintenir une “legal reporting line” avec le Délégué à la protection des
données désigné ». Le rapport d’audit réalisé début 2020 par Grant Thornton
Bedrijfsrevisoren CV le confirme également (« the DPO function has a legal reporting line to
CEO »).

206. De plus, en ce qui concerne ce rapport direct du DPD au CEO, la Chambre Contentieuse note
que, à la suite de l’enquête d’inspection, la première défenderesse a fait des efforts pour
renforcer davantage ce lien entre les parties mentionnées ci-dessus, en particulier 1) en
établissant un rapport annuel écrit par le délégué au CEO sur les principales activités de
l’année écoulée et 2) en organisant un entretien bimensuel entre le DPD et le CEO.

207. En ce qui concerne l’exigence d’indépendance du DPD contenue dans l’article 38.3 du RGPD,
la Chambre Contentieuse note que - au moment de l’enquête d’inspection - la relation avec le
délégué à la protection des données et sa position au sein des deux plates-formes de
concertation qui l’encadre n’étaient pas tout à fait claires. Dans son rapport d’enquête sur
cette relation entre le DPD et les plates-formes de concertation mentionnées ci-dessus, le

Décision quant au fond 48/2022 - 60/74

Service d’inspection note que le premier « participe à des comités qui se voient confier une
partie d’une mission de contrôle que le RGPD réserve au délégué, le Comité plaçant en outre
ses conclusions au-dessus de celles du délégué et assurant le suivi de ses “prestations” ».

208. La Chambre Contentieuse rappelle que l’exigence d’indépendance prévue par l’article 38.3 du
RGPD signifie, selon les Lignes directrices du Groupe de travail Article 29, que « dans
l’exercice de leurs fonctions, les délégués à la protection des données ne peuvent recevoir
aucune instruction sur la manière dont ils doivent traiter une question particulière, par
exemple sur le résultat auquel ils doivent parvenir, sur la manière dont ils doivent enquêter sur
une plainte, ou sur la nécessité de consulter ou non l’autorité de contrôle. En outre, ils ne
peuvent pas recevoir d’instructions pour adopter une position particulière sur une question
relative à la loi sur la protection des données, par exemple une interprétation spécifique de la
loi ». Le Groupe de travail 29 précise à cet égard que « le caractère autonome des délégués à
la protection des données ne [signifie] toutefois pas qu’ils disposent de pouvoirs de décision
autres que ceux requis pour leurs tâches en vertu de l’article 39 ».

209. En outre, le Groupe 29 indique ce qui suit dans ses lignes directrices :

« Si le responsable du traitement ou le sous-traitant prennent des décisions qui ne sont pas
conformes au règlement général sur la protection des données et à l’avis du délégué à la
protection des données, ce dernier doit avoir la possibilité d’exprimer clairement son avis
divergent au responsable hiérarchique le plus haut placé et à ceux qui prennent les décisions. »

210. Il découle donc des lignes directrices que lors de l’évaluation de l’indépendance du DPD, il faut
tenir compte de deux critères : premièrement, cette indépendance doit être appréciée de
manière concrète et in situ et il faut vérifier que le DPD n’a fait l’objet d’aucune influence ou
pression en ce qui concerne la manière dont il doit s’acquitter des tâches qui lui sont confiées en
vertu du RGPD. En d’autres termes, il s’agit de l’obligation de s’abstenir de toute ingérence dans
les tâches du DPD et de l’interdiction d’imposer des mesures de rétorsion à ce dernier.
Deuxièmement, le RGPD et les lignes directrices mentionnées ci-dessus contiennent une
obligation positive selon laquelle le responsable du traitement doit veiller à ce que le DPD puisse
rendre compte de ses vues et de son travail au plus haut niveau de la hiérarchie. Il s’agit d’une
forme supplémentaire de protection qui devrait permettre au délégué à la protection des
données de faire entendre sa voix au sein de l’organisation. Comme indiqué ci-dessus, la Chambre
Contentieuse estime que ce dernier critère est rempli.

211. En ce qui concerne le premier critère, il ressort des pièces du dossier que le Privacy Comité
précité a notamment pour mission de « [contrôler] l’application de la réglementation relative au
respect de la vie privée et à la protection des données à caractère personnel ». Conformément à

Décision quant au fond 48/2022 - 61/74

l’article 39 du RGPD, ce qui précède est en effet l’une des tâches du délégué à la protection des
données. Il ressort du rapport du Service d’inspection ainsi que des pièces transmises par la
première défenderesse que deux supérieurs hiérarchiques du délégué à la protection des
données (à savoir le Head of Compliance and Certification Unit et le Director Compliance and
Operations Continuity) siègent au Privacy Comité. Par conséquent, selon le Service d’inspection,
les fonctions du délégué à la protection des données et celles de ses supérieurs sont imbriquées,
ce qui signifie de facto que le DPD ne peut les exercer en toute indépendance.

212. Toutefois, la Chambre Contentieuse rappelle qu’il ne peut être déduit du seul fait que le DPO a
une certaine position dans l’organigramme ou dans les plates-formes de concertation au sein de
l’organisation que son indépendance serait altérée au sens de l’article 38 du RGPD. Les pièces du
dossier n’indiquent pas concrètement que l’indépendance aurait été compromise dans la pratique
par les circonstances mentionnées ci-dessus.

213. Comme déjà mentionné ci-dessus, la Chambre Contentieuse regrette cependant le manque de
clarté concernant la position du DPD par rapport aux plates-formes de concertation, ainsi que la
confusion créée par l’attribution formelle au Privacy Comité de tâches visées à l’article 39 du
RGPD.

214. Toutefois, la Chambre Contentieuse constate, à la lecture de la réponse de la première
défenderesse et des pièces jointes, que cette dernière a procédé à une série de changements
formels et pratiques à la suite des remarques formulées par le Service d’inspection dans son
rapport d’enquête. En particulier, la première défenderesse montre que plusieurs dispositions du
PRIMA portant sur ce point ont été modifiées afin d’assurer davantage l’indépendance du DPD.

215. La Chambre Contentieuse constate pour les raisons précitées que la première défenderesse n’a
pas enfreint les articles 37 et 38 du RGPD.

III. Infractions constatées et sanctions

216. Aux termes de l’article 100, § 1 de la LCA, la Chambre Contentieuse a le pouvoir de :

1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;

Décision quant au fond 48/2022 - 62/74

5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d’exercer ces droits ;
7° ordonner que l’intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l’interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l’effacement des données et la notification de
celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l’agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un
organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des
suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l’Autorité de
protection des données.

217. Quant aux amendes administratives qui peuvent être imposées conformément aux articles 58.2
i) et 83 du RGPD ainsi qu’aux articles 100, 13° et 101 de la LCA, l’article 83 du RGPD prévoit :

« 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu
du présent article pour des infractions du présent règlement visées aux paragraphes 4, 5 et 6
soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées
en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j).
Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de
l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments
suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la
finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le
niveau de dommage qu’elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;
e) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu
des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des
articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le

Décision quant au fond 48/2022 - 63/74

sous-traitant ;
f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à l’infraction et
d’en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et
dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à
l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le
respect de ces mesures ;
j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes
de certification approuvés en application de l’article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de l’infraction. »

218. La Chambre Contentieuse rappelle que l’amende administrative n’a pas pour but de mettre fin à
une infraction commise, mais bien de faire appliquer efficacement les dispositions du RGPD.
Comme il ressort clairement du considérant 148, le RGPD prévoit des sanctions, y compris des
amendes administratives, pour chaque violation grave - même s’il s’agit d’une première violation
(constatée) - en plus ou en remplacement des mesures appropriées qui sont imposées par
l’autorité de contrôle.80 Le considérant mentionné ci-dessus prévoit deux cas dans lesquels il est
possible de renoncer à une amende, à savoir en cas de violations mineures ou lorsque l’amende
imposerait une charge disproportionnée à une personne physique. Dans les deux cas précités,
selon le considérant 148, l’amende peut être remplacée par un rappel à l’ordre. Le fait qu’il s’agisse
de la première constatation d’un violation du RGPD dans le chef du responsable du traitement ne
porte nullement préjudice à la possibilité pour la Chambre Contentieuse d’imposer une amende
administrative. Comme indiqué, l’instrument des amendes administratives n’est pas destiné à
mettre fin aux infractions. À cette fin, le RGPD et la LCA prévoient diverses mesures correctives,
dont les ordres visés à l’article 100, § 1, 8° et 9°, de la LCA.

80
Le considérant 148 du RGPD est libellé comme suit : « Afin de renforcer l’application des règles du présent règlement,
des sanctions y compris des
amendes administratives devraient être infligées pour toute violation du présent règlement, en complément ou à la place
des
mesures appropriées imposées par les autorités de contrôle en vertu du présent règlement.
En cas de violation mineure ou si l’amende susceptible d’être imposée constitue une charge disproportionnée
pour une personne physique, un rappel à l’ordre peut être adressé plutôt qu’une amende. Il
convient toutefois de tenir dûment compte de la nature, de la gravité et de la durée de la violation, du
caractère intentionnel de la violation et des mesures prises pour atténuer le dommage subi, du degré de responsabilité
ou de toute violation pertinente commise précédemment, de la manière dont l’autorité de contrôle
a eu connaissance de la violation, du respect des mesures ordonnées à l’encontre du responsable du traitement ou du
sous-traitant, de l’application d’un code de conduite, et de toute autre circonstance aggravante ou
atténuante. L’application de sanctions y compris d’amendes administratives devrait faire l’objet de
garanties procédurales appropriées conformément aux principes généraux du droit de l’Union et de la Charte,
y compris le droit à une protection juridictionnelle effective et à une procédure régulière. »

Décision quant au fond 48/2022 - 64/74

219. En l’espèce, la Chambre Contentieuse constate les infractions suivantes :

En ce qui concerne la première défenderesse :
a. articles 5.1 c), 6.1 e) et 9. 2 g) du RGPD, vu que la défenderesse n’a pas indiqué,
dès le début de la procédure devant l’APD (et, a fortiori, dès le début du traitement
litigieux), le fondement juridique sur lequel elle se fondait pour le traitement et vu
qu’il n’est pas démontré que le traitement litigieux est nécessaire pour des motifs
(importants) d’intérêt public, conformément au droit de l’Union européenne ou au
droit d’un État membre, comme l’exigent les dispositions précitées. En outre, les
fondements juridiques invoqués par la partie défenderesse (à savoir l’AR
octroyant la licence d’exploitation, l’Arrêté ministériel du 5 juin 2020 relatif aux
mesures urgentes visant à limiter la propagation du coronavirus COVID-19, la loi
du 31 décembre 1963 relative à la protection civile [telle que remplacée par la loi
du 15 mai 2007] et le Protocole de l’aviation commerciale du 11 juin 2020) ne
répondent pas aux exigences de l’article 6.1 e) combiné à l’article 6.3 du RGPD.
Enfin, les normes invoquées mentionnées ci-dessus ne prévoient pas non plus le
traitement des données à caractère personnel dans le cadre du contrôle de
deuxième ligne - avec une période de conservation de cinq ans. Conformément à
la responsabilité stipulée par l’article 5.2 combiné à l’article 24 du RGPD, il
incombe au(x) responsable(s) du traitement de s’assurer qu’ils disposent d’une
base juridique valable avant de commencer le traitement.

b. article 12 combiné aux articles 13.1 c) et 13.2 e) du RGPD, étant donné que la
politique de confidentialité de Brussels Airport Company SA n'indiquait pas
clairement la base juridique utilisée. La politique de confidentialité ne fait qu’une
référence générale aux « obligations légales et aux tâches d’intérêt général », mais
ne précise pas lequel des cas énumérés à l’article 6 du RGPD (art. 6.1 c) ou 6.1 e)
du RGPD) était applicable au traitement litigieux. Le texte ne mentionne pas non
plus les normes qui ont ensuite été indiquées au cours de la procédure devant la
Chambre Contentieuse comme étant la base juridique du traitement litigieux, au
sens des articles 6.1 e) combinés aux articles 6.3 du RGPD et 9.2 g) du RGPD (à
savoir l’AR octroyant la licence d’exploitation, l’Arrêté ministériel du 5 juin 2020
relatif aux mesures urgentes visant à limiter la propagation du coronavirus
COVID-19, la loi du 31 décembre 1963 relative à la protection civile [telle que
remplacée par la loi du 15 mai 2007] et le Protocole de l’aviation commerciale du
11 juin 2020).

Décision quant au fond 48/2022 - 65/74

c. articles 35.1, 35.3 et 35.7 b) du RGPD, pour avoir omis de procéder à une analyse
d’impact sur la protection des données concernant les risques liés au traitement
des données à caractère personnel dans le cadre du contrôle de seconde ligne et
pour avoir omis de procéder à un examen adéquat des normes invoquées et de la
nécessité et de l’obligation de traitement qui en découlent.

En ce qui concerne la seconde défenderesse :
a. articles 5.1 c), 6.1 e) et 9. 2 g) du RGPD, vu qu’il n’a pas été démontré que le traitement
litigieux des données à caractère personnel est nécessaire pour des motifs (importants)
d’intérêt public en vertu du droit de l’Union européenne ou du droit d’un État membre,
comme l’exigent les dispositions mentionnées ci-dessus. En outre, les bases juridiques
invoquées par la défenderesse (à savoir l’AR octroyant la licence d’exploitation, l’Arrêté
ministériel du 5 juin 2020 relatif aux mesures urgentes visant à limiter la propagation du
coronavirus COVID-19, la loi du 31 décembre 1963 relative à la protection civile [telle que
remplacée par la loi du 15 mai 2007] et le Protocole de l’aviation commerciale du 11 juin
2020) ne satisfont pas aux exigences de l’article 6.1 e) combiné à l’article 6.3 du RGPD.
Enfin, les normes invoquées mentionnées ci-dessus ne prévoient pas non plus le
traitement des données à caractère personnel dans le cadre du contrôle de deuxième
ligne - avec une période de conservation de cinq ans. Conformément à la responsabilité
stipulée par l’article 5.2 combiné à l’article 24 du RGPD, il incombe au(x) responsable(s)
du traitement de s’assurer qu’ils disposent d’une base juridique valable avant de
commencer le traitement.

b. articles 35.1 et 35.3 du RGPD, pour avoir omis de procéder à une analyse d’impact sur la
protection des données concernant les risques liés au traitement des données à
caractère personnel dans le cadre du contrôle de seconde ligne.

220. Conformément à l'article 101 de la LCA, la Chambre Contentieuse décide d'imposer une amende
administrative à la première défenderesse pour les infractions aux articles 5.1 c), 6.1 e), 9.2 g), 12
combinés aux articles 13.1 c) et 13.2 e), 35.1, 35.3 et 35.7 b) du RGPD, et à la seconde défenderesse
pour les infractions aux articles 5.1 c), 6.1 e), 9.2 g) du RGPD, 35.1 et 35.3 du RGPD.

221. Compte tenu de l’article 83 du RGPD 81, la Chambre Contentieuse motive concrètement
l’imposition d’une amende administrative en tenant compte des éléments suivants :

En ce qui concerne la première défenderesse :
a) la nature, la gravité et la durée de l’infraction (art. 83.2 a) RGPD) : les infractions constatées
concernent notamment une violation des dispositions du RGPD relatives aux principes de

81
Cour d’appel de Bruxelles (section Cour des marchés), X c. RGPD, Arrêt 2020/1471 du 19 février 2020.

Décision quant au fond 48/2022 - 66/74

protection des données (art. 5 RGPD) et la licéité du traitement (art. 6 du RGPD). Une
violation des dispositions mentionnées ci-dessus donne lieu aux amendes les plus
élevées conformément à l’article 83.5 du RGPD.
Les infractions constatées concernent également une violation des dispositions relatives
aux obligations de transparence (art. 12-14 du RGPD). Le respect des dispositions
mentionnées ci-dessus est essentiel et doit avoir lieu au plus tard au début du traitement
des données à caractère personnel. Ceci notamment pour faciliter l’exercice des droits
des personnes concernées.

Le traitement en termes de nombre de personnes concernées est important. Selon les
déclarations faites par la première défenderesse à l’audience, entre le 15 juin 2020 et le
21 janvier 2021, le nombre de personnes concernées était d’environ 840 000 en ce qui
concerne le contrôle de première ligne (contrôle de température) ; 827 personnes ont été
soumises au contrôle de seconde ligne.

b) les infractions antérieures pertinentes commises par les responsables du traitement (art.
83.2 e) du RGPD) : le défendeur n’a jamais fait l’objet d’une procédure coercitive par
l’Autorité de protection des données.

c) les catégories de données à caractère personnel concernées par l’infraction (art. 83.2 g)
du RGPD) : les violations constatées concernent des catégories particulières de données
à caractère personnel au sens de l’article 9 du RGPD, en particulier les données relatives
à la santé des personnes concernées. Les catégories de données à caractère personnel
mentionnées ci-dessus bénéficient d’une protection particulière en vertu du RGPD.

d) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l’espèce (art. 83.2 k) du RGPD) : la partie défenderesse n’a pas tiré de profit des
traitements ni des infractions.

En ce qui concerne la seconde défenderesse :
a) la nature, la gravité et la durée de l’infraction (art. 83.2 a) RGPD) : les infractions constatées
concernent notamment une violation des dispositions du RGPD relatives aux principes de
protection des données (art. 5 RGPD) et la licéité du traitement (art. 6 du RGPD). Une
violation des dispositions mentionnées ci-dessus donne lieu aux amendes les plus
élevées conformément à l’article 83.5 du RGPD.
La portée du traitement en termes de nombre de personnes concernées est étendue.
Selon les déclarations faites par la première défenderesse lors de l’audience,

Décision quant au fond 48/2022 - 67/74

827 personnes ont été soumises au contrôle de seconde ligne entre le 15 juin 2020 et le
21 janvier 2021.

b) les infractions antérieures pertinentes commises par les responsables du traitement (art.
83.2 e) du RGPD) : le défendeur n’a jamais fait l’objet d’une procédure coercitive par
l’Autorité de protection des données.

c) les catégories de données à caractère personnel concernées par l’infraction (art. 83.2 g)
du RGPD) : les infractions constatées concernent des catégories particulières de données
à caractère personnel au sens de l’article 9 du RGPD, en particulier les données relatives
à la santé des personnes concernées. Les catégories de données à caractère personnel
mentionnées ci-dessus bénéficient d’une protection particulière en vertu du RGPD.

d) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l’espèce (art. 83.2 k) du RGPD) : la partie défenderesse n’a pas tiré de profit des
traitements ni des infractions.

222. Les éléments exposés ci-dessus justifient une sanction effective, proportionnée et dissuasive,
telle que visée à l’article 83 du RGPD.

223. Le 9 février 2022, un formulaire de sanction (« formulaire de réaction contre la sanction
envisagée ») a été envoyé à la première et à la deuxième défenderesse. Les deux défenderesses
ont transmis leur réaction concernant le contenu du formulaire mentionné ci-dessus
respectivement le 25 février et le 2 mars 2022.

224. La première défenderesse, dans sa réaction au formulaire de sanction, déclare en résumé que :

1) le traitement en question s’inscrivait dans le cadre d’une situation de crise (pandémie de
COVID-19) et qu’il a été imposé par le SPF Mobilité et Transports par le biais du Protocole
« Aviation commercial passagers », qui a été émis le 11 juin 2020 en vue de relancer le
secteur de l’aviation ;
2) l’appréciation de la légitimité et de la proportionnalité ne peut se faire a posteriori ;
3) le contrôle de la température était une pratique très courante dans les aéroports à l’époque
des traitements litigieux ;
4) elle a agi de bonne foi et n’a tiré aucun profit du traitement litigieux, et qu’elle a investi
1 920 004 euros dans les contrôles de température ;
5) la première défenderesse a agi sur la base de la conviction d’être la seule responsable du
contrôle de première ligne ;
6) la première défenderesse a toujours coopéré pleinement pendant la procédure devant
l’APD ;

Décision quant au fond 48/2022 - 68/74

7) le principe de proportionnalité a été respecté par la courte durée du traitement ainsi que par
la courte période de conservation des données à caractère personnel ; et
8) ce qui est proposé est disproportionné au regard de la situation financière actuelle de la
première défenderesse, du caractère non intentionnel de l’infraction et du fait qu’aucune
alternative n’était disponible. La première défenderesse affirme avoir réalisé une perte de
147 millions d’euros en 2020 et de 92 millions d’euros en 2021.

225. La Chambre Contentieuse considère que les arguments 1 à 3 de la première défenderesse ont
déjà été traités au point II.3. de la présente décision. 82 En ce qui concerne les autres arguments, la
Chambre Contentieuse constate qu’ils ont déjà été soulevés plus tôt dans la procédure et ont déjà
été pris en compte lors de la détermination de l’amende administrative en vertu de l’article 83.2
du RGPD.

226. En ce qui concerne l'argument soulevé par la première défenderesse concernant le caractère
prétendument disproportionné de l'amende administrative, la Chambre Contentieuse rappelle
qu'en vertu de l'article 83.4 du RGPD, les infractions aux articles 12, 13.1 c), 13.2 e), 35.1, 35.3 et
35.7 du RGPD sont passibles d'une amende administrative pouvant aller jusqu'à 10 000 000 EUR
ou 2 % du chiffre d'affaires annuel total de l'exercice précédent. Conformément à l’article 83.5 du
RGPD, les infractions aux articles 5.1, 6.1 et 9.2 du RGPD sont passibles d’amendes
administratives pouvant aller jusqu’à 20 000 000 EUR ou 4 % du chiffre d’affaires annuel total de
l’exercice précédent.

227. La Chambre Contentieuse se base - comme le prévoient les articles 83.4 et 83.5 du RGPD - sur le
chiffre d’affaires annuel de l’exercice précédent (en l’occurrence 2020) pour déterminer le
montant de l’amende administrative. D’après les conclusions soumises et les comptes annuels
déposés auprès de la Banque Nationale de Belgique (BNB) par la première défenderesse, la
Chambre Contentieuse constate que le chiffre d’affaires annuel de l’exercice 2020 pour cette
dernière s’élève à 204 318 091,00 EUR.

228. La Chambre Contentieuse décide de maintenir l’amende administrative de 200 000 EUR
annoncée dans le formulaire de sanction. Elle souligne que l’amende précitée est nettement
inférieure aux montants maximaux de 10 000 000 et 20 000 000 d’euros prévus aux articles
83.4 et 83.5 du RGPD. En outre, l’amende ne s’élève qu’à 0,10 % du chiffre d’affaires annuel de la
première défenderesse, ce qui est nettement inférieur aux pourcentages maximaux mentionnés
ci-dessus de 2 et 4 % prévus aux articles 83.4 et 83.5 du RGPD, qui n’ont d’ailleurs force de loi
que pour les amendes dépassant les montants maximaux précités.

82
La Chambre Contentieuse transmettra à cet égard une copie de la présente décision au ministre compétent.

Décision quant au fond 48/2022 - 69/74

229. En ce qui concerne l’argument de la première défenderesse selon lequel l’amende administrative
en l’espèce est plus élevée que dans des décisions antérieures de la Chambre Contentieuse, il
convient de noter que, selon l’article 83.2 du RGPD et les Lignes directrices du Groupe de travail
2983, les amendes sont imposées « en fonction des circonstances du cas concret ».

230. Par ailleurs, la Chambre Contentieuse renvoie à cet égard à la jurisprudence de la Cour d’appel de
Bruxelles, section Cours des Marchés, selon laquelle « le système juridique belge [n’accorde] pas
de valeur de précédent contraignant aux décisions administratives ou judiciaires. Toute décision
d’un juge (et cela vaut également pour toute décision d’une autorité administrative, pour autant
qu’il n’y ait pas violation du principe d’égalité) est spécifique et ne s’étend pas à un autre cas que
celui qui est examiné ».84 En ce qui concerne le montant de l’amende administrative imposée, la
Cour des marchés a également rappelé la marge d’appréciation de la Chambre Contentieuse :
« Cela signifie en pratique que l’APD peut décider non seulement de ne pas infliger d’amende au
contrevenant, mais aussi que, si elle décide d’infliger une amende, celle-ci se situera entre le
minimum, à partir de 1 EUR, et le maximum prévu. L’amende imposée est décidée par l’APD en
tenant compte des critères énumérés à l’article 83, paragraphe 2 du RGPD ».85

231. En ce qui concerne le dernier argument de la première défenderesse à propos des pertes qu’elle
a subies - qui feraient que le chiffre d’affaires de 2020 fausse sa situation financière - la Chambre
Contentieuse rappelle que c’est le chiffre d’affaires qui est utilisé comme critère pour calculer les
amendes administratives en vertu de l’article 83 du RGPD et non le résultat d’exploitation.

232. La seconde défenderesse, dans sa réponse au formulaire de sanction, déclare en résumé que :

1) poursuivre et condamner cette dernière serait contraire aux droits de la défense. Plus
précisément, la seconde défenderesse fait valoir que le rapport d’enquête du Service
d’inspection ne permet pas d’établir une quelconque infraction dans son chef. La
seconde défenderesse rappelle qu’elle est qualifiée de sous-traitant dans le rapport
précité. En outre, elle se réfère à la jurisprudence de la Cour des marchés et notamment
à son arrêt du 24 février 2021, et précise qu’il résulte de l’arrêt précité que la partie
faisant l’objet d’une poursuite doit être informée dès le début de la procédure devant la
Chambre Contentieuse, de manière complète et définitive, des éléments factuels et
juridiques qui lui sont reprochés ;
2) d’après les éléments repris dans le formulaire de réaction contre la sanction envisagée,
elle ne serait pas en mesure de formuler une réponse appropriée et étayée. La seconde

83
Groupe de travail Article 29 Protection des données, Guidelines on the application and setting of administrative fines
for the purposes of Regulation 2016/679, 3 octobre 2017.
84
Cour d’appel de Bruxelles (section Cour des marchés), SA N.D.P.K. c. APD, Arrêt 2021/AR/320 du 7 juillet 2021, p. 12.
85
Ibid., p. 42.

Décision quant au fond 48/2022 - 70/74

défenderesse fait valoir que le formulaire précité est trop sommaire et ne permet pas
de connaître les motifs précis de l’imposition des sanctions envisagées par la Chambre
Contentieuse ;
3) L’amende proposée serait disproportionnée par rapport au fait que (1) le traitement de
données a été considéré comme évident par les autorités belges compétentes, par
d’autres aéroports et par les passagers eux-mêmes ; (2) la protection de la santé
publique était la seule raison du traitement ; (3) elle considère qu’elle est ainsi
sanctionnée en raison de l’action inadéquate et de l’inertie du législateur ; et (4) aucune
plainte n’a été déposée contre le traitement litigieux par une personne concernée et
aucun préjudice n’a été subi par une personne concernée ;
4) L’activité de traitement litigieux ne concerne qu’une partie limitée du chiffre d’affaires
de la seconde défenderesse et, par conséquent, la totalité du chiffre d’affaires annuel ne
peut être prise en compte pour déterminer l’amende administrative.

233. La Chambre Contentieuse considère que le troisième argument de la seconde défenderesse a
déjà été traité au titre II.3 de la présente décision.

234. En ce qui concerne le premier argument de la seconde défenderesse, la Chambre Contentieuse
relève tout d’abord que le rapport d’enquête du Service d’inspection contient bien des
constatations concernant les infractions qui sont reprochées à la seconde défenderesse, à savoir
le non-respect des principes relatifs au traitement des données à caractère personnel et à la
licéité du traitement litigieux, ainsi que des dispositions relatives à l’AIPD. À cet égard, la Chambre
Contentieuse se réfère tout d’abord aux sections 3.4 et 3.5 du rapport d’enquête. Le Service
d’inspection déclare par la présente qu’en ce qui concerne la licéité du traitement litigieux (art. 5.1
c), 6.1 et 9.2 du RGPD), entre autres, en ce qui concerne la seconde défenderesse : « Le traitement
dans le chef de BAC n’ayant pas de base selon l’article 6 du RGPD (voir constatation 12), B-Art
peut difficilement se prévaloir de la même base. »86

Dans la partie du rapport d’enquête concernant les constatations relatives à l’analyse d’impact
sur la protection des données (section 3.7), le rôle de la seconde défenderesse est également
mentionné (cf. « D’autre part, B-Art a confirmé ne pas avoir effectué d’analyse d’impact pour cette
partie du même traitement, car elle considère “qu’aucune analyse d’impact n’est exigée”, car cela
ne relèverait pas de l’article 35 du RGPD. La combinaison de ces deux éléments fait que les
opérations les plus sensibles et les plus risquées sont actuellement totalement exclues de l’AIPD
(indépendamment de la question de savoir qui
est responsable du traitement), car BAC nie sa responsabilité et B-Art considère même qu’il n’y a
pas lieu de procéder à une analyse »87). Par conséquent, la seconde défenderesse ne peut en

86
Rapport d’enquête, p. 38.
87
Rapport d’enquête, p. 50.

Décision quant au fond 48/2022 - 71/74

aucun cas soutenir que la Chambre Contentieuse a ajouté de nouvelles charges à la procédure,
contre lesquelles elle n’aurait pas été en mesure de se défendre.

235. En réponse à l’argument de la seconde défenderesse concernant le fait qu’elle a été qualifiée de
sous-traitant dans le rapport d’enquête, la Chambre Contentieuse rappelle qu’elle n’est pas liée
par ces constatations. Au contraire, il appartient justement à la Chambre Contentieuse
d’apprécier la justesse des constatations, notamment à la lumière des moyens de défense
présentés en réponse au rapport d’enquête. À cet égard, il convient également de souligner que
la jurisprudence de la Cour des marchés invoquée par la seconde défenderesse implique que la
Chambre Contentieuse ne peut pas se saisir de nouvelles charges, car cela constituerait une
violation des droits de la défense des parties défenderesses. À cet égard, la Chambre
Contentieuse rappelle qu’en l’espèce, aucune nouvelle infraction n’a été constatée et que le
prononcé ne porte que sur les violations alléguées du RGPD déjà contenues dans le rapport
d’enquête du Service d’inspection (voir ci-dessus).

236. Il convient de relever que, dans les contrats conclus entre les deux parties, la seconde
défenderesse était elle-même qualifiée par ces dernières de responsable du traitement pour le
contrôle dit « de seconde ligne » et pouvait donc être présumée d’agir en tant que telle au sens de
l’article 5.2 du RGPD. Par ailleurs, il ressort des pièces du dossier que la seconde défenderesse
n’a nullement contesté son statut de responsable du traitement au début de la procédure. 88

237. En outre, la seconde défenderesse a amplement eu la possibilité de se défendre - tant par écrit
qu’oralement - pendant la procédure devant l’APD concernant les infractions alléguées. La
seconde défenderesse a également fait usage de cette possibilité, tant lors des contacts avec le
Service d’inspection que par la présentation de sa réponse en date du 2 avril 2021 et lors de
l’audience.

238. Contrairement à ce que la seconde défenderesse affirme dans sa réaction au formulaire de
sanction, elle était effectivement au courant du fait que la responsabilité du traitement dans le
cadre du traitement litigieux faisait l’objet d’un débat pendant la procédure devant la Chambre
Contentieuse. Dans sa réponse, la première défenderesse a contesté l’analyse selon laquelle la
seconde défenderesse devait être qualifiée de sous-traitant. Ce point a également été largement
discuté lors de l’audience devant la Chambre Contentieuse, où la seconde défenderesse a déclaré
être d’avis que les deux analyses - tant celle reprise dans les contrats que la qualification par le

88
À cet égard, il est possible de se référer, entre autres, à la lettre datée du 30 septembre 2020 avec les réponses aux
questions du Service d’inspection que la seconde défenderesse a adressées au service précité.

Décision quant au fond 48/2022 - 72/74

Service d’inspection - étaient défendables, et ce selon le niveau de détail avec lequel la finalité du
traitement est déterminée.89

239. En ce qui concerne le deuxième argument de la seconde défenderesse à propos du formulaire de
sanction, la Chambre Contentieuse rappelle que ni le RGPD ni la LCA ne contiennent une
obligation d’accorder en plus aux parties la possibilité de présenter des moyens de défense
concernant (le montant de) la ou des sanctions envisagées. Toutefois, la Chambre Contentieuse
a prévu cette possibilité de sa propre initiative en vue d’assurer une protection maximale des
droits de la défense, conformément à la jurisprudence de la Cour d’appel de Bruxelles, Section
Cour des marchés, en la matière. La Chambre Contentieuse n’est toutefois pas tenue, ni en vertu
du RGPD ou de la LCA, ni en vertu de la jurisprudence précitée de la Cour des marchés, de
soumettre la motivation de la présente décision aux parties défenderesses avant de prendre la
décision en question.

240. En ce qui concerne l’argument de la seconde défenderesse relatif au caractère disproportionné
de l’amende administrative, la Chambre Contentieuse rappelle qu’en vertu de l’article 83.4 du
RGPD, les infractions aux articles 35.1 et 35.7 du RGPD sont passibles d’amendes administratives
pouvant aller jusqu’à 10 000 000 EUR ou 2 % du chiffre d’affaires annuel total de l’exercice
précédent. Conformément à l’article 83.5 du RGPD, les infractions aux articles 5.1, 6.1 et 9.2 du
RGPD sont passibles d’amendes administratives pouvant aller jusqu’à 20 000 000 EUR ou 4 %
du chiffre d’affaires annuel total de l’exercice précédent.

241. La Chambre Contentieuse estime qu’elle peut se baser sur le chiffre d’affaires annuel de
l’exercice 2020 de la seconde défenderesse pour fixer le montant de l’amende administrative.
242. Sur la base des conclusions introduites ainsi que des comptes annuels déposés auprès de la
Banque Nationale de Belgique (BNB), la Chambre Contentieuse constate que le chiffre d’affaires
annuel de l’exercice 2020 s’élève à 15 195 338 EUR.

242. La Chambre Contentieuse décide de maintenir l’amende administrative de 20 000 euros prévue
dans le formulaire de sanction. Elle souligne que l’amende précitée est nettement inférieure aux
montants maximaux de 10 000 000 et 20 000 000 d’euros prévus aux articles 83.4 et 83.5 du
RGPD. En outre, l’amende ne s’élève qu’à 0,10 % du chiffre d’affaires annuel de la première
défenderesse, ce qui est nettement inférieur aux pourcentages maximaux mentionnés ci-dessus
de 2 et 4 % prévus aux articles 83.4 et 83.5 du RGPD, qui n’ont d’ailleurs force de loi que pour les
amendes dépassant les montants maximaux précités.

89
Cf. procès-verbal de l’audience daté du 8 septembre 2021.

Décision quant au fond 48/2022 - 73/74

243. S’agissant de l’argument de la seconde défenderesse selon lequel seule une petite partie de son
chiffre d’affaires concernerait l’activité de traitement litigieuse et que les autres activités n’ont
pas fait l’objet d’une enquête du Service d’inspection, la Chambre Contentieuse rappelle que
l’article 83 du RGPD ne mentionne pas une telle circonstance comme critère à prendre en compte
lors de l’imposition d’amendes administratives par l’autorité de surveillance.

244. La Chambre Contentieuse souligne également que les autres critères énoncés à l’article 83.2 du
RGPD ne sont pas de nature en l’espèce à entraîner des amendes administratives autres que celle
que la Chambre Contentieuse a fixée dans le cadre de la présente décision.

245. Pour les infractions aux articles 5.2, 24 et 35.1 du RGPD, la Chambre Contentieuse décide, en
vertu de l’article 100, §1, 5° de la LCA, d’adresser un rappel à l’ordre à la première défenderesse.

IV. Publication de la décision

246. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision sera publiée sur le site internet de l’Autorité de protection des
données conformément à l’article 95, §1, 8° de la LCA, en mentionnant les données
d’identification de la première et de la seconde défenderesse, et ce en raison de la spécificité de
la présente décision - qui conduit au fait que même en cas d’omission des données
d’identification, la réidentification est inévitable - ainsi que de l’intérêt général de cette décision.

Décision quant au fond 48/2022 - 74/74

PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, après délibération :
- en vertu de l'article 58.2 du RGPD et de l'article 100, § 1, 13° de la LCA, d'infliger une
amende administrative de 200 000 EUR à la première défenderesse pour violation des
articles 5.1 c), 6.1 e), 9.2 g), 12 combinés aux art. 13.1 c), 13.2 e), 35.1, 35.3 et 35.7 b) du
RGPD ;
- en vertu de l’article 58.2 du RGPD et de l’article 100, § 1, 13° de la LCA, d’infliger une
amende administrative de 20 000 euros à la seconde défenderesse pour violation des
articles 5.1 c), 6.1 e), 9.2 g), 35.1 et 35.3 du RGPD ; et
- en vertu de l’article 58.2 b) du RGPD et de l’article 100, § 1, 5° de la LCA, d’adresser un
rappel à l’ordre à la première défenderesse pour violation des articles 5.2, 24 et 35.1 du
RGPD (en raison de la finalisation tardive de l’AIPD).

Conformément à l’article 108, § 1 de la LCA, cette décision peut faire l’objet d’un recours dans
un délai de trente jours à compter de sa notification, auprès de la Cour des marchés, avec
l’Autorité de protection des données comme défenderesse.

(signé) Hielke Hijmans
Président de la Chambre Contentieuse