1/10
Chambre Contentieuse
Décision 48/2024 du 28 mars 2024
N° de dossier : DOS-2023-04621
Objet : Plainte relative à la réponse tardive à une demande d’accès exercée à la suite
d’une consultation non autorisée du Registre National par un employé de l’Ambassade
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données) (ci-après « RGPD ») ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel (ci-après « LTD ») ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante : X, ci- après « la plaignante » ;
La défenderesse: Y, ci-après « la défenderesse».
Décision 48/2024 - 2/10
I. Faits et procédure
1. Le 9 novembre 2023, la plaignante a introduit une plainte auprès de l’Autorité de protection
des données (ci-après « l’APD ») à l’encontre de la partie défenderesse, Y (ci-après « la
défenderesse »).
2. L’objet de la plainte concerne la réponse tardive à une demande d’accès exercée à la suite
d’une consultation non autorisée du Registre National (ci-après « RN ») par un des employés
de la défenderesse, qui serait une amie de la plaignante cherchant à prendre de ses
nouvelles après 25 ans.
3. Le 19 juillet 2023, la plaignante a exercé son droit d’accès auprès de la défenderesse
concernant cette consultation. Dans sa demande d’accès, la plaignante a expliqué avoir
constaté une consultation suspecte de ses données datant du 12 juillet 2023, effectuée à
l’aide du code « RN 25 – Interrogation sur le numéro national ». La plaignante a demandé à la
défenderesse les informations listées à l’article 15 du RGPD, notamment la divulgation de
l’identité de la personne ayant procédé à cette consultation et les motifs de celle-ci.
4. Le 17 aout 2023, n’ayant toujours pas reçu de réponse, la plaignante a réitéré sa demande
auprès de la défenderesse.
5. Le 22 aout 2023, le délégué à la protection de la défenderesse (ci-après « le DPO ») a
confirmé la bonne réception de la demande et la transfère aux directions concernées.
6. Le 13 septembre 2023, la DPO a expliqué à la plaignante qu’elle avait besoin de plus d’un
mois pour traiter cette demande, car les démarches externes auprès de l’ambassade
prennent du temps.
7. Le 8 novembre 2023, la plaignante a envoyé un mail à la défenderesse pour expliquer que si
elle ne recevait pas de réponse d’ici la fin du mois de novembre, elle porterait plainte devant
l’APD pour absence de réponse dans le cadre de l’exercice de son droit d’accès.
8. Le même jour, le DPO a répondu en indiquant que l’enquête avait révélé que la consultation
du RN avait été effectuée à titre privée par une amie de jeunesse de la plaignante, employée
à l’ambassade, qui souhaitait renouer contact avec la plaignante après une période de plus
de 25 ans. Le DPO a expliqué que toute consultation à des fins autres que consulaires est
interdite et constitue une faute susceptible de donner lieu à des sanctions administratives,
même si l’intention était bonne et naïve. Le DPO a également informé la plaignante que le
membre du personnel en question avait été sanctionné par le chef de poste pour non-
respect du Code de conduite et de Clause de confidentialité.
Décision 48/2024 - 3/10
9. Le 9 novembre 2023, la plainte a été déclarée recevable par le Service de Première Ligne
(ci-après « SPL ») sur la base des articles 58 et 60 de la LCA 1 et la plainte a été transmise à
la Chambre Contentieuse en vertu de l’article 62, § 1er de la LCA2.
II. Motivation
10. En application de l’article 4, § 1er de la LCA, l'APD est responsable du contrôle des principes
de protection des données contenus dans le RGPD et d’autres lois contenant des
dispositions relatives à la protection du traitement des données à caractère personnel.
11. En application de l’article 33, §1er de la LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est saisie des plaintes que le SPL lui transmet en
application de l’article 62, § 1er de la LCA, soit des plaintes recevables. Conformément à
l’article 60 alinéa 2 de la LCA, les plaintes sont recevables si elles sont rédigées dans l'une
des langues nationales, contiennent un exposé des faits et les indications nécessaires pour
identifier le traitement de données à caractère personnel sur lequel elles portent et qui
relèvent de la compétence de l'APD.
12. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur
base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95,
§ 1er de la LCA, la Chambre Contentieuse décide de la suite à donner au dossier ; en
l’occurrence, la Chambre Contentieuse décide, sur la base de l’article 58.2.a) du RGPD et
de l’article 95, § 1, 4° de la LCA, d’adresser un avertissement à la défenderesse au regard
du grief tiré d’un éventuel manquement à l’article 15 lu conjointement avec l’article 12 du
RGPD, et ce, pour les raisons exposées ci-après (voir paragraphes 13 à 28 ).
II.1. Quant à la réponse tardive de la défenderesse à l’exercice du droit
d’accès de la plaignante
13. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les
principes de protection des données et doit être en mesure de démontrer que ceux-ci sont
respectés. Elle doit par ailleurs mettre en œuvre toutes les mesures nécessaires à cet effet
(principe de responsabilité – articles 5.2 et 24 du RGPD). La Chambre Contentieuse rappelle,
comme elle a déjà eu l’occasion de le faire dans de précédentes décisions 3, que le secteur
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de
cette plainte, le dossier lui a été transmis.
3
Voy notamment décisions 10/2019 et 11/2019 de la Chambre Contentieuse du 25 novembre 2019 ; décision 52/2023 de la
Chambre Contentieuse du 8 mai 2023.
Décision 48/2024 - 4/10
public, doit, de manière générale, être vecteur d’exemple dans les mesures qu’il adopte pour
garantir le respect du droit fondamental à la protection des données personnelles.
14. Aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du
responsable de traitement la confirmation que des données à caractère personnel la
concernant sont ou ne sont pas traitées. Lorsque c’est le cas, la personne concernée a le
droit d’obtenir l’accès auxdites données à caractère personnel ainsi qu’à une série
d’informations listées à l’article 15.1 a) à h) telles que la finalité du traitement de ses données,
les destinataires éventuels de ses données ainsi que des informations relatives à l’existence
de ses droits, dont celui de demander la rectification ou l’effacement de ses données ou
encore celui de déposer plainte auprès de l’APD.
15. La Chambre contentieuse rappelle, comme elle a pu le faire par le passé4, que le droit d’accès
est une des exigences essentielles du droit à la protection des données, puisqu’il constitue
la « porte d’entrée » qui permet l’exercice des autres droits que le RGPD confère à la
personne concernée.
16. En vertu de l'article 12.1 du RGPD, il appartient au responsable du traitement de prendre «
des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que
pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui
concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible et aisément accessible, en des termes clairs et simples [...]. ».
17. La Chambre Contentieuse souligne également qu’il incombe au responsable du traitement
faciliter l’exercice des droits de la personne concernée (article 12.2 du RGPD) et de lui fournir
des informations sur les mesures prises à la suite d’une demande formulée en application
des articles 15 à 22 du RGPD, dans les meilleurs délais et en tout état de cause dans un délai
d’un mois à compter de la réception de la demande. L’article 12.3 du RGPD prévoit que ce
délai peut, au besoin, être prolongé de deux mois, compte tenu de la complexité et du
nombre de demandes. Dans un tel cas, le responsable du traitement informe la personne
concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter
de la réception de la demande.
18. À cet égard, dans ses Lignes directrices 01/2022 relatives au droit d’accès5, l’EDPB explique
que cette possibilité de prolongation du délai de réponse est une dérogation à la règle
générale et qu'elle peut seulement intervenir dans certaines circonstances de manière
exceptionnelle. Par ailleurs, l’EDPB fait remarquer que si un responsable de traitement se
4
Chambre Contentieuse, décision quant au fond 15/2021 du 9 février 2021 ; décision quant au fond 72/2021 du 14 juin 2021 ;
décision quant au fond 27/2023 du 13 mars 2023.
5
EDPB, Guidelines 01/2022 on data subject rights - Right of access, du 28 mars 2023, par. 162, disponible sur :
https://edpb.europa.eu/system/files/2023-04/edpb guidelines 202201 data subject rights access v2 en.pdf
Décision 48/2024 - 5/10
voit souvent contraint de prolonger ce délai, cela pourrait indiquer une défaillance dans sa
procédure de traitement des demandes d’accès.
19. Il découle de tout ceci que la défenderesse à l’obligation de donner suite à l’exercice du droit
d’accès de la plaignante issue de l’article 15 du RGPD dans le respect des modalités de
l’article 12 du RGPD.
20. La Chambre Contentieuse reconnaît qu’il peut s’avérer matériellement difficile pour un
responsable de traitement de donner suite à l’exercice d’une demande d’accès dans le
respect d’un délai d’un mois tel que prévu par l’article 12.3 du RGPD.
21. Toutefois, la Chambre Contentieuse relève qu’il se dégage du formulaire de plainte et des
pièces qui y étaient jointes, que la réponse effective de la défenderesse à la demande
d’accès de la plaignante serait intervenue tardivement en dépassant de manière
significative le délai prévu par l’article 12.3 du RGPD. En effet, entre la date de l’exercice du
droit d’accès de la plaignante, à savoir le 19 juillet 2023, et la date de la réponse de la
défenderesse, soit le 8 novembre 2023, plus de 3 mois et demi se seraient écoulés.
22. La Chambre Contentieuse remarque que la défenderesse aurait confirmé la réception de la
demande de la plaignante uniquement le 22 aout 2023 soit un mois après l’exercice du droit
de la plaignante ( voir point 5). L’EPBD a eu l’occasion de rappeler dans ses lignes directrices
susmentionnées6, que le délai de réponse commence à courir lorsque le responsable du
traitement a reçu la demande d’accès par l'un de ses canaux officiels et non lorsque le
responsable du traitement prend effectivement connaissance de la demande.
23. La Chambre Contentieuse tient compte que la défenderesse a demandé un délai
supplémentaire le 13 septembre 2023 en motivant cette demande (voir point 6). La
défenderesse a donc activé l’article 12.3 du RGPD qui lui permet, sous le respect d’une
justification adéquate, de prolonger ce délai de deux mois. Toutefois, la Chambre
Contentieuse remarque que cette demande de prolongation ne serait pas intervenue dans
le mois de la réception de la demande puisqu’elle aurait été formulée presque 2 mois après
l’exercice du droit d’accès de la plaignante. Par ailleurs, la Chambre Contentieuse remarque
que même en admettant la prolongation demandée par la défenderesse, le délai allongé de
3 mois prévu par l’article 12.3 du RGPD a pu être dépassé et que la défenderesse aurait dû
répondre au plus tard dans le courant du mois d’octobre 2023.
6
EDPB, Guidelines 01/2022 on data subject rights - Right of access, du 28 mars 2023, par. 159, disponible sur :
https://edpb.europa.eu/system/files/2023-04/edpb guidelines 202201 data subject rights access v2 en.pdf
Décision 48/2024 - 6/10
II.2. Quant à la consultation du RN à des fins strictement privées
24. La Chambre contentieuse rappelle, comme elle l’avait déjà établi dans sa décision 52/20237,
que le responsable de traitement ayant accès aux données du RN doit mettre en place un
contrôle des accès, et garantir que l’accès au RN demeure limité aux finalités pour lesquelles
cet accès a été autorisé. Il lui incombe également d’être en mesure justifier les consultations
effectuées. Ces obligations sont déduites par la Chambre Contentieuse notamment des
articles 5.1.b et f, 5.2., 24, 32 du RGPD et de l’article 17 de la Loi du 8 août 1983 organisant
un Registre National des personnes physiques. Cette dernière disposition impose
notamment la tenue d’un registre des consultations qui indique :
« l'identification de l'utilisateur individuel ou du processus ou du système qui a accédé aux
données, les données qui ont été consultées, la façon dont elles ont été consultées, à savoir
en lecture ou pour modification, la date et l'heure de la consultation ainsi que la finalité pour
laquelle les données du Registre national des personnes physiques ont été consultées »8.
25. Comme mentionné au point 14 de la présente décision, l’article 15.1.a) du RGPD permet à
toute personne concernée d’obtenir la finalité du traitement de ses données. En l’espèce, la
plaignante a exercé son droit d’accès pour connaitre notamment la raison de la consultation
de son RN, mais également pour connaitre l’identité de la personne ayant réalisé cette
consultation. Face à cette demande, la défenderesse est dans l’obligation de fournir à la
plaignante le motif de ladite consultation et, en principe, elle ne doit pas systématiquement
révéler l’identité de la personne ayant consulté lesdites données.
26. A cet égard, l’arrêt du 22 juin 2023 de la Cour de justice de l’Union européenne dans l’affaire
C‑579/21, a conclut que :
«l’article 15, paragraphe 1, du RGPD doit être interprété en ce sens que les informations
relatives à des opérations de consultation des données à caractère personnel d’une
personne, portant sur les dates et les finalités de ces opérations, constituent des
informations que cette personne a le droit d’obtenir du responsable du traitement en vertu
de cette disposition. En revanche, ladite disposition ne consacre pas un tel droit s’agissant
des informations relatives à l’identité des salariés dudit responsable ayant procédé à ces
opérations sous son autorité et conformément à ses instructions 9, à moins que ces
informations soient indispensables pour permettre à la personne concernée d’exercer
7
Chambre Contentieuse, décision 52/2023 du 8 mai 2023, disponible sur :
https://www.autoriteprotectiondonnees.be/publications/ordonnance-n-52-2023.pdf
8
Art. 17, al. 2, Loi du 8 août 1983 organisant un registre national des personnes physiques. Disponible sur
https://www.ejustice.just.fgov.be/cgi loi/change lg.pl?language=fr&la=F&cn=1983080836&table name=loi
9
La Chambre Contentieuse surligne.
Décision 48/2024 - 7/10
effectivement les droits qui lui sont conférés par ce règlement et à condition qu’il soit tenu
compte des droits et des libertés de ces salariés »10.
27. Toutefois, la Chambre Contentieuse s’est déjà exprimée au sujet de l’interprétation qu’il
convient de donner à cet arrêt dans le cadre d’une consultation du RN à des fins strictement
privées. Ainsi, la décision 89/202311 établit que lorsque les employés ayant consulté les
données de la personne concernée le font pour des finalités qui leurs sont propres - c’est-à-
dire qui ne respectent pas les instructions de l’employeur et ne sont pas effectuées sous son
autorité - alors la personne concernée doit pouvoir accéder à l’identité de la personne
concernée, à moins que ne prévalent tout de même les droits et libertés des salariés. En
effet, la Chambre Contentieuse n’exclut pas qu’une balance des intérêts doive être faite
entre les droits de la personne concernée et les droits du salarié. Il appartient au responsable
de traitement de déterminer si des éléments additionnels peuvent venir justifier un refus de
dévoiler l’identité de l’agent. De surcroit, une personne concernée se voyant notifier ce refus
reste libre de saisir l’APD, afin que celle-ci puisse vérifier du bien-fondé de celui-ci.
28. Par conséquent, afin de déterminer si l’identité de l’employé peut être divulguée ou non, un
responsable de traitement tel que la défenderesse doit dans un premier temps examiner la
finalité de la consultation du dossier du RN pour déterminer si la consultation a été effectuée
sous son autorité et dans les respects de ses instructions.
29. En l’espèce, il se dégage du formulaire de plainte et des pièces qui y étaient jointes,
notamment le courrier envoyé par la défenderesse le 8 novembre 2023, que la consultation
aurait été effectuée à titre privée par une amie de jeunesse de la plaignante qui serait une
employée de l’ambassade (voir point 8). La Chambre Contentieuse remarque que dans cette
hypothèse la consultation ne se serait pas faite sous l’autorité et dans les respects des
instructions de la défenderesse ce qui pourrait justifier en l’espèce que soit communiquée à
la plaignante l’identité de l’employé mise en cause. La Chambre Contentieuse relève
qu’aucune justification n’aurait été apportée par la défenderesse qui lui aurait permis, si elle
avait été satisfaisante, de ne pas révéler l’identité de son employé. La Chambre
Contentieuse en déduit que la réponse à la demande d’accès de la plaignante a pu se révéler
être incomplète.
10
C.J.U.E., 22 juin 2023, J.M., c. Apulaistietosuojavaltuutettu et Pankki S, C-579/21. Disponible sur :
https://curia.europa.eu/juris/document/document.jsf?text=&docid=274867&pageIndex=0&doclang=FR&mode=req&dir=&o
cc=first&part=1&cid=337778
11
Chambre Contentieuse, décision 89/2023 du 28 juin 2023, disponible sur :
https://www.autoriteprotectiondonnees.be/publications/ordonnance-n-89-2023.pdf
Décision 48/2024 - 8/10
II.3. Mesure adoptée par la Chambre Contentieuse
30. La Chambre Contentieuse estime que sur la base des faits susmentionnés, il y a lieu de
conclure que la défenderesse pourrait avoir commis une violation des dispositions du RGPD,
et plus particulièrement de l’article 15 lu conjointement avec l’article 12 du RGPD en raison
d’une réponse tardive à une demande d’accès et une réponse incomplète à cette demande,
ce qui justifie qu’en l’occurrence, l’on procède à la prise d’une décision conformément à
l’article 95, § 1er, 4° de la LCA, plus précisément l’avertissement.
31. La Chambre Contentieuse tient à préciser que la présente décision d’avertissement est une
décision prima facie prise par la Chambre Contentieuse conformément à l’article 95 de la
LCA sur la base de la plainte introduite par le plaignant, dans le cadre de la « procédure
préalable à la décision de fond »12 et pas une décision sur le fond de la Chambre Contentieuse
au sens de l’article 100 de la LCA.
32. La présente décision d’avertissement a pour but d’informer la défenderesse, présumée
responsable du traitement, du fait que celle-ci peut avoir commis une violation des
dispositions du RGPD, afin de lui permettre de se conformer aux dispositions précitées, tant
dans le cas présent que pour l'avenir.
33. Si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et
estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient conduire à une
nouvelle décision, elle peut demander un réexamen à la Chambre Contentieuse selon la
procédure établie par les articles 98 juncto 99 de la LCA, connue sous le nom de « procédure
quant au fond » ou « traitement de l’affaire sur le fond ». Cette demande doit être envoyé à
l’adresse e-mail [email protected] dans le délai de 30 jours suivant la
notification de la présente décision prima facie. Le cas échéant, l’exécution de la présente
décision est suspendue pendant la période susmentionnée.
34. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
conclusions et à joindre au dossier toutes les pièces qu’elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
35. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA13 .
12
Section 3, Sous-section 2 de la LCA (art. 94 à 97 inclus).
13
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
Décision 48/2024 - 10/10
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans le délai de 30 jours après la notification de la présente
décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
Et, d’autre part, la défenderesse peut introduire un recours contre cette décision conformément à
l'article 108, § 1 de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour
des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie
défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit
contenir les informations énumérées à l'article 1034ter du Code judiciaire. La requête
interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article
1034quinquies du C. jud. , ou via le système d'information e-Deposit du Ministère de la Justice
(article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse