1/6
Chambre Contentieuse
Décision 51/2023 du 4 mai 2023
Numéro de dossier : DOS- 2022-01864
Objet : Plainte relative aux données personnelles exigées via un formulaire en ligne visant à
postuler à un emploi chez la défenderesse, et à l’obligation d’information d’une adresse email
du DPO
La Chambre Contentieuse de l'Autorité de protection des données, constituée par Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection
des données), ci-après RGPD ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de
données à caractère personnel (ci-après LTD) ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018
et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
Le plaignant : X, ci-après « le plaignant ». ;
La défenderesse : Y, ci-après « la défenderesse»
Décision 51/2023 - 2/6
I. Faits et antécédents de procédure
1. L’objet de la plainte concerne la collecte de données personnelles non nécessaires (la nationalité, le
numéro de registre national, l’adresse postale) dans le cadre du formulaire à remplir pour postuler à
un emploi sur le site internet de la défenderesse (une mutualité). Le plaignant soulève aussi l’absence
d’indication de l’adresse email du Data Protection Officer (DPO) sur le site de la défenderesse, et
souligne que des questions relatives à la protection des données personnelles peuvent uniquement
être posées via un formulaire en ligne.
2. Le 25 avril 2022, le plaignant dépose sa plainte auprès de l’Autorité de protection des données (ci-
après APD) contre la défenderesse.
3. Le 26 avril 2022, la plainte est déclarée recevable par le Service de Première Ligne de l'Autorité de
protection des données (ci-après SPL) sur la base des articles 58 et 60 de la LCA1 et la plainte est
transmise à la Chambre Contentieuse en vertu de l’article 62§ 1er de la LCA2 .
4. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du Règlement d'ordre intérieur de
l’APD, une copie du dossier peut être demandée par les parties. Si l'une des parties souhaite faire
usage de la possibilité de consulter le dossier, celle-ci est tenue de s'adresser au secrétariat de la
Chambre Contentieuse, de préférence via l’adresse [email protected].
II. Motivation
II.1 - Principe de minimisation
5. Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel doivent être adéquates,
pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont
traitées (minimisation des données).
6. La Chambre Contentieuse rappelle que le principe de minimisation dans le cadre d’un processus de
recrutement implique que les informations demandées aux candidats doivent avoir pour seule finalité
d’apprécier la capacité du candidat à occuper le poste à pouvoir ou ses aptitudes professionnelles.
7. En outre, l’article 5.1.b) du RGPD dispose que les données à caractère personnel doivent être
« collectées pour des finalités déterminées, explicites et légitimes et ne pas être traitées
ultérieurement d’une manière incompatible avec ces finalités ; […] (limitation des finalités) ».
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de cette
plainte, le dossier lui a été transmis.
Décision 51/2023 - 3/6
8. Dans le cas d’espèce, le plaignant dénonce que le formulaire à remplir en ligne sur le site de la
défenderesse pour postuler un emploi exige des données à caractère personnel non nécessaires (la
nationalité, le numéro de registre national, l’adresse postale). La Chambre Contentieuse constate
qu’au jour de la présente décision, le formulaire à remplir pour postuler à des emplois sur le site
internet de la défenderesse n’exige plus les données personnelles dénoncées par le plaignant (la
nationalité, le numéro de registre national, l’adresse postale). Il apparait donc, à priori, que la
défenderesse a adapté les données personnelles exigées via ce formulaire sur son site.
9. Au regard de ce qui précède, la Chambre Contentieuse classe sans suite les griefs relatifs aux articles
5.1.b) et 5.1.c) du RGPD conformément à sa politique de classement sans suite du 18 juin 2021 (B.6).
II.2- L’obligation d ’information
10. Aux termes de l’article 13 du RGPD, « lorsque les données à caractère personnel relatives à une
personne concernée sont collectées auprès de cette personne, le responsable de traitement lui
fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
-a) L’identité et les coordonnées du responsable du traitement et le cas échéant, du représentant du
responsable du traitement
-b) Le cas échéant, les coordonnées du délégué à la protection des données ; […] ».
11. En outre, l’article 37.7 du RGPD dispose que le responsable du traitement ou le sous-traitant publie
les coordonnées du DPO et les communique à l’autorité de contrôle.
12. La Chambre Contentieuse rappelle que les exigences précitées visent à garantir que les personnes
concernées et les autorités de contrôle puissent aisément et directement prendre contact avec le
DPO sans devoir s’adresser à un autre service de l’organisme.
13. Le Groupe de travail 29 indique par ailleurs que « Les coordonnées du DPD doivent contenir des
informations permettant aux personnes concernées et aux autorités de contrôle de joindre celui-ci
facilement (une adresse postale, un numéro de téléphone spécifique et/ou une adresse de courrier
électronique spécifique). Le cas échéant, aux fins de la communication avec le public, d’autres
moyens de communication pourraient également être prévus, par exemple, une assistance par
téléphone spécifique, ou un formulaire de contact spécifique adressé au DPD sur le site web de
l’organisme. »3 (la Chambre Contentieuse souligne)
14. Dans le formulaire de plainte, le plaignant indique qu’il n’est pas possible de joindre directement par
e-mail le délégué à la protection des données (DPO), qu’aucune adresse e-mail n’est indiquée sur le
3
Groupe de travail article 29 sur la protection des données, Lignes directrices concernant les délégués à la protection des données (DPD),
WP 236, page 15, 5 avril 2017, https://ec.europa.eu/newsroom/article29/items/612048/en
Décision 51/2023 - 4/6
site internet de la défenderesse, et que la seule façon de poser des questions liées à la protection des
données consiste à remplir un formulaire sur le site internet de la défenderesse. Le plaignant a par
ailleurs envoyé ( le 24 mars 2022) un email au service juridique de la défenderesse demandant
l’adresse e-mail du DPO, mais indique qu’aucune suite n’a été donnée à sa demande par la
défenderesse.
15. La Chambre Contentieuse constate que la défenderesse n’a pas fourni l’information demandée par le
plaignant, tel que prévu par l’article 13.1.b du RGPD. Elle ne lui a en effet pas indiqué les coordonnées
du DPO.
16. La Chambre Contentieuse relève dès lors, et sur la base des considérations ci-dessus, qu’il y’a lieu de
conclure que la défenderesse peut avoir commis une violation des dispositions de l’article 13.1.b) du
RGPD, ce qui justifie qu’en l’occurrence, la Chambre contentieuse procède à la prise d’une décision
sur base de l’article 95, § 1er, 5° de la LCA, à savoir d’ordonner de se conformer à la demande du
plaignant d'exercer son droit d’information (article 13 du RGPD).
17. La présente décision est une décision prima facie prise par la Chambre Contentieuse conformément
à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant, dans le cadre de la
« procédure préalable à la décision de fond 4 », à différencier d’une décision sur le fond de la Chambre
Contentieuse au sens de l’article 100 de la LCA.
18. Si toutefois, le responsable du traitement n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’il peut faire valoir des arguments factuels et/ou juridiques qui pourraient
conduire à une autre décision, celui-ci peut adresser à la Chambre Contentieuse une demande de
traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et ce dans le
délai de 30 jours après la notification de la présente décision. Le cas échéant, l’exécution de la
présente décision est suspendue pendant la période susmentionnée.
19. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3° juncto
l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs conclusions et à
joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la présente décision est
définitivement suspendue.
20. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un traitement de
l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à l’article 100 de la LCA 5.
4
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
5
4 Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
Décision 51/2023 - 5/6
III. Publication et communication de la décision
21. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les
décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'APD
moyennant la suppression des données d’identification directe des parties et des personnes citées,
qu’elles soient physiques ou morales.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément aux
articles 98 e.s. de la LCA :
- de classer sans suite les griefs relatifs aux articles 5.1.b) et 5.1.c) du RGPD en vertu de
l’article 95, §1er, 3° de la LCA ;
- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner à la
défenderesse de se conformer à la demande de la personne concernée en ce qui concerne
son droit d’information, et ce dans le délai de 30 jours à dater de la notification de la
présente décision;
- en vertu de l’article 58.2.c) du RGPD et de l'article 95, § 1er, 4° de la LCA, de formuler un
avertissement à la défenderesse afin que celle-ci respecte dans le futur l’obligation prévue
par l’article 13.1.b) du RGPD, de publier un email de contact du DPO ;
- d'ordonner à la défenderesse d'informer par e-mail l'Autorité de protection des données
(Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le même délai,
via l'adresse e-mail [email protected] ;
et - si la défenderesse ne se conforme pas en temps utile à ce qui lui est demandé ci-dessus,
de traiter d’office l'affaire sur le fond, conformément aux articles 98 e.s. de la LCA.
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des
données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 51/2023 - 6/6
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un
délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de
Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations
énumérées à l'article 1034ter du Code judiciaire 6. La requête interlocutoire doit être déposée au greffe
de la Cour des Marchés conformément à l'article 1034quinquies du C. jud. 7, ou via le système
d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud
(sé). Hielke Hijmans
Président de la Chambre Contentieuse
6
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro
d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
7
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.