1/13
Chambre Contentieuse
Décision quant au fond 53/2020
du 1er septembre 2020
N° de dossier : DOS-2019-02974
Objet : plainte en raison de l’envoi d’un email de propagande électorale
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Frank de Smet et Christophe Boeraeve, membres ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après LCA ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
- le plaignant ;
- le défendeur : un politicien.
1. Les faits et la procédure
Décision quant au fond 53/2020 - 2/13
1. Le 25 mai 2019, le plaignant a introduit une demande d’information auprès de l’Autorité de
protection des données concernant l’utilisation par le défendeur, de son adresse électronique
personnelle pour l’envoi d’un message électoral reçu le 22 mai 2019, adressé en son nom par sa
secrétaire. Le plaignant souligne qu’il n’a jamais donné son accord pour que son adresse soit utilisée
à cette fin par le défendeur. Le plaignant dénonce également le fait que ce message a été envoyé à
de nombreux destinataires placés en copie, ce qui a favorisé la diffusion non sollicitée de son adresse
électronique à ces tierces personnes.
2. Le courrier était rédigé comme suit : « Mesdames, Messieurs, Chères amies, Chers amis, Je
suis fier d’être le [Xème] candidat de la liste [Y] pour notre arrondissement [liste des communes
concernées…]. Qu’il me soit permis de solliciter votre suffrage. Un bon résultat me permettra avec
notre équipe au Collège et au Conseil provincial d’être encore plus efficace. Je souhaite mettre tout
en œuvre pour soutenir aussi nos mandataires locaux et leurs projets. ».
3. Par lettre du 2 juillet 2019, le Service de première ligne de l’Autorité de protection des données
a invité le plaignant à exercer ses droits auprès du défendeur, en l’occurrence, son droit d’opposition
au traitement de ses données personnelles. Parallèlement, par lettre le 2 juillet 2019, le Service de
première ligne a contacté le défendeur pour lui demander notamment de quelle manière il avait obtenu
l’adresse e-mail du plaignant, s’il avait introduit une notification de fuite de données auprès de l’APD
et quelles mesures ont été prises pour que ce type d’incident ne se reproduise plus.
4. Des réponses que le défendeur a adressées au plaignant et au Service de première ligne, il
ressort que l’adresse email du plaignant a été recueillie à l’occasion d’une demande d’information
adressée en mars 2014 par le plaignant au secrétariat du bourgmestre de la ville de X. , pour signaler
un problème de propreté publique. Il s’agissait plus particulièrement d’un e-mail adressé à
« [email protected] » concernant une décharge clandestine aux abords des anciens
remparts de la ville dont le plaignant sollicitait le nettoyage. Le 4 juillet en effet, dans son courrier
adressé au Service de première ligne, co-signé par le défendeur, la secrétaire du défendeur
écrit l’explication suivante concernant la collecte de l’adresse e-mail litigieuse : « Les adresses
proviennent d’un fichier « permanences » organisé par le défendeur lorsqu’il était bourgmestre de la
ville. Le plaignant figure donc dans celui-ci pour avoir, à un moment ou un autre, eu un contact avec
le défendeur. » La Chambre contentieuse ne peut donc suivre le défendeur dans ses explications
ultérieures (juillet 2020) selon lesquelles l’adresse e-mail litigieuse (et d’autres) auraient été recueillies
via des e-mails lui étant adressés personnellement et non pas via un service administratif ou autre de
l’Administration communale. 1. La Chambre contentieuse comprends dès lors que les données récoltées
1
Le défendeur expose en effet comme suit les faits : « Outre les réponses que j’indique dans le formulaire que vous trouverez
dûment complété en annexe, permettez-moi de contredire quelques éléments figurant dans votre courrier : page 3- point 1 –
Décision quant au fond 53/2020 - 3/13
par le bourgmestre résultent non seulement de contacts de citoyens avec l’administration de la ville
mais aussi, selon les déclarations du défendeur, d’emails lui ayant été adressés personnellement, ce
qui n’était pas le cas en ce qui concerne l’e-mail du plaignant qui a bien été collecté via le secrétariat
du bourgmestre.
5. En ce qui concerne le modus operandi d’envoi de l’email litigieux, le défendeur a répondu aux
questions de l’Autorité de protection des données en cosignant l’explication suivante fournie par
l’employée communale qui était sa secrétaire lorsqu’il était bourgmestre:
« Dans les faits, de ma messagerie privée, j’ai envoyé une publicité électorale pour le défendeur, afin
d’éviter qu’il utilise sa messagerie professionnelle en sa qualité de député provincial. […] Et ce mail a
été envoyé spontanément, en omettant de mettre en CCI les destinataires. Il n’y a donc aucune
intention d’utiliser avec abus ces adresses, ni de nuire à qui que ce soit. C’est juste une erreur de
manipulation que nous regrettons. Nous nous sommes excusés auprès du plaignant comme vous avez
pu le lire». 2
6. Suite à ces réponses, le plaignant a confirmé au Service de première ligne de l’APD sa volonté
que sa demande d’information soit transmise en tant que plainte à la Chambre contentieuse de l’APD,
par courriers du 11 et du 26 juillet 2019. Le 6 août 2019, le Service de première ligne de l’Autorité de
protection des données a déclaré la plainte recevable et l’a transmise à la Chambre Contentieuse.
7. Le 25 août 2019, la Chambre contentieuse a considéré que le dossier était prêt pour traitement
quant au fond en vertu des articles 95 § 1er, 1° et 98 LCA. A cette même date, la Chambre contentieuse
a transmis la plainte et les pièces au défendeur par lettre recommandé et a invité les parties à faire
valoir leurs arguments selon un calendrier établi. Ce courrier précisait que « chacune des parties est
tenue de transmettre ses conclusions simultanément au secrétariat de la Chambre contentieuse et à
l’autre partie ».
8. Par courrier daté du 14 octobre 2019 reçu le 18 octobre 2019, le défendeur expose qu’il se
tient à la disposition de la Chambre contentieuse pour être entendu si la Chambre le souhaitait. Le
défendeur explique dans son bref courrier qu’il confirme « que l’envoi du fichier à l’ensemble des
personnes était une simple erreur de manipulation au moment de l’envoi du document qui être [sic]
individualisé ».
2ème paragraphe – il est affirmé : « le défendeur a utilisé afin d’envoyer des courriers électoraux une liste de citoyens qui ont
été en contact avec la commune pour des questions diverses ». Réponse : cette affirmation n’est pas juste. Je disposais
effectivement d’un fichier de personnes m’ayant contacté personnellement et non pas un service administratif ou autre de
l’Administration communale» (lettre du défendeur du 6 juillet 2020 adressée à la Chambre contentieuse par e-mail du 7 juillet
2020).
2
Courrier du défendeur au Service de Première ligne de l’APD, 4 juillet 2019.
Décision quant au fond 53/2020 - 4/13
9. Le défendeur indique également avoir « sollicité l’avis d’un spécialiste de la nouvelle
législation » pour l’aider à encadrer son équipe « afin d’éviter à l’avenir toute nouvelle erreur du
genre ». Le défendeur précise que la question de savoir quelles sont les précautions à prendre avec
les adresses e-mail que les personnes n’ont pas transmis spontanément, est toujours à l’analyse. Le
défendeur conclut qu’il pensait être autorisé à contacter les personnes qui lui avaient transmis leur
adresse, et qu’il a maintenant conscience que cela n’est « manifestement pas si évident ».
10. Par email du 7 novembre 2019, le plaignant a introduit ses arguments comme le calendrier
de conclusion l’y invitait. A cette occasion, le plaignant signale qu’il n’a pas reçu les conclusions du
défendeur, réitère les éléments de sa plainte, et demande de retenir comme circonstance aggravante
que les atteintes dénoncées ont été commises par un homme politique dans l’exercice de son mandat.
11. La Chambre contentieuse a repris l’affaire par procédure écrite le 3 juillet 2020 et a adopté
un projet de décision. Le même jour, la Chambre contentieuse a communiqué par e-mail au défendeur
le montant de l’amende envisagée à son encontre, ainsi qu’une liste des manquements constatés au
RGPD et justifiant ce montant. La Chambre a notamment constaté que le défendeur n’a pas soumis
ses conclusions au plaignant. Le défendeur a été invité, par ce même e-mail, à faire valoir ses moyens
de défense à l’égard du montant de l’amende envisagée. Dans cette communication, la Chambre
contentieuse a souligné que les débats sur le fond étaient clôturés. La Chambre contentieuse a reçu
la réponse du défendeur par email le 7 juillet 2020 (formulaire d’amende complété et lettre
d’accompagnement datée du 6 juillet 2020).
2. Manquements au RGPD
12. Le défendeur en sa qualité de bourgmestre au moment de la récolte de l’adresse e-mail
concernée, est le responsable de traitement du fichier de données à caractère personnel qu’il a
constitué à partir des données de citoyens s’adressant à son secrétariat et/ou à lui-même
personnellement pour des requêtes diverses. Il relève de sa responsabilité de garantir que les données
personnelles concernées ont été traitées sur pied d’une base légale appropriée et en respectant
strictement les principes posés par le RGPD. Il lui incombe également de prendre les mesures
techniques et organisationnelles appropriées de nature à garantir notamment que les données ne
seront pas traitées ultérieurement pour une finalité incompatible avec la finalité pour laquelle elles ont
été initialement collectées et traitées (articles 5.1(f), 6.4 et 32 du RGPD). Il ressort des pièces fournies
par le défendeur lui-même qu’il était bourgmestre au moment où l’adresse e-mail litigieuse a été
récoltée (email adressé à « [email protected] »). La Chambre contentieuse prend note
Décision quant au fond 53/2020 - 5/13
du fait que le défendeur n’était plus bourgmestre au moment où l’email litigieux a été envoyé 3. Pour
la partie de données collectées à partir d’emails adressés au secrétariat du bourgmestre, la Chambre
contentieuse constate que le défendeur a donc traité à titre personnel des données collectées en tant
que bourgmestre, à tout le moins, l’email du plaignant.
13. Sur la base de ces éléments du dossier, la Chambre Contentieuse considère qu’il est établi
que le défendeur a utilisé afin d’envoyer des courriers électoraux une liste de citoyens qui ont été en
contact avec la commune dont le défendeur était alors bourgmestre, pour des questions diverses liées
à sa fonction de mandataire public, et que les données personnelles recueillies dans ce cadre auraient
dû être traitées dans le strict but de répondre aux questions posées par des citoyens.
14. En sa qualité de responsable de traitement, le défendeur est tenu de respecter les principes
de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés (principe
de responsabilité – article 5.2. du RGPD). Il doit par ailleurs mettre en oeuvre toutes les mesures
nécessaires à cet effet (article 24 du RGPD).
15. Le principe de finalité est un principe angulaire de la protection des données. Consacré dès
1981 à l’article 5 b) de la Convention pour la protection des personnes à l'égard du traitement
automatisé des données à caractère personnel du Conseil de l’Europe (STE 108), il est énoncé à
l’article 6.1.b) de la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995
relative à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données ainsi qu’à l’article 4 § 1, 2° de la Loi du 8 décembre
1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère
personnel. Lors de la consécration du droit à la protection des données au rang de droit fondamental
par l’article 8 de la Charte des droits fondamentaux de l’Union européenne en 2000, le principe de
finalité a été énoncé au titre d’élément clé de ce droit 4. Ce principe a, en toute logique été repris à
l’article 5.1.b) du RGPD au titre des Principes relatifs au traitement des données à caractère personnel
(Chapitre II).
16. L’article 5.1.b) du RGPD dispose ainsi que :
« 1. Les données à caractère personnel doivent être : ( …) b) collectées pour des finalités
déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière
incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt
public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas
3
Lettre du défendeur à la Chambre contentieuse du 6 juillet 2020.
4
Article 8 de la Charte des droits fondamentaux de l’Union européenne : 1. Toute personne a droit à la protection des données
à caractère personnel la concernant.
Décision quant au fond 53/2020 - 6/13
considéré conformément à l’article 89 paragraphe 1, comme incompatible avec les finalités
initiales » (limitation des finalités). »
17. Des données personnelles ne peuvent donc pas être traitées ultérieurement d’une manière
incompatible avec leur finalité de collecte (article 5.1.b. du RGPD) 5. Le traitement ultérieur de données
à caractère personnel pour d'autres finalités que celle(s) pour laquelle (lesquelles) ces données ont
été collectées initialement n'est autorisé que si ce traitement ultérieur est compatible avec les finalités
pour lesquelles les données à caractère personnel ont été collectées initialement, compte tenu du lien
entre les finalités pour lesquelles elles ont été collectées et les finalités du traitement ultérieur
envisagé, compte tenu également du cadre dans lequel les données à caractère personnel ont été
collectées, des conséquences possibles du traitement ultérieur envisagé pour la personne concernée
et de l'existence de garanties appropriées.
18. Une finalité compatible est par exemple une finalité que la personne concernée peut prévoir
ou qui peut être considérée comme compatible en vertu d'une disposition légale (voy. l’article 6.4. du
RGPD). En application de critères visés à l’article 6.4 du RGPD : il n’y a aucun lien entre les deux
finalités de traitement, et les contextes de collecte des données sont totalement étrangers, l’un
concernant la gestion de la commune dans le traitement des réponses aux questions des citoyens,
l’autre celui des relations entre un électeur et un candidat à un mandat électif. Cette incompatibilité
s’illustre encore par le fait que le droit applicable permette aux candidats aux élections d’avoir accès
à une liste des électeurs spécialement dédiée à la réalisation de leur campagne.
19. Toute utilisation ultérieure incompatible est interdite sauf deux exceptions prévues à l’article
6.4. du RGPD. Lorsque la personne concernée a donné son consentement au traitement ultérieur pour
une finalité distincte ou lorsque le traitement se base sur une disposition légale qui constitue une
mesure nécessaire et proportionnée dans une société démocratique notamment pour la garantie de
finalités importantes d'intérêt public, le responsable du traitement a alors la possibilité de traiter
ultérieurement ces données à caractère personnel pour d'autres finalités, qu’elles soient compatibles
ou non avec les finalités initiales. En l’occurrence, le défendeur ne peut fonder son traitement ultérieur
de données ni sur le consentement des personnes concernées, ni sur une base légale de droit belge
ou européen constituant une mesure nécessaire et proportionnée dans une société démocratique pour
garantir les objectifs visés à l’article 23.1 du RGPD (article 6.4 du RGPD).
5
L’article 5 § 1 b) du RGPD dispose ainsi que « les données à caractère personnel doivent être : (…) b) collectées pour des
finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces
finalités ». Voir les explications sur ce principe de finalité dans la décision de la Chambre contentieuse 11/2019 du 25 novembre
2019.
Décision quant au fond 53/2020 - 7/13
20. La finalité de publicité/propagande électorale n’est pas une finalité ultérieure de traitement
des données compatible avec la finalité originelle de collecte des données de citoyens dans le contexte
évoqué. Dans sa note « Elections » publiée dès le début des années 2000 sur son site Internet et mise
à jour à la suite de l’entrée en application du RGPD 6, l’Autorité de protection des données mentionne
que :
« Toutefois, les partis politiques et leurs candidats à une élection peuvent être tentés d'avoir
recours à des données à caractère personnel recueillies dans le cadre d'autres traitements
dont la finalité première n'avait rien à voir avec la propagande électorale. Cela vaut aussi bien
pour des données extraites de fichiers du secteur public (comme le Registre national, des
données de fichiers du personnel de la fonction publique, une liste des personnes aidées par
un CPAS, des données obtenues dans le cadre de l'exercice d'un mandat d'échevin, ...) que
pour des données de fichiers du secteur privé (fichier clients d'une entreprise, liste des
membres d'une association, ...) »
21. La note poursuit en indiquant : « Dans cette optique, il n'est donc pas permis de réutiliser les
données à caractère personnel enregistrées dans les fichiers précités dans un but de propagande
électorale. Un tel traitement est incompatible avec les finalités pour lesquelles ces données ont été
initialement récoltées, ce qui est punissable en vertu de l'article 83.5 du RGPD ».
22. En ce qui concerne l’interdiction de réutiliser à des fins de propagande électorale les données
obtenues dans le cadre de l’exercice d’un mandat d’échevin ou de bourgmestre, la Chambre
contentieuse renvoie également aux explications fournies à ce sujet dans sa décision quant au fond
11/2019 du 25 novembre 2019 7. La Chambre contentieuse souligne par ailleurs que la réutilisation par
un bourgmestre de données personnelles collectées dans le cadre de ses fonctions à des fins
incompatibles, est de nature à porter atteinte aux fondements de la démocratie et à l’égalité entre les
candidats.
23. Dans ces conditions et sur la base de l’ensemble des éléments qui précèdent, la Chambre
Contentieuse considère que le défendeur, selon ses propres déclarations, a traité des données à
caractère personnel des citoyens de sa commune, et en particulier celles du plaignant, en violation de
l’article 5.1.b du RGPD (limitation des finalités) du RGPD et de l’article 6 du RGPD (licéité du
traitement). La Chambre contentieuse constate également la violation des articles 25.1 et 25.2 du
6
Traitement de données à caractère personnel à des fins d’envois personnalisés de propagande électorale et respect de la vie
privée des citoyens : principes fondamentaux, https://www.autoriteprotectiondonnees.be/publications/note-juridique-sur-les-
elections.pdf.
7
Voir
https://www.autoriteprotectiondonnees.be/citoyen/chercher?q=&search_category%5B%5D=taxonomy%3Apublications&sear
ch_type%5B%5D=decision&search_subtype%5B%5D=taxonomy%3Adispute_chamber_substance_decisions&s=recent&l=25
(DEDF11-2019), p. 5 et 6.
Décision quant au fond 53/2020 - 8/13
RGPD, en vertu duquel il incombe au responsable de traitement de mettre en œuvre les mesures
techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à
caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont
traitées.
24. En ce qui concerne l’envoi d’un email dont tous les destinataires sont visibles, la Chambre
contentieuse constate que le défendeur ne conteste pas les faits et déclare que la personne agissant
sous son autorité a commis une erreur lors du traitement des données à caractère personnel du
plaignant « en omettant de mettre en CCI les destinataires » 8. Qu’il y ait eu ou pas erreur de
manipulation, la Chambre contentieuse estime qu’il y a eu violation de l’article 32.1 et 32.4 du RGPD 9
et que ces faits sont constitutifs d’une faille de sécurité au sens de l’article 4.12 du RGPD, telle que
dénoncée par le plaignant dans sa plainte. La Chambre contentieuse rappelle qu’il incombe par ailleurs
au responsable de traitement de mettre en place les mesures techniques et organisationnelles
appropriées pour garantir que, par défaut, seules sont traitées les données nécessaires au regard de
chaque finalité spécifique, en ce compris du point de vue de leur accessibilité (art. 25.2 du RGPD). La
Chambre contentieuse rappelle également qu’il incombe au responsable de traitement de notifier
de telles violations de données à l’autorité compétente lorsque les conditions d’application de l’article
33 du RGPD sont réunies. En l’occurrence, une telle notification n’a pas été introduite, ce qui constitue
également une atteinte au RGPD.
25. En résumé, à la lumière du rapport d’inspection et compte tenu des conclusions du défendeur,
la Chambre contentieuse établit les violations suivantes du RGPD :
- Violation des articles 5.1.a, 5.1.b) et 6.1 du RGPD, étant donné qu’en envoyant l’email litigieux,
le défendeur a traité des données à caractère personnel du plaignant sans base légale et en
violation de la finalité pour laquelle ces données ont été recueillies par le secrétariat du
bourgmestre (répondre à ses questions).
- Violation des articles 25.1 et 25.2 du RGPD, en vertu duquel il incombe au responsable de
traitement de mettre en œuvre les mesures techniques et organisationnelles appropriées pour
garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au
regard de chaque finalité spécifique du traitement sont traitées.
- Violation des articles 32.1 et 32.4 du RGPD, étant donné qu’une personne agissant sous
l’autorité du défendeur a envoyé les coordonnées email du plaignant à des tiers, dans le cadre
d’un e-mail dont tous les destinataires étaient visibles. Violation de l’article 33 du RGPD étant
donné que cette fuite de données n’a pas été notifiée à l’APD.
8
Courrier du défendeur au Service de Première ligne de l’APD, 4 juillet 2019.
9
Dans le même sens, voir la décision de la Chambre contentieuse ANO 2/2019 du 2 avril 2019, voir
https://www.autoriteprotectiondonnees.be/citoyen/chercher?q=&search_category%5B%5D=taxonomy%3Apublications&sear
ch_type%5B%5D=decision&search_subtype%5B%5D=taxonomy%3Adispute_chamber_substance_decisions&s=recent&l=2.
Décision quant au fond 53/2020 - 9/13
3. Mesure correctrice
26. La Chambre Contentieuse a déjà eu l’opportunité de trancher des cas de traitements illicites
de données à des fins électorales dans les affaires suivantes : Décision 11-2019 du 25 novembre 2019;
Décision 10-2019 du 25 novembre 2019; Décision 04/2019 du 28 mai 2019 et décision 30/2020 du 8
juin 2020 10.
27. Dans ces quatre affaires, la Chambre Contentieuse a imposé des amendes administratives,
notamment pour le non-respect du principe de finalité, consacré à l’article 5.1.b du RGPD. Il s’agissait
dans ces affaires, du traitement ultérieur illicite à des fins électorales, de données à caractère
personnel recueillies (à tout le moins en ce qui concerne l’adresse e-mail litigieuse le 22 mai 2019)
dans le cadre de l'exercice de compétences communales. La présente affaire s’inscrit dans cette
jurisprudence.
28. La Chambre Contentieuse considère que les manquements qu’elle a identifiés (infra, § 22)
justifient l’imposition d’amendes administratives conformément aux articles 100, 13° et 101 de la LCA
ainsi que 83 du RGPD, et ce compte-tenu des éléments suivants.
29. Premièrement, la nature et la gravité des manquements sont prises en compte (article 83, 1,
a) du RGPD). En effet, les manquements aux articles 5.1.b (traitement ultérieur incompatible),5.1.a
(licéité) et 6.1 du RGPD (traitement illicite) identifiés dans la présente décision constituent des
manquements aux principes fondamentaux de protection des données. Il s’agit d’ailleurs de
manquements pour lesquels les montants d’amendes maximums sont les plus élevés (article 83.5 du
RGPD).
30. Deuxièmement, la Chambre Contentieuse considère que la qualité du défendeur, à l’époque
de la collecte des données, à savoir celle de bourgmestre, et ultérieurement, la qualité de
parlementaire à l’époque de l’envoi de l’e-mail litigieux 11, constitue une circonstance aggravante au
titre de l’article 83.2.k. Au regard de ce rôle joué par le défendeur dans la vie publique, il pouvait
légitimement être attendu de lui le plus grand souci de ne pas réutiliser à titre personnel des données
collectées via le secrétariat de la ville dont il avait été bourgmestre, et mener une campagne électorale
10
Disponibles sur le site web de l’APD sous l’onglet publications « décisions de la Chambre contentieuse »,
https://www.autoriteprotectiondonnees.be/citoyen/publications/decisions.
11
La Chambre contentieuse note la précision faite par le défendeur dans son courrier du 6 juillet 2020 à la Chambre
contentieuse, selon lequel il n’était plus bourgmestre au moment de l’envoi de l’email litigieux. La Chambre contentieuse note
toutefois qu’en fonction des informations publiques à sa disposition, le défendeur était alors député provincial, fonction qu’il
occupe toujours en juillet 2019. La Chambre contentieuse se fonde sur une information publique disponible sur le site de la
province que représente le défendeur où le CV du défendeur est décrit. En juillet 2019 et juillet 2020, le défendeur signait ses
courriers à la Chambre contentieuse en tant que député provincial de la province qu’il représente.
Décision quant au fond 53/2020 - 10/13
dans le respect de l’ensemble des règles y applicables et en l’occurrence, des règles de protection des
données.
31. Enfin, la Chambre contentieuse prend bonne note du fait que le défendeur expose sa bonne
volonté de mettre en œuvre le RGPD, en ce qu’il déclare avoir « sollicité l’avis d’un spécialiste de la
nouvelle législation » pour l’aider à encadrer son équipe « afin d’éviter à l’avenir toute nouvelle erreur
du genre » (voir § 9 ci-dessus). La Chambre contentieuse ne peut tenir compte de l’entrée en vigueur
du RGPD à titre de circonstance atténuante, car les atteintes constatées aux principes de finalité et de
licéité ne sont pas des éléments neufs dans la législation relative à la protection des données
personnelles. Dans sa note « Elections » publiée dès le début des années 2000 sur le site Internet de
l’APD et mise à jour à la suite de l’entrée en application du RGPD 12, l’Autorité de protection des données
mentionnait déjà l’interdiction de réutiliser à des fins électorales les données extraites de fichiers du
secteur public (comme le Registre national, des données de fichiers du personnel de la fonction
publique, une liste des personnes aidées par un CPAS, des données obtenues dans le cadre de
l'exercice d'un mandat d'échevin, ...) ou des données de fichiers du secteur privé (fichier clients d'une
entreprise, liste des membres d'une association, ...) »
32. Ces principes formaient déjà la pierre angulaire de la Directive 95/46/EC du Parlement
européen et du Conseil du 24 octobre 1995 (art. 6.1.b et art. 6.1.a et 7), que le RGPD a remplacée. Il
en va de même de l’obligation de mettre en place des mesures organisationnelles et de sécurité
adéquates sous l’ancienne Directive (art. 17), qui a été renforcée et précisée dans le RGPD à l’article
32 notamment.
33. La Chambre contentieuse constate par ailleurs que selon les faits qui lui ont été transmis, le
défendeur a omis de transmettre ses conclusions au plaignant, ou à tout le moins, de se réserver la
preuve qu’une telle communication a été faite (recommandée ou preuve d’envoi d’email). Le courrier
recommandé adressé au défendeur par la Chambre contentieuse le 25 septembre 2019 indiquait en
effet très clairement : « Chacune des parties est tenue de transmettre ses conclusions simultanément
au secrétariat de la Chambre contentieuse et à l’autre partie ». Or, le plaignant a signalé qu’il n’avait
pas reçu les conclusions du défendeur, qui est donc en défaut d’apporter à tout le moins la preuve de
son entière collaboration à la présente procédure. Le défendeur a toutefois bien reçu le courrier
recommandé du 25 septembre 2019 l’invitant à conclure pour le 25 octobre au plus tard, et transmettre
ses conclusions simultanément à l’autre partie. Le défendeur a accusé bonne réception de ce courrier
par lettre du 14 octobre 2019 13. La Chambre contentieuse ne peut donc suivre le défendeur dans
12
Traitement de données à caractère personnel à des fins d’envois personnalisés de propagande électorale et respect de la vie
privée des citoyens : principes fondamentaux, https://www.autoriteprotectiondonnees.be/publications/note-juridique-sur-les-
elections.pdf.
13
La Chambre contentieuse a bien envoyé ce courrier recommandé en date du 30-09 à l’adresse professionnelle du défendeur.
Décision quant au fond 53/2020 - 11/13
l’affirmation selon laquelle « jamais il ne m’a été demandé ou même conseillé d’envoyer des
conclusions au plaignant » 14. Le courrier recommandé de la Chambre contentieuse offrait par ailleurs
la possibilité au défendeur de demander une copie du dossier de pièces, dans lequel il aurait pu relire
ses propres déclarations afin d’assurer la cohérence de sa propre défense, ce qu’il n’a pas fait.
34. Le défendeur n’a pas suivi la procédure qui lui a été communiquée par courrier recommandé
et par email. Sa réponse selon laquelle il n’aurait pas été informé de l’obligation d’envoyer des
conclusions au plaignant est contraire aux faits. La Chambre contentieuse estime que par cette
omission et dénégations erronées des faits, le défendeur n’a pas fourni toute sa coopération dans la
procédure, ce qui constitue une circonstance aggravante.
35. Dans sa réponse au formulaire de réaction à l’encontre d’une amende envisagée, le défendeur
fait valoir principalement que l’envoi de ce courrier résulte de son point de vue d’une erreur de
manipulation. A cet égard, la Chambre contentieuse rappelle qu’une telle erreur de manipulation, le
cas échéant, constitue une faille de sécurité et à ce titre une violation de données au sens de l’article
4.12 du RGPD qui entraîne la responsabilité du défendeur en ce qui concerne la mise en œuvre
préalable de mesures de sécurité adéquates en vue d’éviter de telles erreurs (voir § 20 ci-dessus). La
Chambre contentieuse note toutefois qu’aucun élément du dossier n’atteste que l’atteinte aurait été
commise de manière délibérée, sur instruction du défendeur. La Chambre contentieuse retient donc
le caractère non délibéré de l’atteinte à titre de circonstance atténuante.
36. Les arguments du défendeur ne changent rien au fait que les données à caractère personnel
du plaignant et de toutes les personnes incluses dans le fichier « permanence » ont été illicitement
traitées, à savoir l’ensemble des personnes faisant appel au secrétariat du bourgmestre (voir supra, §
5).
37. Enfin quant au montant de l’amende, la Chambre contentieuse retient les mêmes critères que
ceux exposés ci-dessus pour retenir le montant de 5.000 EUR afin de dissuader le défendeur de réitérer
de tels manquements.
38. En ce qui concerne le montant, le défendeur souligne que le montant de l’amende lui semble
disproportionné compte tenu du fait qu’il s’agit selon lui d’une erreur de manipulation qui ne lui aurait
apporté aucun avantage. A cet égard, la Chambre contentieuse ne dispose d’aucun élément lui
permettant d’évaluer raisonnablement dans quelle mesure le traitement des données du fichier
« permanence » a oui ou non influencé favorablement le résultat des élections. La Chambre
14
Lettre du défendeur à la Chambre contentieuse du 6 juillet 2020.
Décision quant au fond 53/2020 - 12/13
contentieuse ne peut donc retenir cet élément avancé par le défendeur à titre de circonstance
atténuante au sens de l’article 83.2.k du RGPD.
39. Concernant les moyens financiers, le défendeur fait état de difficultés financières suite à un
litige en justice dont il est sorti vainqueur et qui lui a occasionné d’importants frais de justice encore
non apurés. Le défendeur souligne que le montant réclamé aujourd’hui par la Chambre contentieuse
ne ferait qu’ajouter à ces difficultés. Le défendeur n’apporte toutefois aucun élément de nature à
établir ses déclarations, et ne propose pas de se tenir à la disposition de la Chambre contentieuse à
ce sujet. Le demandeur supporte la charge de la preuve des éléments qu’il avance en réponse au
formulaire d’amende. A ce stade de la procédure, la Chambre contentieuse décide de ne pas rouvrir
les débats sur ce point.
40. La Chambre contentieuse retient la qualité du défendeur au moment des faits (bourgmestre
puis député provincial), comme circonstance aggravante dans le présent cas (voir supra, § 5 et 30).
En effet, il incombe à tout mandataire public d’adopter une conduite exemplaire, y compris en ce qui
concerne le respect de la législation en matière de protection des données personnelles.
41. Pour ces raisons, la Chambre Contentieuse considère qu’il y a lieu de maintenir le montant de
l’amende envisagée à 5000 EUR.
42. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel
et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'Autorité
de protection des données moyennant la suppression des données d’identification directe des parties
et des personnes citées, qu’elles soient physiques ou morales.
PAR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE,
Décide, après délibération, d’imposer au responsable de traitement une amende de 5000 EUR sur la
base des articles 100, 13° et 101 de la LCA ainsi que 83 du RGPD, pour l’ensemble des manquements
retenus, à savoir pour manquement à l’article 5, 1., b) du RGPD, et manquement aux articles 5.1.a)
et 5.1.b), 6.1, 25.1 et 25.2, 32.1 et 32.4 du RGPD lus ensemble.
Décision quant au fond 53/2020 - 13/13
La présente décision peut faire l'objet d'un recours dans un délai de trente jours, à compter de la
notification, à la Cour des marchés 15 (article 108, § 1er de la LCA), avec l’Autorité de protection des
données comme défendeur.
(Sé.) Hielke Hijmans
Président de la Chambre Contentieuse
15
La Cour d’appel de Bruxelles.