Décision quant au fond 54/2021-1/23
Chambre Contentieuse
Décision quant au fond 54/2021 du 22 avril 2021
N° de dossier : DOS-2019-06237
Objet : Plainte relative à une consultation illicite du Registre National dans le
contexte de l’attribution d’allocations familiales
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Y. Poullet et C. Boeraeve, membres, reprenant l’affaire dans cette
composition;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection
des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre
2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Mr X1, (ci-après « le plaignant ») ;
La défenderesse : Y1 , (ci-après « la défenderesse ») ;
En présence de : Y2 ASBL, (ci-après « l’intervenante volontaire »);
Décision quant au fond 54/2021-2/23
Ayant toutes deux pour conseils Maître Paul Van den Bulck et Maître Andrine Like, avocats au Barreau
de Bruxelles, dont le cabinet est établi Rue des Colonies 56 boite 3 à 1000 Bruxelles.
1. Rétroactes de la procédure
Vu la requête en médiation déposée le 8 décembre 2019 par le plaignant auprès de l‘Autorité de
protection des données (APD);
Vu l’échec de la tentative de médiation communiqué au plaignant le 20 février 2020 par le Service de
Première Ligne (SPL) de l’APD ;
Vu l’accord donné par le plaignant le 20 février 2020 pour que sa requête soit transformée en plainte
en application de l’article 62.2. LCA ;
Vu la décision du 9 mars 2020 du SPL déclarant la plainte recevable et la transmission de celle-ci à la
Chambre Contentieuse;
Vu le courrier du 8 avril 2020 de la Chambre Contentieuse informant les parties de sa décision de
considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98 LCA et leur
communiquant un calendrier d’échange de conclusions. Dans ce courrier, la Chambre Contentieuse
précisait notamment ce qui suit à l’adresse des parties :
Sans préjudice de tout argument que vous souhaiteriez développer, vous veillerez à éclairer la
Chambre Contentieuse sur le traitement de données intervenu, sur le rôle des différents
intervenants éventuels et leur qualité au regard de la règlementation de la protection des
données ainsi que sur le fondement légal précis de la consultation litigieuse des données du
plaignant. Vous veillerez également à expliciter les mesures mises en place destinées à garantir
l’accès aux seules données justifiées par le traitement des dossiers et la traçabilité de ces accès.
Vous informerez également la Chambre Contentieuse de ce qu’il est concrètement entendu par
les termes « consultation induite et non volontaire » utilisés dans les pièces jointes à la plainte
au regard des faits d’espèce.
Vu les conclusions principales déposées le 22 mai 2020 par la défenderesse ainsi que par Y2
(l’intervenante volontaire) laquelle intervient volontairement à la cause par cette voie (voy. infra les
points 30 et suivants) ;
Vu les arguments du plaignant du 9 juin 2020 ;
Décision quant au fond 54/2021-3/23
Vu les conclusions additionnelles et de synthèse de la défenderesse et de l’intervenante volontaire du 3
juillet 2020 ;
Vu l’invitation à l’audition adressée par la Chambre Contentieuse aux parties le 10 décembre 2020 ;
Vu l’audition lors de la séance de la Chambre Contentieuse du 19 janvier 2021 en présence du plaignant
et de Maître A. Like, représentant à la fois la défenderesse et l’intervenante volontaire ;
Vu le courrier adressé par les conseils de la défenderesse et de l’intervenant volontaire le 26 janvier
2021 ;
Vu le procès-verbal d’audition et les observations formulées sur celui - ci par les parties lesquelles ont
été jointes à ce procès-verbal.
2. Les faits et l’objet de la demande
2.1. Remarques préalables
1. Pour la bonne compréhension de sa décision et de l’ensemble des acteurs auxquels les pièces de
procédure et les dossiers des parties font référence, la Chambre Contentieuse précise ce qui suit :
- FAMIFED est l’agence fédérale pour les allocations familiales. FAMIFED devait assurer jusqu’au
31 décembre 2019 la gestion des allocations familiales, en ce compris dans la Région de
Bruxelles-Capitale.
- IRISCARE est, aux termes de la 6ème réforme de l’état, devenue, en lieu et place de FAMIFED,
l’autorité de tutelle des caisses d’allocations familiales pour la Région de Bruxelles-Capitale.
IRISCARE est chargée de mettre en place et de gérer le système d’allocations familiales de la
Région de Bruxelles-Capitale.
- Durant une période de transition, les deux structures ont coexisté afin que le relai de la mission
légale puisse passer de FAMIFED aux nouvelles autorités régionales, dont, comme mentionnée,
pour la Région de Bruxelles-Capitale, IRISCARE. Dans le cadre de la présente décision,
IRISCARE et FAMIFED sont indistinctement dénommées « l’Autorité de tutelle ».
- Le plaignant inclut la Banque carrefour de la sécurité sociale (BCSS) dans les « intervenants »
gravitant autour du traitement de données contesté indiquant que c’est la BCSS qui, à l’époque
des faits, développe l’application TRIVIA. L’application TRIVIA permet aux caisses d'allocations
Décision quant au fond 54/2021-4/23
familiales de consulter les dossiers disponibles d’acteurs intégrés, d’intégrer eux-mêmes des
acteurs et de créer des dossiers et d’obtenir, à l’intervention de la BCSS, un accès aux diverses
sources du réseau de la sécurité sociale.
2. La défenderesse est le centre de services partagé du groupe Y. Elle rend des services administratifs
aux différentes entités du groupe Y. Elle assure à cet égard notamment le suivi relatif à la protection
des données à caractère personnel de toutes les caisses d’allocations familiales du groupe. Elle
dispose d’un délégué à la protection des données (DPO) ainsi que d’un « Corporate1 Compliance
Officer » et « Information Security Officer ».
3. Y2, ici partie intervenante volontaire, a notamment pour but de payer les allocations familiales à
ses affiliés qui ont des enfants.
4. Monsieur X2 est le fils du plaignant, affilié à Y2, intervenue volontairement à la cause (voy. infra
points 30 et s.).
2.2. Les faits à l’origine du litige
5. En juillet 2019, l’intervenante volontaire a consulté les données du fils du plaignant dans le Registre
national en particulier la donnée « composition de ménage » et son historique. Cette consultation
a eu lieu afin de gérer le dossier d’allocations familiales du fils du plaignant, un de ses affiliés, et de
déterminer le montant d'allocations familiales - en ce compris un éventuel supplément - qu'il serait
en droit de recevoir à dater du 1er janvier 2020. Cette consultation s'est faite via l‘application TRIVIA,
développée par la BCSS, mise à la disposition des caisses d'allocations familiales, dont l’intervenante
volontaire, par l‘Autorité de tutelle. Cette consultation s’est faite sur la base du numéro de Registre
national de l’affilié, Monsieur X2.
6. C’est cette consultation de l’historique de la composition du ménage de Monsieur X2 qui fait l’objet
de la plainte du plaignant. En effet, lors de cette consultation, l’intervenante volontaire a eu accès
à l’information selon laquelle le plaignant avait fait partie du ménage de son fils à une époque de
sa vie. Le plaignant se plaint de ce que cette consultation de données à caractère personnel le
concernant ne reposait sur aucune base de légitimité valable au sens de l’article 6 du RGPD (voy.
titre 2.3 ; points 23 et s.).
1 Délibération 18/008 du 9 janvier 2018 portant sur la communication de données à caractère personnel par l’Agence
fédérale pour les allocations familiales (Famifed) et diverses autres institutions de sécurité sociale au Ministère de
la Communauté germanophone, dans le cadre du transfert de compétences pour donner suite à la sixième réforme
de l’état – utilisation de l’application TRIVIA.
Décision quant au fond 54/2021-5/23
7. Cette recherche de l‘historique de la composition du ménage est appelée par l‘Autorité de tutelle
"recherche P028". Elle est réalisée via l’application TRIVIA déjà mentionné e. Lors de cette
recherche, l’historique de la composition du ménage de Monsieur X2 afficha le plaignant comme
ayant fait partie de son ménage par le passé et ce, en qualité de chef de ménage.
8. Le 24 septembre 2019, l‘Autorité de tutelle reçut une demande d’information de la part du plaignant
via le formulaire de contact de son site internet. Par cette demande d’information, le plaignant
interrogeait l‘Autorité de tutelle quant à la consultation de ses données les 9 et 17 juillet 2019.
9. II s’en suivit un échange d’e-mails entre le plaignant et l’Autorité de tutelle. Cette dernière informa
le plaignant de la nature de la recherche P028 qui avait mené à l’accès à certaines données le
concernant et l'invita, le cas échéant, à se rapprocher de la caisse d’allocations familiales (soit de
l’intervenante volontaire), en vue de s'enquérir davantage sur la raison de l'accès à ses données
telles qu'elles apparaissaient dans l'historique de composition de ménage de son fils.
10. Le 7 octobre 2019, le plaignant adressa sa demande d’information au service de protection des
données de l’intervenante volontaire via l’adresse «[…] ».
11. Le 10 octobre 2019, la défenderesse, laquelle assure comme mentionné ci-dessus au point 2 le suivi
relatif à la protection des données à caractère personnel de toutes les caisses d’allocations familiales
du groupe, accusa bonne réception et répondit une première fois à la demande d’information du
plaignant.
12. Le 14 octobre 2019, la défenderesse répondit une seconde fois au plaignant. Cette réponse faisait
suite à une demande d’accusé de réception du plaignant quant à sa demande d’information, lequel
accusé de réception avait été envoyé par la défenderesse le 10 octobre 2019 (voy. point 11 ci-
dessus).
13. Le 6 novembre 2019, le plaignant écrivit une nouvelle fois à la défenderesse. Le même jour, la
défenderesse répondit une troisième fois au plaignant et confirma avoir répondu promptement les
10 et 14 octobre 2019 à sa demande du 7 octobre 2019.
14. Le 7 novembre 2019, le plaignant, s’adressant toujours à la défenderesse, développa ses craintes
et souleva la question suivante:
"Que l'on vérifie son flux fiscal [lisez le flux fiscal de Monsieur X2] ne me pose personnellement
aucun problème et cela me parait normal vu que son ménage est attributaire/allocataire
d'allocations familiales.
Décision quant au fond 54/2021-6/23
MAIS, quelles sont donc les bases légales qui vous permettent de consulter mes propres
données privées et flux fiscal ?"
15. Le 7 novembre 2019, la défenderesse répondit une quatrième fois au plaignant et confirma que le
flux fiscal du plaignant n’avait pas été examiné et que seules les données d’identification du
plaignant étaient apparues lors de la consultation de l’historique du ménage de son fils.
16. Le 12 novembre 2019, le plaignant confirma la réception du courrier recommandé de la
défenderesse par lequel cette dernière apportait la preuve de l’envoi de ses e-mails des 10 et 14
octobre 2019.
17. Le 20 novembre 2019, la défenderesse informa le plaignant qu’une demande d’éclaircissement avait
encore été demandée auprès de l'Autorité de tutelle quant à la consultation de ses données. Le
DPO de la défenderesse revint le même jour (soit une cinquième fois) avec ledit éclaircissement de
l‘Autorité de tutelle. Dans la réponse que la défenderesse transmit au plaignant, l‘Autorité de tutelle
confirme qu’il apparaissait bien qu'il y avait eu un accès aux données d'identification du plaignant,
celui- ci étant mentionné comme ayant fait partie du ménage de son fils et qu’il fallait comprendre
que cette consultation était "induite et non volontaire" (en d'autres termes, qu’ il s'agissait d'un
accès incident via l'historique de la composition de ménage du fils du plaignant).
18. Le jour même, après réception de cette réponse (voy. point 17 ci-dessus), le plaignant mit la
défenderesse en demeure de justifier les fondements légaux de la consultation de ses données.
19. Le 27 novembre 2019, la défenderesse revint une sixième fois vers le plaignant en lui précisant que
les dispositions de la Loi générale relative aux allocations familiales (ci-après "LGAF") justifiaient la
consultation de l’historique de la composition du ménage de Monsieur X2 (fils du plaignant) auprès
du Registre national (i.e. les articles 51 et 54 LGAF). De manière littérale, elle indiquait, pour la
bonne compréhension du plaignant, que la mission des caisses d'allocations familiales comprenait
la vérification des droits aux allocations en ce compris la vérification de " l’historique de la
composition familiale pour laquelle les caisses ont le droit d'interroger le Registre national ».
20. Le 8 décembre 2019, le plaignant introduisit une requête auprès de l’APD en ces termes :
"J'ai constaté que (Y2- Bruxelles) [lisez l’intervenante volontaire] avait consulté mes données
personnelles sans aucune raison valable à mes yeux étant donné que je suis pensionné, sans
charge de famille depuis plus de 10 années et que je réside en Wallonie.
Après interrogations des responsables j'ai reçu une réponse qui ne me satisfait en aucune façon
étant donné que l’historique de la composition familiale du ménage d'un de mes fils - dont le
Décision quant au fond 54/2021-7/23
ménage bénéficie apparemment d'allocations familiales en Wallonie - n'a pas à déboucher (de
manière induite et non volontaire peu importe car les références légales, sauf erreur de ma
part, n'y font pas allusion) sur des interrogations de mes données privées qui ne sont nullement
concernées.
II ne s'agit pas, à mes yeux, d'une procédure normale mais d'un dysfonctionnement (ou d’une
interrogation pirate) que je ne peux accepter."
21. Le 3 février 2020, la défenderesse répondit aux interrogations du SPL dans le cadre de la tentative
de médiation menée par ce service de l’APD. En substance, la défenderesse répondit à l’APD ce qui
avait déjà été répondu au plaignant par l'Autorité de tutelle, soit qu’une recherche P028 avait été
effectuée et que la consultation était non volontaire dans son chef mais résultait de la consultation
– nécessaire dans l’exercice de ses missions légales – de la consultation de l’historique de la
composition de ménage du fils du plaignant.
22. Lors de la communication de ses conclusions le 9 juin 2020, le plaignant a dénoncé qu’une nouvelle
consultation de ses données, toujours sans fondement légitime selon lui, avait eu lieu le 21 avril
2020. Interpellée le 3 juin à cet égard, la défenderesse a, le 15 juin 2020, indiqué au plaignant que
cette consultation s’inscrivait dans le cadre de la gestion du présent dossier pendant devant l’APD.
La Chambre Contentieuse précise d’emblée qu’elle se prononcera également sur cette seconde
consultation dont la légalité est mise en cause par le plaignant aux termes de ses conclusions dès
lors que celle-ci est intimement liée aux faits dénoncés par le plaignant aux termes de son formulaire
de plainte.2
2.3. L’objet de la plainte
23. Dans ces mêmes conclusions du 9 juin 2020, le plaignant précise l’objet de sa plainte et fait part de
ce que son fils, Monsieur X2, n’est plus domicilié avec lui depuis 2006. La consultation de l’historique
de la composition de ménage de ce dernier – même nécessaire à l’octroi d’allocations – doit selon
lui être soumise à une limite dans le temps tenant compte (1) soit du jour où la personne dont la
donnée « historique de la composition de ménage » est consultée est potentiellement
attributaire/allocataire des allocations/supplément, (2) soit du jour de la naissance de l’enfant
bénéficiaire. L’accès à l’historique de la « composition de ménage » depuis la naissance de celui
dont l’historique est consulté - comme cela s’est produit en l’espèce - est sans pertinence et
disproportionné au regard de la finalité poursuivie (l’octroi d’allocations familiales).
2 Voy. en ce sens les points 18 et s. de la Décision 38/2021 de la Chambre Contentieuse :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-38-2021.pdf
Décision quant au fond 54/2021-8/23
Cet accès constitue selon le plaignant une brèche de sécurité d’autant plus inacceptable :
- qu’elle émane d’instances publiques ;
- qu’elle touche potentiellement des millions de personnes (au-delà de lui-même, de son
épouse et de toutes les personnes avec lesquelles son fils a, à un moment donné de sa
vie, vécu sous le même toit) ;
- que les données utiles (soit la date/les dates qui ouvre(nt) le droit aux allocations
familiales et à dater de laquelle/desquelles la consultation de l’historique de la
composition de manage pourrait être pertinente) est/sont disponible(s) dans le Cadastre
des allocations familiales ;
- que le système de la recherche « P028 » s’est substitué à un système antérieur qui
permettait une recherche pertinente et ciblée. Le plaignant cite à cet égard le passage
suivant extrait de la Fiche « Description fonctionnelle spécifique du message P028 » :
1.2.1.1. P028 Consultation historique composition de ménage
Principe
Le message P028 est utilisé pour demander les données relatives à l’historique de la
composition du ménage au Registre national sur la base d’un numéro de Registre
national. Ce flux pourra être étendu ultérieurement avec les données du registre de la
BCSS.
Ce flux de consultation combine les anciens messages de consultation P036 et P038
dans un seul message. Contrairement au message de consultation P036, ce flux affiche
l’historique complet, que la personne recherchée soit ou non chef de ménage. Il n’est
dès lors plus nécessaire d’effectuer plusieurs consultations à cet effet. (…)
24. Enfin, toujours dans ses conclusions du 9 juin 2020, le plaignant formule une série de demandes à
la Chambre Contentieuse, soit (page 11 de ses conclusions) :
- De condamner solidairement et indivisiblement la défenderesse, l’intervenante volontaire,
l’Autorité de tutelle, le SPF Intérieur (Registre National), la Banque Carrefour de la sécurité
sociale (BCSS), voire les éventuels auteurs indélicats responsables de l’accès et du traitement
de ses données, conformément aux articles 221 à 230 de la Loi du 30 juillet 2018 relative à la
protection des personnes physiques à l’égard des traitements de données à caractère
personnel ;
- D’informer le Procureur du Roi des manquements constatés et d’informer le plaignant de cette
démarche ;
Décision quant au fond 54/2021-9/23
- De s’assurer que les corrections nécessaires ont été réalisées pour remédier aux manquements
dénoncés et ce sous peine d’astreinte ;
- D’obtenir la preuve que ses données fiscales n’ont pas été traitées dans le cadre de la
consultation dénoncée ;
- D’obtenir les explications nécessaires quant aux consultations des 9 juillet 2019 et 21 avril 2020
par FAMIFED au Registre national ;
- D’obtenir l’identification et les coordonnées complètes de toutes les personnes qui ont eu accès
à ses données personnelles et à défaut condamner la défenderesse, l’intervenante volontaire et
les autres intervenants à des astreintes ;
- D’inviter les responsables au sens large du traitement illégal, voire les éventuels auteurs
indélicats, à l’indemniser pour le préjudice matériel et moral subi.
2.4. Position de la défenderesse et de l’intervenante volontaire
25. La défenderesse et l’intervenante volontaire sollicitent quant à elles, à l’appui de leurs conclusions,
que la Chambre Contentieuse déclare la plainte du plaignant, si recevable, non fondée, la
consultation de la composition de ménage de Monsieur X2, fils du plaignant, étant de leur point de
vue parfaitement légale et légitime. Elles demandent, en conséquence, de classer la plainte du
plaignant sans suite. La défenderesse et l’intervenante volontaire ajoutent que si par impossible,
l’APD devait considérer que dans les circonstances de l’espèce, l’accès à l’historique de la
composition est illégal, il conviendrait qu’elle mette à la cause tant le Registre national que l’Autorité
de tutelle dans la mesure où ce sont eux qui déterminent les données accessibles lors d’une
recherche P028 (page 11 des conclusions additionnelles et de synthèse de la défenderesse et de
l’intervenante volontaire).
3. L’audition du 19 janvier 2021
26. Lors de l’audition du 19 janvier 2021 - dont un procès-verbal a été établi - les parties ont exposé
les arguments qu’elles avaient développés par leurs conclusions respectives.
27. Les éléments suivants ont particulièrement été mis en lumière par les parties :
- la qualité de responsable de traitement de l’intervenante volontaire ;
- le choix délibéré, selon le plaignant, de mettre en place une recherche qui emporte la
consultation de données potentiellement non pertinentes et la gravité de la problématique au
regard du nombre de personnes pouvant être affectées par ce manquement structurel ;
Décision quant au fond 54/2021-10/23
- l’absence de toute incidence juridique du caractère « induit » et « non volontaire » de l’accès
aux données non pertinentes sur la qualification de traitement au sens de l’article 4.2. du RGPD ;
- la mise en évidence par la défenderesse et l’intervenant volontaire de l’obligation de recourir à
l’application TRIVIA et l’impossibilité pour elles d’en modifier les paramètres pour consulter les
seules données de l’historique relatives à une période de temps ciblée.
EN DROIT
A titre liminaire
✓ Quant à la qualité des parties
28. Tant aux termes de ses conclusions que de l’audition (voy. ci-dessus titre 3), l’intervenante
volontaire se déclare responsable de traitement au sens de l’article 4.7. du RGPD au regard de la
consultation litigieuse, consultation qu’elle qualifie par ailleurs d’incidente. La défenderesse est pour
sa part qualifiée de sous-traitant de l’intervenante volontaire (page 10 des conclusions et page 11
des conclusions additionnelles et de synthèse de la défenderesse et de l’intervenante volontaire).
29. La Chambre Contentieuse en prend acte et ne voit, dans le cadre de son analyse propre eu égard
aux éléments de faits qui lui ont été soumis et eu égard aux éléments de droit applicables, aucun
motif de ne pas reconnaitre à l’intervenante volontaire et à la défenderesse ces qualités respectives.
S’agissant de l’intervenante volontaire plus particulièrement, elle définit en effet, au départ de sa
mission propre, les finalités et les moyens des traitements de données qu’elle opère au sens de
l’article 4.7 du RGPD qui définit le responsable de traitement.
✓ Quant à l’intervention volontaire
30. La Chambre Contentieuse prend acte de l’intervention volontaire de Y2 dans cette procédure. Cette
intervention est le fruit de la décision de Y2 qui, volontairement, et pour les besoins de la cause,
est intervenue à la procédure par la voie de conclusions (voy. titre 1).
31. La Chambre Contentieuse précise que ni la LCA ni le Règlement d’ordre intérieur de l’APD ne
prévoient explicitement le mécanisme de l’intervention (volontaire) d’une partie qui n’aurait pas été
mise en cause par le/la plaignant(e).
32. Néanmoins, dans l’exercice des compétences qui sont les siennes, il incombe à l’APD, et partant à
la Chambre Contentieuse dans l’exercice des compétences qui lui sont dévolues, de faciliter
l’exercice des droits reconnus aux personnes concernées par le RGPD, en ce compris celui de porter
plainte (article 77 du RGPD – par ailleurs reconnu à l’article 8.3. de la Charte des droits
Décision quant au fond 54/2021-11/23
fondamentaux comme participant de l’essence du droit à la protection des données). Dans cette
perspective, l’introduction d’une plainte doit rester une démarche aisée pour les personnes
concernées dont les données personnelles sont traitées et au regard du traitement desquelles elles
estiment qu’il y a eu manquement aux règles de protection des données.
33. Comme elle a déjà eu l’occasion de le développer dans sa Décision 17/20203, les autorités de
protection des données doivent à cet effet jouer un rôle actif à travers les missions et les pouvoirs
qui leur sont dévolus en vertu des articles 57 et 58 du RGPD.
34. De la même manière que l’on ne peut attendre du plaignant qu’il identifie d’emblée, dès les termes
de sa plainte, l’ensemble des griefs juridiques pertinents au regard des faits dénoncés4, de la même
manière il ne peut être attendu de lui qu’il identifie de manière certaine le responsable de traitement
concerné. Affirmer le contraire reviendrait à mettre gravement en péril le droit de plainte du
plaignant. En effet, l’identification du responsable de traitement, même à l’appui de la définition
prévue à l’article 4.7. du RGPD, est un processus qui peut s’avérer particulièrement complexe. Certes
des lignes directrices détaillées ont, à plusieurs reprises déjà, été publiées par le Comité Européen
de la Protection des Données (CEPD) et son prédécesseur le Groupe de l‘Article 29, à son sujet.5
Néanmoins, force est de constater que cette identification reste souvent épineuse. Elle nécessite
parfois même le recours au Service d’inspection dans les cas les plus ardus.
35. A l’appui des considérations qui précèdent, afin de donner un effet utile au droit de porter plainte,
et au travers de celui-ci, de contribuer à l’application effective du RGPD, la Chambre Contentieuse
accepte donc naturellement cette intervention volontaire. Elle précise que, bien entendu, le débat
contradictoire s’est noué avec cette dernière également. Dans ces circonstances, la Chambre
Contentieuse est en mesure d’imposer des sanctions à l’intervenant volontaire, le cas échéant.
✓ Quant à la compétence de l’APD et de la Chambre Contentieuse
36. La Chambre Contentieuse précise ici d’emblée, au regard des mesures sollicitées par le
plaignant (voy. point 24), qu’elle n’est en tout cas pas compétente pour accorder une
quelconque indemnisation même en cas de manquements constatés. En effet, cette
3 Décision 17/2020 : https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-17-
2020.pdf Voy. également la Décision 80/2020 de la Chambre Contentieuse :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-80-2020.pdf
4 Décision 38/2021 de la Chambre Contentieuse :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-38-2021.pdf
5 Voy EDPB Guidelines 07/2020 on the concepts of controller and processor in the GDPR, sur edpb.europa.eu.
Décision quant au fond 54/2021-12/23
compétence n’est pas listée parmi les mesures correctrices et sanctions qu’elle peut décider en
application des articles 58.2. du RGPD et 95 et 100 LCA.
4. Quant aux manquements au RGPD
37. La Chambre Contentieuse constate qu’il ressort de l’exposé des faits ci-dessus que le plaignant
reproche à l’intervenante volontaire d'avoir accédé à des données à caractère personnel le
concernant et ce, selon ses termes, sans fondement juridique valable.
38. La Chambre Contentieuse relève que les parties ne contestent pas que lors de la consultation de
l'historique de la composition de ménage (Registre national) de Monsieur X2 en juillet 2019,
l’intervenante volontaire a effectivement eu accès à l’information selon laquelle le plaignant avait, à
une époque, fait partie du ménage de son fils en qualité de chef de ménage.
39. Le fait d’avoir accédé à cette information constitue un traitement de donnée à caractère personnel
au sens de l’article 4.2 du RGPD6 indépendamment de la question de savoir si le responsable de
traitement qui y a accédé – en l’espèce l’intervenante volontaire – avait l’intention de rechercher
cette information ou si il y a eu accès de manière incidente, fortuite, et ce, à l’occasion de la
recherche de données relatives à un personne distincte, en l’espèce, le fils du plaignant. Que
l’intervenante volontaire ait eu l’intention ou non de traiter cette donnée à caractère personnel,
qu’elle l’ait ou non ensuite utilisée pour prendre sa décision, tous ces éléments sont sans incidence
sur la qualification de « traitement » au sens de l’article 4.2. du RGPD.
40. La Chambre Contentieuse rappelle que tout traitement de données à caractère personnel doit
s’appuyer sur une des bases de licéité prévue à l’article 6 du RGPD.
41. L’article 3, alinéa 1, 9° de la Loi du 8 août 1983 organisant un Registre national des personnes
physiques (ci-après la Loi RN) prévoit que pour chaque personne inscrite au Registre national, la
donnée « composition de ménage » est enregistrée et conservée de même que les modifications
successives apportées à cette information ainsi que leur date de prise d'effet ; c’est
l’historique (article 3 alinéa 2 de la Loi RN). L’arrêté royal du 8 janvier 2006 déterminant
les types d'information associés aux informations visées à l'article 3, alinéa 1er, de la loi
du 8 août 1983 organisant un Registre national des personnes physiques précise quant à
6 Voy. article 4.2 du RGPD : «traitement», toute opération ou tout ensemble d'opérations effectuées ou non à l'aide
de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles
que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification,
l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de
mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.
Décision quant au fond 54/2021-13/23
lui en son article 1, 9° que sont associées à l’information « composition de ménage » les données
suivantes : « personne de référence du ménage » d’une part et « membre du ménage » d’autre
part.
42. En conséquence, la consultation de la donnée « composition de ménage » du Registre national du
fils du plaignant peut, de facto, emporter la prise de connaissance de données à caractère personnel
d’autres personnes que le fils lui-même, tels les membres de son ménage. Les données personnelles
qui figurent dans la composition de ménage et son historique sont à la fois des données à caractère
personnel relatives à celui dont le Registre national est consulté ET des données à caractère
personnel relatives aux personnes qui sont reprises dans la composition et l’historique de son
ménage. Il y aura donc traitement de données à caractère personnel de personnes tierces
(distinctes de celle dont on consulte la donnée « composition de ménage », soit en l’espèce le fils
du plaignant) dès lors que celles-ci font ou ont fait partie du ménage de la personne pour laquelle
la donnée « composition de ménage » est consultée (comme ici le plaignant). Il n’en résulte
cependant pas nécessairement une absence de base de licéité pour le traitement des données de
ces personnes tierces tel le plaignant en l’espèce.
43. Pour autant qu’il soit valablement invoqué, le fondement juridique de la consultation de la donnée
« composition du ménage » (et de son historique) de la personne concernée (en l’espèce le fils du
plaignant) inclut la consultation des données reprises sous cette information, en ce compris donc
les membres de son ménage, dont le plaignant. En l’espèce, la base de licéité à l’appui de laquelle
la consultation de l’historique de la composition de ménage du fils du plaignant est opérée légitime
potentiellement également l’accès - même induit comme le qualifient la défenderesse et
l’intervenante volontaire - à la donnée relative au plaignant selon laquelle il a fait partie du ménage
de son fils.
44. La Chambre Contentieuse rappelle qu’outre la base de licéité requise (article 6 du RGPD), les
données personnelles doivent, conformément au principe de minimisation exprimé à l’article 5.1.c)
du RGPD, être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour
lesquelles elles sont traitées (principe de minimisation).
45. Enfin, en application de l’article 24 du RGPD, il incombe au responsable de traitement de mettre en
œuvre les mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure
de démontrer (comme l’impose l’article 5.2. du RGPD) que le traitement qu’il effectue est conforme
au RGPD.
46. Il résulte de ce qui précède qu’il appartient à la Chambre Contentieuse de vérifier si la consultation
(dont la licéité est contestée par le plaignant) - par l’intervenante volontaire en sa qualité de
Décision quant au fond 54/2021-14/23
responsable de traitement - de la donnée « composition de ménage » du fils du plaignant, en ce
compris l’historique complet de celle-ci, répondait en l’espèce aux conditions de traitement imposées
par le RGPD.
4.1. Quant à la base de licéité et le respect du principe de minimisation
47. La Chambre Contentieuse relève que la défenderesse et l’intervenante volontaire s’appuient sur
l’article 6.1.c) du RGPD pour légitimer le traitement de données contesté. L’article 6.1.c) autorise le
traitement de données nécessaire au respect d’une obligation légale à laquelle le responsable de
traitement est soumis.7
48. La Chambre Contentieuse rappelle comme elle l’a fait dans ses récentes décisions 37/2021 et
38/2021 que dans son arrêt Huber, la Cour de Justice de l’Union européenne (CJUE) a, au regard
de cette condition de nécessité, spécifié qu’il s’agissait d’une notion autonome du droit
communautaire qui doit recevoir une interprétation de nature à répondre pleinement à l’objet de la
directive 95/46/CE d’application à l’époque où cet arrêt a été rendu. 8
49. Aux termes des conclusions9 qu’il a déposées dans cette affaire, l’avocat général explicite à cet
égard que « le concept de nécessité a une longue histoire en droit communautaire et il est bien
établi en tant que partie intégrante du critère de proportionnalité. Il signifie que l’autorité qui adopte
une mesure qui porte atteinte à un droit fondamental en vue de réaliser un objectif justifié doit
démontrer que cette mesure est la moins restrictive permettant d’atteindre cet objectif. Par ailleurs,
si le traitement de données personnelles peut être susceptible d’enfreindre le droit fondamental au
respect de la vie privée, l’article 8 de la Convention européenne de sauvegarde des droits de
l’homme et des libertés fondamentales (CEDH) qui garantit le respect de la vie privée et familiale,
devient lui aussi pertinent. Comme l’a Cour l’a énoncé dans l’arrêt Österreichischer Rundfunk e.a.,
si une mesure nationale est incompatible avec l’article 8 de la CEDH, cette mesure ne peut pas
satisfaire à l’exigence de l’article 7, sous e), de la directive. L’article 8, paragraphe 2, de la CEDH
prévoit qu’une ingérence dans la vie privée peut être justifiée si elle vise l’un des objectifs qui y sont
énumérés et « dans une société démocratique, est nécessaire » à l’un de ces objectifs. La Cour
7 Voy. les décisions 37/2021 et 38/2021 de la Chambre Contentieuse qui explicitent ce qu’il faut entendre par
nécessaire au respect d’une obligation légale : https://www.autoriteprotectiondonnees.be/publications/decision-
quant-au-fond-n-37-2021.pdf https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-
38-2021.pdf
8 CJUE,16 décembre 2008, Heinz Huber v. Bundesrepublik Deutschland, C-524/06, ECLI:EU:C:2008:724, para.52.
9 Conclusions de l’Avocat général Poiares Maduro présentées le 3 avril 2008 dans le cadre de la procédure devant
la CJU ayant abouti à l’arrêt cité en note de bas de page 15 ci-dessus ( C-524/06).
Décision quant au fond 54/2021-15/23
européenne des droits de l’homme a jugé que la notion de « nécessité » implique qu’un « besoin
social impérieux » soit en cause ».
50. Cette jurisprudence formulée certes au regard de l’article 7.e) de la directive 95/46/CE vaut pour
toutes les bases de licéité qui retiennent cette condition de nécessité. Elle demeure aujourd’hui
pertinente alors même que la directive 95/46 a été abrogée dès lors que cette condition de nécessité
est maintenue aux termes de l’article 6.1 b) à f) du RGPD et donc à l’article 6.1.c) invoqué en
l’espèce. L’article 6.1 du RGPD reprend en effet les termes de l’article 7 de la directive 95/46/CE
dont elle est l’équivalent10.
51. Le Groupe de l’Article 29 a également fait référence à la jurisprudence de la Cour européenne des
droits de l’homme (Cour eur. D.H.) pour cerner l’exigence de nécessité11 et conclut que l’adjectif
« nécessaire » n’a ainsi pas la souplesse de termes tels que « admissible », « normal », « utile »,
« raisonnable » ou « opportun ».12
52. Plus précisément quant à la base de légitimité qui s’appuie sur l’obligation légale à laquelle serait
tenu le responsable de traitement, le Comité européen de la protection des données (EDPB –
CEPD) 13 a énoncé les conditions dans lesquelles cette base de licéité peut être appliquée:
- l’obligation doit être imposée par la législation;
- la législation doit remplir toutes les conditions requises pour rendre l’obligation valable et
contraignante;
- la législation doit être conforme au droit applicable en matière de protection des données,
notamment aux principes de nécessité, de proportionnalité et de limitation de la finalité;
- l’obligation légale elle-même doit être suffisamment claire à propos du traitement de données
à caractère personnel qu’elle requiert;
- et le responsable du traitement ne devrait pas avoir de marge d’appréciation injustifiée quant à
la façon de se conformer à l’obligation légale.
10 A noter que les seules différences à relever sont l’ajout à l’article 6.1.d) du RGPD de l’intérêt vital d’une autre
personne physique que la personne concernée ainsi que la suppression à l’article 6.1.e) du RGPD du « tiers auquel
les données sont communiquées », la mission d’intérêt public ou relevant de l’exercice de l’autorité publique devant
être celle du seul responsable de traitement. En outre, une légère différence de formulation existe à entre l’article
7.1. f) e la directive 95/46/Ce et l’article 6.1. f) du RGPD sans que la portée de cette disposition en soit modifiée.
Toutes ces modifications sont sans incidence sur la condition de nécessité.
11 Groupe de l’Article 29, Avis 06/2014 du 9 avril 2014 sur la notion d’intérêt légitime poursuivie par le responsable
de traitement des données au sens de l’article 7 de la directive 95/46/CE, WP 217.
12 Cour eur. D.H., 25 mars 1983, Silver et autres c. Royaume-Uni, para 97.
13 Comité européen de la Protection des données (CEPD), Avis 03/2019 concernant les questions et réponses sur
l’interaction entre le règlement relatif aux essais cliniques et le règlement général relatif à la protection des données
(RGPD) [article 70, paragraphe 1, point b)] du 23 janvier 2019 (point 11) :
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_opinionctrq_a_final_fr.pdf
Décision quant au fond 54/2021-16/23
53. En l’espèce, la défenderesse et l’intervenante volontaire mettent en avant plusieurs dispositions
légales qui, de leur point de vue, leur imposait de procéder au traitement litigieux.
54. La Chambre Contentieuse relève à cet égard ce qui suit :
- L’octroi du supplément social en complément aux allocations ordinaires est régi par la Loi générale
relative aux allocations familiales (LGAF) du 19 décembre 1939 , en particulier les articles 51, 54 et
173quater. L’article 173 quater prévoit explicitement que les organismes d'allocations familiales et
les services ministériels, chargés de l'exécution de cette loi, sont tenus de s'adresser au Registre
national des personnes physiques pour obtenir les informations visées à l'article 3, alinéas 1er et 2,
de la Loi du 8 août 1983 organisant un Registre national des personnes physiques . Parmi ces
données figurent la composition de ménage et ses modifications successives (soit l’historique). Le
recours à une autre source n'est autorisé que dans la mesure où les informations nécessaires ne
peuvent pas être obtenues auprès du Registre national.
- La compétence en matière d’octroi des allocations familiales et du supplément social est régionalisée
et le fils du plaignant était répertorié comme résidant en Région de Bruxelles-Capitale au moment
de la consultation du Registre national dénoncée14. La Chambre Contentieuse relève à cet égard
que l’article 9 de l’0rdonnance du 25 avril 2019 de la Région de Bruxelles-Capitale réglant l’octroi
des prestations familiales15 précise que l’allocation familiale de base est majorée d’un supplément
social dans certaines conditions, notamment lorsque les revenus annuels du ménage n’atteignent
pas un certain seuil. En d’autres termes, l’octroi du supplément est conditionné par les revenus du
ménage.
- S’agissant de l’octroi de ce supplément social, l’article 10 de l’Ordonnance du 4 avril 2019 prévoit
que « le Collège réuni fixe les conditions selon lesquelles le paiement des suppléments sociaux est
effectué provisionnellement, dans l'attente des données fiscales établissant les revenus annuels du
ménage permettant la prise d'une décision définitive ». De ce fait, le Collège réuni de la Commission
Communautaire Commune a fixé les conditions d’octroi des suppléments sociaux et de certains
suppléments prévus dans la Loi générale relative aux allocations familiales dans un Arrêté du 24
octobre 2019.
14 Le plaignant indique à cet égard que son fils habite en Wallonie depuis une date bien antérieure à celle de cette
consultation (soit depuis juillet 2018). L’intervenante volontaire et la défenderesse indiquent que ce changement
de domicile ne leur avait pas été notifié à la date de la consultation P028 et que désormais l’intervenante volontaire
ne gère plus le dossier d’allocations familiales du fils du plaignant. La Chambre Contentieuse en prend acte.
15 M.B., 8 mai 2019.
https://bruxelles.famifed.be/sites/default/files/uploads/20190509_ordonnantiegezinsbijslag_NLFR.pdf:
Décision quant au fond 54/2021-17/23
- Conformément à cet Arrêté du 24 octobre 2019 précité, les mesures préparatoires que les caisses
d’allocations familiales devaient prendre dès 2019 pour pouvoir établir, pour chaque ménage
bruxellois, le montant correct des allocations familiales auxquelles il aurait droit à partir du 1er
janvier 2020, ainsi que la procédure à suivre en vue de l’octroi des suppléments sociaux à partir de
2020, ont été arrêtés dans la Circulaire CO PF2 du 5 juillet 2019 relative à la procédure d’octroi
provisionnel des suppléments sociaux en Région de Bruxelles-Capitale à partir du 1er janvier 2020,.
- La défenderesse et l’intervenante volontaire s’appuient sur cette Circulaire du 5 juillet 2019 relative
à la procédure d’octroi provisionnel des suppléments sociaux en Région de Bruxelles-Capitale à
partir du 1er janvier 2020, en particulier sur ses articles 2.2 et 7 pour légitimer leur consultation de
l’historique de la composition de ménage du fils du plaignant.
- Cette circulaire prévoit que l’établissement du droit à un supplément en Région de Bruxelles-Capitale
se fera en deux phases, à savoir:
Phase 1 : Une décision concernant le paiement provisionnel du supplément est prise en « temps
réel » : autrement dit, il est accordé d’office à titre provisionnel si les conditions sont remplies.
Aussi, le supplément peut être accordé à titre provisionnel à la suite d’une demande du ménage
accompagnée de pièces justificatives relatives aux revenus bruts actuels du ménage.
Phase 2 : Deux ans plus tard, les revenus imposables de tous les ménages sont vérifiés à l’aide
du flux fiscal et l’établissement définitif du droit au supplément social est effectué sur la base
des données fiscales mises à disposition par la source authentique.
- Quant à la notion de ménage retenue, la circulaire précise que « cette identification se fait selon
la notion de ménage telle que décrite à l’article 2 de l’arrêté du 24 octobre 2019. Cet arrêté
dispose en son article 1er qu’il faut entendre par:
« 1° membre du ménage cohabitant: toute personne n’étant ni parente, ni alliée
jusqu’au troisième degré inclusivement, avec laquelle l'allocataire cohabite et forme un
ménage de fait;
2° membres du ménage: l'allocataire et, le cas échéant, le conjoint avec lequel il
cohabite et/ou tout autre membre du ménage cohabitant»
55. La Chambre Contentieuse en conclut qu’en d’autres termes, préalablement à l’octroi du supplément
social adéquat à partir du 1er janvier 2020, il revenait aux caisses d’allocations familiales (dont
l’intervenante volontaire), d’identifier, en application des différents textes précités, dès juillet 2019,
les allocataires et leurs revenus, plus particulièrement ceux de leur ménage tel que cette notion est
définie à l’article 2 de l’arrêté du 24 octobre 2019.
Décision quant au fond 54/2021-18/23
56. Cette vérification de la condition de revenus du ménage (et partant de qui en faisait partie) est, en
l’occurrence, passée par une identification de la composition de ménage du fils du plaignant via la
consultation du Registre national. Il n’est par ailleurs pas contesté que les caisses d’allocations
familiales, dont l’intervenante volontaire, étaient dûment autorisées à consulter le Registre national.
57. La Chambre Contentieuse constate qu’il n’apparait pas clairement des textes légaux invoqués quels
sont les revenus dont il convenait de tenir compte et partant, en fonction de la phase dans laquelle
la consultation est intervenue, quelle était la date de la composition de ménage à prendre en
considération (année civile en cours, retour en arrière de 2 ans par analogie avec le calcul définitif
qui interviendra deux ans plus tard comme l’ont évoqué les défenderesses et l’intervenante
volontaire lors de l’audition (voy. articles 2.1. et 2.2.de la circulaire du 5 juillet 2019) ?). Cette
précision eut été précieuse, elle est par ailleurs exigée par le principe de clarté et de prévisibilité de
la « loi », principe requis de longue date par la jurisprudence de la Cour européenne des droits de
l'homme, ainsi que de la CJUE.16
58. La Chambre Contentieuse considère que tout au plus, cet historique de la donnée « composition
de ménage » du fils du plaignant aurait pu être consulté en remontant jusqu’à la date ouvrant le
droit aux allocations /supplément social à ces allocations et qu’en toute hypothèse, la consultation
de l’intégralité de l’historique du fils du plaignant sans limite dans le temps était disproportionnée
et non nécessaire au respect par l’intervenante volontaire de son obligation légale.
59. Or, comme le dénonce le plaignant, la « recherche P028 » qui a été effectuée emporte
systématiquement la consultation de l’historique de la composition de ménage dans son intégralité,
soit depuis la naissance de la personne dont le Registre national est consulté. L’accès à cet historique
complet du fils du plaignant était donc disproportionné et les données consultées n’étaient pas
pertinentes au regard de la finalité poursuivie, à savoir la détermination de la composition de
ménage à un temps T dont il doit être tenu compte dans la cadre de l’octroi des allocations familiales
et du supplément social.
60. Partant, la Chambre Contentieuse conclut que, même si elle invoque que l’application TRIVIA qu’elle
devait obligatoirement utiliser ne permettait pas la consultation d’un historique limité dans le temps
(voy. point 63), l’intervenante volontaire n’a pas opéré un traitement nécessaire à son obligation
légale et ne peut donc invoquer l’article 6.1.c) comme base de licéité. La Chambre Contentieuse
constate dès lors un manquement à l’article 6 du RGPD dans son chef, à défaut d’autre base
de licéité valable et sans préjudice de l’obligation du responsable de traitement d’identifier une base
16 Cour eur. D.H., 4 mai 2000, arrêt Rotaru c. Roumanie ; CJUE, Affaires jointes C-511/18, C-512/18 et C-520/18,
La Quadrature du Net e.a., ECLI:EU:C:2020:791, para 121.
Décision quant au fond 54/2021-19/23
de licéité et non plusieurs au gré des circonstances 17. La Chambre Contentieuse conclut par ailleurs
également à un manquement à l’article 5.1.c) du RGPD, les données dont l’intervenante a
pris connaissance a l’occasion de sa consultation illicite (à défaut de base de licéité pour la légitimer)
étant dès lors également non pertinentes au regard de la finalité poursuivie.
61. Quant à la consultation intervenue le 21 avril 2020, la Chambre Contentieuse relève que la
défenderesse et l’intervenante volontaire s’appuient sur leur intérêt légitime (article 6.1.f) du RGPD),
la consultation étant justifiée selon elles par les besoins de la présente procédure. La Chambre
Contentieuse rappelle à cet égard qu’elle a, par le passé déjà, considéré que la défense en justice
est un intérêt légitime pouvant valablement être invoqué par les responsables de traitement 18 pour
autant que les conditions cumulatives de nécessité du traitement pour la réalisation de l’intérêt
légitime poursuivi et de proportionnalité (soit que les droits et libertés fondamentaux des personnes
concernées ne prévalent pas sur l’intérêt poursuivi) soient réunies.
62. Sans remettre en cause le fait que la défense en justice peut effectivement constituer un intérêt
légitime au sens de l’article 6.1.f) du RGPD, la Chambre Contentieuse n’en conclut pas moins, pour
les mêmes motifs que ceux qui sous-tendent sa conclusion relative à la consultation initiale (voy.
points 57-60), que cette consultation au cours de la procédure pendante devant l’APD était
également illicite.
4.2. Quant au principe d’accountability
63. La Chambre Contentieuse prend acte de ce que l’intervenante volontaire déclare d’une part qu’elle
est tenue d’utiliser l’application TRIVIA et d’autre part qu’il lui est impossible de cibler dans le temps
sa demande de consultation de l’historique de la donnée « composition de ménage dans le Registre
national. La Chambre Contentieuse n’y est pas insensible et renvoie sur ce point aux mesures
correctrices qu’elle décide de prendre telles que détaillées aux points 69 et s. (titre 5).
64. Nonobstant ce dernier point, il n’en demeure pas moins qu’en sa qualité de responsable de
traitement, l’intervenante volontaire ne pouvait s’appuyer sur l’article 6.1.c) du RGPD et ne disposait
ainsi qu’il a été conclu aux points 60 et 62 ci-dessus d’aucune base de licéité valable pour accéder
aux données du plaignant via la consultation de l’historique complet de la composition de ménage
de son fils.
17 Voy. la Décision 38/2021 de la Chambre Contentieuse :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-38-2021.pdf
18 Voy. la Décision 03/2020 de la Chambre Contentieuse :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-03-2020.pdf
Décision quant au fond 54/2021-20/23
65. La Chambre Contentieuse conclut également à un manquement aux articles 24 et 5.2. du
RGPD dans le chef de l’intervenante volontaire dès lorsqu’elle n’a pas été en mesure de mettre
en place les mesures techniques destinées à mettre en œuvre le RGPD. Ici encore, la Chambre
Contentieuse n’ignore pas l’absence de maîtrise de l’application par l’intervenante volontaire. Cette
circonstance n’est toutefois pas de nature à supprimer tout manquement dans son chef compte
tenu de sa qualité de responsable de traitement.
66. En effet, l’objectif du principe d’accountability, ou « principe de responsabilité » dans sa traduction
française (article 5.2. du RGPD), est de responsabiliser les responsables de traitement - qu’il s’agisse
d’entreprises privées ou d’autorités ou organismes publics -, et de permettre aux autorités de
contrôle de la protection des données telles l’APD de vérifier l’efficacité des dispositions prises en
l’appliquant. Les risques doivent être identifiés par la mise en place de plans d’actions et de
procédures de contrôle et ces organisations doivent pouvoir prouver sans difficulté qu’elles ont
procédé à une identification, une évaluation et un encadrement des risques en matière de protection
de données personnelles au regard des traitement qu’elles opèrent. Ce principe serait largement
mis à mal, voire vidé de toute substance s’il suffisait pour un responsable de traitement d’invoquer,
une fois confronté à une plainte portée devant l’autorité de contrôle, le fait que l’application
informatique utilisée – fût-ce son usage imposé par un tiers – ne lui permet pas de se conformer
au RGPD.
67. En application de son obligation d’accountability et de documentation, l’intervenante volontaire
aurait donc, au minimum, dû alerter les instances pertinentes quant à la situation de porte à faux
dans laquelle l’utilisation contrainte de l’application TRIVIA la plaçait par rapport à ses obligations
découlant du RGPD.
68. La Chambre Contentieuse n’ignore pas non plus le soin mis par la défenderesse à répondre aux
questions du plaignant et les prises de contact avec l’Autorité de tutelle pour pouvoir expliquer au
mieux la situation à ce dernier. Mais ici non plus, ces circonstances ne sont pas de nature à
permettre à la Chambre Contentieuse de conclure à l’absence de manquement. La Chambre
Contentieuse a également noté que l’intervenante s’engageait désormais à prendre contact avec
l’Autorité de tutelle.
5. Quant aux mesures correctrices et sanctions
69. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
Décision quant au fond 54/2021-21/23
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes19;
13° donner des amendes administratives 20;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.
70. ll importe de contextualiser les manquements constatés par la Chambre Contentieuse en vue
d’identifier les mesures correctrices et sanctions les plus adaptées.
71. Dans ce cadre, la Chambre Contentieuse tiendra compte de l’ensemble des circonstances de l’espèce
et des éléments d’explication apportés par les parties. La Chambre Contentieuse tient à cet égard
à préciser qu’il lui appartient souverainement en qualité d’autorité administrative indépendante -
dans le respect des articles pertinents du RGPD et de la LCA - de déterminer la/les mesure(s)
correctrice(s) et sanction(s) appropriée(s).21
72. Ainsi, il n’appartient pas au plaignant de solliciter de la Chambre Contentieuse quelle ordonne telle
ou telle mesure correctrice ou sanction. Si, nonobstant ce qui précède, le/la plaignant(e) devait
néanmoins demander à la Chambre Contentieuse qu’elle prononce l’une ou l’autre mesure et/ou
19 https://www.autoriteprotectiondonnees.be/publications/politique-en-matiere-d-astreinte.pdf
20 La Chambre Contentieuse ne s’exprime pas sur l’opportunité d’une éventuelle amende administrative à
l’encontre de la défenderesse. Compte tenu de la qualité « d’autorité publique » de cette dernière au sens de
l’article 5 de la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements
de données à caractère personnel, lu en combinaison avec les articles 83.7. du RGPD et 221 § 2 de la loi du
30 juillet 2018 précitée, la Chambre Contentieuse n’est en effet pas autorisée à lui imposer une telle amende.
21 Chambre Contentieuse, Décision quant au fond 81/2020 :
https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-81-2020.pdf
Décision quant au fond 54/2021-22/23
sanction, il n’incombe pas à cette dernière de motiver pourquoi elle ne retiendrait pas l’une ou
l’autre demande formulée par le/la plaignant(e). Ces considérations laissent intacte l’obligation pour
la Chambre Contentieuse de motiver le choix des mesure(s) correctrice(s) et/ou sanction(s)
auxquelles elle juge, (parmi la liste des mesures et sanctions mises à sa disposition par les articles
58 du RGPD et 95.1 et 100.1 de la LCA rappelées ci-dessus) approprié de condamner la partie mise
en cause. La Chambre Contentieuse rappelle ici, comme elle l’a mentionné au point 36 ci-dessus,
qu’elle n’est pas compétente pour accorder une quelconque indemnisation.
73. La Chambre Contentieuse a constaté un manquement aux articles 6, 5.1.c) ainsi qu’aux articles 24
et 5.2. du RGPD dans le chef de l’intervenante volontaire (points 60, 62 et 65).
74. Compte tenu de ces manquements, la Chambre Contentieuse adresse à l’intervenante volontaire
une réprimande sur la base de l’article 100.1, 5° LCA22 laquelle constitue, à l’aune des faits et des
manquements constatés, la sanction effective, proportionnée et dissuasive telle que requise par
l’article 83 du RGPD qui s’impose. A cet égard, la Chambre Contentieuse tient à souligner qu’elle
n’est pas en mesure d’adresser un avertissement à l’intervenante volontaire dès lors que cette
mesure ne peut s’appliquer lorsqu’un manquement est constaté. L’avertissement s’applique
uniquement lorsque les opérations de traitement envisagées sont susceptibles de violer les
dispositions du RGPD.
75. La Chambre Contentieuse est d’avis qu’au-delà de la réprimande adressée à l’intervenante
volontaire, il importe qu’une réponse adéquate soit rapidement trouvée à la problématique soulevée
par la plainte et ce, afin de permettre une consultation limitée, respectueuse du RGPD, de
l’historique de la donnée « composition de ménage » (ainsi que de l’historique d’autres données du
Registre National le cas échéant). La Chambre Contentieuse renvoie à cet égard aux délibérations
du Comité sectoriel du Registre national (CSRN) de l’ancienne Commission de la protection de la vie
privée (CPVP) aux termes desquelles le CSRN accorde un accès à l’historique des données limité
dans le temps en conformité avec l’article 4 § 1, 3° de la Loi Vie privée qui énonçait alors le principe
de proportionnalité (aujourd’hui principe de minimisation libellé à l’article 5.1, c) du RGPD).23 La
Chambre Contentieuse est également interpellée par le document intitulé « Fiche - Description
fonctionnelle spécifique du message P028 » (en particulier le point 1.2.1.1.) mis en avant par le
plaignant aux termes duquel il aurait été renoncé à utiliser une application plus respectueuse du
principe de minimisation (voy. point 23).
22 Voy. article 58. 2 b) du RGPD qui prévoit d’adresser un rappel à l’ordre au responsable de traitement lorsque
« les opérations de traitement ont entraîné une violation des dispositions du présent règlement ».
23 Voy. à tire d’exemple la délibération du Comité sectoriel du Registre national RN n° 20 d u 25 mars 2009.
Décision quant au fond 54/2021-23/23
76. Pour toutes ces raisons, la Chambre Contentieuse attirera l’attention du Comité de direction de l’APD
sur cette problématique. Le cas échéant, les organes de l’APD pourraient, en application de leurs
compétences respectives que leur attribue la LCA, décider de nouer un dialogue avec l’ensemble
des instances concernées et/ou mener une enquête approfondie auprès d’elles sur la problématique
ayant surgi à l’occasion de la plainte aboutissant à la présente décision.
77. La Chambre Contentieuse décide par ailleurs d’adresser une copie de la présente décision aux
services du Registre national ainsi qu’à Famifed, à Iriscare et à la Banque carrefour de la sécurité
sociale (BCSS) mentionnés par le plaignant aux termes de sa plainte.
6. Transparence
78. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les
décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'APD
moyennant la suppression des données d’identification directe des parties (soit la défenderesse,
l’intervenante volontaire et le plaignant) et des personnes physiques citées. Par contre, la Chambre
Contentieuse estime n’avoir d’autre possibilité, pour la bonne compréhension de la présente
décision, que de nommément mentionner Famifed, Iriscare, la Banque-Carrefour de la sécurité
sociale (BCSS) et les services du Registre National.
POUR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE
Décide
- De prononcer à l’encontre de l’intervenante volontaire une réprimande sur la base de l’article
100.1, 5° LCA.
En vertu de l’article 108.1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa notification, avec
l’Autorité de protection des données en qualité de défenderesse.
(Sé) Hielke Hijmans
Président de la Chambre Contentieuse