1/6
Chambre Contentieuse
Décision 60/2024 du 22 avril 2024
Numéro de dossier : DOS-2023-04811
Objet : Plainte relative au partage illicite de données personnelles sans consentement
préalable
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante : X, ci-après « la plaignante »
La défenderesse : Y, ci-après : « la défenderesse »
Décision 60/2024 — 2/6
I. Faits et procédure
1. Le 26 octobre 2023, la plaignante a introduit une plainte auprès de l’Autorité de protection
des données (ci-après « l’APD ») à l’encontre de la partie défenderesse, Y (ci-après « la
défenderesse »), chez qui elle est cliente.
2. L’objet de la plainte concerne un partage illicite de données personnelles par la
défenderesse sans le consentement de la plaignante à un organisme d’intérêt public fédéral
(ci-après « Z »), dans le but de vérifier son éligibilité au statut « tarif social ».
3. Le 24 octobre 2023, la plaignante a reçu une notification de Z, indiquant que, après examen
des documents qu’elle avait soumis pour demander le tarif social à Y, il avait été conclu
qu’elle ne remplissait pas les conditions énoncées à l’article (..) (ci-après « le refus 1 du TS »).
4. Le 25 octobre 2023, la défenderesse a réagi à une demande de la plaignante en référence à
la notification du « refus 1 du TS » de « Z », en précisant qu’elle n’avait pas soumis de demande
de vérification à Z.
5. Le 26 octobre 2023, Z a répondu à une demande de la plaignante concernant la vérification
de son statut pour le tarif social. Z a réitéré les informations précédemment communiquées,
notamment en expliquant que les demandes de vérification étaient initiées par la
défenderesse (Y) et non par Z lui-même. Z a également fourni un résumé du dossier de la
plaignante, mentionnant toutes les demandes effectuées par la défenderesse, y compris
une première demande datée du 16/10, clôturée par Z suite au mail du 24 octobre 2023, ainsi
qu’une nouvelle demande « introduite deux fois par (la défenderesse) en date du 25/10 ».
Enfin, Z a expliqué la procédure suivie par les demandeurs lorsqu’ils demandent la
vérification des conditions d’octroi du tarif social. Z a informé la plaignante qu’une autre
demande était en cours et qu’elle devait déposer une plainte auprès de la défenderesse si
ces demandes avaient été introduites par erreur.
6. Le même jour, la plaignante a demandé la clôture de toutes les demandes de statut « tarif
social » à son nom, car elle n’avait jamais donné son consentement pour de telles demandes.
Elle a également demandé à Z de prévenir la défenderesse d’arrêter toutes demandes
similaires.
7. Le 27 octobre 2023, la plaignante a reçu une nouvelle notification de Z indiquant que, suite
à l’examen des documents qu’elle avait soumis pour demander le tarif social à Y, il avait été
conclu qu’elle ne remplissait pas les conditions nécessaires (ci-après « le refus 2 du TS »). Le
même jour, la plaignante a déposé une plainte contre la défenderesse pour transfert illicite
de ses données.
8. Le 17 novembre 2023, le délégué à la protection des données (ci-après « DPO ») de la
défenderesse a expliqué à la plaignante que Y a consulté par erreur la base de données de Z
Décision 60/2024 — 3/6
pour déterminer l’éligibilité au tarif social en utilisant son numéro de client, au lieu de celui
d’un autre client qui en avait fait la demande. Suite à la première réclamation de la plaignante,
Y avait traité la plainte par le même agent du service clientèle qui avait mal compris la
demande et avait demandé le 25 octobre 2023 une nouvelle vérification de la base de
données de Z pour confirmer la première demande d’éligibilité au tarif social datée du 16
octobre 2023. Ces erreurs avaient conduit à deux notifications de refus de Z. Le DPO a tenu
à préciser qu’il ne s’agissait pas d’une divulgation des données personnelles de la plaignante
à Z, mais d’une consultation effectuée par Y, et il s’est excusé pour les désagréments causés.
Le même jour, la plaignante a réitéré que ses données n’auraient jamais dû se retrouver dans
la base de données de Z.
9. Le 27 novembre 2023, la plainte a été déclarée recevable par le Service de Première Ligne
sur la base des articles 58 et 60 de la LCA1 et la plainte a été transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA2.
10. En application de l’article 95 § 2, 3° de la LCA ainsi que l’article 47 du règlement d'ordre
intérieur de l’APD, une copie du dossier peut être demandée par les parties. Si l'une des
parties souhaite faire usage de la possibilité de consulter le dossier, celle-ci est tenue de
s'adresser au secrétariat de la Chambre contentieuse, de préférence via l’adresse
[email protected].
II. Motivation
11. La Chambre Contentieuse relève que l’article 5.2 du RGPD dispose que tout responsable
de traitement doit être en mesure de démontrer le respect du paragraphe premier du même
article (principe communément appelé « accountability »).
12. Le point f) de l’article 5.1 du RGPD plus particulièrement dispose que le responsable de
traitement doit veiller à mettre en place « des mesures techniques ou organisationnelles
appropriées », c’est-à-dire des mesures capables de garantir une sécurité suffisante des
données à caractère personnel relatives à une personne concernée, protégeant ainsi ces
dernières d’un traitement non autorisé ou illicite, et d’évènements accidentels tels que leur
perte ou leur destruction, notamment.
13. L’article 24 du RGPD précise que ces mesures doivent faire l’objet d’un réexamen et d’une
actualisation le cas échéant, et qu’elles doivent être adoptées au regard « de la nature, de la
1
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
2
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de
cette plainte, le dossier lui a été transmis.
Décision 60/2024 — 4/6
portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de
probabilité et de gravité varie, pour les droits et libertés des personnes physiques ».
14. L’article 32 du RGPD illustre – sans caractère exhaustif – cette obligation de mesures
techniques ou organisationnelles appropriées en donnant les exemples suivants : « a) la
pseudonymisation et le chiffrement des données à caractère personnel; b) des moyens
permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience
constantes des systèmes et des services de traitement; c) des moyens permettant de
rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des
délais appropriés en cas d'incident physique ou technique; d) une procédure visant à tester,
à analyser et à évaluer régulièrement l'efficacité des mesures techniques et
organisationnelles pour assurer la sécurité du traitement. »
15. En l’espèce, la Chambre Contentieuse remarque que le DPO de la défenderesse a reconnu
de lui-même que les données à caractère personnel de la plaignante ont été transférées par
erreur à Z à trois occurrences (voy. point 8). De cette manière, il ressort que la défenderesse
pourrait avoir méconnu les articles 5.1.f), 24 et 32 du RGPD en n’ayant pas établi des
mesures techniques ou organisationnelles telles que pour permettre d’éviter de
communiquer par erreur les données à caractère personnel d’une cliente un tel nombre de
fois.
16. La Chambre Contentieuse estime que sur la base des faits susmentionnés, il y a lieu de
conclure que la défenderesse peut avoir commis une violation des dispositions du RGPD, ce
qui justifie qu’en l’occurrence, l’on procède à la prise d’une décision conformément à l’article
95, § 1er, ° de la LCA, plus précisément l’adoption d’une décision d’avertissement, et ce en
particulier vu :
17. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par la plaignante,
dans le cadre de la « procédure préalable à la décision de fond »3 et pas une décision sur le
fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
18. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD,
afin de lui permettre d’encore se conformer aux dispositions précitées.
19. Si toutefois la défenderesse n’est pas d’accord avec le contenu de la présente décision
prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui
pourraient conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une
demande de traitement sur le fond de l’affaire via l’adresse e-mail litigationchamber@apd-
gba.be, et ce dans le délai de 30 jours après la notification de la présente décision. Le cas
3
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
Décision 60/2024 — 6/6
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans le délai de 30 jours après la notification de la présente
décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
Et, d’autre part, la défenderesse peut introduire un recours contre cette décision conformément à
l'article 108, § 1 de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour
des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie
défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit
contenir les informations énumérées à l'article 1034ter5 du Code judiciaire. La requête
interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article
1034quinquies du C. jud.6, ou via le système d'information e-Deposit du Ministère de la Justice
(article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
5
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
6
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.