Chambre Contentieuse
Décision quant au fond 61/2020 du 8 septembre
2020
Numéro de dossier : DOS-2019-04058
Objet : plainte pour traitement illicite de données à caractère personnel après
consultation dans le Registre national par un organisme d'intérêt public
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Jelle Stassijns et Christophe Boeraeve, membres ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données, ci-après le "RGPD") ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , ci-après la
LCA ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
.
.
.
Décision quant au fond 61/2020 - 2
a pris la décision suivante concernant :
1. Madame X1, ci-après "le premier plaignant", monsieur X2, ci-après "le deuxième plaignant" et
monsieur X3, ci-après "le troisième plaignant", ou ci-après conjointement "les plaignants", et
2. Y
1. Faits et procédure
Faits
1. Le 23 juillet 2019, l'Autorité de protection des données reçoit une plainte des trois plaignants.
2. La plainte peut être résumée comme suit. Suite à une infraction, constatée par la défenderesse
– en tant qu'autorité publique chargée de faire respecter les règles –, à la réglementation
régionale1 concernant un dépôt clandestin par le premier plaignant, la défenderesse a consulté
les données à caractère personnel du Registre national relatives au premier plaignant et les a
utilisées ensuite. Dans la décision de monsieur le Directeur général de la défenderesse suite
aux infractions aux Ordonnances […] (ci-après : "la Décision"), on mentionne que le premier
plaignant cohabite avec le deuxième plaignant, et que le troisième plaignant est le père du
deuxième plaignant. Selon les plaignants, les données à caractère personnel ne sont pas
nécessaires à l'exécution des missions légales de la défenderesse, et donc leur utilisation est
contraire à la législation relative à la protection des données à caractère personnel.
Plus spécifiquement, des questions sont soulevées quant à la consultation (ou aux
consultations) des données à caractère personnel des plaignants dans le Registre national.
Procédure
3. Le 8 août 2019, le Service de Première Ligne déclare la plainte recevable sur la base de
l’article 62, § 1er de la LCA.
4. Le 23 août 2019, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
1
Il s'agit de l'Ordonnance du 14 juin 2012 (Région de Bruxelles-Capitale) relative aux déchets, M.B. 27 juin 2012, ci-après
‘la première Ordonnance’ et de l'Ordonnance du 25 mars 1999 (Région de Bruxelles-Capitale) contenant le Code de
l'inspection, la prévention, la constatation et la répression des infractions en matière d'environnement et de la responsabilité
environnementale, M.B. 24 juin 1999, ci-après ‘la deuxième Ordonnance’ ; la première Ordonnance et la deuxième
Ordonnance sont appelées conjointement ci-après ‘les Ordonnances’.
Décision quant au fond 61/2020 - 3
5. Par lettre recommandée du 23 août 2019, les plaignants et la défenderesse sont informés de
cette décision de la Chambre Contentieuse. Dans cette lettre, les parties sont également
informées des délais pour transmettre leurs conclusions, conformément aux articles 98 et 99
de la LCA. À cet égard, la Chambre Contentieuse demande notamment en particulier le point
de vue des parties concernant les deux points suivants :
- si les données à caractère personnel ont ou non été réclamées au Registre national et sur la
base de quelle autorisation cet éventuel accès, et la réclamation de données à caractère
personnel qui s'ensuit, ont eu lieu ;
- le principe de minimisation des données (article 5, paragraphe 1, point c) du RGPD) confronté
aux traitements de données à caractère personnel qui ont été réalisés dans le cadre de la
Décision de la défenderesse.
Les conclusions de la défenderesse
6. Le 27 septembre 2019, la défenderesse transmet ses conclusions à la Chambre Contentieuse.
Une copie est fournie par la défenderesse aux plaignants par lettre recommandée.
7. La défenderesse indique que le 14 septembre 2018, plusieurs infractions à la première
Ordonnance ont été constatées, après quoi un procès-verbal a été dressé. Conformément à
la deuxième Ordonnance, un courrier a été envoyé au premier plaignant (qui, selon les
constatations de la défenderesse, a commis les infractions à la première Ordonnance) avec
une copie du procès-verbal constatant les infractions précitées et "une invitation à payer les
frais d'enlèvement des déchets, conformément au règlement applicable." [NdT : tous les
passages cités dans la présente décision ont été traduits librement par le Secrétariat Général
de l'Autorité de protection des données, en l’absence de traduction officielle].
8. Ce courrier a été adressé au premier plaignant par courrier recommandé après une recherche
dans le Registre national par la défenderesse, afin de pouvoir l'identifier complètement et
correctement et afin de pouvoir lui adresser la correspondance à la bonne adresse.
9. Le 12 novembre 2018, selon la défenderesse, le procès-verbal a de nouveau été transmis au
premier plaignant, étant donné l'absence de réponse au courrier recommandé de la
défenderesse.
10. Le premier plaignant n'a répondu ni à la lettre recommandée, ni à la lettre ordinaire du
12 novembre 2018. Parallèlement, la défenderesse a décidé d'infliger une amende
Décision quant au fond 61/2020 - 4
administrative au premier plaignant, conformément aux dispositions de la deuxième
Ordonnance.
11. Le 5 mars 2019, la défenderesse a effectué une deuxième recherche dans le Registre national,
laquelle a révélé que le nom du premier plaignant avait été modifié et qu'il ne résidait plus à
l'adresse à laquelle la défenderesse avait adressé les premières lettres au premier plaignant.
12. La défenderesse a ensuite adressé un courrier recommandé au premier plaignant, l'invitant à
transmettre à la défenderesse des conclusions dans la procédure. La défenderesse a reçu une
réponse à ce courrier signée par le troisième plaignant. Selon la défenderesse, cette réponse
lui était transmise "sans justifier d'un mandat de représentation, et précisait que [le troisième
plaignant] s'engageait, en vertu de son titre de commissaire [de police] retraité, à formuler
une contestation de fond sur la base de l'emploi des langues en matière administrative d'une
part, et de la réfutation des faits d'autre part."
13. La défenderesse a ensuite communiqué avec le troisième plaignant, qui répondait au nom du
premier plaignant, sans pour autant avoir soumis un mandat de représentation. C'est après
cette correspondance que la Décision a été prise par la défenderesse, dans laquelle on se
référait au deuxième et au troisième plaignant, avec un potentiel lien familial entre ces deux
derniers.
14. La défenderesse souligne qu'il est important– dans le cadre de ses compétences de sanction
– que ses collaborateurs aient accès à certaines données à caractère personnel reprises dans
le Registre national. La défenderesse souligne également que cet accès est en l'espèce limité
aux informations "telles que le nom, le prénom, la date de naissance, la nationalité, l'adresse
de la résidence légale et la composition du ménage […]".
15. La défenderesse affirme aussi qu'elle n'est "pas en mesure d'effectuer une recherche moins
intrusive [dans le Registre national]". En cas de recherche dans le cadre des compétences
précitées en matière de lutte contre les dépôts clandestins, la composition du ménage est
toujours mentionnée dans la recherche. La défenderesse confirme que les données à caractère
personnel du premier plaignant ont été consultées dans le Registre national à deux moments
distincts, à savoir le 17 septembre 2018 et le 5 mars 2019.
16. La mention des noms et prénoms du deuxième et du troisième plaignant par la défenderesse
résulte de l'intervention du troisième plaignant, selon la défenderesse. La défenderesse
affirme que les données à caractère personnel du troisième plaignant "ont été fournies à la
défenderesse par la personne concernée elle-même". De ce fait, la mention du nom et du
Décision quant au fond 61/2020 - 5
prénom du troisième plaignant dans la Décision était "nécessaire". Par ailleurs, la mention du
nom et du prénom du deuxième plaignant dans la Décision résultait de la consultation des
données à caractère personnel du premier plaignant dans le Registre national. La collecte de
ces données est qualifiée par la défenderesse dans ses conclusions de "conséquence
malheureuse mais nécessaire de l'enquête sur [le premier plaignant]. Elle ne constitue dès
lors pas une infraction au principe de minimisation des données tel qu'imposé à l'article 5 [du
RGPD]".
17. La défenderesse affirme que l'évocation d'un probable lien familial entre le deuxième et le
troisième plaignant, du fait qu'ils portent le même nom, ne découle pas " d'une collecte de
données spécifique". La mention de ce potentiel lien familial dans la Décision n'est, selon la
défenderesse, "qu'une supposition dans une motivation qui est certes diligente, mais ne
constitue pas de facto une violation de la vie privée [des plaignants]."
18. La défenderesse affirme qu'il découle de sa défense "que le traitement de données à caractère
personnel par la défenderesse est juridiquement légitime, proportionnel et compatible avec le
principe de minimisation des données tel qu'établi à l'article 5, premier paragraphe 1, c) du
[RGPD]. La plainte n'est dès lors pas fondée."
Les conclusions en réplique des plaignants
19. Les conclusions en réplique des plaignants mentionnent tout d'abord que tant la
communication de l'Autorité de protection des données que celle (des représentants) de la
défenderesse ne comportent pas la mention ‘PERSONNEL – CONFIDENTIEL’, ce qui, selon les
plaignants, est "inhérent au contenu confidentiel en matière de données à caractère
personnel." En outre, les enveloppes que la défenderesse a utilisées pour transmettre ses
conclusions initiales seraient "d'une qualité inférieure". Dans leurs conclusions, les plaignants
ne joignent pas de preuve visuelle ou autre à ce sujet. Les plaignants émettent également des
réserves quant à la requête du conseil de la défenderesse de transmettre par e-mail une
confirmation de réception de ses pièces, "sans toutefois indiquer s'il dispose d'une connexion
suffisamment sécurisée."
20. Ensuite, les plaignants s'interrogent quant à la sécurité appropriée de leurs données à
caractère personnel et au respect des principes de base en matière de traitement de données
à caractère personnel par les conseils de la défenderesse.
21. Les plaignants soulignent par ailleurs la potentielle diffusion ultérieure des données à caractère
personnel dans la Décision, notamment dans des procédures de recours, ainsi que l'absence
Décision quant au fond 61/2020 - 6
de finalité motivée pour laquelle le traitement desdites données à caractère personnel a lieu.
L'inexactitude des données à caractère personnel traitées constitue également pour les
plaignants une violation des dispositions du RGPD. C'est notamment le cas en ce qui concerne
l'adresse inexacte du premier plaignant "au moment des faits et des constatations par la
défenderesse", ainsi que le lien familial avancé entre le deuxième et le troisième plaignant.
Selon les plaignants, la recherche sur le premier plaignant effectuée par la défenderesse dans
le Registre national n'a pas permis d'établir ce lien avec certitude.
22. Enfin, les plaignants évoquent que les pièces jointes aux conclusions en réponse de la
défenderesse contiennent des données à caractère personnel, à savoir celles du premier
plaignant, qui ne sont pas strictement nécessaires pour la défense menée.
23. La Chambre Contentieuse estime que toute une série d'autres éléments avancés par les
plaignants dans leurs conclusions en réplique ne sont pas pertinents pour le traitement du
présent dossier par l'Autorité de protection des données, auquel les faits mentionnés dans la
plainte se rapportent. Il s'agit par exemple du respect du principe de minutie par la
défenderesse et des missions et de l'identification de ses agents et d'autres membres du
personnel dans l'exercice des compétences de la défenderesse en vertu des Ordonnances.
24. La Chambre Contentieuse ne tient notamment pas compte de tous les nouveaux éléments
dans les conclusions en réplique des plaignants :
o vu que dans le présent dossier, la plainte des plaignants était formulée de manière
suffisamment claire et formelle ;
o vu que la Chambre Contentieuse a été saisie conformément à l'article 92, 1° de la LCA
et a décidé, en vertu de l'article 94, 3° de la LCA, de traiter la plainte sans saisir le
Service d'Inspection ;
o vu que l'intention du législateur, conformément à l'article 98 de la LCA, est que les
parties puissent se défendre correctement quant aux éléments du dossier – la portée
intrinsèque de celui-ci est par définition limitée au contenu de la plainte ;
o vu que sur la base des considérations qui précèdent, il n'est d'une part pas
souhaitable, d'un point de vue pratique, de traiter les nouveaux éléments dans les
conclusions en réplique – en raison du nombre important de nouveaux éléments, de
la charge de la preuve qui est prima facie limitée en raison de l'absence de pièces
additionnelles et de l'implication d'autres responsables du traitement – et que d'autre
part, dans les circonstances actuelles, il n'est pas souhaitable au niveau de la
procédure d'élargir à ce point l'étendue du dossier ;
Décision quant au fond 61/2020 - 7
o vu que les plaignants sont libres d'introduire une nouvelle plainte ou de nouvelles
plaintes auprès de l'Autorité de protection des données s'ils estiment subir un
préjudice quant aux droits que l'Autorité de protection des données a pour tâche de
contrôler.
25. À cet égard, la Chambre Contentieuse rappelle sa décision antérieure n° 17/2020 2, dans
laquelle elle explique qu'elle n'est en principe pas tenue au contenu de la plainte, étant donné
que certaines conditions ont été respectées. Ces conditions ne sont pas remplies en l'espèce.
Les conclusions en réplique de la défenderesse
26. Les conclusions en réplique de la défenderesse reprennent en majeure partie les éléments des
conclusions en réponse. En ordre principal, la défenderesse affirme certes que le RGPD ne
s'applique pas aux faits sur lesquels porte la plainte :
"Comme votre Autorité l'aura constaté sur la base de la présentation précitée du cadre
légal, la défenderesse a agi dans le présent litige en vue de faire respecter une
réglementation pénale.
Conformément à l'article 2, § 2, d) du RGPD, le Règlement ne s'applique pas au
traitement de données à caractère personnel effectué par les autorités compétentes
à des fins de prévention et de détection des infractions pénales, d'enquêtes et de
poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection
contre des menaces pour la sécurité publique et la prévention de telles menaces."
27. Par ailleurs, la défenderesse réagit à ce qu'affirment les requérants dans les conclusions en
réplique au sujet des aspects intrinsèques et de procédure qui ne concernent pas les éléments
mentionnés dans la plainte. Au sujet de ces éléments, la défenderesse conteste une
quelconque violation de la législation relative à la protection des données à caractère
personnel.
2
Chambre Contentieuse de l'Autorité de protection des données, décision quant au fond 17/2020 du 28 avril 2020, paragraphes
20-35 de la décision.
Décision quant au fond 61/2020 - 8
2. Motivation
2.1 Éléments de procédure dans le présent dossier et compétence de la
Chambre Contentieuse (article 100 de la LCA)
28. Bien que la Chambre Contentieuse ait déjà indiqué que plusieurs éléments des conclusions en
réplique des plaignants n'étaient pas pertinents pour le traitement de la présente plainte, la
Chambre Contentieuse souhaite expliquer plusieurs aspects afin de garantir le bon
déroulement de la procédure. La Chambre Contentieuse donne également quelques
explications ci-après au sujet de la prétendue incompétence de la Chambre Contentieuse,
avancée par la défenderesse.
2.1.1. Langue de la procédure et déroulement de la procédure
29. La langue de la procédure employée dans le présent dossier par l'Autorité de protection des
données – Chambre Contentieuse y compris – est la langue néerlandaise, conformément à
l'article 57 de la LCA. Cela n'empêche pas que des preuves puissent être déposées auprès de
la Chambre Contentieuse par une ou plusieurs parties dans une autre langue nationale ou en
anglais.
30. Sans constater hic et nunc si la défenderesse a commis ou non des violations du RGPD ou
d'autres législations pertinentes relatives à la protection des données à caractère personnel
sur la base du présent dossier découlant d'une plainte, la Chambre Contentieuse souligne que
la défenderesse a droit à un déroulement loyal de la procédure (y compris pour les actes posés
par ses représentants, en l'espèce un avocat) ; en vertu de l'article 98 de la LCA, la
défenderesse a le droit de transmettre des conclusions à la Chambre Contentieuse. 3
31. En ce sens, on peut se référer aux pièces qui ont été transmises par la défenderesse à la
Chambre Contentieuse et qui ont été jointes au dossier. Ces pièces ont été utilisées en tant
que preuve pour prendre la Décision faisant l'objet de la présente plainte. Les pièces
contiennent effectivement plusieurs données à caractère personnel, comme le nom, le
prénom, l'adresse et des données financières. La transmission desdites pièces constitue
également un traitement de données à caractère personnel au sens de l'article 4, point 2) du
RGPD.
3
Article 98, 2° de la LCA.
Décision quant au fond 61/2020 - 9
32. Dans ce cadre, la Chambre Contentieuse ne peut toutefois pas constater un quelconque abus,
et encore moins un abus flagrant, des droits des plaignants lors du traitement quant au fond
dans la présente procédure, en ce sens qu'un traitement illicite de données à caractère
personnel des plaignants ou de tiers aurait eu lieu. Les traitements de données à caractère
personnel qui ont lieu lors – et en tant que partie – d'un traitement quant au fond d'un dossier
auprès de la Chambre Contentieuse de l'Autorité de protection des données ne font par
définition pas partie de la plainte qui est à l'origine de ce dossier ou du contenu du dossier.
Dans le cadre de l'intégrité de la procédure, la Chambre Contentieuse ne se prononcera dès
lors pas davantage quant aux allégations des plaignants à ce sujet dans leurs conclusions en
réplique, comme expliqué ci-dessus.
33. Par souci d'exhaustivité, la Chambre Contentieuse souhaite préciser que l'apport de
conclusions par la défenderesse implique une certaine appréciation discrétionnaire pour cette
partie, en ce sens que la partie défenderesse peut déterminer elle-même quelles pièces elle
souhaite verser au dossier, tant que cela est considéré comme nécessaire dans le cadre d'une
procédure équitable4. Cela vaut tout autant pour les autres parties impliquées dans la
procédure.
2.1.2. Le champ d'application du RGPD et la compétence de la Chambre Contentieuse
34. En ordre principal, la défenderesse argumente que le RGPD ne s'appliquerait pas au présent
dossier, étant donné que la défenderesse aurait agi dans ce litige "en vue de faire respecter
une réglementation pénale." La défenderesse se réfère à l'article 2, paragraphe 2, point d) du
RGPD.
35. Par souci d'exhaustivité, on peut faire remarquer que conformément à l'article 55, paragraphe
3 du RGPD et à l'article 4, § 2, premier alinéa de la LCA, l'Autorité de protection des données
n'est pas compétente pour contrôler les traitements réalisés par les tribunaux dans l'exercice
de leurs tâches judiciaires. Cela ne signifie pas que le RGPD ne s'applique pas aux activités
des tribunaux et des autorités judiciaires. 5
36. Ensuite, on peut réagir à ce que la défenderesse avance in concreto, à savoir l'applicabilité de
l'article 2, paragraphe 2, point d) du RGPD, qui est énoncé comme suit :
4
Article 98, 3° de la LCA – les parties sont informées de la possibilité " d'ajouter au dossier toutes les pièces qu'elles estiment
utiles."
5
Considérant 20 du RGPD.
Décision quant au fond 61/2020 - 10
"2. Le présent règlement ne s'applique pas au traitement de données à caractère
personnel effectué :
(…)
d) par les autorités compétentes à des fins de prévention et de détection des infractions
pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales,
y compris la protection contre des menaces pour la sécurité publique et la prévention de
telles menaces."
37. Le considérant 19 du RGPD précise que dans ce cadre, une réglementation spécifique est
applicable sous la forme d'une directive européenne 6. Cette directive a été implémentée en
droit national belge par la loi du 30 juillet 2018 relative à la protection des personnes physiques
à l'égard des traitements de données à caractère personnel .7
38. L'article 26, 7° de la loi relative à la protection des données énonce limitativement les autorités
compétentes dans ce cadre. La défenderesse, y compris ses collaborateurs, ne font pas partie
de ces autorités qui sont compétentes à cet égard au sens de l'article 2, paragraphe 2, point
d) du RGPD. Le fait que certains agents de la défenderesse soient désignés en vertu de l'article
5, § 2 de la deuxième Ordonnance pour se voir attribuer la qualité d'officier de police judiciaire
ne signifie en effet pas que les agents précités font partie des services de police. 8
39. Enfin, on peut constater que la défenderesse a été autorisée à consulter le Registre national
dans des circonstances spécifiques9. Cette autorisation est reprise dans un arrêté royal qui
détaille également les conditions de l'accès au Registre national 10. Elle est donc octroyée à la
défenderesse en tant qu'autorité publique 11. Les dispositions du RGPD ainsi que celles de la
loi sur le Registre national que la Chambre Contentieuse estime pertinentes dans l'évaluation
de ce dossier s'appliquent donc intégralement à la défenderesse.
40. En vertu de l'article 4 de la LCA, l'Autorité de protection des données est compétente pour
contrôler le respect des "lois contenant des dispositions relatives à la protection du traitement
des données à caractère personnel." Étant donné qu'en l'espèce, aucune autre autorité de
6
Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques
à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection
des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation
de ces données et abrogeant la décision-cadre 2008/977/JAI du Conseil.
7
M.B. 5 septembre 2018, ci-après : Loi relative à la protection des données.
8
Les services de police au sens de l'article 2, de la loi du 7 décembre 1998 organisant un service de police intégré, structuré à
deux niveaux (M.B. 5 janvier 1999).
9
Par "Registre national", on entend dans la présente décision : le système de traitement d'informations au sens de l'article 1
de la loi du 8 août 1983 organisant un registre national des personnes physiques, M.B. 21 avril 1984 (ci-après : la loi sur le
Registre national).
10
Arrêté royal autorisant Y à accéder aux informations du Registre national des personnes physiques, ci-après : l'arrêté royal
Y).
11
La défenderesse est un organisme d'intérêt public conformément à l'article 3 de l'Ordonnance portant création de Y.
Décision quant au fond 61/2020 - 11
contrôle n'est compétente en vertu de la législation en vigueur, et qu'aucune compétence n'a
été soustraite à l'Autorité de protection des données dans ce contexte spécifique, elle est
l'autorité de contrôle compétente.12
2.2 La licéité du traitement de données à caractère personnel, obtenues
après consultation du Registre national (article 6, paragraphe 1 du
RGPD)
2.2.1. L'accès à des données à caractère personnel du Registre national et leur utilisation
41. La Chambre Contentieuse s'est déjà exprimée antérieurement dans une affaire relative à une
consultation du Registre national13. La plainte concernait toutefois la licéité de la consultation
du Registre national à proprement parler. Dans le cas présent, la plainte porte sur un
traitement de données à caractère personnel alors que la consultation initiale des données du
premier plaignant dans le Registre national était autorisée en vertu de la réglementation et
des autorisations en vigueur.
42. La Chambre Contentieuse souhaite commenter cette situation afin de lever toute éventuelle
confusion à ce sujet.
43. L'article 5, § 1er de la loi sur le Registre national dispose que le ministre de l'Intérieur est
compétent pour autoriser, entre autres, les organismes publics de droit belge comme la
défenderesse à accéder aux "informations" du Registre national, ce qui est pertinent pour les
informations que de tels organismes sont habilités à connaître en vertu d'un document
législatif tel qu'une ordonnance14. À l'époque où l'autorisation a été accordée à la
défenderesse, la loi sur le Registre national disposait que c'était le Roi qui octroyait cette
autorisation.15
44. L'article 1 de l'arrêté royal Y dispose que c'est le Directeur général de la défenderesse qui a
accès au Registre national, ainsi que tous les membres du personnel de la défenderesse qui,
12
Article 4, § 2, deuxième alinéa de la LCA.
13
Chambre Contentieuse de l'Autorité de protection des données, Décision quant au fond 19/2020 du 19 avril 2020.
14
Article 5, § 1er, 2° de la loi sur le Registre national – pour le fondement juridique, on peut se référer aussi bien à la première
Ordonnance qu'à la deuxième Ordonnance.
15
Arrêté royal Y.
Décision quant au fond 61/2020 - 12
compte tenu de leurs fonctions et dans les limites de leurs attributions respectives, ont été
désignés nommément et par écrit à cette fin par le Directeur général.
45. Selon l'article 3 de l'arrêté royal Y, la défenderesse doit fournir annuellement à "la Commission
de la protection de la vie privée" une liste des personnes désignées pour la consultation du
Registre national. La défenderesse a joint à ses conclusions une pièce contenant une liste qui
a été transmise à la Commission de la protection de la vie privée (ci-après : CPVP) et qui date
du 1er février 2018.
46. L'Autorité de protection des données ne dispose plus de compétences concernant les
autorisations ou les délibérations octroyant un accès au Registre national. On peut souligner
à cet égard que l'arrêté royal Y n'a été mis en conformité ni avec le RGPD - qui donne au
responsable du traitement un rôle central -, ni avec la loi sur le Registre national. Par souci
d'exhaustivité, on peut également mentionner que le Comité de sécurité de l'information n'est
pas compétent lorsque d'autres normes réglementaires régissent l'accès à des données à
caractère personnel dans des banques de données et applications publiques 16. C'est le cas en
l'espèce, étant donné que l'article 5 de la loi sur le Registre national attribue spécifiquement
au ministre de l'Intérieur la compétence d'octroyer l'accès au Registre national. 17
2.2.2. Les deux extractions de données à caractère personnel du premier plaignant dans le
Registre national par la défenderesse
47. La question de savoir si la consultation de données à caractère personnel est licite et si les
traitements ultérieurs de ces données à caractère personnel après cette consultation sont tous
des traitements licites doit être examinée plus en particulier à la lumière de l'article 6 du RGPD.
48. La Chambre Contentieuse répète et précise que ce que les plaignants ont avancé au sujet du
déroulement de la procédure dans le chef de la défenderesse (notamment le respect de la
législation en vigueur sur l'emploi des langues par la défenderesse) ne relève pas du pouvoir
d'appréciation de l'Autorité de protection des données. Cela n'empêche pas la Chambre
Contentieuse de se prononcer sur les aspects qui concernent la protection des données à
caractère personnel des plaignants.
16
L’article 35/1, deuxième alinéa de la Loi Intégrateur de services fédéral concerne la Loi du 15 août 2012 relative à la création
et à l'organisation d'un intégrateur de services fédéral, M.B. 29 août 2012.
17
Et donc pas à la Chambre Autorité fédérale du Comité de sécurité de l’information, conformément à l’article 86 de la loi du 5
septembre 2018 instituant le comité de sécurité de l’information et modifiant diverses lois concernant la mise en œuvre du
Règlement (UE) 2016/679 du Parlement européen et du Conseil du 2016 avril 2016 relatif à la protection des personnes
physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la
directive 95/46/CE, M.B. 10 septembre 2019.
Décision quant au fond 61/2020 - 13
49. La défenderesse a consulté les données à caractère personnel du Registre national au sujet
du premier plaignant à deux moments distincts, à savoir le 17 septembre 2018 et le
5 mars 2019.
50. La première consultation du Registre national du 17 septembre 2018 faisait suite aux constats
faits par la défenderesse conformément à la première Ordonnance et à la deuxième
Ordonnance18. La défenderesse, d'après ses propres dires dans la synthèse de ses conclusions,
a "envoyé un procès-verbal constatant les infractions à la législation relative aux déchets […]".
51. Par "législation relative aux déchets", la défenderesse fait plus précisément référence aux
compétences dont disposent un ou plusieurs de ses membres du personnel dans le cadre des
constatations d'infractions à la première Ordonnance – il s'agit en l'occurrence d'infractions à
l'article 18, § 1er et à l'article 19, § 4 – sur la base de l'article 5, § 2 de la deuxième Ordonnance.
52. Comme expliqué au début du point 2.2., la défenderesse a la possibilité de consulter le
Registre national, plus particulièrement pour les motifs suivants :
“"(…) pour l'accomplissement des tâches qui sont dévolues [à la défenderesse] en
matière de prévention et de gestion des déchets, à savoir la recherche, la constatation,
la poursuite et la répression des infractions en matière d'environnement." 19
53. La deuxième consultation résultait de l'absence de réponse du premier plaignant aux lettres
de la défenderesse du 25 septembre 2018 (par courrier recommandé) et du
12 novembre 2018 (par courrier ordinaire). La deuxième consultation du 5 mars 2019 a révélé
que le nom du premier plaignant ainsi que son adresse postale avaient changé. Cela a
nécessité l'envoi d'une nouvelle lettre par la défenderesse au premier plaignant le 15 mars
2019 (par courrier recommandé).
54. La consultation du Registre national par le Directeur général ou un membre du personnel
désigné par écrit par le Directeur général, suite aux constatations faites par les membres du
personnel de la défenderesse au sujet de dépôts clandestins, s'inscrit dans le cadre de
l'exercice de l'autorité publique dont est investie la défenderesse. La licéité doit dès lors être
analysée plus particulièrement à la lumière de l'article 6, paragraphe 1, point e) du RGPD.
55. La Chambre Contentieuse constate que les compétences et l'autorité publique y afférente dont
est investie la défenderesse sont confiées concrètement à la défenderesse en vertu de la
18
Un extrait de la première consultation a été fourni dans les conclusions en réponse de la défenderesse, pièce 2.
19
Article 1, premier alinéa de l’arrêté royal Y.
Décision quant au fond 61/2020 - 14
première Ordonnance et de la deuxième Ordonnance. La détermination des tâches d'autorité
publique dans ces deux textes légaux est nécessaire conformément à l'article 6, paragraphe
2 du RGPD pour pouvoir relever du fondement de licéité au sens de l'article 6, paragraphe 1,
point e) du RGPD.20
56. La question se pose par ailleurs de savoir si la consultation des données à caractère personnel
dans le Registre national était ‘nécessaire’ dans le cadre de l'exercice de tâches d'autorité
publique. En ce sens, seuls les traitements de données à caractère personnel contenant des
informations nécessaires pour la finalité de l'exercice de l'autorité publique sont pertinents. 21
57. La Chambre Contentieuse estime que les deux consultations des données à caractère
personnel du premier plaignant dans le Registre national, et les traitements ultérieurs de ses
données à caractère personnel, notamment son nom, son prénom et ses coordonnées sont
en effet nécessaires pour l'exercice de tâches d'autorité publique. La consultation est
nécessaire pour une identification correcte et complète du premier plaignant, incluant ses
coordonnées. Cela ne peut se faire de manière licite et suffisante qu'au moyen d'une
consultation de ses données à caractère personnel dans le Registre national.
58. La deuxième consultation était plus spécifiquement nécessaire en raison de l'absence de
réponse du premier plaignant aux premières lettres de la défenderesse, et du fait qu'il y avait
donc de bonne foi une suspicion dans le chef de la défenderesse que les coordonnées du
premier plaignant avaient changé. Cela s'est en effet confirmé, et est illustré par le fait
qu'après l'envoi de lettres par la défenderesse suite à la deuxième consultation du Registre
national (à une autre adresse postale), une réponse a bien été reçue du premier plaignant,
bien que cette communication ait été transmise au nom de ce dernier par le troisième
plaignant, sans mandat de représentation. En outre, il est apparu que le nom du premier
plaignant avait changé entre la première et la deuxième consultation du Registre national, ce
que la défenderesse n'aurait pu constater de manière formelle qu'en consultant le Registre
national.
59. Par souci d'exhaustivité, on peut mentionner que les données à caractère personnel du
deuxième plaignant étaient visibles lors de la consultation des données à caractère personnel
du premier plaignant dans le Registre national, étant donné qu'il n'est pas possible pour la
défenderesse de consulter correctement les données à caractère personnel du premier
20
En ce sens : W. KOTSCHY, “Lawfulness of processing” in C. KUNER, L.A. BYGRAVE en C. DOCKSEY, The EU General Data
Protection Regulation (GDPR): A Commentary, Oxford, 2020, (321)335.
21
Cf. raisonnement analogue dans l’Arrêt CJUE, Heinz Huber c. Bundesrepublik Deutschland, C-524/06, ECLI:EU:C:2008:724,
par. 59 : "Il convient toutefois de relever qu’un tel registre ne peut contenir d’autres informations que celles qui sont nécessaires
à cette fin."
Décision quant au fond 61/2020 - 15
plaignant sans que ne s'affichent certaines données à caractère personnel du deuxième
plaignant, vu que le deuxième plaignant cohabite légalement avec le premier plaignant.
60. Toutefois, la mention du lien entre le premier et le deuxième plaignant nécessite une analyse
distincte du fondement du traitement, qui concerne aussi les droits du premier plaignant, étant
donné que le simple lien avec une autre personne physique constitue en soi une donnée à
caractère personnel. Cette question sera examinée plus avant dans la partie 2.2.3.
61. Se basant sur tous les éléments précités, la Chambre Contentieuse conclut que les deux
extractions des données à caractère personnel du premier plaignant dans le Registre national
ainsi que le traitement ultérieur de ces données à caractère personnel sont licites,
conformément à l'article 6, paragraphe 1, point e) du RGPD, étant donné qu'il y a une
nécessité de connaître les données à caractère personnel de manière précise, complète et
actuelle de ce premier plaignant et que cela s'inscrit dans le cadre de l'exécution proportionnée
des compétences confiées à la défenderesse par les Ordonnances.
2.2.3. L'extraction de données à caractère personnel relatives au deuxième plaignant lors de la
consultation des données à caractère personnel du premier plaignant dans le Registre
national et le lien familial supposé par la défenderesse entre le deuxième plaignant et le
troisième plaignant
62. La question de savoir si la mention des données à caractère personnel du deuxième et du
troisième plaignant dans la Décision de la défenderesse était ‘nécessaire’ dans le cadre de
l'exercice de l'autorité publique conformément à l'article 6, paragraphe 1, point e) du RGPD
doit être analysée séparément par la Chambre Contentieuse.
63. On peut faire remarquer que les plaignants et la défenderesse indiquent que le troisième
plaignant a introduit des conclusions en son nom propre mais pour le compte du premier
plaignant dans la procédure que la défenderesse a menée en vertu de ses compétences issues
des Ordonnances. Il y a donc un intérêt réel pour la défenderesse de mentionner le nom du
troisième plaignant dans la Décision, afin d'expliquer clairement la défense du premier
plaignant (menée en réalité par le troisième plaignant sans mandat de représentation).
64. La Chambre Contentieuse constate en revanche que le deuxième plaignant, en tant que
conjoint cohabitant légal du premier plaignant, n'a été impliqué à aucun moment de la
procédure de la défenderesse, et que la mention de ses données à caractère personnel dans
la Décision n'est donc nullement pertinente pour la finalité de la Décision – à savoir la sanction
du premier plaignant. Le premier plaignant subit ici aussi une violation de ses droits, étant
Décision quant au fond 61/2020 - 16
donné que la mention de ses liens familiaux ou légaux ne constitue aucunement un traitement
nécessaire de données à caractère personnel au sens de l'article 6, paragraphe 1, point e) du
RGPD.
65. Par ailleurs, on peut relever que le constat d'un potentiel lien familial entre le deuxième
plaignant et le troisième plaignant, d'une part n'est pas pertinent pour la finalité de la Décision,
et d'autre part n'a pas été établi formellement par la défenderesse. Pour ce dernier aspect, la
Chambre Contentieuse constate que le lien familial en tant que donnée à caractère personnel
est supposé par la défenderesse, ce qui signifie que cette donnée à caractère personnel est
susceptible d'être erronée. Ce n'est pas dans l'esprit de la législation relative à la protection
des données à caractère personnel. Celle-ci dispose notamment à l'article 5, paragraphe 1,
point d) du RGPD que les données à caractère personnel qui sont traitées doivent être exactes.
66. La Chambre Contentieuse estime en premier lieu qu'il n'y a pas de traitement licite au sens
de l'article 6, paragraphe 1, point e) du RGPD lorsque la défenderesse mentionne dans la
Décision les données à caractère personnel du deuxième plaignant – qu'elle a obtenues en
consultant les données à caractère personnel du premier plaignant dans le Registre national
–, alors que ce n'est pas nécessaire pour la finalité de l'exercice de son autorité publique. Cela
porte aussi préjudice aux droits du premier plaignant, étant donné que la mention du lien
légal et familial entre celui-ci et le deuxième plaignant ne constitue pas un traitement licite au
sens de l'article 6, paragraphe 1, point e) du RGPD. La défenderesse ne cite pas non plus
d'autre fondement possible et la Chambre Contentieuse ne peut établir aucun autre fondement
de licéité de l'article 6, paragraphe 1 du RGPD sur la base de ce qui lui a été soumis.
67. La Chambre Contentieuse estime en deuxième lieu que l'indication d'un probable lien familial
entre le deuxième plaignant et le troisième plaignant ne constitue pas un traitement licite
conformément à l'article 6, paragraphe 1, point e) du RGPD, étant donné que cela ne constitue
pas une information nécessaire pour la finalité de l'exercice de l'autorité publique par la
défenderesse par le biais de la Décision. En outre, le lien familial est une supposition, ce qui
ne correspond pas à l'esprit de l'article 5, paragraphe 1, point d) du RGPD, qui précise que les
données à caractère personnel qui sont traitées doivent être exactes. Enfin, la mention d'un
potentiel lien familial ne se limite pas à ce qui est nécessaire aux fins de la Décision, ce qui
est contraire au principe de minimisation des données au sens de l'article 5, paragraphe 1,
point c) du RGPD.
Décision quant au fond 61/2020 - 17
3. Les violations du RGPD et les requêtes du plaignant
68. La Chambre Contentieuse estime que les violations des dispositions suivantes par la
défenderesse sont avérées :
a. l'article 6, paragraphe 1, point e) du RGPD, étant donné que la mention dans la
Décision des données à caractère personnel du deuxième plaignant, ainsi que du lien
entre le premier et le deuxième plaignant et entre le deuxième et le troisième
plaignant, n'était pas nécessaire à l'exercice des tâches d'autorité publique de la
défenderesse, qui lui ont été confiées par les dispositions des Ordonnances ;
b. l'article 5, paragraphe 1, point d) et point c) du RGPD, étant donné que la
défenderesse n'a pas pris suffisamment de mesures pour s'assurer que l'affirmation
de l'existence d'un lien familial entre le deuxième et le troisième plaignants est exacte,
et étant donné que l'établissement d'un tel lien familial n'est pas nécessaire pour les
finalités pour lesquelles les données à caractère personnel sont traitées.
69. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel
de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l'Autorité
de protection des données moyennant la suppression des données d’identification directe des
parties et des personnes physiques citées.
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :
de réprimander la défenderesse, conformément à l'article 100, § 1er, 5° de la LCA et à
l'article 58, paragraphe 2, point b) du RGPD, en raison de la reprise et donc du traitement
illicite des données à caractère personnel du deuxième plaignant provenant du Registre
national, et de l'utilisation ultérieure de ces données à caractère personnel pour établir certains
liens non nécessaires respectivement entre le premier et le deuxième plaignant, et entre le
deuxième et le troisième plaignant, ce qui constitue une violation de l'article 6, paragraphe 1
du RGPD ; en outre, la défenderesse n'a pas pris toutes les mesures appropriées afin de
s'assurer que ces liens, en tant que données à caractère personnel, soient exacts,
conformément à l'article 5, paragraphe 1, point d) du RGPD ;
d'avertir la défenderesse, conformément à l'article 100, § 1er, 5° de la LCA et à
l'article 58, paragraphe 2, point a) du RGPD, du fait que la consultation et l'utilisation
Décision quant au fond 61/2020 - 18
ultérieure de données à caractère personnel du Registre national doivent toujours être licites,
loyales et nécessaires, et ce dans l'esprit du RGPD – et plus particulièrement des principes
relatifs au traitement de données à caractère personnel de l'article 5 du RGPD – et
conformément à la législation en vigueur concernant le Registre national, plus particulièrement
la loi sur le Registre national.
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours dans un délai de
trente jours, à compter de la notification, à la Cour des marchés, avec l’Autorité de protection des
données comme défendeur.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse