1/20
Chambre Contentieuse
Décision quant au fond 64/2020 du 29 septembre
2020
N° de dossier : DOS-2019-02481
Objet : Plainte pour absence de clôture de messagerie électronique après cessation de
fonctions
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Yves Poullet et Christophe Boeraeve, membres, reprenant l’affaire
en cette composition ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement Général sur la
Protection des Données), ci-après RGPD;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre
2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
Décision quant au fond 64/2020 - 2/20
Le plaignant : X
La défenderesse : Y
1. Rétroactes de la procédure
Vu la requête adressée le 23 avril 2019 par le plaignant à l’Autorité de protection des données (APD) ;
Vu la mise en état du dossier par le Service de Première Ligne (SPL) et la tentative de médiation initiée
par celui-ci auprès de la défenderesse ;
Vu l’échec de la médiation et l’information - en date du 4 juillet 2019 - au plaignant selon laquelle
l’article 62 LCA lui donne, dans cette hypothèse, la possibilité de requalifier sa demande initiale de
médiation en plainte moyennant consentement explicite de sa part ;
Vu le consentement du 27 août 2019 du plaignant à cet égard;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 17 septembre 2019 de saisir
l’Inspecteur général sur la base des articles 63, 2° et 94, 1° LCA et la saisine de ce dernier le 18
septembre 2019 ;
Vu le rapport et procès-verbal d’enquête de l’Inspecteur général transmis le 9 décembre 2019 à la
Chambre Contentieuse ;
Vu le courrier daté du 18 décembre 2019 de la Chambre Contentieuse informant les parties de sa
décision de considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98
LCA et leur communiquant un calendrier d’échange de conclusions ;
Vu les conclusions de la défenderesse déposées par son conseil, reçues le 24 janvier 2020 ;
Vu les conclusions du plaignant déposées par ses conseils, reçues le 7 février 2020 ;
Vu les conclusions en réplique de la défenderesse déposées par son conseil, reçues le 21 février 2020 ;
Vu la demande formulée aux termes de ses conclusions du 24 janvier 2020 par la défenderesse d’être
entendue par la Chambre Contentieuse en application de l’article 51 du Règlement d’ordre intérieur
de l’APD;
Décision quant au fond 64/2020 - 3/20
Vu l’invitation à l’audition adressée par la Chambre Contentieuse aux parties le 5 juin 2020 ;
Vu l’information transmise le 5 juin 2020 à l’Inspection quant à la tenue de l’audition en application de
l’article 48.2. du Règlement d’ordre intérieur de l’APD ;
Vu l’audition lors de la séance de la Chambre Contentieuse du 19 juin 2020 en présence du plaignant,
Monsieur X assisté de l’un de ses conseils, Maître D. Allard ainsi qu’en présence de Monsieur U pour
la défenderesse (Y) assisté du conseil de cette dernière, Maître C. Duvieusart ;
Vu le procès-verbal d’audition et les observations formulées sur celui – ci par les conseils respectifs
des parties lesquelles ont été jointes à ce procès-verbal ;
Vu le formulaire de réaction à l’encontre d’une amende administrative envisagée adressé le 8
septembre 2020 à la défenderesse. Aux termes de ce formulaire, la Chambre Contentieuse
communique à la défenderesse qu’elle envisage une amende à son encontre ainsi que les motifs pour
lesquels les manquements constatés au RGPD justifient ce montant ;
Vu la réaction du 16 septembre 2020 de la défenderesse à ce formulaire.
2. Les faits et l’objet de la plainte
1. La défenderesse est une société au départ familiale, constituée par Monsieur V, père du plaignant.
La défenderesse est une PME qui compte actuellement un peu plus d’une dizaine d’employés (ETP
- équivalents temps plein). Le secteur d’activité de la défenderesse est celui des dispositifs
médicaux. Il s’agit d’un secteur d’activité règlementé et contrôlé, notamment par l’Agence Fédérale
belge des Médicaments et de Produits de Santé (AFMPS). Un organisme de contrôle équivalent
existe dans de nombreux pays avec lesquels la défenderesse entretient également des relations.
2. Le plaignant était administrateur délégué de la défenderesse, poste dont il a été révoqué en
novembre 2016. A ce titre il jouait un rôle clé dans la société créée par son père quant à son
fonctionnement général, quant aux aspects commerciaux, règlementaires et de gestion. La
cessation des activités du plaignant dans cette société s’est faite de manière abrupte et
conflictuelle, sans préparation de dossiers ni passage de témoins à l’attention de ses successeurs.
3. Par courrier recommandé du 26 mars 2019, le plaignant a demandé à la défenderesse de cesser
l’utilisation des 7 adresses e-mail ci-dessous:
Décision quant au fond 64/2020 - 4/20
- deux adresses e-mail qui lui sont liées, soit les adresses : [email protected] et [email protected]
(utilisée depuis 1998)
- Une adresse qui est liée à son épouse, Madame Z (ayant cessé ses fonctions dans le
courant du 1er semestre de 2017) : [email protected]
- deux adresses liées à son père, Monsieur V (ayant cessé ses fonctions en avril 2013) :
[email protected] et [email protected]
- deux adresses liées à son frère, Monsieur W (ayant cessé ses fonctions dans le courant
du 1er semestre de 2017) : [email protected] et [email protected]
4. Aux termes de ce courrier, le plaignant a demandé à la défenderesse de fermer les boites e-mails
listées ci-dessus utilisant son nom et prénom ainsi que ceux des membres de sa famille ayant tous
cessé toute activité au sein de la défenderesse. A défaut de preuve de cette fermeture dans les 7
jours, le plaignant a indiqué à la défenderesse qu’il saisirait l’APD.
5. Le 23 avril 2019, le plaignant a déposé une requête auprès de l’APD. Il y indique n’avoir reçu
aucune réaction à sa lettre recommandée du 26 mars 2019. Il y dénonce également, courriel
produit à l’appui, le fait que l’employée administrative de la défenderesse a consulté sa boite mail,
ce qui lui a été rapporté par l’émetteur d’un message à son attention.
6. Aux termes de sa requête, le plaignant indique que du fait de sa fonction d’administrateur délégué
de la défenderesse jusqu’au 30 novembre 2016 et de sa formation ), sa boite mail [email protected]
contenait des informations confidentielles, privées et professionnelles, ainsi que des échanges
relevant du secret médical, par exemple des photographies. Le plaignant indique également
soupçonner que des photographies privées disponibles dans son ordinateur et dans celui de son
épouse auraient été utilisées pour faire un montage photo de mauvais goût, montrant son épouse
embrassant un autre homme, montage reçu par courrier anonyme en décembre 2017.
7. A la suite du dépôt de cette requête, le Service de Première ligne (SPL) de l’APD a pris contact
avec la défenderesse le 17 mai 2019, lui rappelant qu’en sa qualité de responsable de traitement,
elle était tenue de réagir dans un délai d’1 mois à dater de la réception de la demande d’exercice
des droits des personnes concernées (en l’espèce la demande du plaignant datait du 26 mars
2019), sauf prolongation mais dont la personne concernée devait être informée. Le SPL a, à cet
égard, invité la défenderesse à confirmer qu’elle avait pris des mesures nécessaires ainsi que de
lui préciser les mesures qu’elle comptait mettre en œuvre afin de respecter les principes qui lui
incombent en qualité de responsable de traitement, notamment le principe de minimisation des
données (article 5.1, c) du RGPD).
Décision quant au fond 64/2020 - 5/20
8. Le 23 mai 2019, la défenderesse écrit au plaignant que les adresses mail portant ses nom et
prénom ainsi que ceux de ses proches ont été désactivées. Un courrier de même date est adressé
au SPL de l’APD pour l’en informer également.
9. Le 10 juin 2019, le plaignant écrit au SPL de l’APD que contrairement à ce que la défenderesse
lui a écrit le 23 mai 2019 , les trois adresses [email protected], [email protected] et [email protected] ne sont, d’après
les tests qu’il a effectués, toujours pas fermées.
10. Par courrier du 4 juillet 2019, le SPL fait le constat de l’échec de la médiation et la procédure se
poursuit sous la forme de plainte.
11. Aux termes de ses conclusions, tenant compte des constats opérés par l’inspection (voy. le titre 3
ci-dessous), le plaignant demande que la défenderesse soit sanctionnée pour l’utilisation illicite de
données à caractère personnel le concernant.
3. Le rapport d’inspection du 19 décembre 2019
12. Dans le cadre de son enquête, l’Inspecteur général a fait établir deux rapports de constats et
d’analyse au regard des 3 adresses [email protected], [email protected] et [email protected] mentionnées par le
plaignant comme demeurant actives nonobstant l’intervention du SPL de l’APD (voy. supra points
6-10).
13. Le premier rapport de constats et d’analyse du 10 novembre 2019 fait état de ce que les adresses
[email protected], [email protected] et [email protected] existent bel et bien sur le serveur de mail de la défenderesse
sans aucune notification signalant aux émetteurs de messages à ces trois destinataires que ces
derniers ne sont plus les utilisateurs de ces adresses e-mail.
14. Interrogé sur la base de ces constats par l’Inspecteur général, la défenderesse a indiqué en
réponse, par courrier du 13 novembre 2019, qu’elle avait désormais fermé ces 3 boites e-mails.
Elle a précisé que « lors du départ des personnes concernées, ces boites mail avaient déjà été
désactivées avec création d’une redirection dans le simple but de ne pas perdre d’e-mails
importants d’organismes notifiés, de fournisseurs ou de clients par exemple, ces personnes
occupant des postes clés (Directeur, Responsable qualité, …) dans notre société ».
15. Le 28 novembre 2019, un second constat a été fait au terme duquel il a été constaté que les trois
boites e-mail étaient désormais injoignables.
Décision quant au fond 64/2020 - 6/20
16. Aux termes de son rapport d’enquête du 9 décembre 2019, l’Inspecteur général conclut en ces
termes :
Constat 1
- L’analyse ICT a montré que les adresses litigieuses, dont celle du plaignant, auprès de la
société Y (lisez la défenderesse) étaient toujours actives le 11/10/2019 [lisez le 10/11/2019]
malgré le départ de l’intéressé de la société depuis plus de deux ans et demi, ses différentes
demandes d’effacement et un courrier d’Y (lisez la défenderesse) au service de première ligne
confirmant la désactivation des adresses e-mail litigieuses. Or, il est recommandé à
l’employeur de bloquer la messagerie électronique du travailleur ayant cessé ses fonctions
dans les plus brefs délais et après y avoir fait insérer un message automatique avertissant
tout correspondant ultérieur du fait que le travailleur a quitté ses fonctions et ce, pendant une
période de temps raisonnable (a priori 1 mois). Au-delà de cette période, la messagerie sera
idéalement supprimée. En aucun cas, l’adresse mail professionnelle au nom d’un ancien
travailleur ne pourra encore être utilisée. Le fait que ces boites mail existent toujours sans
aucune notification signalant aux émetteurs de ces trois destinataires que ces personnes ne
sont plus les utilisateurs de ces adresses mail est par ailleurs de nature à permettre la collecte
et l’utilisation potentielles de données à caractère personnel à l’insu des émetteurs.
Constat 2
Suite au courrier du Service d’inspection à Y (lisez la défenderesse), les adresses e-mails
litigeuses ont été clôturées.
4. L’audition des parties du 19 juin 2020 devant la Chambre Contentieuse
17. Au cours de cette audition, les parties ont exposé leurs points de vue respectifs, se référant
notamment aux conclusions qu’elles avaient communiquées antérieurement. Un procès - verbal
complet relate ce qui s’est dit lors de l’audition. La Chambre Contentieuse épingle tout
particulièrement les éléments suivants :
En ce qui concerne l’utilisation de l’adresse de messagerie du plaignant après sa révocation,
la défenderesse a précisé ce qui suit :
o Tous les messages ‘entrant’ ou « in » étaient redirigés vers une personne unique, soit
l’employée administrative de la défenderesse. Il n’y a par ailleurs eu aucune utilisation
de l’adresse de messagerie du plaignant pour des envois de messages à des tiers,
Décision quant au fond 64/2020 - 7/20
cette employée administrative répondant, si nécessaire, par le biais de sa propre boite
e-mail.
o Quant aux archives de la boite mail, la défenderesse a rappelé le départ précipité du
plaignant sans constitution de dossiers à l’attention de ses successeurs. Le plaignant
souligne à cet égard que ce départ précipité est dû à la seule volonté de la
défenderesse. Cette dernière précise que la consultation des archives des e-mails s’est
faite à des fins exclusivement professionnelles. Elle indique également n’avoir jamais
eu la volonté de prendre connaissance de messages à caractère personnel, qui
auraient figuré dans la boite mail du plaignant. Quant au photomontage en particulier,
la défenderesse insiste que le fait qu’elle n’a joué aucun rôle à ce sujet et que la
plainte déposée ne fait état d’aucune preuve sérieuse.
La clôture des adresses e-mail en deux temps (d’abord celles mentionnant les nom et prénom
de leurs titulaires et ensuite celles ne mentionnant que leur prénom) résulte, de l’aveu de la
défenderesse, d’une mauvaise connaissance des règles en matière de protection des données
dans son chef. Une mise en conformité au regard du RGPD a, plus généralement, été opérée
par la société.
Les parties sont en désaccord sur le point de savoir si oui ou non la suppression des adresses
mail a été demandée par le plaignant dès son départ ou si la première demande date de la
lettre du 26 mars 2019 (point 3 ci-dessus). Le plaignant affirme qu’il en a fait la demande,
sans succès, lors d’assemblées générales de la défenderesse mais que ce point n’étant pas à
l’ordre du jour, ces demandes n’ont pas été prises en compte. La défenderesse indique qu’Il
n’y a pas de trace de demande de suppression des adresses e-mails antérieure à celle écrite
du 26 mars 2019.
A la question de savoir pourquoi la défenderesse n’a pas transmis de nouvelle adresse aux
agences de contrôle (voy. point 1) au moment de la notification du changement
d’administrateur, la défenderesse a indiqué qu’elle craignait que cette nouvelle adresse ne soit
pas prise en compte en temps utile (les organes de contrôle tardant à mettre à jour leurs
bases de données) et que cela ne nuise dès lors à la continuité de ses activités. De manière
générale, la finalité poursuivie par la conservation des adresses de messagerie actives était
de ne perdre aucune information importante pour la société vu, en particulier, le départ
précipité - mais non fautif - du plaignant dont les fonctions étaient clé pour le fonctionnement
de la défenderesse, palliant ainsi l’absence de transmission de dossiers.
Décision quant au fond 64/2020 - 8/20
Le plaignant continue à exercer une activité professionnelle dans le même secteur d’activité
et fait part de ce que le maintien ouvert de ses adresses email auprès de la défenderesse est
de nature à prêter à confusion ou à tout le moins à être une source d’erreurs d’envoi dès lors
que cette adresse est le plus souvent préenregistrée dans les ordinateurs de ceux qui
souhaitent prendre contact avec lui. Cette situation ne peut être exclue selon lui même si, par
exemple, l’ensemble des chirurgiens avec qui il était en contact à l’époque où il exerçait ses
activités au sein de la défenderesse, ont été informés de son départ
A la question posée par la Chambre Contentieuse de savoir quelle est, à la date de l’audition,
la politique de la défenderesse en la matière, celle-ci a indiqué que désormais (comme c’était
par ailleurs le cas précédemment sauf pour la famille X), aucune adresse mail n’est
nominative ; la société travaillant exclusivement avec des adresses génériques fonctionnelles
et que les départs qui ont suivi ceux des membres la famille X se sont déroulés en toute
sérénité.
EN DROIT
5. Quant aux motifs de la décision
5.1. Au regard de l’absence de fermeture des adresses de messagerie électronique
Quant au manquement au principe de finalité consacré à l’article 5.1 b) du RGPD, combiné
à un manquement aux articles 5.1 c) (minimisation) et e) du RGPD (limitation de la durée
de conservation)
18. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les principes
de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés
(principe de responsabilité – article 5.2. du RGPD).
19. Elle doit par ailleurs, toujours en sa qualité de responsable de traitement, mettre en œuvre toutes
les mesures nécessaires à cet effet (article 24 du RGPD).
20. L’article 5.1 b) du RGPD consacre le principe de finalité, soit l’exigence que les données soient
collectées pour des finalités déterminées, explicites et légitimes et ne soient pas traitées
ultérieurement d’une manière incompatible avec ces finalités.
Décision quant au fond 64/2020 - 9/20
21. C’est à l’aune de la finalité que pourront s’appliquer d’autres principes également consacrés à
l’article 5 du RGPD : le principe de minimisation - aux termes duquel seules les données adéquates,
pertinentes et limitées à ce qui est nécessaire au regard de la finalité pourront être traitées (article
5.1 c) du RGPD) - et le principe la limitation de la conservation – aux termes duquel les données
ne peuvent être conservées sous une forme permettant l’identification des personnes concernées
que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles
elles sont traitées (article 5.1 e) du RGPD).
22. Enfin, ces principes et les obligations, qui en découlent pour le responsable de traitement, trouvent
un écho en termes de droits pour la personne concernée dès lors que notamment, en application
de l’article 17.1 a) du RGPD, la personne concernée a le droit d’obtenir du responsable de
traitement l’effacement des données le concernant lorsque ces données ne sont plus nécessaires
au regard des finalités pour lesquelles elles ont été collectées ou traitées.
23. Les adresses e-mails litigieuses sont, qu’elles soient composées du nom et du prénom des
personnes à qui elles ont été attribuées ou uniquement du prénom de celles-ci, des données à
caractère personnel au sens de l’article 4 .1. du RGPD. Il s’agit en effet de données se rapportant
à une personne physique identifiée ou identifiable.
24. Cette adresse, créée à des fins professionnelles dans le contexte des activités de la défenderesse,
devait permettre au plaignant et aux autres personnes concernées de recevoir et d’envoyer des
courriers électroniques dans le cadre de leurs activités au sein de la défenderesse.
25. Comme elle l’a précisé aux termes de ses conclusions et lors de l’audition, la défenderesse a
supprimé les adresses mails litigieuses en deux temps. Dans un premier temps les adresses
contenant des prénoms et noms propres ont été supprimées et dans un second temps, les
adresses contenant une référence aux seuls prénoms (soit [email protected], [email protected] et [email protected])
ont également été clôturées. La défenderesse expose que le but du maintien de ces adresses était
de ne pas perdre de messages professionnels importants compte tenu des fonctions
d’administrateur délégué du plaignant mais aussi, par exemple de la fonction de et de responsable
SMQ (Système de Management et de Qualité) qu’occupait le frère du plaignant, Monsieur W. Plus
précisément, ainsi qu’elle l’a précisé lors de l’audition et dans ses conclusions, le maintien de
l’adresse du plaignant avait pour finalités, d’une part, de pallier l’absence de transmission de
dossiers (même si, - comme le souligne la défenderesse aux termes de sa réaction au formulaire
d’amende envisagé - des modalités alternatives auraient dû être convenues avec le plaignant ou
à tout le moins appliquées à défaut d’accord) ainsi que, d’autre part, de ne pas perdre de messages
émanant de nombreux organismes de contrôle nationaux actifs dans le secteur des dispositifs
médicaux.
Décision quant au fond 64/2020 - 10/20
26. La Chambre Contentieuse est d’avis qu’afin de se conformer au principe de finalité (article 5.1b)
du RGPD), combiné aux principes de minimisation (article 5.1 c) du RGPD) et de limitation du délai
de conservation (article 5.1 e) du RGPD), il incombe au responsable de traitement de bloquer la
messagerie électronique des titulaires de celles-ci ayant cessé leurs fonctions au plus tard le jour
de leur départ effectif. Ce blocage devra intervenir après les en avoir avertis au préalable et après
y avoir fait insérer un message automatique. Ce message automatique avertira tout correspondant
ultérieur du fait que la personne concernée n’exerce plus ses fonctions au sein de l’entreprise et
renseignera les coordonnées de la personne (ou l’adresse mail générique) à contacter en ses lieu
et place et ce, pendant une période de temps raisonnable (à priori 1 mois). En fonction du
contexte et, en particulier, du degré de responsabilité exercé par la personne concernée, (telle
une fonction d’administrateur délégué que le plaignant assumait de longue date, dans une société
alors familiale de surcroît) un délai plus long peut être admis ne pouvant idéalement dépasser 3
mois. Cette prolongation doit être motivée et se faire avec l’accord de la personne concernée ou,
au minimum, après l’en avoir avertie. Une solution alternative doit en outre être recherchée et
mise en place le plus rapidement possible sans nécessairement attendre l’échéance ultime de cette
prolongation.
27. La Chambre contentieuse estime que cette façon de procéder est à privilégier par rapport au
transfert automatique des mails à une autre adresse de courrier électronique de l’entreprise
comme cela avait été mis en place par la défenderesse. Dans le cas d’un transfert automatique, a
fortiori sans information à l’émetteur du message, il n’y a en effet aucune maîtrise sur les courriers
électroniques entrant ou « in ». Par ailleurs, dans ce cas, des informations d’ordre privé
potentiellement sensibles pourraient être divulguées à l’insu non seulement de la personne
concernée mais également du correspondant.
28. Au-delà de cette période, la messagerie électronique de la personne concernée sera supprimée.1
En effet, la finalité de traitement de cette donnée à caractère personnel est alors sans objet.
1
Dans sa Recommandation CM/Rec(2015)5 sur le traitement des données à caractère personnel dans le cadre de l’emploi, le
Comité des ministres du Conseil de l’Europe énonce au principe 14.5. ce qui suit : lorsqu’un employé quitte son emploi,
l’employeur devrait prendre des mesures techniques et organisationnelles afin que la messagerie électronique de l’employé soit
désactivée automatiquement. Si le contenu de la messagerie devait être récupéré pour la bonne marche de l’organisation,
l’employeur devrait prendre des mesures appropriées afin de récupérer son contenu avant le départ de l’employé et si possible
en sa présence. L’exposé des motifs de la recommandation précise encore (point 122) que dans ces situations où l’employé
quitte l’organisation, les employeurs doivent désactiver le compte de l’ancien employé de sorte à ne pas avoir accès à ses
communications après son départ. Si l’employeur souhaite récupérer le contenu du compte de l’employé, il doit prendre les
mesures nécessaires pour le faire avant le départ de ce dernier et de préférence en sa présence. Cette recommandation
sectorielle qui complète la Convention pour la protection des personnes à l'égard du traitement automatisé des données à
caractère personnel (STE 108) illustre la manière dont les principes de finalité, de minimisation et de conservation proportionnée,
consacrés tant par cette Convention que par le RGPD, doivent s’appliquer.
Décision quant au fond 64/2020 - 11/20
29. Le plaignant ayant été révoqué par la défenderesse en novembre 2016, la Chambre Contentieuse
estime que le traitement de cette donnée aurait dû cesser à cette date ou, tout au plus, compte
tenu de la fonction à haute responsabilité qu’exerçait le plaignant, dans un délai raisonnable à
dater de celle-ci. La Chambre Contentieuse est d’avis que ce délai aurait pu varier de 1 à 3 mois
moyennant notification aux émetteurs de messages de ce que cette adresse de messagerie n’était
plus active, sans transfert automatique des e-mails envoyés.
30. S’agissant des adresses de messagerie électronique des proches du plaignant, elles auraient
également dû être désactivées dans un délai pouvant varier de 1 à 3 mois selon la fonction exercée
par ceux-ci au sein de l’entreprise.
31. Or, il résulte des pièces de la présente procédure que les adresses e-mail litigieuses du plaignant
ont, pour certaines, été supprimées deux ans et demi, voire trois ans (pour celles ne comportant
que le prénom de son titulaire) après la cessation de ses activités au sein de la défenderesse. Les
adresses des proches du plaignant l’ont été après un délai à peine plus court ou parfois plus long
encore. En aucune manière, l’autorité ne peut en tout cas, comme le prétend la défenderesse,
admettre que le blocage de l’utilisation de l’e-mail mentionnant le nom et/ou le prénom d’un
employé ou d’un dirigeant ou les identifiant de quelque manière, soit conditionné à une demande
écrite de la personne concernée (voy. également, infra points 36 et s. et 54 ci-après).
32. A l’appui de ce qui précède, la Chambre Contentieuse conclut que l’article 5.1 b), combiné à l’article
5.1 c) et e) du RGPD n’a pas été respecté par la défenderesse.
Quant au manquement à l’article 6 du RGPD
33. L’article 6 du RGPD exige que tout traitement s’appuie sur une base de licéité. En d’autres termes,
le responsable de traitement ne peut débuter, ni poursuivre comme en l’espèce, un traitement de
données sans s’appuyer sur une des bases de licéité listées à l’article 6 du RGPD, lequel concrétise
le principe de licéité énoncé à l’article 5.1 a) du RGPD.
34. La Chambre Contentieuse a, aux termes des développements qui précèdent, constaté que la
finalité, pour laquelle la donnée constitutive de l’adresse de messagerie était traitée, s’est éteinte
avec la cessation des activités du plaignant et de ses proches auprès de la défenderesse. Si,
poursuivant un intérêt légitime dans le respect des conditions de l’article 6.1 f) du RGPD, l’adresse
peut demeurer active un certain délai (voy. supra points 26 et 29) aux fins d’assurer le bon
Décision quant au fond 64/2020 - 12/20
fonctionnement de l’entreprise et la continuité de ses prestations, au-delà de ce délai plus aucune
base de légitimité ne permet que le traitement se poursuive.
35. Partant, la Chambre Contentieuse ne peut que constater que plus aucune base de licéité ne
permettait de fonder la poursuite du traitement de cette donnée. Il y a donc eu manquement à
l’article 6 du RGPD dans le chef de la défenderesse.
Quant au manquement à l’article 17. 1 a) du RGPD, combiné à l’article 12.3. du
RGPD
36. Enfin, comme elle l’a déjà énoncé au point 22 ci-dessus, les principes de finalité, de minimisation
et de limitation de la conservation ainsi que les obligations qui en découlent pour le responsable
de traitement, trouvent un écho en termes de droits pour la personne concernée. A défaut pour
le responsable de traitement de se conformer à ces obligations de manière spontanée compte
tenu de l’extinction de la finalité de traitement, la personne concernée peut obtenir l’effacement
en exerçant ce droit qui lui est reconnu à l’article 17.1 a) du RGPD. En application de celui-ci, elle
a en effet le droit d’obtenir du responsable de traitement l’effacement des données le concernant
lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été
collectées ou traitées.
37. Nonobstant la demande du 26 mars 2019 du plaignant en ce sens, le responsable de traitement
n’a pas satisfait à cette demande. Certes la défenderesse, à l’intervention du SPL de l’APD, a dans
un premier temps désactivé les adresses contenant les nom et prénom du plaignant et de ses
proches. Toutefois, toutes les adresses auraient dû être désactivées ce qui n’a été le cas qu’à
l’intervention de l’Inspecteur général saisi par la Chambre Contentieuse. La Chambre Contentieuse
constate qu’il a donc fallu en arriver à la présente procédure contentieuse pour y parvenir. Elle
conclut à un manquement à l’article 17.1 a) du RGPD dans le chef de la défenderesse, combiné à
l’article 12.3. du RGPD dès lors qu’il n’a pas été répondu à la demande du plaignant dans un délai
d’un mois à dater de son courrier du 26 mars 2019.
38. Partant, sur la base de ce qui précède, la Chambre Contentieuse constate que la défenderesse n’a
pas respecté l’article 17.1 a), combiné à l’article 12.3. du RGPD.
5.2. Quant à la consultation de la boite mail du plaignant
39. Ainsi qu’il a été indiqué ci-avant, la Chambre Contentieuse est d’avis qu’en cas de départ de
l'organisme, l'employeur doit supprimer les adresses électroniques lorsque celles-ci constituent
Décision quant au fond 64/2020 - 13/20
une donnée à caractère personnel, après avoir averti leurs titulaires et les tiers de la date de
fermeture de la messagerie. Cette obligation a également vocation à permettre aux titulaires de
faire le tri et de transférer leurs éventuels messages privés vers leur messagerie personnelle.
40. Au même titre qu’il doit être laissé à la personne concernée le soin de reprendre ses effets
personnels, il convient de lui laisser le soin de reprendre ou d’effacer ses communications
électroniques d’ordre privé avant son départ. De même, si une partie du contenu de sa messagerie
doit être récupérée pour assurer la bonne marche de l’entreprise (comme avancé par la
défenderesse en l’espèce), cela doit se faire avant son départ et en sa présence. En cas de situation
litigieuse, l’intervention d’une personne de confiance est recommandée.2 L’hypothèse de la
démission ou du licenciement ou toute autre forme de cessation d’activité et ses conséquences
devrait être réglée dans une Charte interne relative à l’utilisation des outils informatiques.
41. Le plaignant produit avec sa plainte un message émanant de la responsable administrative de la
défenderesse dont il résulte que sa boite mail a été consultée. En effet, le 26 janvier 2017,
l’employée administrative de la défenderesse écrit, qu’elle n’a pu retrouver trace de l’information
demandée par d’anciens interlocuteurs du plaignant « que ce soit dans des emails ou dans des
dossiers de la société ». La défenderesse insiste sur le fait que si, consultation il y a eu, c’était
exclusivement pour des motifs professionnels.
42. La Chambre Contentieuse constate que cette consultation - non contestée - de la boite mail du
plaignant, fût-ce après son départ, n’était encadrée d’aucune manière.
43. Enfin, la Chambre Contentieuse prend note de ce que la défenderesse indique qu’à l’occasion du
présent dossier, elle a chargé son conseil de vérifier la légalité de ses pratiques en matière de
protection des données. A la date de ses conclusions du 24 janvier 2020, la défenderesse indique
que cet examen est en cours. La défenderesse l’a par ailleurs confirmé lors de l’audition sans
préciser toutefois qu’une procédure était arrêtée, se limitant à indiquer que depuis le départ des
membres de la famille X, les départs avaient été préparés et s’étaient déroulés de manière sereine.
Dans sa réaction au formulaire d’amende envisagée, la défenderesse indique qu’elle a pris bonne
note de la recommandation de la Chambre Contentieuse.
2
Depuis plusieurs années déjà, la Commission de la protection de la vie privée à laquelle l’APD a succédé avait mis à la
disposition des employeurs une note juridique sur son site
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/note-juridique-e-mails-employes-
absents_0.pdf ainsi que des FAQ : https://www.autoriteprotectiondonnees.be/faq-themas/acc%C3%A8s-aux-e-mails-
demploy%C3%A9s-absentslicenci%C3%A9s relative à cette thématique de la clôture des adresses de messagerie en cas de
départ/cessation de fonction notamment.
Décision quant au fond 64/2020 - 14/20
6. Quant aux mesures correctrices et aux sanctions
44. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci
aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme
international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites
données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des
données.
45. Quant à l’amende administrative qui peut être imposée en exécution des articles 83 du RGPD et
des articles 100, 13° et 101 LCA, l’article 83 du RGPD prévoit :
« Article 83 RGPD
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en
vertu du présent article pour des violations du présent règlement, visées aux paragraphes 4,
5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
Décision quant au fond 64/2020 - 15/20
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont
imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points
a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider
du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce,
des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou
de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées
et le niveau de dommage qu'elles ont subi;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu
des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles
25 et 32;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le
sous-traitant;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs;
g) les catégories de données à caractère personnel concernées par la violation;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et
dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées
à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet,
le respect de ces mesures;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes
de certification approuvés en application de l'article 42; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation.
46. ll importe de contextualiser le manquement aux articles 5.1 a), b) c) et e), 6 et 17.1 a) combiné
à l’article 12.3. du RGPD en vue d’identifier les mesures correctrices les plus adaptées.
Décision quant au fond 64/2020 - 16/20
47. Dans ce cadre, la Chambre Contentieuse tiendra compte de l’ensemble des circonstances de
l’espèce, en ce compris de la réaction communiquée par la défenderesse au montant d’amende
envisagé qui lui a été communiqué (voy. point I – rétroactes de la procédure)3.
48. S’agissant de l’amende administrative, la Chambre Contentieuse souligne qu’elle a pour but de
faire appliquer efficacement les règles du RGPD. D’autres mesures, telles l’ordre de mise en
conformité, l’interdiction de poursuivre certains traitements, permettent quant à elles de mettre
fin à un manquement constaté. Comme cela ressort du considérant 148 du RGPD, les sanctions,
y compris les amendes administratives, sont infligées en cas de violations sérieuses, en
complément ou à la place des mesures appropriées qui s’imposent.
49. Compte tenu des manquements précités, la Chambre Contentieuse adresse à la défenderesse une
réprimande sur la base de l’article 100. 1, 5° LCA.
50. La Chambre Contentieuse prend par ailleurs acte du fait que la défenderesse travaille désormais
exclusivement avec des adresses e-mail fonctionnelles. Il n’en demeure pas moins qu’une politique
claire et transparente relative à la gestion des boites de messagerie au moment du départ que ce
soit d’un employé ou d’une autre fonction, devrait être établie. A plusieurs reprises au cours de la
procédure, la défenderesse indique en avoir pris note. La Chambre Contentieuse est d’avis que
l’adoption d’un tel document participe de la mise en œuvre effective par la défenderesse de ses
obligations découlant du RGPD et partant, lui impose un ordre de mise en conformité détaillé au
dispositif en application de l’article 100. 1, 9° LCA à cet effet.
51. Outre cette réprimande et cet ordre de mise en conformité, la Chambre Contentieuse est d’avis
qu’en complément, une amende administrative est en l’espèce justifiée.
52. Quant à la nature de la violation, la Chambre Contentieuse relève que l’absence de suppression
de l’adresse de messagerie du plaignant est constitutive de manquements aux principes
fondateurs du RGPD (article 83.2 a) du RGPD) Elle est en effet en contradiction avec les principes
de licéité (art 5.1 a) du RGPD), de finalité (article 5.1 b) du RGPD), de minimisation (article 5.1 c)
du RGPD) et de conservation proportionnée des données (article 5.1 e) du RGPD) tous consacrés
au Chapitre II « Principes » du RGPD comme il a été exposé ci-avant.
53. Aux termes de l’article 83.5 a) du RGPD, les violations de ces dispositions peuvent s’élever jusqu’à
20.000.000 d’euros ou dans le cas d’une entreprise, jusqu’à 4% du chiffre d’affaire annuel mondial
3
Voy. à cet égard : Cour d’appel de Bruxelles (19ème chambre A – Cour des marchés), arrêt du 19 février 2020, 2019/AR/1600
et Cour d’appel de Bruxelles (19ème chambre A – Cour des marchés), arrêt du 2 septembre 2020, 2020/AR/329 (disponibles
uniquement en néerlandais).
Décision quant au fond 64/2020 - 17/20
total de l‘exercice précédent. Les montants d’amende pouvant être appliqués en cas de violation
de ces dispositions sont supérieurs à ceux prévus pour d’autres types de manquements listés à
l’article 83.4. du RGPD.
54. Dans sa réponse au formulaire de réaction à l’encontre d’une amende envisagée, la défenderesse
estime qu’en l’absence de définition du critère de « gravité » du manquement mentionnée à
l’article 83.2.a) du RGPD, cette gravité pourrait s’apprécier eu égard aux conséquences desdits
manquements et ce, par analogie avec le critère applicable pour l’appréciation du manquement
en matière de résolution d’une convention (art. 1184 du Code civil). La défenderesse met
notamment à cet égard en avant le nombre limité de personnes concernées et l’absence de
préjudice concret dans le chef de la plaignante. Ces éléments sont effectivement pris en compte
par la Chambre Contentieuse dans son appréciation de la gravité des manquements du cas
d’espèce comme le requiert par ailleurs l’article 83.2 a) du RGPD précité (voy. les points 57-58 ci-
après). S’agissant de manquements à un droit fondamental, consacré à l’article 8 de la Charte des
droits fondamentaux de l’Union européenne, l’appréciation de leur gravité se fera, à l’appui de
l’article 83.2. a) du RGPD, de manière autonome.
55. Ces manquements ouvrent la porte à d’autres manquements possibles, soit la prise de
connaissance de messages d’ordre privé échangés par le biais de l’adresse e-mail, fut-ce celle-ci
professionnelle. Comme le souligne le rapport de l’Inspecteur général, « le fait que ces boites mail
existent toujours sans aucune notification signalant aux émetteurs de ces trois destinataires que
ces personnes ne sont plus les utilisateurs de ces adresses mail est par ailleurs de nature à
permettre la collecte et l’utilisation potentielles de données à caractère personnel à l’insu des
émetteurs ».
56. La Chambre Contentieuse note également que par répercussion, le droit à l’effacement du
plaignant n’a pas non plus été respecté (article 17.1 a) du RGPD). Le respect des droits des
personnes concernées, en ce compris par le biais de l’établissement de procédures claires et
systématisée, est essentiel à l’effectivité du droit à la protection des données dont toute personne
concernée, fut-elle administrateur délégué d’une société familiale comme la défenderesse, doit
bénéficier.
57. Quant au nombre de personnes concernées affectées par la violation, la Chambre Contentieuse
relève que les manquements constatés ne concernent qu’un nombre limité de personnes, soit le
plaignant ainsi que quelques autres membres de sa famille (article 83.2 a) du RGPD). La Chambre
Contentieuse relève également que seules 13 personnes (équivalent temps-plein) travaillent au
sein de la défenderesse. La Chambre Contentieuse ajoute qu’indirectement, les émetteurs de
Décision quant au fond 64/2020 - 18/20
messages à destination de ces derniers peuvent toutefois également être concernés par l’absence
de gestion de la clôture des adresses de messagerie.
58. La Chambre Contentieuse constate également que le plaignant n’invoque pas de dommage concret
(article 83.2 a) du RGPD). Il se contente d’invoquer un risque de confusion potentiellement
dommageable dès lorsqu’il continue à travailler dans le même secteur d’activité que la
défenderesse, risque qui, de l’avis de la Chambre Contentieuse ne peut en effet être
théoriquement exclu et doit donc être pris en compte dans une faible mesure.
59. Quant au critère de durée, la Chambre Contentieuse constate que ces manquements ont duré
dans le temps (article 83. 1 a) du RGPD).
60. En effet, le plaignant a été révoqué de sa fonction d’administrateur délégué en novembre 2016.
Ses adresses e-mail ont été désactivées en mai 2019 et novembre 2019, soit après deux ans et
demi et après près de 3 ans, après la cessation de ses activités pour l’adresse électronique
contenant le seul prénom du plaignant. En ce qui concerne les adresses e-mail des membres de
la famille du plaignant, le délai mis à les supprimer est, là aussi, de plusieurs années.
61. Si, comme il a été rappelé, il peut être tenu compte de la fonction exercée par la personne
concernée au sein de l’entité pour déterminer un délai adéquat pendant lequel la messagerie de
cette dernière peut demeurer active moyennant un message indiquant aux émetteurs une nouvelle
adresse à laquelle adresser les messages, un délai de deux ans et demi / 3 ans est totalement
déraisonnable et disproportionné, y compris pour un administrateur délégué, fondateur de la
défenderesse de surcroît.
62. Certes, le manquement a débuté alors même que les obligations découlant du RGPD n’étaient pas
encore d’application4. Le manquement ayant perduré au-delà du 25 mai 2018, la Chambre
Contentieuse est compétente pour en connaître et y appliquer le RGPD. Calculés à dater de l’entrée
en application du RGPD, la durée du manquement pouvant être sanctionné par la Chambre
Contentieuse s’en trouve raccourcie mais demeure excessive.
4
L’application des principes contenus dans La loi du 8 décembre 1992 applicable dès la révocation du plaignant en novembre
2016 n’aurait pas abouti à un constat de manquement différent. La Commission de la protection de la vie privée avait mis sur
son site des notes explicatives sur cette thématique (voy. supra la note de bas de page 2). A strictement parler, il est toutefois
exact, comme le souligne la défenderesse dans sa réaction au formulaire d’amende envisagé qu’aucune violation pertinente
commise précédemment ne peut être retenue à son encontre (art. 83.2.e) du RGPD) pas plus que d’autres plaintes ou décisions
en matière de violation du RGPD. La Chambre Contentieuse fait toutefois remarquer qu’elle ne fonctionne que depuis le 25 mai
2018, son prédécesseur (la Commission de la protection de la vie privée) ne disposant pas de cette compétence. Le poids
accordé à ce critère d’appréciation est, partant, actuellement relativement faible mais pourra varier au fil du temps.
Décision quant au fond 64/2020 - 19/20
63. Quant à la question de savoir si les manquements ont été commis délibérément ou par négligence
(art. 83.2.b) du RGPD), la défenderesse indique aux termes de sa réaction au formulaire d’amende
envisagée que c’est certes de manière volontaire qu’elle n’a pas désactivé les adresses
électroniques litigieuses. Elle insiste par contre sur le fait, comme elle l’avait fait lors de l’audition,
qu’elle n’a pas eu conscience de méconnaître ses obligations légales en maintenant les adresses
litigieuses, ce maintien résultant d’une méconnaissance des règles en la matière dans son chef et
étant motivé par le souci de préserver ses intérêts économiques.
64. La Chambre Contentieuse relève encore qu’il n’a pas été donné suite à la demande du plaignant
dans le délai d’un mois requis par l’article 12.3 du RGPD et que ce n’est qu’au terme des
interventions successives du SPL et de l’Inspecteur général que les adresses mails litigieuses ont
été supprimées 7 mois après la demande formulée par le plaignant le 26 mars 2019 (article 83.2
f) du RGPD). Si la Chambre Contentieuse note que lors de l’audition, la défenderesse a indiqué
que ce processus en deux étapes était le fruit de sa méconnaissance de la règlementation en
matière de protection des données, la Chambre Contentieuse regrette le délai mis à se conformer
à ses obligations.
65. Enfin, la Chambre Contentieuse n’ignore pas la défenderesse indique qu’elle n’a pas eu
connaissance de demandes de clôture des adresses de messagerie litigieuse, dont celles du
plaignant, antérieures à celle formulée par le plaignant dans son courrier du 26 mars 2019. La
défenderesse souligne encore qu’en dépit d’un contentieux judiciaire en cours entre les parties
depuis 2017, le plaignant n’a fait aucune demande en ce sens. La Chambre Contentieuse est d’avis
que, nonobstant l’absence de consensus entre les parties, la question de savoir si cette demande
a ou non été formulée par le plaignant avant sa lettre du 26 mars 2019 est sans pertinence. C’est
à l’employeur de se conformer aux exigences découlant du RGPD et à, d’initiative, désactiver les
adresses de messagerie des personnes concernées quittant l’entreprise et ce, selon les modalités
décrites aux termes de cette décision, tenant notamment compte de la qualité/fonction exercée
par les titulaires des adresses électroniques concernées.
66. La Chambre Contentieuse constate que les autres critères de l’article 83.2. du RGPD ne sont ni
pertinents ni susceptibles d’influer sur sa décision quant à l’imposition d’une amende
administrative et son montant.
67. En conclusion, au regard des éléments développés ci-dessus propres à cette affaire, la Chambre
Contentieuse estime que les faits constatés et le manquement aux articles 5.1 a), b) c) et e), 6 et
17.1 a) combiné à l’article 12.3. du RGPD, justifient qu’au titre de sanction effective, proportionnée
et dissuasive telle que prévue à l’article 83 du RGPD et compte tenu des facteurs d’appréciation
listés à l’article 83.2. du RGPD et de la réaction de la défenderesse au formulaire d’amende
Décision quant au fond 64/2020 - 20/20
envisagée, une réprimande (article 100.1, 5° LCA) et un ordre de mise en conformité détaillé ci-
dessous (article 100.1, 9° LCA). assortis d’une amende administrative d’un montant de 15.000
euros (article 100.1, 13° et 101 LCA) soient prononcés à l’encontre de la défenderesse.
68. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et
les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'APD
moyennant la suppression des données d’identification directe des parties et des personnes citées,
qu’elles soient physiques ou morales.
POUR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE
Après en avoir délibéré, décide de :
- Prononcer à l’encontre de la défenderesse une réprimande sur la base de l’article 100.1, 5°
LCA ;
- Prononcer un ordre de mise en conformité par l’adoption d’une politique réglant la question
de la clôture des messageries électroniques au sein de la défenderesse en cas de départ de
l’un de ses administrateurs, employés et autres fonctions éventuelles et ce, sur la base de
l’article 100.1, 9° LCA. Ce document devra être communiqué à l’APD dans un délai de 3 mois
à dater de la notification de la présente décision via l’adresse [email protected].
- Prononcer à l’encontre de la défenderesse une amende administrative d’un montant de
15.000 euros en application des articles 100.1, 13° et 101 LCA.
En vertu de l’article 108.1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des
marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa notification, avec
l’Autorité de protection des données en qualité de défenderesse.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse