1/33
Chambre Contentieuse
Décision quant au fond 66/2021 du 04 juin 2021
Cette décision a été annulée par la Cour des marchés :
Arrêt AR/2021/1044 du 1er décembre 2021
Numéro de dossier : DOS-2020-00818
Objet : Traitement de données à caractère personnel par le Service public fédéral
Finances - demande d'information, d'accès, de rectification et de limitation du
traitement
La Chambre Contentieuse de l'Autorité de protection des données, constituée de
Monsieur Hielke Hijmans, président, et de Messieurs Yves Poullet et Jelle Stassijns, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel
et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général
sur la protection des données), ci-après "RGPD" ;
Vu la loi du 3 août 2012 portant dispositions relatives aux traitements de données à caractère
personnel réalisés par le Service public fédéral Finances dans le cadre de ses missions, ci-après
"la loi du 3 août 2012"1 ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
"LCA" ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
1
Tel que modifiée suite à l'entrée en vigueur du RGPD par la loi du 5 septembre 2018 instituant le comité de sécurité de
l'information et modifiant diverses lois concernant la mise en oeuvre du Règlement (UE) 2016/679 du Parlement européen et
du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, M.B. du 10 septembre 2018.
Décision quant au fond 66/2021 - 2/33
Vu les pièces du dossier ;
a pris la décision suivante concernant :
- Madame X, ci-après "la plaignante", et .
.
- le Service Public Fédéral Finances (Direction Administration Générale de l’Inspection .
Spéciale des Impôts), Boulevard du Roi Albert II, 33 boîte 49 - 1030 Schaerbeek, ayant
le numéro d'entreprise 0308.357.159, ci-après "le défendeur".
1. Faits et procédure
1. Le 6 février 2020, la plaignante a porté plainte auprès de l'Autorité de protection des
données contre le défendeur.
2. L'objet de la plainte concerne une demande d'information, d'accès, de rectification et de
limitation du traitement de données à caractère personnel adressée au défendeur par
la plaignante le 18 juillet 2019 et le 9 août 2019. La plaignante précise qu'elle est
employée comme comptable au Grand-Duché de Luxembourg. Elle indique avoir
adressé les demandes précitées au défendeur suite à la mention de son nom dans
divers dossiers concernant des enquêtes fiscales à l'égard de contribuables,
effectuées par le défendeur. La plaignante indique plus précisément être mentionnée
à tort comme "prête-nom" dans les dossiers en question, où il serait question de fraude
fiscale dans le chef des contribuables concernés. La plaignante précise que sa
demande d'exercer ses droits a été rejetée par le défendeur par courrier du
28 octobre 2019, suite à quoi elle a porté plainte auprès de l'Autorité de protection des
données.
3. Le 20 février 2020, la plainte est déclarée recevable sur la base de l'article 58 juncto
l'article 60 de la LCA, la plaignante en est informée conformément à l'article 61 de la
LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er
de la LCA.
4. Le 23 mars 2020, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
Décision quant au fond 66/2021 - 3/33
5. Par courrier recommandé du 23 mars 2020, les parties sont informées du fait que la
plainte peut être traitée sur le fond et, en vertu de l'article 99 de la LCA, elles sont
également informées des délais pour introduire leurs conclusions.
6. Le 24 avril 2020, le défendeur dépose ses conclusions en réponse.
7. Dans ses conclusions en réponse, le défendeur indique avoir reçu le 4 janvier 2018 des
renseignements en provenance de l'étranger dans le cadre des Common Reporting
Standards. Il précise que sur la base des renseignements susmentionnés, une enquête
a été ouverte dans le cadre de laquelle l'agent concerné a effectué des recherches dans
des banques de données internes et externes, dont Orbis, Mémorial Luxembourgeois,
POW et Sitran.
8. Le défendeur précise que les résultats de cette pré-enquête ainsi que l'avis de l'agent
traitant ont ensuite été repris dans un document qui a été classé dans le dossier X, où
ont été repris les données et les avis suivants concernant la plaignante :
“Mme X est la fondatrice et l'administratrice de […] SA.
(…)
[…] SA a son siège social à […] Elle est donc située dans ce […].
La fondation a eu lieu le […] par […] SaRL (représentée par […]) et Mme X […]).
Le capital au moment de la fondation s'élevait à […] ([…]), dont […] et X détiennent
chacun 50 % ([…]).
Lors de la fondation (constitution), les personnes suivantes ont été nommées en
tant qu'administrateurs :
• […] SARL
• Madame X
• […] SARL
[…] SA SPF est devenue […] à partir du […] (…)
Mme X est la fondatrice et l'administratrice de [...] SA.
Elle possède la nationalité belge et était domiciliée en Belgique jusqu'au [...]
inclus.
Depuis 2003, elle a son domicile à [...], à l'adresse : [...]. Elle possède des mandats
au [...], mais aussi en Belgique. (...)
- Administratrice de […] depuis […] ;
- Administratrice de […] ([…]) depuis […] ;
- Administratrice (déléguée) de […] (…) depuis […] ;
- Administratrice de […] (…) depuis […].
En recherchant X dans Mémorial Lux, nous trouvons [...], principalement des
mandats en tant qu'administratrice.
(…)
En vérifiant ses mandats, nous constatons que la plupart des sociétés au [...] sont
situées à ces 3 adresses :
o […]
o […]
o […]
Décision quant au fond 66/2021 - 4/33
Mme X est […] de diverses sociétés “SA SPF” au […]. Elle agit probablement en
tant que "..."
(…)
Elle possède.. […] biens immobiliers en Belgique (POW):
- […]
- 1/2 pleine propriété (avec son conjoint) dans 3 appartements à […]
- […]
(…)
Aucun dossier n'a toutefois encore été ouvert dans le chef de Mme X." [NdT :
tous les passages cités du dossier sont des traductions libres réalisées par le Secrétariat
Général de l’APD, en l’absence de traduction officielle]
9. Le défendeur précise que sur la base de la pré-enquête, une enquête fiscale a été ouverte
au sujet de la personne Y mais pas de la plaignante elle-même.
10. En ce qui concerne la demande d'information, d'accès, de rectification et de limitation
du traitement introduite par la plaignante le 18 juillet 2019, le défendeur déclare qu'un
accès a été octroyé le 21 août 2019 sur la base de la législation en matière de publicité
de l'administration ainsi que sur la base de la législation en matière de vie privée.
Il souligne qu'à cette occasion, il a été précisé à la plaignante qu'aucune enquête
spécifique n'avait été ouverte à son égard, ce que l'on peut également lire dans le
rapport de la pré-enquête.
11. Le défendeur déclare que le 8 août 2019, la plaignante a adressé une demande similaire
d'exercice de ses droits au délégué à la protection des données du Service de sécurité
de l'information et de protection de la vie privée du défendeur. Ce dernier précise que
cette demande a été refusée le 28 octobre 2019, vu qu'un accès avait déjà été octroyé,
que les données à caractère personnel avaient été collectées uniquement en vue d'une
finalité légitime déterminée et que le traitement était nécessaire à l'exercice des
missions légales du défendeur.
12. Dans ses conclusions en réponse, le défendeur demande à la Chambre Contentieuse de
déclarer non fondée la plainte déposée par la plaignante et fait valoir à cet effet les
moyens suivants :
• Moyen 1 : les mots "prête-nom" ou "prête-nom présumé" ne constituent pas des
données à caractère personnel
13. Le défendeur affirme que la loi du 3 août 2012 portant dispositions relatives aux
traitements de données à caractère personnel réalisés par le Service public fédéral
Décision quant au fond 66/2021 - 5/33
Finances dans le cadre de ses missions ne définit pas la notion de "données à caractère
personnel". Le défendeur se réfère à la définition de cette notion dans le RGPD.
14. Le défendeur déclare que ce qui identifie la plaignante dans le rapport de la pré-enquête
dans le dossier X et dans la lettre à la personne Y, c'est son nom et son numéro national,
mais que les mentions "prête-nom" ou "agit probablement en tant que prête-nom" ne
constituent pas des données à caractère personnel au sens de la loi ou du RGPD.
Il ajoute à cela qu'il s'agit d'un point de vue ou d'un avis du défendeur concernant
l'intervention de la plaignante dans la société Z.
15. Le défendeur affirme qu'en vertu de sa mission légale, il est habilité à prendre position
concernant des données fiscales pertinentes afin d'assurer la juste perception de
l'impôt et souligne que ceci découle de l'article 322, § 1 er du CIR 1992 qui prévoit que :
"L'administration peut, en ce qui concerne un contribuable déterminé, recueillir des
attestations écrites, entendre des tiers, procéder à des enquêtes et requérir, dans le
délai qu'elle fixe, ce délai pouvant être prolongé pour de justes motifs, des personnes
physiques ou morales, ainsi que des associations n'ayant pas la personnalité juridique,
la production de tous renseignements qu'elle juge nécessaires à l'effet d'assurer la
juste perception de l'impôt.”
16. Le défendeur fait valoir qu'il est donc en droit d'indiquer, dans une notification préalable
d'indices de fraude fiscale à l'égard de la personne Y, que la plaignante est soupçonnée
d'agir en tant que prête-nom et affirme que toute autre lecture de la disposition
susmentionnée ne serait pas seulement contraire à l'article 322 du CIR92 mais aussi à
la liberté d'expression de l'agent au sens de l'article 10 de la CEDH.
17. Le défendeur indique qu'il relève de la compétence des juridictions fiscales de se
prononcer sur les litiges relatifs à la loi fiscale et par conséquent sur la question de
savoir si le défendeur a eu raison ou non de qualifier la plaignante de "prête-nom".
18. Le défendeur ajoute à ce qui précède que la plaignante ne peut, sous prétexte du
traitement de données à caractère personnel, empêcher que les agents du défendeur
prennent position concernant des données fiscales pertinentes. Le défendeur répète à
cet égard que l'avis qu'il a formulé ne constitue pas une donnée à caractère personnel,
de sorte que la plaignante ne peut pas en demander la rectification, la limitation ou
l'effacement.
Décision quant au fond 66/2021 - 6/33
19. Le défendeur déclare enfin qu'il convient de souligner que le rapport de la pré-enquête
où figure l'avis de l'agent concernant une certaine problématique fiscale ne constitue
pas un traitement de données à caractère personnel contenues ou appelées à figurer
dans un fichier (article 4, § 6 du RGPD) et que le rapport ne constitue pas en soi un
ensemble structuré de données à caractère personnel accessible via des critères.
• Moyen 2 : le [défendeur] a fourni suffisamment d'informations à [la plaignante]
20. Le défendeur affirme que le droit d'information de la plaignante a été respecté et que
conformément à l'article 14 du RGPD, suffisamment d'informations lui ont été fournies.
21. Le défendeur souligne à cet égard que "L'article 11 de la loi du 3 août 2012 [spécifie] une
dérogation prévoyant que le droit à l'information peut être limité afin de garantir les
objectifs d'intérêt public dans le domaine budgétaire, monétaire et fiscal.
Il est référé plus précisément aux traitements de données à caractère personnel visant
la préparation, l'organisation, la gestion et le suivi des enquêtes menées e.a. par l'AGISI
et qui peuvent donner lieu à une amende administrative ou à une sanction
administrative.
Dans le cas d'une limitation du droit à l'information, ces données à caractère personnel
peuvent être conservées jusqu'à maximum 1 an après la cessation définitive des
procédures judiciaires, administratives et extrajudiciaires.
Cette limitation du droit à l'information vaut (1) durant la période pendant laquelle la
personne concernée fait l'objet (2.1.) d'un contrôle ou (2.2) d'une enquête ou d'actes
préparatoires à ceux-ci effectués en l'occurrence par l'AGISI ainsi que (2) durant la
période pendant laquelle les pièces sont traitées en vue d'exercer les poursuites.
Cette limitation vaut dans la mesure où l'application du droit nuirait aux besoins du
contrôle, de l'enquête ou des actes préparatoires ou risque de violer le
secret de l'enquête pénale ou la sécurité des personnes”.
• Moyen 3 : le droit d'accès a été respecté
Décision quant au fond 66/2021 - 7/33
22. En ce qui concerne la demande d'exercice du droit d'accès de la plaignante, le
défendeur affirme avoir fourni, le 21 août 2019, les explications nécessaires concernant
le traitement des données à caractère personnel de la plaignante et lui avoir octroyé un
accès.
23. Il ajoute que cela a encore été complété par une déclaration du délégué à la protection
des données indiquant qu'aucune enquête fiscale n'était menée à l'égard de la
plaignante mais qu'une enquête était bien ouverte concernant une personne Y, dans le
cadre de laquelle la plaignante était citée nommément.
24. Le défendeur précise que la plaignante était plus précisément nommée dans le rapport
de la pré-enquête, qui lui a été présenté, ainsi que dans le courrier adressé au
contribuable concerné. En ce qui concerne ce courrier - que la plaignante a obtenue
elle-même (pièce 7) -, le défendeur affirme qu'il peut invoquer le motif d'exception de
l'article 11/1 de la loi du 3 août 2012.
25. Le défendeur précise à cet égard qu'il peut en effet limiter entièrement ou partiellement
le droit d'accès lorsqu'il est à craindre que l'exercice de ce droit pourrait avoir des
conséquences néfastes pour l'enquête. Il affirme être d'avis que ce droit peut
notamment être limité en cas de risque de collusion et argumente que cela ne nécessite
pas de mener une enquête spécifique à l'égard de la plaignante, mais seulement que
celle-ci soit impliquée dans l'objet de l'enquête.
• Moyen 4 : le droit de rectification et le droit à la limitation du traitement des
données à caractère personnel ne s'appliquent pas
26. En ce qui concerne la demande de rectification des données à caractère personnel par
la plaignante, le défendeur répète d'abord que l'avis de l'agent en question selon lequel
la plaignante agirait probablement en tant que prête-nom ne constitue pas une donnée
à caractère personnel au sens du RGPD, de sorte que la plaignante ne peut pas en
demander la rectification.
27. Le défendeur ajoute que la plaignante ne conteste pas l'orthographe correcte de son
nom et donc l'exactitude des données personnelles, de sorte qu'il n'y a aucune raison
de procéder à une quelconque limitation du traitement des données à caractère
personnel de la plaignante.
28. À titre subsidiaire, le défendeur invoque les motifs d'exception des articles 11/2 et 11/3
de la loi du 3 août 2012.
Décision quant au fond 66/2021 - 8/33
• Moyen 5 : il n'y a aucune raison d'effacer les données à caractère personnel de la
plaignante
29. Le défendeur affirme être en droit de refuser la demande d'effacement des données
car celles-ci relèvent du champ d'application des exceptions à l'article 17 du RGPD.
30. Le défendeur précise qu'en vertu des dispositions fiscales - dont les articles 317 et 322
du CIR92 -, il peut utiliser les données à caractère personnel de tiers dans le cadre de
son enquête fiscale afin d'assurer la juste perception de l'impôt. Il affirme que le
traitement des données à caractère personnel de la plaignante répond aux finalités du
RGPD et est suffisamment proportionnel.
31. Il déclare que la question de savoir si le défendeur décrit ou non correctement la
plaignante en tant que (probable) prête-nom relève de la compétence des juridictions
fiscales.
32. Le défendeur conclut qu'il ne voit donc aucune raison d'effacer les données à caractère
personnel de la plaignante.
33. Enfin, concernant ce moyen, le défendeur déclare également que l'effacement des
données à caractère personnel entraverait en l'espèce les "enquêtes officielles ou
judiciaires et aurait un effet négatif sur la prévention, la détection, la recherche ou la
poursuite d'infractions pénales". Il précise que dans ce cas, en effaçant leur données à
caractère personnel, les personnes concernées pourraient déjà effacer leur
(éventuelle) implication dans des malversations fiscales au cours de l'enquête, ce qui ne
peut pas être le but.
• Moyen 6 : La demande d'astreinte est sans objet
34. Le défendeur argumente enfin que la demande d'astreinte de la plaignante est infondée
car il a fourni correctement à la plaignante les informations concernant le traitement de
ses données à caractère personnel et lui a octroyé un accès. Il répète que les demandes
de rectification, d'effacement et de limitation du traitement de données ne sont pas
fondées.
35. Le 8 mai 2020, la plaignante dépose ses conclusions en réplique.
36. Dans ses conclusions, la plaignante indique être mentionnée sans aucune raison
apparente comme "prête-nom" dans des documents internes du défendeur
concernant des enquêtes fiscales relatives à d'autres contribuables dans lesquels - par
Décision quant au fond 66/2021 - 9/33
cette mention de la plaignante - on conclut à l'existence d'indices de fraude fiscale dans
le chef de ces contribuables. La plaignante en transmet la preuve.
37. La plaignante déclare en outre qu'en date du 18 juillet 2019, elle a adressé au défendeur
une demande d'accès au dossier administratif de ce dernier, ainsi qu'une demande
d'information, d'accès, de rectification et de limitation du traitement de ses données à
caractère personnel.
38. La plaignante allègue qu'aucune suite n'a été donnée aux demandes susmentionnées
dans le délai d'un mois, comme requis par l'article 12 du RGPD.
39. La plaignante affirme en outre que le défendeur n'a pas donné suite à ses demandes
d'information, de rectification et de limitation du traitement.
40. La plaignante demande à la Chambre Contentieuse de déclarer sa demande recevable
et fondée et de considérer que le défendeur a violé les articles 5, 12 à 18 inclus, 21 et 23
du RGPD ainsi que l'article 11 de la loi du 3 août 2012 et d'ordonner qu'il soit donné suite
aux demandes d'exercice de ses droits, sous peine d'une astreinte de 1000 EUR par
jour de retard.
41. Le 25 mai 2020, le défendeur dépose ses conclusions en réplique.
42. Par e-mail du 3 mai 2020, la plaignante demande à être entendue, conformément à
l'article 98, 2° de la LCA. Dans ses conclusions, le défendeur demande également à être
entendu.
43. Le 18 janvier 2021, les parties sont entendues par la Chambre Contentieuse,
conformément à l'article 53 du règlement d'ordre intérieur.
44. Le 29 janvier 2021, le procès-verbal d'audition est transmis aux parties, conformément
à l'article 54 du règlement d'ordre intérieur.
45. Par e-mail du 4 février 2021, la plaignante transmet ses remarques concernant ce
procès-verbal.
Décision quant au fond 66/2021 - 10/33
2. Motivation
2.1. La notion de "données à caractère personnel" et la compétence de la Chambre
Contentieuse
2.1.1. La notion de "données à caractère personnel" (article 4.1 du RGPD)
46. Dans ses conclusions en réponse et en réplique, le défendeur fait tout d'abord valoir
que les termes "prête-nom" et "probable prête-nom" ne constituent pas des données à
caractère personnel au sens du RGPD mais qu'il s'agit seulement d'une position prise
par le défendeur vis-à-vis de l'intervention de la plaignante dans certaines sociétés.
Le défendeur affirme qu’en conséquence, la plaignante ne peut pas exercer son droit
de rectification et de limitation du traitement à cet égard.
47. Le défendeur indique qu'il incombe à l'administration fiscale de prendre position
concernant des questions fiscales, conformément à ses compétences légales, et qu'il
relève de la compétence des juridictions fiscales de se prononcer sur d'éventuels litiges
relatifs à ces positions. Le défendeur conclut qu'en l'espèce, l'Autorité de protection
des données n'est pas compétente pour se prononcer.
48. L'article 4.1 du RGPD définit la notion de "données à caractère personnel" comme étant
"toute information se rapportant à une personne physique identifiée ou identifiable
(ci-après dénommée "personne concernée") ; est réputée être une "personne physique
identifiable" une personne physique qui peut être identifiée, directement ou
indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro
d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs
éléments spécifiques propres à son identité physique, physiologique, génétique,
psychique, économique, culturelle ou sociale". Cette définition comporte donc quatre
éléments constitutifs et cumulatifs :
i. "toute information"
ii. "se rapportant à"
iii. "une personne physique"
iv. "identifiée ou identifiable"
Décision quant au fond 66/2021 - 11/33
i. "toute information"
49. La Chambre Contentieuse souligne que, comme l'explique l'article 4.1 du RGPD, le
considérant 26 du RGPD ainsi que l'Avis 4/2007 du Groupe de travail Article 29 sur la
protection des données et la jurisprudence de la Cour de justice, la notion de "données
à caractère personnel" doit être interprétée largement et qu'elle inclut à la fois des
informations objectives et subjectives, que ces informations soient correctes ou non
ou prouvées ou non2. La notion de "toute information" utilisée à l'article 4.1 du RGPD
doit par conséquent être interprétée littéralement, et ce quels que soient la nature, le
contenu ou la forme de l'information.
50. Le considérant 26 souligne cette explication extensive de la notion de "données à
caractère personnel" et indique qu' "Il y a lieu d'appliquer les principes relatifs à la
protection des données à toute information concernant une personne physique
identifiée ou identifiable”.3
51. Ceci a également déjà été confirmé par le Groupe de travail Article 29 sur la protection
des données dans son Avis n° 4/2007 sur le concept de données à caractère personnel,
dans lequel il indique à cet égard : "Du point de vue de la nature des informations, le
concept de données à caractère personnel englobe toutes sortes de renseignements à
propos d'une personne. "(...) il peut aussi s'agir d'informations "subjectives" sous forme
d'avis ou d'appréciations. (...) Pour être considérées comme des "données à caractère
personnel", il n'est pas nécessaire que ces informations soient vraies ou prouvées.”4 5
52. Ces éléments ont également été soulignés à plusieurs reprises par la Cour de Justice de
l'Union européenne. Dans son arrêt Nowak du 20 décembre 2017, la Cour précise à cet
égard :
"L’emploi de l’expression "toute information" dans le cadre de la définition de la notion
de "donnée à caractère personnel" (...) reflète l’objectif du législateur de l’Union
d’attribuer un sens large à cette notion, laquelle n’est pas restreinte aux informations
sensibles ou d’ordre privé, mais englobe potentiellement toutes sortes d’informations,
2
FOCQUET, A. et DECLERCK, E., Gegevensbescherming in de praktijk, Intersentia, Antwerpen, 2019, p. 6; C. DOCKSEY et H.
HIJMANS, “The Court of Justice as a Key Player in Privacy and Data Protection: An Overview of Recent Trends” in Case Law at
the Start of a New Era of Data Protection Law, EDPL Review 2019, p. 302-304.
3
Soulignement par la Chambre Contentieuse.
4
Groupe de travail Article 29 sur la protection des données, Avis n° 4/2007, 20 juin 2007, p. 6.
5
Soulignement par la Chambre Contentieuse.
Décision quant au fond 66/2021 - 12/33
tant objectives que subjectives, sous forme d’avis ou d’appréciations, à condition que
celles-ci "concernent" la personne en cause..
53. Le Groupe de travail Article 29 sur la protection des données et la Cour de Justice
précisent que cette information peut se rapporter tant à la vie privée de la personne
concernée qu'à ses activités professionnelles 6 ou publiques : "L''expression "données
à caractère personnel" englobe les informations touchant à la vie privée et familiale
d'une personne physique, stricto sensu, mais également les informations relatives à ses
activités, quelles qu'elles soient, tout comme celles concernant ses relations de travail
ainsi que son comportement économique ou social. Il s'agit donc d'informations
concernant des personnes physiques, indépendamment de leur situation ou de leur
qualité (en tant que consommateurs, patients, employés, clients, etc.).”7
54. Plus spécifiquement, la Cour de Justice a jugé, dans son arrêt Nowak, que l'évaluation
et les remarques d'un examinateur concernant un examen présenté par la personne
concernée devaient être considérées comme des données à caractère personnel au
sens de l'actuel article 4.1 du RGPD.
55. La Cour a souligné que ne pas qualifier ces données comme étant des données à
caractère personnel aurait pour conséquence de soustraire entièrement ces
informations au respect des principes et des garanties en matière de protection des
données à caractère personnel, et plus précisément au respect des droits d’accès, de
rectification et d’opposition de la personne concernée ainsi que du contrôle exercé par
les autorités de contrôle.8
56. La Chambre Contentieuse constate sur la base de ce qui précède que contrairement à
ce que le défendeur affirme dans ses conclusions en réponse et en réplique, en
l'espèce, l'information traitée par le défendeur relève du champ d'application de l'article
4.1 du RGPD et doit être considérée comme une donnée à caractère personnel au sens
de l'article susmentionné. Les documents litigieux mentionnent le nom et le prénom de
la plaignante ainsi que son numéro de Registre national d'une part ainsi que le fait que
la plaignante agirait comme "prête-nom" d'autre part.
6
Voir CEDH 16 février 2000, n° 27798.
7
Groupe de travail Article 29 sur la protection des données, Avis 4/2007, 20 juin 2007, p. 7. Voir également dans le même sens
les conclusions de l'avocat général E. Sharpston du 12 décembre 2013 dans les affaires conjointes C-141/12 et C-372/12 (Y.S.),
par. 45.
8
Nowak, par. 49.
Décision quant au fond 66/2021 - 13/33
ii. "se rapportant à"
57. Un deuxième élément constitutif de la définition de la notion de "données à caractère
personnel" de l'article 4.1 du RGPD implique que l'information doit "se rapporter à" une
personne physique, la personne concernée. Dans son Avis n° 4/2007, le Groupe de
travail Article 29 sur la protection des données souligne que cela peut être le cas
directement et indirectement dans la mesure où les données : "ont trait à l'identité, aux
caractéristiques ou au comportement d'une personne ou si cette information est
utilisée pour déterminer ou influencer la façon dont cette personne est traitée ou
évaluée”9.
58. Le Groupe de travail Article 29 sur la protection des données précise à cet égard que
les informations qui ne se rapportent pas directement à une personne physique
peuvent quand même être considérées comme des informations "se rapportant à "la
personne physique concernée dans les deux cas suivants :
1) Lorsque les données sont utilisées ou susceptibles être utilisées dans le but
d'évaluer la personne concernée, de la traiter d'une certaine manière ou d'influer
sur son statut ou son comportement ; ou
2) Lorsque l'utilisation des données est susceptible d'avoir un impact sur certaines
personnes, peu importe si cet impact est important ou faible. Le Groupe de travail
Article 29 sur la protection des données souligne à cet égard que tant que la
possibilité existe que la personne concernée soit par exemple traitée différemment
à la suite du traitement de des données en question, il sera question d'un impact sur
la personne.10
59. Ceci est également confirmé par la Cour de Justice qui a déclaré à ce propos que cette
deuxième condition "est satisfaite lorsque, en raison de son contenu, sa finalité ou son
effet, l’information est liée à une personne déterminée”.11
60. En l'occurrence, il convient de constater que le traitement des données concernées -
c.-à-d. les données d'identification de la plaignante combinées à la qualification de
"(probable) prête-nom" - et l'utilisation de ces données (par ex. leur mention dans les
9
Groupe de travail sur la protection des données Article 29, Avis n° 4/2007, 20 juin 2007, p. 10.
10
Groupe de travail sur la protection des données Article 29, Avis n° 4/2007, 20 juin 2007, p. 11-12.
11
CJUE, C434/16, Nowak, par. 35.
Décision quant au fond 66/2021 - 14/33
notifications) peuvent indubitablement être liés à la plaignante et sont susceptibles
d'avoir un impact sur celle-ci.
iii. "identifiée ou identifiable"
61. Une personne est considérée comme "identifiée" lorsque cette personne se distingue
des autres personnes au sein d'un groupe déterminé, au moyen d'un ou de plusieurs
identifiants.12
62. Compte tenu du fait qu'en plus d'être qualifiée de "prête-nom" par le défendeur, la
plaignante est également citée par ses nom et prénom dans les documents concernés,
qui mentionnent également son numéro de registre national, la Chambre Contentieuse
constate que la plaignante a en effet été identifiée et qu'en l'espèce, les informations
traitées par le défendeur se rapportent à une "personne identifiée et identifiable" au
sens de l'article 4.1 du RGPD.
iv. "personne physique"
63. La Chambre Contentieuse constate que, bien que les informations traitées par le
défendeur concernent aussi les sociétés de la plaignante, il s'avère également qu'elles
se rapporte tout autant à la personne de la plaignante elle-même, vu que cette dernière
est explicitement mentionnée dans les documents concernés, comme indiqué ci-avant,
au moyen de la mention de ses nom, prénom et numéro de Registre national.
64. Il convient par conséquent de constater qu'en l'espèce, le quatrième élément
constitutif est également présent.
2.1.2. La compétence de la Chambre Contentieuse
65. Sur la base de ce qui précède, il convient de conclure que le traitement litigieux relève
bel et bien du champ d'application du RGPD et, par conséquent, de la compétence de
l'Autorité de protection des données, et en particulier de la Chambre Contentieuse.
66. La Chambre Contentieuse souligne à cet égard qu'en vertu de l'article 4, § 1 er de la LCA,
l'Autorité de protection des données est responsable "du contrôle du respect des
12
Groupe de travail Article 29 sur la protection des données, Avis n° 4/2007, 20 juin 2007, p. 13.
Décision quant au fond 66/2021 - 15/33
principes fondamentaux de la protection des données à caractère personnel, dans le
cadre de la présente loi et des lois contenant des dispositions relatives à la protection
du traitement des données à caractère personnel" et que par conséquent, le contrôle
de la loi du 3 août 2012 relève également de sa compétence, vu qu'elle concerne
intégralement le traitement de données à caractère personnel par le Service Public
Fédéral Finances.
67. La Chambre Contentieuse attire également l'attention sur le fait que dans le cadre de
cette tâche visant à exercer un contrôle du respect des dispositions du RGPD et des
lois contenant des dispositions en matière de protection du traitement de données à
caractère personnel qui lui a été confiée par le législateur européen (article 58 du
RGPD) et belge (article 4 de la LCA), elle a analysé les faits allégués par la plaignante à
la fois à la lumière des dispositions du RGPD mentionnées par cette dernière et des
autres législations en matière de protection des données mentionnées dans le
formulaire de plainte ainsi qu'à la lumière des dispositions légales dont la violation est
soulevée dans les conclusions en réplique de la plaignante.
68. La Chambre Contentieuse souligne - comme elle l'a déjà fait dans ses décisions
n° 19/2020 et 38/2021 - que l'on ne peut en effet pas attendre de la plaignante qu'elle
indique de manière précise et exhaustive dans sa plainte les dispositions légales qui ont
(peut-être) été violées par le défendeur. Cette tâche de qualification des faits incombe
au Service d'Inspection et à la Chambre Contentieuse de l'APD.
69. Si la Chambre Contentieuse refusait de tenir compte des accusations portées par la
plaignante dans le courant de la procédure, elle porterait atteinte à l'efficacité du droit
de plainte repris à l'article 77 du RGPD.
70. En l'espèce, la Chambre Contentieuse constate cependant que le formulaire de plainte
avec annexes introduit par la plaignante comportait déjà un exposé très complet et
détaillé des faits ainsi que des violations alléguées du RGPD et de la loi du 3 août 2012,
et que les conclusions en réplique ne comportent aucune nouvelle accusation concrète.
Par conséquent, la Chambre Contentieuse attire l'attention sur le fait que le défendeur
a eu la possibilité ab initio de s'opposer tant par écrit que verbalement sur l'intégralité
des accusations.
Décision quant au fond 66/2021 - 16/33
2.2. Identification du responsable du traitement (article 4.7 du RGPD)
71. Conformément à l’article 4.7 du RGPD, il y a lieu de considérer comme le responsable du
traitement : la "personne physique ou morale, l'autorité publique, le service ou un autre
organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les
moyens du traitement”.
72. La Cour de justice a, à plusieurs reprises, interprété la notion de "responsable du
traitement" de manière large dans sa jurisprudence afin d'assurer une protection
efficace et complète des personnes concernées. 13
73. Conformément à l'Avis 1/2010 du Groupe de travail Article 29 sur la protection des
données, la qualité du (des) responsable(s) du traitement concerné(s) doit être
concrètement évaluée.14
74. En l'espèce, la Chambre Contentieuse constate tout d'abord que le défendeur a
effectué un traitement de données à caractère personnel au sens de l'article 4.2 du
RGPD, à savoir "toute opération ou tout ensemble d’opérations effectuées ou non à
l’aide de procédés automatisés et appliquées à des données ou des ensembles de
données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la
structuration, la conservation, l’adaptation ou la modification, la communication par
transmission, la diffusion ou tout autre forme de mise à disposition, le rapprochement
ou l’interconnexion, la limitation, l’effacement ou la destruction”15. Le défendeur a en
effet collecté les données à caractère personnel de la plaignante (nom, prénom, numéro
de Registre national) et les a intégrées dans le rapport de sa pré-enquête ainsi que dans
la notification qui a été envoyée au(x) contribuable(s).
75. Toujours selon l’Avis 1/2010 du Groupe de travail Article 29 sur la protection des
données, les notions "les finalités" et "les moyens" doivent être examinées ensemble
de manière indissociable et il convient à cet égard d’établir qui détermine le "pourquoi"
(les finalités) et le "comment" (les moyens) du traitement. 16
13
Voir notamment CJUE, 5 juin 2018, C-210/16 - Wirtschaftsakademie Schleswig-Holstein, ECLI:EU:C:2018:388, considérants
27-29.
14
Voir Groupe de travail Article 29, Avis 1/2010 sur les notions de "responsable du traitement" et de "sous-traitant", 16 février
2010 (WP 169), telles que précisées par l'APD dans une note " Le point sur les notions de responsable de traitement /
sous-traitant au regard du Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la protection
des données à caractère personnel (RGPD) et quelques applications spécifiques aux professions libérales telles que les avocats”.
15
Soulignement par la Chambre Contentieuse.
16
Groupe de travail Article 29 sur la protection des données, Avis 1/2010 sur les notions de "responsable de traitement" et de
"sous-traitant", 16 février 2010, (WP 169), p. 15. Cet avis est remplacé par les Lignes directrices 7/2020 du CEPD.
Décision quant au fond 66/2021 - 17/33
76. La Chambre Contentieuse constate en outre que le défendeur a déterminé de facto les
finalités et les moyens du traitement de données à caractère personnel concerné, vu
que premièrement, il a initié le traitement en collectant les données à caractère
personnel de la plaignante via les sources précitées et en qualifiant la plaignante de
"prête-nom" et deuxièmement, il a décidé de reprendre les données collectées dans le
rapport de la pré-enquête ainsi que dans la notification qui a été envoyée au(x)
contribuable(s) concerné(s).
77. Le défendeur est aussi désigné de jure comme étant le responsable du traitement des
données à caractère personnel en question et ce plus précisément par les articles 2 et
3 de la loi du 3 août 2012 portant dispositions relatives aux traitements de données à
caractère personnel réalisées par le Service public fédéral Finances dans le cadre de
ses missions, qui disposent : "Le Service public fédéral Finances est le responsable des
traitements de données à caractère personnel visés au présent chapitre" et "Le Service
public fédéral Finances collecte et traite des données à caractère personnel afin
d'exécuter ses missions légales. Les données ne peuvent être utilisées par le Service
public fédéral Finances à d'autres fins que l'exécution de ses missions légales”.
78. Le défendeur ne conteste d'ailleurs pas sa qualité de responsable du traitement pour
les données à caractère personnel concernées.
79. Sur la base de ce qui précède, la Chambre Contentieuse conclut que le défendeur doit
être considéré comme responsable du traitement au sens de l’article 4.7 du RGPD pour
le traitement de données à caractère personnel faisant l’objet de la plainte. Vu le
principe de la responsabilité prévu aux articles 5.2 et 24 du RGPD, il est par conséquent,
en cette qualité, tenu de garantir le respect des principes du RGPD.
2.3. En ce qui concerne les demandes d'exercice de ses droits formulées par la plaignantes.
2.3.1. Délai de traitement des demandes (article 12.3 du RGPD et article 11 de la loi du 3
août 2012)
80. "Conformément à l'article 12.3 du RGPD, le responsable du traitement fournit à la
personne concernée des informations sur les mesures prises à la suite d'une demande
formulée en application des articles 15 à 22, “dans les meilleurs délais et en tout état de
Décision quant au fond 66/2021 - 18/33
cause dans un délai d'un mois à compter de la réception de la demande.17 Au besoin, ce
délai peut être prolongé de 2 mois, compte tenu de la complexité et du nombre de
demandes. Le cas échéant, le responsable du traitement doit informer la personne
concernée de cette prolongation dans un délai d’un mois à compter de la réception de
la demande.
81. L'article 12.4. dispose que "si le responsable du traitement ne donne pas suite à la
demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus
tard dans un délai d'un mois à compter de la réception de la demande des motifs de son
inaction et de la possibilité d'introduire une plainte auprès d'une autorité de contrôle et
de former un recours juridictionnel”.
82. La loi du 3 août 2012 précise également dans ses articles 11, § 3 (droit à l'information),
11/1, § 3 (droit d'accès), 11/2, § 3 (droit de rectification) et 11/3, § 3 (droit à la limitation du
traitement) que "Le délégué à la protection des données du responsable du traitement
informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de
cause dans un délai d'un mois à compter de la réception de la demande, de tout refus
ou de toute limitation à son droit (...), ainsi que des motifs du refus ou de la limitation. (...)
Au besoin, ce délai peut être prolongé de 2 mois, compte tenu de la complexité et du
nombre de demandes." Le responsable du traitement informe la personne concernée
de cette prolongation et des motifs du report dans un délai d'un mois à compter de la
réception de la demande."
83. Il ressort des pièces du dossiers que la première demande d'accès par la plaignante a
été introduite en date du 18 juillet 2019. Le 7 août, le défendeur a informé la plaignante
que sa demande devait être adressée au Service de sécurité de l'information et de
protection de la vie privée. Il ressort des pièces du dossier que la plaignante a adressé
sa demande au service susmentionné le jour suivant, à savoir le 8 août 2019.
Le 26 septembre 2019, la plaignante a adressé un rappel au défendeur concernant la
demande susmentionnée.18
84. Dans sa décision du 28 octobre 2019, le défendeur a répondu à la demande
d'information, d'accès, de rectification et de limitation du traitement, introduite au nom
de la plaignante par ses conseils, comme suit :
17
Soulignement par la Chambre Contentieuse.
18
Voir les pièces 1-5 des pièces de la plaignante.
Décision quant au fond 66/2021 - 19/33
“Il ressort des éléments du dossier que votre cliente elle-même ne fait pas l'objet d'une
enquête par le [défendeur]. Aucun devoir d'enquête n'a été effectué dans le chef de
votre cliente. Dans le cadre de plusieurs enquêtes fiscales à l'égard de tiers, le
[défendeur] a par contre cherché à obtenir des informations de sources publiques
concernant votre cliente. Les informations selon lesquelles votre cliente possède des
mandats dans diverses sociétés proviennent de sources publiques.
Le 7 août 2019, des explications et un accès au dossier administratif de votre cliente
ont déjà été accordés par le défendeur dans le cadre de la loi du 11 avril 1994 concernant
la publicité de l'administration. Lors de cet accès, qui a eu lieu le 21 août 2019, sauf
erreur de notre part, vous avez déjà obtenu les données pertinentes demandées.
Les données à caractère personnel de votre cliente ont uniquement été collectées pour
une finalité déterminée et légitimes.
Enfin, le droit à l'effacement en vertu de l'article 17, alinéa 3, b) du RGPD ne s'applique
pas car le traitement est nécessaire à l'accomplissement d'une obligation légale de
traitement du [défendeur]."19
85. Il ressort de ce qui précède que le défendeur n'a pas traité la demande d'exercice de
ses droits par la plaignante dans le délai d'un mois prescrit par l'article 12.3 et 12.4 du
RGPD et par la loi du 3 août 2012 et qu'il n'a pas non plus informé cette dernière dans le
délai précité à propos d'une éventuelle prolongation de ce délai en raison de la
complexité de la demande.
86. La Chambre Contentieuse attire l'attention sur le fait que l'accès octroyé par le
défendeur dans le cadre de la législation sur la publicité de l'administration ne le
dispense pas de son obligation, en vertu de l'article 12.3 et 12.4 du RGPD ainsi que de la
loi du 3 août 2012, d'informer la plaignante dans le délai prévu à cet effet de la suite qui
a été réservée à la demande d'exercice de ses droits en vertu du RGPD, laquelle ne
concernait d'ailleurs pas seulement une demande d'accès mais aussi une demande
d'information, de rectification et de limitation du traitement de données.
19
Voir la pièce 6 des pièces de la plaignante.
Décision quant au fond 66/2021 - 20/33
87. La Chambre Contentieuse considère par conséquent que le défendeur a commis une
violation de l'article 12.3 et 12.4 du RGPD ainsi que des articles 11, § 3, 11/1, §3, 11/2, §
3 et 11/3, § 3 de la loi du 3 août 2012.
2.3.2. En ce qui concerne la suite donnée par le défendeur aux demandes de la plaignante
en vertu des articles 14, 15, 16 et 18 du RGPD
i. La demande d'information (article 14 du RGPD)
88. La plaignante a d'abord adressé au demandeur, par le biais de son courrier du 18 juillet
2019, une demande d'information conformément à l'article 14 du RGPD, qui contient
les informations devant être fournies aux personnes concernées dans le cas où les
données à caractère personnel en question n'ont pas été collectées auprès de ces
dernières.
89. En ce qui concerne cette demande introduite par la plaignante sur la base de l'article 14
du RGPD, le défendeur déclare tout d'abord avoir fourni des informations suffisantes à
l'intéressée. Le défendeur se réfère à cet égard à sa politique de confidentialité publiée
sur le site Internet https://finances.belgium.be/fr/sur_le_spf/vie-privee et déclare que
celle-ci informe in extenso sur le traitement de données à caractère personnel par le
défendeur.
90. Deuxièmement, le défendeur fait valoir qu'il peut, en l'espèce, invoquer la dérogation
contenue à l'article 11 de la loi du 3 août 2012.
91. L'article en question dispose ce qui suit en son § 1 er :
"Par dérogation aux articles 13 et 14, du Règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 relatif à la protection des personnes
physiques à l'égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE (règlement général
sur la protection des données), le droit d'information peut être retardé, limité ou
exclu s'agissant des traitements de données à caractère personnel dont le Service
public fédéral Finances est le responsable du traitement afin de garantir les
objectifs d'intérêt public dans le domaine budgétaire, monétaire et fiscal et pour
autant que l'article 14, le paragraphe 5, d), ne puisse être invoqué dans le cas
d'espèce”.
Décision quant au fond 66/2021 - 21/33
ii. La demande d'accès (article 15 du RGPD)
92. La plaignante a également adressé au demandeur, par courrier du 18 juillet 2019, une
demande d'accès conformément à l'article 15 du RGPD :
"Notre cliente a également le droit (sic) d'obtenir accès aux données à caractère personnel
qui sont traitées ainsi qu'aux informations suivantes (à savoir le droit d'accès
conformément à l'article 15 du RGPD) :
- les finalités du traitement ;
- les catégories de données à caractère personnel concernées ;
- les destinataires ou catégories de destinataires auxquels les données à caractère
personnel ont été ou seront communiquées, en particulier les destinataires qui sont
établis dans des pays tiers ou les organisations internationales ;
- lorsque cela est possible, la durée de conservation des données à caractère personnel
envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette
durée ;
- l'existence du droit de demander au responsable du traitement la rectification ou
l'effacement de données à caractère personnel, ou une limitation du traitement des
données à caractère personnel relatives à la personne concernée, ou du droit de
s'opposer à ce traitement ;
- le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
- lorsque les données à caractère personnel ne sont pas collectées auprès de la personne
concernée, toute information disponible quant à leur source ;
- l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce
traitement pour la personne concernée.
Sur la base du traitement de données à caractère personnel susmentionné qui a été
constaté, notre cliente demande d'obtenir des informations sur les données à caractère
personnel traitées ainsi qu'un accès aux documents dans lesquels elle est mentionnée.
Elle souhaite également en particulier obtenir de votre Administration des informations sur
les finalités du traitement, les destinataires de ces informations ainsi que toute information
disponible sur la source des données à caractère personnel. (...)”20.
20
Pièce 1 des pièces de la plaignante.
Décision quant au fond 66/2021 - 22/33
93. Dans ses conclusions en réponse, le défendeur déclare en ce qui concerne cette
demande d'accès qu'il a octroyé un accès à la plaignante en date du 21 août 2019 et lui
a fourni les explications nécessaires concernant le traitement de données à caractère
personnel en question.
94. Par rapport à ce droit, le défendeur invoque également les dérogations prévues à
l'article 11/1 de la loi du 3 août 2012 (voir ci-avant le point 80), et ce en particulier en ce
qui concerne la pièce que la plaignante a obtenue elle-même auprès de tiers21 et à
laquelle le défendeur n'a pas octroyé d'accès. Le défendeur argumente qu'il peut limiter
totalement ou partiellement le droit d'accès lorsqu'il craint que cela porte préjudice à
l'enquête et déclare qu'en l'espèce, il craignait une collusion. Le défendeur déclare en
outre qu'il n'est pas nécessaire que la personne concernée elle-même fasse l'objet
d'une enquête pour qu'il puisse invoquer valablement les dérogations susmentionnées.
iii. La demande de rectification (article 16 du RGPD)
95. La plaignante a également adressé une demande de rectification au demandeur.
En vertu de l'article 16 du RGPD, la personne concernée a le droit d' "obtenir sans délai
du responsable du traitement la rectification des données à caractère personnel la
concernant qui sont inexactes”.
96. La plaignante invoque le droit susmentionné parce qu'elle considère que les données à
caractère personnel traitées par le défendeur - et plus particulièrement la qualification
de la plaignante en tant que "prête-nom" - sont incorrectes et ne sont pas justifiées par
le défendeur. À cet égard, la plaignante attire l'attention sur le fait qu'en tant que
responsable du traitement, le défendeur a l'obligation, en vertu de l'article 5.1 d) du
RGPD, de s'assurer que les données à caractère personnel traitées sont "exactes et, si
nécessaire, tenues à jour" et de prendre "toutes les mesures raisonnables (...) pour que
les données à caractère personnel inexactes, eu égard aux finalités pour lesquelles elles
sont traitées, soient effacées ou rectifiées sans tarder ("exactitude")”.
97. Dans ses conclusions en réponse et en réplique, le défendeur déclare qu'en l'espèce, le
droit de rectification ne s'applique pas car 1° le terme "prête-nom" ne peut pas être
considéré comme une donnée à caractère personnel au sens de l'article 4.1 du RGPD et
21
Pièce 7 des pièces de la plaignante.
Décision quant au fond 66/2021 - 23/33
2°, à titre subsidiaire, le défendeur peut invoquer le motif d'exception repris à l'article
11/2 de la loi du 3 août 2012 (voir ci-avant le point 80).
iv. La demande de limitation du traitement (article 18 du RGPD)
98. Enfin, la plaignante a également adressé au défendeur une demande de limitation du
traitement sur la base de l'article 18.1 a) du RGPD qui dispose que :
"La personne concernée a le droit d'obtenir du responsable du traitement la limitation
du traitement lorsque l'un des éléments suivants s'applique :
a) l'exactitude des données à caractère personnel est contestée par la personne
concernée, pendant une durée permettant au responsable du traitement de vérifier
l'exactitude des données à caractère personnel ; (…)"
99. Dans ses conclusions en réponse et en réplique, le défendeur déclare qu'en l'espèce, le
droit à la limitation du traitement ne s'applique pas non plus car 1° le terme "prête-nom"
ne peut pas être considéré comme une donnée à caractère personnel au sens de
l'article 4.1 du RGPD et 2°, à titre subsidiaire, le défendeur peut invoquer le motif
d'exception repris à l'article 11/3 de la loi du 3 août 2012 (voir ci-avant le point 80).
v. Analyse par la Chambre Contentieuse concernant les point i à iv inclus
100. Se basant sur l'article 23 du RGPD, le défendeur invoque donc les limitations aux droits
des personnes concernées prévues dans la loi du 3 août 2012 régissant en détail le
traitement de données à caractère personnel par le défendeur. Ces dérogations sont
plus précisément reprises aux articles 11, § 1 er (droit d'information), 11/1, § 1er (droit
d'accès), 11/2, § 1er (droit de rectification) et 11/3 § 1er (droit à la limitation du traitement).
101. En ce qui concerne (notamment) les droits exercés par la plaignante, l'article 23 du
RGPD prévoit en effet que :
"Le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement ou
le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée
des obligations et des droits prévus aux articles 12 à 22 et à l'article 34, ainsi qu'à l'article
5 dans la mesure où les dispositions du droit en question correspondent aux droits et
Décision quant au fond 66/2021 - 24/33
obligations prévus aux articles 12 à 22, lorsqu'une telle limitation respecte l’essence des
libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et
proportionnée dans une société démocratique pour garantir: (...)
d) la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les
poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection
contre les menaces pour la sécurité publique et la prévention de telles menaces ;
e) d'autres objectifs importants d'intérêt public général de l'Union ou d'un État membre,
notamment un intérêt économique ou financier important de l'Union ou d'un État
membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé
publique et de la sécurité sociale ; (...)".22
102. En vertu de cette disposition23, le législateur belge a prévu les dérogations contenues
dans les articles susmentionnés.
103. Conformément à l'article 23 précité du RGPD, comme expliqué au considérant 73 du
RGPD, les droits des personnes concernées peuvent toutefois être limités aux
conditions et dans les limites fixées dans cette disposition, qui est basée sur l'article 52
de la Charte des droits fondamentaux de l’Union et qui doit être lue à la lumière de la
jurisprudence de la Cour de justice de l'Union européenne ainsi que de l'article 8 de la
Convention européenne des droits de l'homme (CEDH).
104. Ces limitations doivent notamment être nécessaires pour garantir un intérêt
économique ou financier important et doivent être légitimes et proportionnées.
L'article 23 précise à cet égard, conformément à l'article 52 de la Charte, que les
limitations en question doivent respecter l'essence des libertés et droits
fondamentaux.
105. La Chambre Contentieuse constate cependant que les limitations reprises dans la loi
du 3 août 2012 sont formulées de manière très large et vont plus loin que ce qui est
prévu par l'article 23 du RGPD. Tout d'abord, cette loi permet en effet non seulement
que les droits des personnes concernées soient limités, mais elle permet également de
les exclure totalement et de refuser tout droit à la personne concernée (“le droit (…)
22
Soulignement par la Chambre Contentieuse.
23
À savoir l'ancien article 13 de la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 relative à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces
données.
Décision quant au fond 66/2021 - 25/33
peut être retardé, limité ou exclu”)24. En outre, aucune limitation dans le temps n'est liée
à cette exclusion totale des droits des personnes concernées. 25
106. L'ancienne Commission de protection de la vie privée (ci-après : CPVP) préconisait à
cet égard dans sa Recommandation n° 02/2012 du 8 février 2012 et dans son Avis
n° 11/2012 du 11 avril 2012 qu' "en ce qui concerne la suspension des droits de la
personne concernée, à savoir le droit à l'information, le droit d'accès et le droit
d'opposition, on fasse preuve de la prudence nécessaire" et indiquait qu'elle "[émettait]
donc la plus grande réserve quant au manque de critères permettant de déterminer le
moment à partir duquel une enquête fiscale commence et se termine (période durant
laquelle l'intéressé est privé de son droit à l'information et de ses droits d'accès et
d'opposition)". La CPVP soulignait encore que "Ces droits constituent en effet un
mécanisme de protection extrêmement important" et ajoutait que la privation des
droits des personnes concernées soulevait des questions étant donné qu'une enquête
fiscale peut durer longtemps.
107. Dans son avis 26 relatif à l'avant-projet de loi du 21 mai 2012, le Conseil d'État pointait
également la limitation (trop) importante des droits des personnes concernées et
indiquait plus précisément que l'article 11 "conduit à priver tout contribuable de son
droit à l’information et de ses droits d’accès et d’opposition/rectification" alors que "la
directive 95/46 du Parlement européen et du Conseil du 24 octobre 1995 ‘relative à la
protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données’ 27, que la loi du 8 décembre 1992
précitée transpose en droit belge, énonce en son article 13 les seules exceptions et
limitations qu’elle autorise aux droits d’information, d’accès et de rectification”.
108. Bien que l'on ne puisse pas reprocher ce qui précède au défendeur, la Chambre
Contentieuse souligne que les dérogations prévues par la loi du 3 août 2012, qui
comportent une limitation au droit fondamental à la protection des données, doivent
être interprétées de façon restrictives par ce dernier et être appliquées conformément
aux normes de droits ci-avant, en particulier l'article 23 du RGPD, ce qui n'est pas le cas
en l'espèce (voir ci-après).
24
Voir le § 1er, premier alinéa des articles 11, 11/1, 11/2 et 11/3 de la loi du 3 août 2012.
25
Les dispositions en question de la loi du 3 août 2012 précisent seulement que la durée des actes préparatoires ne peut
excéder un an à partir de la réception d'une demande d'exercice des droits par une personne concernée. Toutefois, aucun délai
maximum n'est prévu pour la clôture du contrôle ou de l'enquête (et au terme duquel les droits peuvent à nouveau être exercé).
26
C.E., avis n° 51-291/2 du 21 mai 2012 https://www.dekamer.be/FLWB/PDF/53/2343/53K2343001.pdf, 20.
27
Actuel article 23 du RGPD.
Décision quant au fond 66/2021 - 26/33
109. Ainsi, l'article 11, § 2 de la loi du 3 août 2012 précise - en ce qui concerne le droit à
l'information (voir les art. 11/1, § 2, 11/2, § 2 et 11/3, § 2 pour respectivement le droit
d'accès, de rectification et le droit à la limitation du traitement) - que les dérogations
visées à l'alinéa premier "valent durant la période pendant laquelle la personne
concernée fait l'objet d'un contrôle ou d'une enquête ou d'actes préparatoires à ceux-
ci effectués par les services précités dans le cadre de l'exécution de leurs missions
légales ainsi que durant la période durant laquelle sont traités les pièces provenant de
ces services, en vue d'exercer les poursuites en la matière”.28 Il découle de la disposition
précitée que les dérogations en question peuvent uniquement être invoquées dans les
cas où la personne concernée elle-même fait l'objet d'un contrôle, d'une enquête ou
d'actes préparatoires du défendeur.
110. Ceci ressort également des actes préparatoires de la loi du 3 août 2012, où il est
clairement précisé dans l'Exposé des motifs que les dispositions en question
"[consacrent] une exception au droit d’information, d’accès et de rectification par une
personne physique lorsqu’elle fait l’objet d’un contrôle ou d’une enquête”29 et qu' "il ne
peut cependant pas être question pour l’administration de vider le principe de ces droits
de sa substance en invoquant la possibilité d’un contrôle. L’accès ne peut être refusé
que si un contrôle ou une enquête est déjà en cours ou si des préparatifs à cet effet ont
déjà été entamés.”.30
111. En ce qui concerne le ratio des limitations en question, l'Exposé des motifs ajoute
encore que l'exercice des tâches du défendeur pourrait être mis à mal "par l’exercice
du droit d’accès de celui qui précisément cherche à frauder l’impôt et pourrait grâce à
l’accès aux données connaître les éléments en possession de l’administration”.31
112. Le fait que les limitations aux droits des personnes concernées en vertu des articles 11
et suivants de la loi du 3 août 2012 doivent être interprétées de manière restrictive a
également été confirmé par l'arrêt 51/2014 de la Cour constitutionnelle du
27 mars 2014, laquelle a partiellement annulé cet ancien article 11 car elle a jugé qu'il
violait les principes d'égalité et de non-discrimination dans la mesure où : "il permet au
responsable du traitement des données de refuser l’exercice [des droits] à l’égard des
données personnelles du contribuable qui sont étrangères à l’objet de l’enquête ou du
contrôle en cours et, d’autre part, en ce qu’il ne prévoit pas de limitation dans le temps
28
Soulignement par la Chambre Contentieuse.
29
Doc 53 2343/001, p. 3 et p. 9-10 (soulignement par la Chambre Contentieuse).
30
Doc 53 2343/001, p. 12.
31
Chambre, Doc 53 2343/001, p. 11.
Décision quant au fond 66/2021 - 27/33
de la possibilité de faire exception à l’application de ces droits justifiée par
l’accomplissement d’actes préparatoires à un contrôle ou à une enquête”.32
113. En l'espèce, il ressort toutefois des pièces du dossier que ce n'était pas la plaignante
mais des tiers - autrement dit d'autres contribuables - qui faisaient l'objet des enquêtes
dans le cadre desquelles les données à caractère personnel de la plaignante ont
toutefois été traitées. Le défendeur l'indique clairement dans les documents litigieux 33
et le communique également aux conseils de la plaignante via son courrier du
28 octobre 2019 où il déclare :
"Il ressort des éléments du dossier que votre cliente elle-même ne fait pas l'objet d'une
enquête par le [défendeur]. Aucun devoir d'enquête n'a été effectué dans le chef de
votre cliente. Dans le cadre de plusieurs enquêtes fiscales à l'égard de tiers, le
[défendeur] a par contre cherché à obtenir des informations de sources publiques
concernant votre cliente..”
114. Les articles 11 e.s. de la loi du 3 août 2012 disposent également en leurs § 1 er que les
dérogations à l'exercice des droits décrites ci-avant peuvent être appliquées si la
personne concernée fait l'objet d' "actes préparatoires" en rapport avec une enquête
ou un contrôle dont la personne concernée fait ou fera l'objet. Les pièces du dossier ne
permettent pas de savoir - pour des raisons évidentes - si cela a été le cas en l'espèce.
115. Toutefois, l'article 11 de la loi du 3 août 2012 (ainsi que les articles 11/1, 11/2 et 11/3 en
ce qui concerne le droit d'accès, de rectification et le droit à la limitation du traitement)
précise désormais en son § 2 que la durée des actes préparatoires précités pendant
laquelle une dérogation aux droits susmentionnés repris aux articles 14 à 18 du RGPD
peut être appliquée "ne peut excéder un an à partir de la réception d'une demande
[d'exercice des droits] ”.
116. Que des actes préparatoires étaient en cours ou non en vue de l'ouverture d'une
enquête à l'égard de la plaignante au moment où les dérogations contenues dans la loi
du 3 août 2012 ont été invoquées, il convient donc de conclure sur la base de ce qui
précède que le défendeur ne peut actuellement plus invoquer les dérogations
susmentionnées, vu que le délai d'un an après la réception de la demande d'exercice
des droits par la plaignante est écoulé.
32
Cour const. 51/2014, 27 mars 2014, p. 15.
33
Voir le point 8 ci-dessus.
Décision quant au fond 66/2021 - 28/33
117. Lors de l'audition, il est en outre apparu que le défendeur n'a pas informé la plaignante
à propos de cette levée des dérogations invoquées, comme exigé par les articles 11,
11/1, 11/2 et 11/3, § 2 juncto § 3 de la loi du 3 août 2012. Les dispositions précitées
énoncent en effet que "La durée des actes préparatoires, visés au paragraphe 2, alinéa
2, pendant laquelle les articles 13 et 14 du règlement général sur la protection des
données ne sont pas applicables, ne peut excéder un an" et que "Lorsque le Service
public fédéral Finances a fait usage de l'exception telle que déterminée au paragraphe
1er, alinéa 1er, et à l'exception des situations visées aux alinéas 6 et 7 du paragraphe 3 34,
la règle de l'exception est immédiatement levée après la clôture du contrôle ou de
l'enquête. Le délégué à la protection des données du responsable du traitement en
informe la personne concernée sans délai." En l'espèce, le délai d'un an a toutefois déjà
été largement dépassé sans que la plaignante ait été informée de la levée des
dérogations invoquées.
Ceci doit être considéré non seulement comme une violation des dispositions en
question mais aussi comme une violation de l'article 12.2 du RGPD, qui impose au
responsable du traitement l'obligation de faciliter l'exercice des droits des personnes
concernées.
118. La Chambre Contentieuse constate également sur la base des déclarations du
défendeur pendant l'audition que ce dernier ne semble pas disposer d'une procédure
interne permettant d'avoir un aperçu complet de toutes les données à caractère
personnel d'une personne concernée, en l'occurrence la plaignante, qu'il traite. Lors de
l'audition, le défendeur a en effet déclaré que [le défendeur] "comporte de nombreuses
sections différentes" et que "tous les documents rédigés par tous les fonctionnaires
concernés ne peuvent pas être examinés ou indexés afin de vérifier si le nom de la
plaignante ou d'autres données à caractère personnel ont été utilisés". La Chambre
Contentieuse attire toutefois l'attention sur le fait qu'en tant que responsable du
traitement des données à caractère personnel concernées, conformément au principe
de responsabilité, repris aux articles 5.2 et 24 du RGPD, et au principe de la protection
des données dès la conception, repris à l'article 25 du RGPD, le défendeur a l'obligation
de "[mettre en œuvre] des mesures techniques et organisationnelles appropriées, [...]
qui sont destinées à mettre en œuvre les principes relatifs à la protection des données,
par exemple la minimisation des données, de façon effective et à assortir le traitement
des garanties nécessaires afin de répondre aux exigences du présent règlement et de
protéger les droits de la personne concernée" et doit aussi pouvoir le prouver.
34
C.-à-d. lorsqu'un dossier est transmis à un autre service du Service public fédéral Finances ou à l'institution compétente pour
statuer sur les conclusions de l'enquête".
Décision quant au fond 66/2021 - 29/33
Le responsable du traitement doit par conséquent veiller à ce qu'il soit techniquement
possible de réclamer des données à caractère personnel dans tous les systèmes au sein
de son organisation, en particulier lorsqu'elle traite des données à caractère personnel
à grande échelle. La Chambre Contentieuse souligne que ce principe de responsabilité
constitue l'une des pierres angulaires du RGPD et qu'en tant que service public, le
défendeur doit montrer l'exemple au niveau du respect des principes en matière de
protection des données.
119. La Chambre Contentieuse considère, sur la base de ce qui précède, que le défendeur
a commis une violation des articles 11, § 1, 11/1, § 1, 11/2, § 1 et 11/3, § 1 de la loi du 3
août 2012 et donc des articles 12.2 juncto les articles 14, 15, 16 et 18 du RGPD.
Conclusion quant aux violations du défendeur
120. Sur la base de ce qui précède, la Chambre Contentieuse décide que :
- le défendeur n'a pas informé la plaignante à temps - c.-à-d. dans le délai d'un mois - de
la suite qui a été donnée aux demandes d'information, d'accès, de rectification et de
limitation du traitement en vertu des articles 14, 15, 16 et 18 du RGPD qu'elle avait
introduites le 18 juillet 2019 et qu'il a donc commis une violation des articles 12.3 et 12.4
du RGPD ainsi que des articles 11, § 3, 11/1, § 3, 11/2, §3 et 11/3, §3 de la loi du 3 août 2012 ;
et
- en ce qui concerne les demandes susmentionnées qui lui ont été adressées par la
plaignante, le défendeur ne peut plus invoquer les dérogations prévues aux articles 11,
11/1, 11/2 en 11/3 de la loi du 3 août 2012 et qu'il est par conséquent tenu de traiter les
demandes d'exercice des droits par la plaignante, conformément aux articles précités.
À cet égard, le défendeur n'a pas informé la plaignante de la levée des dérogations
invoquées, comme le requièrent les articles 11, 11/1, 11/2 et 11/3, § 2 juncto § 3 de la loi
du 3 août 2012 et a ainsi commis une violation des dispositions susmentionnées ainsi
que de l'article 12.2 du RGPD juncto les articles 14, 15, 16 et 18 du RGPD.
121. La Chambre Contentieuse estime par conséquent approprié d'ordonner au défendeur
de donner suite aux demandes de la plaignante d'exercer ses droits, plus précisément
le droit d'information et d'accès (articles 14 et 15 du RGPD et articles 11 et 11/1 de la loi
du 3 août 2012). La Chambre Contentieuse ordonne au défendeur de donner plus
précisément à la plaignante, conformément aux articles 14.1 et 15.1 du RGPD, au moins :
Décision quant au fond 66/2021 - 30/33
i) des informations sur les données à caractère personnel traitées et plus
précisément les finalités du traitement, les destinataires des données à
caractère personnel en question ainsi que toute information disponible sur la
source des données ;
ii) un accès à tous les courriers et/à toutes les communications où la plaignante
est mentionnée et pour lesquels il n'est plus possible d'invoquer les dérogations
prévues dans la loi du 3 août 2012.
122. En ce qui concerne la demande d'exercice du droit de rectification (article 16 du RGPD
et article 11/2 de la loi du 3 août 2012) par la plaignante, la Chambre Contentieuse
souligne que la qualification de "prête-nom" de la plaignante par le demandeur -
contrairement à ce que ce dernier affirme - doit être considérée comme une donnée à
caractère personnel (voir ci-avant les points 46-65). Cette donnée ne peut par
conséquent pas être soustraite à la protection des données et est également soumise
à la disposition relative aux droits des personnes concernées. 35 La Chambre
Contentieuse attire toutefois l'attention sur le fait que - contrairement par exemple au
nom de la personne concernée - il s'agit d'une information "subjective" car elle
constitue une conclusion ou une qualification par le responsable du traitement. Dans
son arrêt Nowak, la Cour de Justice a souligné, en ce qui concerne ce type de données
à caractère personnel, que la portée des droits doit être évaluée en fonction des
finalités pour lesquelles les finalités ont été traitées et que la législation relative à la
protection des données n'a pas pour but de garantir la justesse d'un processus
décisionnel.
123. Le Groupe de travail Article 29 sur la protection des données a souligné à son tour dans
son Avis 4/2017 que les règles en matière de protection des données tiennent bel et
bien compte de la possibilité que de telles informations subjectives soient incorrectes
et donnent la possibilité à la personne concernée d'accéder à ces données et de les
rectifier. À cet égard, il attire l'attention sur le fait que dans ce cas, la rectification est
possible en ajoutant des commentaires a contrario ou en recourant aux voies de droit
appropriées comme les mécanismes de recours 36.
124. Compte tenu du fait qu'en l'occurrence, les données à caractère personnel en question
sont des informations subjectives concernant la plaignante, dont cette dernière déclare
qu'elles sont erronées et dont la Chambre Contentieuse n'a pas la possibilité de vérifier
l'exactitude et ne peut à cet égard se substituer au défendeur, la Chambre
35
Arrêt Nowak, point 49.
36
Groupe de travail Article 29 sur la protection des données, Avis 4/2007, 20 juin 2007, p. 7.
Décision quant au fond 66/2021 - 31/33
Contentieuse ordonne leur rectification en laissant la plaignante ajouter un
commentaire a contrario dans les dossiers concernés, par lequel cette dernière
indiquera contester l'exactitude de l'information en question. Conformément à l'article
19 du RGPD juncto l'article 16 du RGPD, la Chambre Contentieuse estime également
approprié d'ordonner au défendeur d'informer de cette rectification tout destinataire à
qui les données à caractère personnel concernées ont été fournies. L'application de
l'article 19 découle à cet égard de l'application de l'article 16 du RGPD.
125. La Chambre Contentieuse souligne que le défendeur a en effet l'obligation
en vertu de l'article 5.1 d) du RGPD de veiller à ce que les données à caractère personnel
traitées soient "exactes et, si nécessaire, tenues à jour ;" et à ce que " toutes les
mesures raisonnables [soient] prises pour que les données à caractère personnel
inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou
rectifiées sans tarder ("exactitude")”.
126. Ensuite, outre cette mesure correctrice, la Chambre Contentieuse estime approprié
de prononcer une réprimande, conformément à l'article 58.2 b) du RGPD et à
l'article 100, § 1er, 5° de la LCA. À cet égard, la Chambre Contentieuse tient compte du
fait que le défendeur est un service public qui doit montrer l'exemple au niveau du
respect de la législation en matière de protection des données à caractère personnel et
qui, en tant que service des impôts, traite une grande quantité de données à caractère
personnel. Conformément au principe du "lead by example", celui-ci doit par
conséquent toujours veiller à se conformer à cette législation et en particulier aux
dispositions essentielles susmentionnées du RGPD concernant l'exercice des droits
par les personnes concernées.
Publication de la décision
127. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, conformément à l’article 95, § 1 er, 8° de la LCA, la présente décision est
publiée sur le site Internet de l’Autorité de protection des données en mentionnant les
données d’identification du défendeur, vu l'intérêt public de cette décision d'une part,
et la réidentification inévitable du défendeur en cas de pseudonymisation, d'autre part.
Décision quant au fond 66/2021 - 32/33
PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération :
- de formuler, sur la base de l'article 58.2 b) du RGPD et de l'article 100, § 1 er, 5° de la
LCA, une réprimande à l'égard du défendeur pour les violations des articles 11, 11/1, 11/2
et 11/3 § 2 juncto le § 3 de la loi du 3 août 2012 et des articles 14, 15, 16 et 18 du RGPD
(le défaut d'information de la plaignante concernant la levée des dérogations invoquées
et l'absence de suite aux demandes d'exercice des droits de la personne concernée) ;
- d'ordonner au responsable du traitement, en vertu de l'article 58.2 c) du RGPD et de
l'article 100, § 1er, 6° de la LCA, de se conformer aux demandes de la plaignante
d'exercer ses droits, plus précisément la demande d'information et d'accès (art. 14 et
15 du RGPD), et ce dans le délai d'un mois à compter de la notification de la présente
décision et d'informer la Chambre Contentieuse dans le même délai de la suite réservée
à la présente décision ;
- d'ordonner au défendeur, en vertu de l'article 58.2 c) du RGPD et de l'article 100, § 1er,
6° de la LCA, de se conformer à la demande de la plaignante d'exercer ses droits, plus
précisément son droit de rectification (art. 16 du RGPD), et ce dans le délai d'un mois à
compter de la notification de la présente décision et d'informer la Chambre
Contentieuse dans le même délai de la suite réservée à la présente décision ; La
Chambre ordonne à cet égard au défendeur d'autoriser plus précisément la plaignante
à ajouter un commentaire a contrario aux dossiers visés en ce qui concerne la
qualification de "prête-nom" ; et
- d'ordonner au responsable du traitement, en vertu de l'article 58.2 c) du RGPD et de
l'article 100, § 1er, 10° de la LCA, d'informer tout destinataire à qui les données à
caractère personnel concernées ont été fournies de la rectification susmentionnée
(art. 19 du RGPD juncto l'art. 16 du RGPD), et ce dans le délai d'un mois à compter de la
notification de la présente décision et d'informer la Chambre Contentieuse dans le
même délai de la suite réservée à la présente décision.
Décision quant au fond 66/2021 - 33/33
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours dans un délai
de trente jours, à compter de la notification, à la Cour des marchés, avec l’Autorité de protection
des données en qualité de défenderesse.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse