1/17
Chambre Contentieuse
Décision 68/2026 du 25 mars 2026
Numéro de dossier : DOS-2023-03915
Objet : Plainte relative à la transmission de données à caractère personnel d’une
administration à une autre ainsi qu’à la publication de données relatives au plaignant
dans un avis publié sur Internet
La Chambre Contentieuse de l'Autorité de protection des données (ci-après « APD ») ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après
« LCA » ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, ci-après « le plaignant ».
Les défendeurs : Service public de Wallonie – département de la nature et des forêts, Avenue
Prince de Liège, 15 – B-5100 Namur (Jambes), ci-après « le SPW » ;
Conseil économique, social et environnemental de Wallonie (pôle ruralité), Rue
du Vertbois, 13c – 4000 Liège, inscrit à la BCE sous le numéro 0216.754.517,
ci-après « le CESE » ;
Ci-après ensemble « les défendeurs ».
1
Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023
modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le
01/06/2024. Conformément à l’article 56 de la loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers
de médiation, requêtes, inspections et procédures devant la Chambre Contentieuse initiés à partir de cette date :
https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-des-
donnees.pdf. Les dossiers initiés avant le 01/06/2024 comme en l’espèce sont soumis aux dispositions de la LCA non modifiée
par la Loi du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date.
Décision 68/2026 — 2/17
I. Faits et procédure
1. Le 25 septembre 2023, le plaignant introduit une plainte auprès de l’APD.
2. Le plaignant pratique la chasse. L’un de ses confrères a formé une demande de dérogation
aux mesures de protection des oiseaux pour son propre compte ainsi que de celui du
plaignant et d’autres confrères. Cette demande a été formée auprès du Pôle ruralité –
Section Nature du SPW – Département de la Nature et des Forêts. Ce dernier a ensuite
demandé au CESE de rendre un avis sur cette demande de dérogation. Le CESE a rendu son
avis le 22 juin 2022, et l’a publié sur son site Internet. Plusieurs données à caractère
personnel (nom et prénom notamment) relatives au plaignant – ainsi qu’aux confrères du
plaignant au compte desquels la demande de dérogation a été formée – figurent sur l’avis
publié sur le site Internet du CESE.
3. Le 23 août 2023, le plaignant demande (i) au SPW de lui communiquer la base de licéité pour
la transmission de ses données à caractère personnel au CESE et (ii) au CESE de lui
communiquer la base de licéité pour les traitements de ses données à caractère personnel
dont « notamment et particulièrement leur diffusion sur Internet »2 ainsi que la suppression
des données à caractère personnel relatives à lui-même de l’avis ainsi publié sur son site
Internet.
4. Le 29 septembre 2023, la plainte est déclarée recevable par le Service de Première Ligne
sur la base des articles 58 et 60 de la LCA3 et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA4.
5. Le 1er décembre 2023, le SPW fait suite à la demande d’accès du plaignant, et répond, en
substance, avoir transmis ses données à caractère personnel au CESE conformément à une
obligation légale qui découle de l’article 33, alinéa 4 5 de la Loi du 12 juillet 1973 sur la
conservation de la nature (ci-après « LCN »), et de l’Arrêté du Gouvernement wallon du 20
novembre 2003 relatif à l’octroi de dérogations aux mesures de protection des espèces
animales et végétales, à l’exception des oiseaux et de l’Arrêté du Gouvernement wallon du
27 novembre 2003 fixant des dérogations aux mesures de protection des oiseaux (ci-après
« AGW 2003 »).
6. Le 4 décembre 2023, le CESE répond aux demandes d’accès et d’effacement des données
du plaignant. Le CESE refuse de faire suite à la demande d’effacement des données en vertu
2
Courriel du 23 août 2023 du plaignant aux défendeurs, annexé au formulaire de plainte.
3
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
4
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de
cette plainte, le dossier lui a été transmis.
5
Article 33, alinéa 4 de la LCN : « Le Ministre de l'Agriculture est tenu de demander l'avis de la chambre compétente sur les
mesures envisagées aux articles 2, 3, 4, 6, alinéa 2, 11, alinéa 2, 12, 13, 14, 18, 21, 22, 23, 24, 27, 28, 29, 30, 36, 37, 38, 39 et 41
lorsque ces mesures concernent en particulier la région flamande ou la région wallonne. ».
Décision 68/2026 — 3/17
des points a) et b) du troisième paragraphe de l’article 17 du RGPD. Le CESE allègue en effet,
d’une part, que la détention et la prise en compte des données à caractère personnel du
plaignant obéit à une obligation légale telle qu’elle ressort de l’article 33, alinéa 4 de la LCN
et de l’AGW 2003, et, d’autre part, que la publication de ces données à caractère personnel
répond à un objectif d’intérêt public qui entre dans son intérêt légitime.
7. Le 5 septembre 2024, conformément à son obligation d’information prévue par l’article 95,
§ 2 de la LCA, la Chambre Contentieuse informe les parties de l’existence du présent dossier
ainsi que du contenu de la présente plainte. Elle précise que les défendeurs ont la possibilité
de consulter et de copier le dossier au secrétariat de la Chambre Contentieuse. Les
défendeurs sont également informés du fait qu’ils disposent d’un délai de 14 jours pour
soumettre leurs observations
8. Le 13 septembre 2024, le SPW réagit. Il relève, en synthèse, avoir répondu à la demande du
plaignant (voy. point 5 de la présente décision) en date du 1 er décembre 2023 et partage sa
réponse en annexe. Le 20 septembre 2024, il ajoute que les bases légales qui consacrent
ses obligations légales sont référencées sur son site Internet 6, et que les destinataires des
données à caractère personnel des demandeurs de dérogation aux mesures de protection
des espèces sont référencés sous le titre « Procédure » dans la page consacrée à ces
demandes de dérogation.
9. Le même jour, le CESE réagit lui aussi. Il relève, en synthèse, avoir répondu aux demandes du
plaignant (voy. point 6 de la présente décision) en date du 4 décembre 2023 et partage sa
réponse en annexe. Il ajoute qu’il lui est nécessaire de connaître de plusieurs données à
caractère personnel relatives aux demandeurs et destinataires des demandes de
dérogation dans la reddition de ses avis, étant entendu qu’il tient compte de l’identité des
demandeurs et destinataires de la demande à plusieurs égards. En effet, le CESE peut tenir
compte du fait que ceux-ci ont déjà fait des demandes de dérogation auparavant. Le CESE
vérifie également sur cette base s’il n’y a pas de conflit d’intérêt. Aussi ajoute-t-il que la
publication des données à caractère personnel des demandeurs et destinataires de la
demande de dérogation est nécessaire au regard de ses obligations de publicité en matière
environnementale, et fait référence à une décision de la Commission de recours pour le droit
d'accès à l'information en matière d'environnement (ci-après « CRAIE ») datant de 2012.
Enfin, le CESE relève que depuis 2024, il n’affiche sur ses avis que les données à caractère
personnel relatives à l’identité du demandeur de la dérogation, et non celle de ses
destinataires.
6
Lien communiqué par le SPW : https://www.wallonie.be/fr/demarches/demander-une-derogation-aux-mesures-de-
protection-des-especes.
Décision 68/2026 — 4/17
10. Le 15 janvier 2025, la Chambre Contentieuse invite les parties à conclure conformément aux
articles 95, § 1er, 1°, 98 et 99 de la LCA (ci-après « lettre d’invitation à conclure »).
11. Le 17 février 2025, les défendeurs introduisent une requête en annulation contre la lettre
d’invitation à conclure auprès du greffe de la Cour d’appel de Bruxelles (ci-après « Cour des
marchés »).
12. Le 21 février 2025, la Chambre Contentieuse décide de retirer sa lettre d’invitation à
conclure.
13. Le 18 juin 2025, les défendeurs déposent des conclusions de désistement auprès du greffe
de la Cour des marchés.
14. Le même jour, la Cour des marchés décrète le désistement des défendeurs7.
II. Motivation
15. Le plaignant dénonce le fait que le SPW ait transféré ses données à caractère personnel vers
le CESE. De surcroît, il reproche à ce dernier d’avoir ensuite procédé au traitement de ses
données à caractère personnel, cela consistant notamment en leur publication sur son site
Internet.
16. En outre, le plaignant a (i) exercé son droit d’accès auprès du SPW en date du 23 août 2023,
ce à quoi ce dernier a fait suite le 1er décembre 2023, et (ii) exercé son droit d’accès et son
droit à l’effacement de ses données à caractère personnel auprès du CESE en date du 23
août 2023, ce à quoi ce dernier a répondu le 4 décembre 2023.
17. La Chambre Contentieuse va examiner (i) la question relative au transfert des données à
caractère personnel du plaignant sous le point II.1. de la présente décision, (ii) la question
relative au traitement des données à caractère personnel du plaignant par le CESE sous le
point II.2. de la présente décision, et (iii) la question relative à la manière avec laquelle les
défendeurs ont traité les demandes d’exercice de droits que le plaignant a formulées sous
le point II.3. de la présente décision.
II.1. Quant au transfert des données à caractère personnel
18. Le SPW a transmis les données à caractère personnel du plaignant au CESE, dans le cadre
de la demande d’un avis – cela faisant consécutivement suite à la demande de dérogation
aux mesures de protection des oiseaux soumise pour le compte du plaignant.
7
Cour d’appel de Bruxelles (section Cour des marchés, 19e Ch. A.), 18 juin 2025, 2025/AR/254.
Décision 68/2026 — 5/17
19. L’article 22 de la Constitution prévoit que seule une loi, entendue au sens formel 8, peut
porter ingérence au droit au respect à la vie privée, duquel découle le droit à la protection
des données à caractère, et que le législateur doit y insérer les éléments essentiels, à savoir :
« (1°) la catégorie de données traitées, (2°) la catégorie de personnes concernées, (3°) la
finalité poursuivie par le traitement, (4°) la catégorie de personnes ayant accès aux données
traitées et (5°) le délai maximal de conservation des données »9. L’ingérence doit en effet
être encadrée par une loi suffisamment précise, accessible et prévisible 10.
20. L’article 8 de la Charte des droits fondamentaux de l’Union européenne (« la Charte »)
prévoit que « 1. Toute personne a droit à la protection des données à caractère personnel la
concernant.
2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du
consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu
par la loi. Toute personne a le droit d'accéder aux données collectées la concernant et d'en
obtenir la rectification.
3. Le respect de ces règles est soumis au contrôle d'une autorité indépendante. ».
21. L’article 5.1.a) du RGPD expose que les traitements de données à caractère personnel
doivent être réalisés de « manière licite, loyale et transparente ».
22. L’article 6 du RGPD expose, en son premier paragraphe, six bases de licéité distinctes. L’on
y considère en particulier que le traitement de données à caractère personnel est licite si
celui-ci est « nécessaire au respect d'une obligation légale à laquelle le responsable du
traitement est soumis ». Celle-ci est la base de licéité dont se prévaut le SPW.
23. Aussi, en son troisième paragraphe, l’article 6 du RGPD expose que lorsque le traitement de
données à caractère personnel est fondé dans la loi, alors « Les finalités du traitement sont
définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe
1, point e), sont nécessaires à l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publique dont est investi le responsable du traitement. Cette base
juridique peut contenir des dispositions spécifiques pour adapter l'application des règles
du présent règlement, entre autres: les conditions générales régissant la licéité du
traitement par le responsable du traitement; les types de données qui font l'objet du
traitement; les personnes concernées; les entités auxquelles les données à caractère
personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l'être; la
limitation des finalités; les durées de conservation; et les opérations et procédures de
traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que
8
Loi, décret ou ordonnance.
9
C.C., 26 septembre 2024, n° 97/2024.
10
C.C., 23 avril 2015, n° 44/2015, B.33.3. et B.36.2.
Décision 68/2026 — 6/17
celles prévues dans d'autres situations particulières de traitement comme le prévoit le
chapitre IX. ».
24. L’article 5, § 1er de la LCN11 prévoit que : « Le Gouvernement peut accorder des dérogations
aux mesures de protection des espèces animales et végétales.
Sauf décision contraire du Gouvernement, la dérogation accordée est individuelle,
personnelle et incessible. »
25. L’article 5bis, § 1er de la LCN prévoit que : « La demande de dérogation est introduite auprès
du service de l'administration régionale désigné par le Gouvernement.
Le Gouvernement arrête la forme et le contenu de la demande.
La demande indique, notamment:
1° l'identité du demandeur;
2° les espèces et le nombre de spécimens pour lesquels la dérogation est sollicitée;
3° les motifs de la demande de dérogation et l'action visée par la demande;
4° les dates et lieux où la dérogation doit s'exercer;
5° les moyens, installations ou méthodes employés pour la mise en œuvre de la
dérogation. ».
26. L’article 33, alinéa 4 de la LCN dispose que : « Le Gouvernement est tenu de demander l'avis
du pôle « Ruralité » , section « Nature » sur les mesures envisagées aux articles 5, § 1er, 5 ter,
§ 2, 6, alinéa 2, 11, alinéa 2, 12, 13, 14, 18, 21, 22, 23, 24, 36, 37, 38, 39 et 41, § 1er ».
27. L’article 4 de l’AGW 2003 dispose que : « Lorsque la demande n'est pas complète ou qu'elle
est incorrectement remplie, l'inspecteur général en informe le demandeur dans les 15 jours
de la réception de la demande en sollicitant les renseignements manquants ».
28. Il ressort de ces dispositions que lorsque le SPW est saisi d’une demande de dérogation aux
mesures de protection des oiseaux, il a soit le pouvoir, soit le devoir de faire une demande
d’avis au CESE. Dans le cas d’espèce, la LCN, sur la base de la lecture combinée de ses
articles 5, § 1er, et 33, alinéa 4, imposait au SPW de faire une demande d’avis au CESE.
29. Bien que la loi ne semble pas nécessairement exposer clairement tous les éléments
essentiels du traitement, la Chambre Contentieuse est d’avis, prima facie, qu’ils en
ressortent à tout le moins suffisamment implicitement, et donc de manière suffisamment
prévisible. Le CESE a incontestablement besoin des données contenues dans la demande
d’avis afin de pouvoir rendre son avis. Connaître l’identité du plaignant n’apparaît pas comme
étant excessif vis-à-vis du principe de minimisation des données dès lors que le CESE argue
11
Loi en vigueur entre le 1er juillet 2022 et le 30 juin 2024.
Décision 68/2026 — 7/17
qu’il s’agit d’une information importante dans la reddition de ses avis (afin d’éviter un
éventuel conflit d’intérêts, par exemple). De plus, l’ingérence apparaît comme étant assez
limitée.
30. Par voie de conséquence, la Chambre Contentieuse décide de classer ce grief sans suite
en ce qu’il est manifestement non-fondé (critère A.2 de la politique de classement sans
suite de la Chambre Contentieuse) 12, dès lors que le transfert des données à caractère
personnel du plaignant par le SPW apparaît comme étant organisé par la loi.
II.2. Quant à la publication des données à caractère personnel du plaignant par le CESE
31. Le CESE a publié sur son site Internet l’avis qu’il a rendu dans le cadre de la procédure de
demande de dérogation aux mesures de protection des oiseaux, sans anonymiser ou
pseudonymiser les données à caractère personnel du plaignant. Celles-ci comportaient
notamment le prénom et le nom de ce dernier. Le CESE soutient en effet que les obligations
de transparence et de publicité que la loi lui impose constituent des intérêts légitimes à un
tel traitement de données à caractère personnel.
32. L’article 5, § 1er, point a) du RGPD expose que les traitements de données à caractère
personnel doivent être réalisés de « manière licite, loyale et transparente ».
33. L’article 6 du RGPD expose, en son premier paragraphe, six bases de licéité distinctes. L’on
y considère en particulier, au point f), que le traitement de données à caractère personnel
est licite si celui-ci « est nécessaire aux fins des intérêts légitimes poursuivis par le
responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les
libertés et droits fondamentaux de la personne concernée qui exigent une protection des
données à caractère personnel, notamment lorsque la personne concernée est un enfant. ».
Celle-ci est la base de licéité dont se prévaut le CESE.
34. L’intérêt poursuivi est légitime s’il réunit les trois conditions cumulatives suivantes : (i) test
de finalité ; (ii) test de nécessité, et ; (iii) pondération des intérêts concurrents.
35. L’article D.20.15, § 1er du Code de l’environnement prévoit : « [Qu’]afin de fournir au public
une information claire et objective, les autorités publiques organisent les informations
environnementales en rapport avec leurs fonctions et qu'elles détiennent ou qui sont
détenues pour leur compte, en vue de permettre leur diffusion active et systématique, au
moyen, notamment, des technologies de télécommunication informatique et/ou des
technologies électroniques, lorsqu'elles sont disponibles. ».
12
Politique de classement sans suite de la Chambre Contentieuse, p. 5 :
https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambre-
contentieuse.pdf.
Décision 68/2026 — 8/17
36. L’article D.20.16, § 1er du Code de l’environnement précise les informations minimales que
les autorités publiques doivent mettre à disposition du public tel qu’il suit : « Dans la mesure
utile à l'exercice de leurs fonctions, les autorités publiques mettent au minimum à
disposition du public et diffusent auprès de celui-ci les informations environnementales
suivantes :
a. les textes des traités, conventions et accords internationaux auxquels la Région
wallonne est partie, ainsi que de la législation communautaire, nationale, régionale,
provinciale et locale concernant l'environnement ou s'y rapportant;
b. les politiques, plans et programmes qui ont trait à l'environnement;
c. les rapports sur l'état d'avancement de la mise en œuvre des éléments visés aux
points a. et b. lorsque ces rapports sont élaborés ou conservés sous forme électronique par
les autorités publiques;
d. les rapports sur l'état de l'environnement;
e. les données ou résumés des données recueillies dans le cadre du suivi des activités
ayant ou susceptibles d'avoir des incidences sur l'environnement;
f. les autorisations qui ont un impact significatif sur l'environnement, ainsi que les
accords environnementaux, ou une indication de l'endroit où les informations peuvent être
demandées ou trouvées;
g. les études d'incidences sur l'environnement et les évaluations de risques
concernant les éléments de l'environnement visés à l'article D.11, 5°, a., ou une indication de
l'endroit où les informations peuvent être demandées ou trouvées;
h. les informations concernant l'évolution des meilleures techniques disponibles ainsi
que la publication de tout nouveau document de référence MTD ou de toute révision d'un de
ces documents, conformément à l'article 8bis du décret du 11 mars 1999 relatif au permis
d'environnement;
i. pour les installations et activités déterminées par le Gouvernement, les résultats de
la surveillance des émissions, requis conformément aux conditions du permis et qu'elles
détiennent;
j. les autres informations environnementales déterminées par le Gouvernement. »
37. La Chambre Contentieuse relève que si le CESE se prévaut d’un intérêt légitime dans
l’exercice de ses obligations légales, le second alinéa de l’article 6.1 du RGPD dispose que : «
Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités
publiques dans l'exécution de leurs missions ». Partant, le CESE ne peut pas se prévaloir de
l’article 6.1.f) comme base de licéité au traitement dénoncé, à savoir la publication de l’avis
qu’il a rendu dans le cadre d’une demande de dérogation aux mesures de protection des
Décision 68/2026 — 9/17
oiseaux avec l’identification du nom et du prénom du plaignant. De cette manière, le CESE
échoue à justifier la licéité du traitement litigieux. Il n’est pas nécessaire d’aller plus loin dans
l’analyse.
38. À titre surabondant, la Chambre Contentieuse relève tout de même que l’acte publié par le
CESE est un avis simple. Les avis simples ne lient pas les autorités auxquelles ils sont
destinés, au contraire des avis conformes. Dès lors, l’avis rendu par le CESE n’indique pas
nécessairement si la dérogation aux mesures de protection des oiseaux sera effectivement
accordée au demandeur et aux destinataires de la demande dès lors que ce pouvoir revient
au SPW. De surcroît, quand bien même la dérogation était en effet accordée au demandeur
et aux destinataires de celle-ci, le SPW pourrait y attacher des modalités différentes que
celles demandées initialement – comme une durée de validité plus courte, par exemple.
L’intérêt pour le public de prendre connaissance de l’identité du plaignant apparaît dès lors
comme étant limité.
39. De plus, le CESE n’exprime pas en quoi l’ingérence portée à la vie privée et au droit à la
protection des données à caractère personnel était ici légitime, nécessaire ou encore
proportionné.
40. Aussi, la Chambre Contentieuse relève que l’ingérence portée aux droits et libertés du
plaignant est assez importante, dès lors que son identité et sa qualité de chasseur sont
portées à la connaissance du public. Révéler d’une personne qu’elle pratique la chasse peut
emporter certaines conséquences négatives. Il s’agit en effet d’une activité controversée
dans l’opinion publique. De surcroît, elle révèle la possession d’armes à feu.
41. La Chambre Contentieuse ajoute encore que la transparence administrative, que ce soit
dans sa dimension active ou passive, constitue une obligation légale et non pas un intérêt
dans le chef des autorités publiques.
42. En tous les cas, la Chambre Contentieuse constate que si les dispositions décrétales
précitées (voy. points 35-36) imposent en effet au CESE un devoir de transparence à l’égard
du public, ces dispositions ne mentionnent toutefois nullement la publication des nom et
prénom des demandeurs et destinataires des demandes de dérogation aux mesures de
protection des oiseaux.
43. Par voie de conséquence, la Chambre Contentieuse considère que le traitement de
données à caractère personnel ne pouvait pas, prima facie, reposer sur l’intérêt légitime du
CESE, et que de cette manière ce dernier a échoué à démontrer la licéité du traitement
litigieux.
44. Le CESE précise que sa pratique a changé, et que, désormais, il ne conserve plus que le nom
et le prénom du demandeur de la dérogation lors de la publication de ses avis sur son site
Décision 68/2026 — 10/17
Internet, et non plus ceux des destinataires de la demande. Néanmoins, cela ne change rien
à l’analyse précédente.
II.3. Quant à l’exercice des droits du plaignant
45. Le plaignant a (i) exercé son droit d’accès auprès du SPW en date du 23 août 2023, ce à quoi
ce dernier a fait suite le 1er décembre 2023, et (ii) exercé son droit d’accès et son droit à
l’effacement de ses données à caractère personnel auprès du CESE en date du 23 août
2023, ce à quoi ce dernier a répondu le 4 décembre 2023.
46. Le droit d’accès a trois composantes. Premièrement, aux termes de l’article 15.1 du RPGD,
la personne concernée a le droit d’obtenir du responsable de traitement la confirmation que
des données à caractère personnel la concernant sont ou ne sont pas traitées.
Deuxièmement, lorsqu’il y a un traitement de données à caractère personnel, la personne
concernée a le droit d’obtenir l’accès auxdites données à caractère personnel ainsi qu’à une
série d’informations listées à l’article 15.1. a) – h). Troisièmement, aux termes de l’article 15.3
du RGPD, la personne concernée a en outre le droit d’obtenir une copie des données à
caractère personnel qui font l’objet du traitement.
47. Le droit à l’effacement prévoit, d’une part, que la personne concernée a le droit d’obtenir du
responsable de traitement l’effacement des données à caractère personnel la concernant,
et, d’autre part, que le responsable du traitement a l’obligation de procéder à l’effacement
de ces données, lorsque l’un des six motifs 13 listés au premier paragraphe de l’article 17 du
RGPD s’applique.
48. Le troisième paragraphe de l’article 17 du RGPD prévoit les cinq exceptions suivantes :
« 3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est
nécessaire:
a) à l'exercice du droit à la liberté d'expression et d'information;
b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de
l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou
13
Article 17, § 1er du RGPD : « a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour
lesquelles elles ont été collectées ou traitées d'une autre manière;
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1,
point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement;
c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime
impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2;
d) les données à caractère personnel ont fait l'objet d'un traitement illicite;
e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de
l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis;
f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée
à l'article 8, paragraphe 1. »
Décision 68/2026 — 11/17
pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique
dont est investi le responsable du traitement;
c) pour des motifs d'intérêt public dans le domaine de la santé publique, conformément à
l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3;
d) à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou
historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la
mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de
compromettre gravement la réalisation des objectifs dudit traitement; ou
e) à la constatation, à l'exercice ou à la défense de droits en justice. »
49. Les modalités de ces droits sont prévues à l’article 12 du RGPD. En particulier, l’attention doit
ici se porter sur son troisième paragraphe qui dispose que « Le responsable du traitement
fournit à la personne concernée des informations sur les mesures prises à la suite d'une
demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout
état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin,
ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de
demandes. Le responsable du traitement informe la personne concernée de cette
prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la
demande. […] », et sur son quatrième paragraphe qui dispose que « Si le responsable du
traitement ne donne pas suite à la demande formulée par la personne concernée, il informe
celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la
demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès
d'une autorité de contrôle et de former un recours juridictionnel. ».
(i) Concernant le SPW
50. Le plaignant a exercé son droit d’accès en date du 23 août 2023, mais le SPW n’y a fait suite
que le 1er décembre 2023. Le SPW n’avait pas sollicité la prolongation de son délai de
réponse tel que le permet l’article 12.3 du RGPD.
51. Par conséquent, il convient de constater que le SPW pourrait avoir manqué au respect des
articles 12.3 et 15 du RGPD en faisant suite à la demande d’accès du plaignant d’une
manière trop tardive.
(ii) Concernant le CESE
52. Le plaignant a exercé son droit d’accès et son droit à l’effacement en date du 23 août 2023,
mais le CESE n’y a fait suite que le 1er décembre 2023. Le CESE n’avait pas sollicité la
prolongation de son délai de réponse tel que le permet l’article 12.3 du RGPD.
Décision 68/2026 — 12/17
53. La réponse que le CESE a octroyée à la demande d’accès du plaignant ne nécessite pas
d’attention particulière, autre que le fait qu’elle était tardive. Il en va autrement de la réponse
octroyée à la demande d’effacement.
54. Le CESE refuse de procéder à l’effacement des données à caractère personnel de l’avis qu’il
a publié sur son site Internet étant entendu qu’il considère que cela est nécessaire à
l’exercice de son droit à la liberté d’expression et d’information, ainsi qu’au respect des
obligations que la loi lui impose.
55. Tout d’abord, il convient de constater que les motifs du refus ont été exposés au plaignant
au-delà du délai prescrit par l’article 12.4 du RGPD, qui est d’un mois non-prolongeable.
56. Concernant le refus d’effacer les données à caractère personnel tel que demandé par le
plaignant, la Chambre Contentieuse considère, prima facie, que le CESE ne peut se prévaloir
d’aucune des deux exceptions qu’il invoque pour les motifs développés aux points 37 à 43
de la présente décision, ainsi que du fait que le CESE échoue à justifier la licéité du traitement
des données à caractère personnel dont le plaignant demande l’effacement.
57. De plus, le droit à la liberté d’expression et à la liberté d’information est un droit fondamental
établi dans l’article 11 de la Charte, dont les États sont tenus de garantir le respect. Les États
ont en effet, à ce titre, des obligations positives et négatives à l’égard de leurs citoyens, sur
lesquels ils exercent leur autorité. Un État ne peut en principe se prévaloir d’un droit
fondamental, tel le droit à la liberté d’expression et à la liberté d’information, dès lors que
celui-ci présuppose, pour être exercé de manière réelle et efficace, que l’État, non seulement
s’abstienne de toute ingérence à cet égard, mais adopte également des « mesures positives
de protection jusque dans les relations des individus entre eux […] »14. Par conséquent, il doit
être conclu qu’une autorité publique ne peut pas mobiliser l’exception visée à l’article 17.3.a)
du RGPD.
58. Ce raisonnement est appuyé par la manière avec laquelle le RGPD a été conçu. Il convient de
lire l’article 17.3 du RGPD à la lumière des principes du RGPD, et plus spécifiquement du
principe de licéité. La possibilité d’invoquer l’une des exceptions listées à l’article 17.3 du
RGPD présuppose que les données à caractère personnel soient traitées de manière licite.
Dans l’exercice de ses pouvoirs, une autorité publique ne peut, en principe, opérer des
traitements de données à caractère personnel que dans le cadre de ses obligations légales
ou de ses missions d’intérêt public. L’ordre constitutionnel belge exige en effet des autorités
publiques qu’elles n’agissent que dans le cadre des compétences qui leur ont été attribuées
et qui ont été adoptées « par une assemblée délibérante, démocratiquement élue »15.
14
Cour eur. dr. h., Özgür Gündem c. Turquie, 16 mars 2000, point 43.
15
S.L.C.E., avis 74.998/4 du 24 janvier 2024 sur un projet d’arrêté royal relatif aux aéronefs ultralégers motorisés.
Décision 68/2026 — 13/17
59. Dès lors, l’exception visée au point a) de l’article 17.3 du RGPD ne saurait être mobilisée par
une autorité publique, a fortiori lorsque celle-ci ne fonde pas la licéité du traitement de
données à caractère personnel sur le point c) ou e) de l’article 6.1 du RGPD. Admettre
l’inverse reviendrait à conclure qu’une autorité publique pourrait refuser d’effacer les
données à caractère personnel d’une personne concernée qu’elle traite illicitement.
60. En tout état de cause, la Chambre Contentieuse relève que le CESE ne se limite qu’à invoquer
la liberté d’expression et à l’information de manière abstraite, sans la poser en termes précis,
de sorte qu’il n’est pas possible pour la Chambre Contentieuse de saisir l’intérêt poursuivi
par le CESE. De même, le CESE évoque son devoir de publicité active, mais n’exprime pas en
quoi la publication d’un avis simple comprenant les données à caractère personnel du
plaignant est nécessaire à l’accomplissement de cette obligation légale – d’autant plus que
le décret n’impose pas spécifiquement une telle mesure (voy. points 35-36 et 42).
61. Par conséquent, il convient de constater que, prima facie, le CESE pourrait avoir manqué
au respect des articles 12.3 et 15 du RGPD en faisant suite à la demande d’accès du
plaignant d’une manière trop tardive, et qu’il pourrait également avoir manqué au respect
des articles 12.4 et 17 du RGPD en refusant de faire suite à la demande d’effacement du
plaignant sur le fondement de motifs incorrects, et que ces motifs de refus ont été exposés
en tous les cas tardivement.
III. Mesures correctrices et sanctions
62. Aux termes de l’article 95, § 1er de la LCA, la Chambre Contentieuse peut :
1° décider que le dossier peut être traité sur le fond;
2° proposer une transaction;
3° classer la plainte sans suite;
4° formuler des avertissements;
5° d'ordonner de se conformer aux demandes de la personne concernée d'exercer ces
droits;
6° d'ordonner que l'intéressé soit informé du problème de sécurité;
7° de transmettre le dossier au parquet du procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier;
8° de décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données.
63. Conformément à l'article 95, § 1er, 4° de la LCA et à l'article 58.2.a) du RGPD, la Chambre
Contentieuse a le pouvoir d’avertir un responsable du traitement ou un sous-traitant du fait
Décision 68/2026 — 14/17
que les opérations de traitement envisagées sont susceptibles de violer les dispositions du
RGPD.
64. En synthèse, la Chambre Contentieuse relève (i) que le SPW pourrait avoir manqué au
respect des articles 12.3 et 15 du RGPD en ayant fait suite tardivement à la demande
d’accès du plaignant, et, (ii) que le CESE pourrait avoir manqué au respect des articles 5.1.a)
et 6.1 du RGPD en ayant traité illicitement les données à caractère personnel du plaignant,
des articles 12.3 et 15 du RGPD en ayant fait suite tardivement à la demande d’accès du
plaignant, et des articles 12.4 et 17 du RGPD en ayant refusé de faire suite à la demande
d’effacement du plaignant sans motif valable, et que les motifs de refus ont été exposés
tardivement. Cela justifie, en l’espèce, l’adoption d’un avertissement afin que le SPW et le
CESE veillent, l’un et l’autre, à traiter de manière licite les données à caractère personnel des
citoyens mais également à répondre à leurs demandes formulées sur base des articles 15 à
22 du RGPD dans les modalités prévues par le RGPD. Cela justifie en outre d’ordonner au
CESE de faire suite à la demande d’effacement du plaignant dès lors que son refus se fonde
sur des motifs invoqués à tort, et qu’en tous les cas il échoue à démontrer la licéité du
traitement des données à caractère personnel dont le plaignant demande l’effacement.
65. La présente décision d’avertissement a pour but de rappeler au SPW et au CESE, présumés
responsables du traitement, quant à leur obligation de respecter les dispositions précitées
du RGPD, afin de leur permettre de se conformer, à l’avenir, à ces dispositions dans le cadre
des opérations de traitement en cause dans la présente affaire.
66. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant/la
plaignante, dans le cadre de la « procédure préalable à la décision de fond »16 et pas une
décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
67. Si l’un des défendeurs n’est pas d’accord avec le contenu de la présente décision prima facie
et estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient conduire à
une nouvelle décision, il peut demander un réexamen à la Chambre Contentieuse selon la
procédure établie par les articles 98 et 99 de la LCA, connue sous le nom de « procédure
quant au fond » ou « traitement de l’affaire sur le fond ». Cette demande doit être envoyé à
l’adresse e-mail [email protected] dans le délai de 30 jours suivant la
notification de la présente décision prima facie. Le cas échéant, l’exécution de la présente
décision est suspendue pendant la période susmentionnée.
68. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3° et
de l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
16
Section 3, Sous-section 2 de la LCA (articles 94 à 97 inclus).
Décision 68/2026 — 15/17
conclusions et à joindre au dossier toutes les pièces qu'elles jugent utiles. Le cas échéant, la
présente décision est définitivement suspendue.
69. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un
traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à
l’article 100 de la LCA17.
IV. Publication de la décision
70. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données.
71. En l’espèce, la Chambre Contentieuse décide de publier la présente décision identification
directe des défendeurs. Cela poursuit plusieurs objectifs.
72. En premier lieu, cela poursuit un objectif d’intérêt général. Le SPW et le CESE sont des
autorités publiques. Ils traitent des données à caractère personnel des citoyens, ce qui peut
entraîner un certain impact dans leurs droits et libertés.
73. En outre, l’identification SPW et du CESE est également nécessaire à la bonne
compréhension de la décision, et donc à la matérialisation de l’objectif de transparence
poursuivi par la politique de publication des décisions de la Chambre Contentieuse.
74. Enfin, cela est nécessaire au regard du droit des tiers d'introduire un recours contre les
décisions de la Chambre Contentieuse en vertu de l'article 108, § 3 de la LCA. Il ne s'agit donc
pas seulement des intérêts des parties à la présente procédure, mais aussi de l'intérêt
général et des droits des tiers qui pourraient subir un préjudice personnel, direct, certain,
actuel et légitime du fait de la présente décision. La Chambre Contentieuse souligne que les
défendeurs traitent un grand nombre de données à caractère personnel, ce qui a pour
17
Art. 100. § 1er. La chambre contentieuse a le pouvoir de
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des
données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 68/2026 — 16/17
conséquence qu'un grand nombre de personnes pourraient avoir le droit de former un
recours contre la présente décision.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de
l’introduction d’une demande par l’un des défendeurs d’un traitement sur le fond
conformément aux articles 98 e.s. de la LCA :
- En vertu de l’article 58.2.a) du RGPD et de l’article 95, § 1er, 4° de la LCA, de
prononcer un avertissement au SPW afin qu’à l’avenir il puisse veiller au respect des
articles 12.3 et 15 du RGPD, en ce sens que le responsable du traitement réponde
aux demandes fondées sur l’article 15 du RGPD dans le respect des modalités dudit
Règlement ;
- En vertu de l’article 58.2.a) du RGPD et de l’article 95, § 1er, 4° de la LCA, de
prononcer un avertissement au CESE afin qu’à l’avenir il puisse veiller au respect
des articles 5.1.a) et 6.1 du RGPD et des articles 12.3 et 15 du RGPD ;
- en vertu de l’article 58.2.c) du RGPD et de l’article 95, § 1er, 5° de la LCA,
d’ordonner au CESE de se conformer à la demande de la personne d’exercer ses
droits, et ce dans le délai de 30 jours à dater de la notification de la présente
décision, et ;
- d'ordonner au CESE d'informer par e-mail l'Autorité de protection des données
(Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le même
délai, via l'adresse e-mail [email protected].
La Chambre Contentieuse rappelle que si l’un des défendeurs n’est pas d’accord avec le contenu
de la présente décision prima facie et estime qu’il peut faire valoir des arguments factuels et/ou
juridiques qui pourraient conduire à une autre décision, il peut, d’une part, adresser à la Chambre
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans le délai de 30 jours après la notification de la présente
décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
Et, d’autre part, il peut introduire un recours contre cette décision conformément à l'article 108, § 1
de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour des Marchés
(cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
Décision 68/2026 — 17/17
informations énumérées à l'article 1034ter18 du Code judiciaire. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.19, ou
via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(Sé). Hielke HIJMANS
Directeur de la Chambre Contentieuse
18
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
19
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.