1/7
Chambre Contentieuse
Décision 71/2025 du 22 avril 2025
Numéro de dossier : DOS-2024-04065
Objet : plainte concernant la création obligatoire d'un compte client
La Chambre Contentieuse de l’Autorité de protection des données, constituée de monsieur Hielke
HIJMANS, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après «RGPD»,
Vu la loi du 3 décembre 2017 portant création de l’Autorité de protection des données, telle que
modifiée par la loi du 25 décembre 2023, ci-après « LCA »1;
Vu le règlement d’ordre intérieur de l’Autorité de protection des données, telles qu’approuvé par le
Comité de direction le 25 avril 2024 et publié au Moniteur belge le 31 mai 2024;
Vu les pièces du dossier;
A pris la décision suivante concernant:
Le plaignant: X, ci-après «le plaignant»
La partie défenderesse : Y, ci-après la « défenderesse »
1
L’Autorité de protection des données tient à rappeler que la nouvelle loi sur la protection des données, ainsi que le nouveau
règlement d’ordre intérieur, sont entrés en vigueur le 1er juin 2024. Les nouvelles dispositions s'appliquent aux plaintes, aux
médiations, aux demandes, aux inspections et aux procédures devant la Chambre Contentieuse engagées à partir de cette
date. Les affaires ouvertes avant le 1er juin 2024 sont soumises aux dispositions de la loi avant sa modification par la loi du 25
décembre 2023, ainsi qu’aux règles du règlement d’ordre intérieur qu’elles existaient avant cette date.
Décision 71/2025 — 2/7
I. Faits et procédure
1. Le 29 août 2024, une plainte a été communiquée à l’Autorité de protection des données
belge (ci-après l’«APD») par le Finnish Office of the Data protection Ombudsman
(Tietosuojavaltuutetun toimisto Dataombudsmannens byrå) 2, conformément à la
procédure de coopération visée à l’article 60 du RGPD, après quoi l’APD a accepté son rôle
d’autorité de contrôle chef de file le 15 octobre 2024.
2. L’objet de la plainte concerne la création obligatoire d’un compte sur le site web de la
défenderesse avant de pouvoir déposer une plainte concernant son service.
3. Dans sa plainte, le plaignant dénonce le fait que, lorsqu'il souhaite déposer une plainte
concernant les services de la défenderesse, il est tenu de créer un compte client. Le
plaignant affirme que, lorsqu’il a tenté de contacter la défenderesse par courrier
électronique, il a été obligé de créer un compte client pour l’envoi d’un courrier électronique.
Le plaignant est d'avis que l'obligation de créer un compte ne saurait être imposée comme
condition préalable au dépôt d'une plainte.
4. Au cours de la phase d’examen préliminaire, l’autorité finlandaise a envoyé à la
défenderesse un total de cinq questions, auxquelles cette dernière a répondu le 1er juillet
2024.
5. Le 12 novembre 2024, la Chambre Contentieuse a informé les parties, conformément à
l’article 95, §2 de la LCA, du fait qu’un dossier est pendant, du contenu de la plainte et de la
possibilité de consulter et de copier le dossier auprès du greffe de la Chambre
Contentieuse. Par cette notification, les parties ont été invitées à transmettre leurs
éventuelles remarques à cet égard à la Chambre Contentieuse.
6. À sa demande, la défenderesse a reçu une copie du dossier le 4 décembre 2024. Le 18
décembre 2024, la Chambre Contentieuse reçoit des remarques de la défenderesse sur
l’affaire. La défenderesse explique qu’elle offre la possibilité de déposer une plainte sans
utilisation de compte client, à savoir par l’intermédiaire de différents numéros de téléphone,
des réseaux sociaux, de lettres postales et de guichets clients. La défenderesse fait donc
valoir qu’aucune violation du RGPD n’a eu lieu.
7. Conformément à l’article 60.3. du RGPD, le projet de décision a été placé sur la plateforme
IMI le 16 janvier 2025.
8. Le 11 mars 2025, un projet de décision révisé a été placé sur la plateforme IMI, dans lequel
l’APD a tenu compte des observations formulées par les autorités de contrôle finlandaises
et hongroises conformément à l’article 60.4. et 60.5. du RGPD.
2
Ci-après « l’autorité finlandaise »
Décision 71/2025 — 3/7
9. Compte tenu des observations formulées sur le projet de décision révisé, l’APD souhaite
préciser que, bien que l’autorité de contrôle finlandaise ait suggéré une réprimande au titre
de l’article 58.2. b) du RGPD, la Chambre Contentieuse note qu’une telle sanction ne peut
être imposée que dans le cadre d’une procédure «quant au fond» conformément à la
législation nationale.3 L’APD a décidé que les infractions potentielles commises par la
défenderesse ne sont pas de nature à justifier une procédure « quant au fond ». Par
conséquent, l’APD a décidé d’émettre un avertissement conformément à l’article 58.2. a)
du RGPD, conformément à sa «procédure light» nationale.4
10. Enfin, cette décision constitue une action en vertu de l'article 60.7. du RGPD.
11. Conformément à l'article 95 § 2, 3° de la LCA, ainsi qu'à l'article 47 du règlement d’ordre
intérieur, les parties peuvent demander une copie du dossier. Si l’une des parties souhaite
faire usage de la possibilité de consulter et de copier le dossier, elle doit contacter le greffe
de la Chambre Contentieuse, de préférence à l’adresse suivante: litigationchamber@apd-
gba.be.
II. Motivation
12. La Chambre Contentieuse rappelle que l’article 25 du RGPD dispose que les responsables
du traitement doivent tenir compte des principes de protection des données, tant au
moment de la détermination des moyens du traitement qu’au moment du traitement lui-
même (data protection by ‘design’ and by ‘default’). Comme indiqué dans les lignes
directrices pertinentes de l’EDPB5, les responsables du traitement des données doivent
concevoir et créer des services qui garantissent la mise en œuvre effective des principes
de protection des données tels que la licéité du traitement, la transparence, la minimisation
ou l’intégrité et la confidentialité des données, lorsqu’ils planifient un processus et
continuellement tout au long du traitement.
13. En ce qui concerne le principe de minimisation énoncé à l'article 5.1. c) du RGPD, cela
signifie que seules les données à caractère personnel adéquates, pertinentes et limitées à
ce qui est nécessaire à la finalité seront traitées. Il semble à la Chambre Contentieuse
qu’une option de «guest account» serait plus conforme, plutôt que la création obligatoire
d’un compte d’utilisateur qui nécessite le traitement d’un mot de passe, et conduit à la
collecte de plus de données que nécessaire aux fins poursuivies, qui est, en l’espèce, de
traiter de manière adéquate une plainte d’un client.
14. Conformément à l'article 25 du RGPD lu conjointement avec l'article 5.1. c) du RGPD, la
Chambre Contentieuse est d'avis que la possibilité d'introduire une réclamation en cas
3
Art. 100, §1, 5° LCA
4
Art. 95, § 1, 4° LCA
5
Guidelines 4/2019 on Article 25 Data Protection by Design and by Default.
Décision 71/2025 — 4/7
d'insatisfaction d'un client doit également être prévue sans création obligatoire d'un
compte client en ligne.
15. Dans sa lettre du 1er juillet 2024, la défenderesse explique que «when you file a complaint
via Y.com website the sender must have a Y ID [username/password] ». Cependant, la
défenderesse affirme que personne n'est obligé de créer un nom d'utilisateur ou un mot de
passe puisqu’il est possible de déposer une plainte par téléphone. Selon la défenderesse, le
dépôt d’une plainte par téléphone peut se faire au moyen de trois numéros de téléphone
différents: un pour le service à la clientèle, un pour le support technique et un pour les
demandes de renseignements sur la facturation. En outre, dans ses observations du 18
décembre 2024, la défenderesse explique qu’elle offre aux clients la possibilité de déposer
une plainte via les réseaux sociaux, une lettre postale ou à un guichet client, et qu’aucune
création de compte n’est requise pour ces solutions.
16. À la suite de recherches informelles, la Chambre Contentieuse a constaté que le site web
finlandais géo-ciblé de la défenderesse donnait les informations suivantes sur la manière
de déposer une plainte: «Have a problem with a parcel ? Sign in to you Y.com profile, provide
us with the details and track the process as we put all hands on deck to investigate your
claim to see how we can make things right. » 6 Dans une vidéo sur la page «file a claim» de la
défenderesse qui explique comment déposer une plainte, on peut entendre: «It’s easy to
file a claim: start by logging in to your Y account ».7
17. À la lumière de ces constatations, la Chambre Contentieuse souligne qu’il est déraisonnable
de s’attendre à ce que les clients sachent qu’ils peuvent déposer une plainte par téléphone
ou par d’autres moyens, en particulier lorsque le site web de la défenderesse contient une
page consacrée aux réclamations qui indique clairement qu’un compte d’utilisateur est
nécessaire pour déposer une plainte. La Chambre Contentieuse estime que, bien que le
plaignant aurait théoriquement pu déposer une plainte par d’autres voies sans créer de
compte, une telle attente est injustifiée compte tenu des indications claires figurant sur le
site web de la défenderesse.
18. Par souci de clarté, la Chambre Contentieuse sait que la défenderesse utilise un site web
géo-ciblé, ce qui signifie que le contenu, la langue, la valeur ou d'autres éléments du site
web peuvent varier en fonction de l'endroit d'où le visiteur obtient l'accès. À cette fin, elle
est conscient que certaines versions géolocalisées offrent en effet la possibilité de déposer
une plainte via un compte invité. Toutefois, en l’espèce, le plaignant a obtenu l’accès par
l’intermédiaire de la version finlandaise du site web, qui ne prévoyait pas une telle possibilité
au moment où la plainte a été déposée auprès de l’autorité de contrôle finlandaise.
6
Tel qu’affiché sur le site web finlandais géo-ciblé de la défenderesse consulté le 17 octobre 2024
7
Tel qu’affiché sur le site web finlandais géo-ciblé de la défenderesse consulté le 11 mars 2025
Décision 71/2025 — 5/7
19. À la lumière de ces éléments, la Chambre Contentieuse est d'avis que la défenderesse peut
avoir violé l'article 25 du RGPD lu conjointement avec l'article 5.1. c) du RGPD, en exigeant
de facto du plaignant qu'il crée un compte client afin de déposer une plainte.
20. À la suite d’une recherche effectuée le 13 janvier 2024, la Chambre Contentieuse note
toutefois que la possibilité de déposer une plainte en tant que ‘guest’ a été ajoutée à
l’extension finlandaise du site web de la défenderesse. 8 La Chambre Contentieuse est
d’avis qu’en prenant ces mesures, la défenderesse a mis ses pratiques en conformité avec
le RGPD et a pleinement répondu aux préoccupations du plaignant. La Chambre
Contentieuse en tiendra donc compte dans son appréciation.
21. La Chambre Contentieuse conclut que la défenderesse a pu violer les dispositions du
RGPD, ce qui justifie de prendre une décision sur la base de l’article 95, §1 de la LCA. À la
lumière des mesures prises par la défenderesse, notamment l’introduction de la possibilité
de déposer une plainte en tant qu’invité temporaire, la Chambre Contentieuse a décidé de
formuler un avertissement à l’encontre de la défenderesse. Plus précisément, la Chambre
Contentieuse avertit la défenderesse qu’elle a pu violer l’article 25 du RGPD, lu
conjointement avec l’article 5.1. c) du RGPD, en n’offrant de facto pas au plaignant la
possibilité de déposer une plainte sans créer un compte en ligne.
22. La présente décision est une décision prima facie prise par la Chambre Contentieuse
conformément à l’article 95 de la LCA sur base de la plainte introduite par le plaignant, dans
le cadre de la « procédure préalable à la décision sur le fond » 9 et non une décision sur le
fond de la Chambre Contentieuse au sens de l'article 100 de la LCA.
23. La présente décision a pour objet d’informer la défenderesse du fait que celle-ci pourrait
avoir commis une violation des disposition du RGPD et de lui permettre d’encore se
conformer aux dispositions précitées.
24. Toutefois, si le défendeur n’est pas d’accord avec le contenu de la présente décision prima
facie et estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient
conduire à une nouvelle décision, elle peut demander un réexamen à la Chambre
Contentieuse selon la procédure établie par l’article 98 juncto l’article 99 de la LCA, connue
sous le nom de ‘procédure quant au fond’ ou ‘traitement de l’affaire sur le fond’. Cette
demande doit être envoyée à l’adresse e-mail [email protected] dans un délai
de 30 jours à compter de la notification de la présente décision prima facie. Le cas échéant,
l’exécution de la présente décision est suspendue pendant la période susmentionnée.
25. En cas de poursuite du traitement de l’affaire sur le fond, en vertu de l’article 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs
8
«File a claim as a guest», tel qu’affiché sur le site web finlandais géo-ciblé de la défenderesse, consulté le 11 mars 2025
9
Section 3, sous-section 2 de la LCA (articles 94 à 97 inclus).
Décision 71/2025 — 7/7
Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail
[email protected], et ce dans un délai de 30 jours à compter de la notification de la
présente décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la
période susmentionnée.
D’autre part, la défenderesse peut introduire un recours contre cette décision conformément à
l'article 108, § 1er de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour
des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie
défenderesse. Un tel recours peut être introduit au moyen d'une requête contradictoire qui doit
contenir les mentions énumérées à l'article 1034ter du Code judiciaire11. La requête contradictoire
doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du
Code judiciaire12, ou via le système informatique e-Deposit de la Justice (art. 32ter du Code
judiciaire).
(Sé). Hielke HIJMANS
Président de la Chambre Contentieuse
11
"La requête contient à peine de nullité :
1° l'indication des jour, mois et an ;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national
ou numéro d'entreprise ;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer ;
4° l'objet et l'exposé sommaire des moyens de la demande ;
5° l'indication du juge qui est saisi de la demande ;
6° la signature du requérant ou de son avocat."
12
"La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe."