1/14
Chambre Contentieuse
Décision quant au fond 72/2020 du 09 Novembre
2020
N° de dossier : DOS-2018-02075
Objet : Plainte Contre un hôpital (traitement de données relatives à l’appartenance
syndicale)
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président et de Messieurs Yves Poullet et Christophe Boeraeve, membres ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après RGPD ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après LCA);
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
- le plaignant : Monsieur X
- le défendeur : Hôpital Y
Décision quant au fond 72/2020 - 2/14
1. Faits et procédure
1. Le 6 mai 2018, le plaignant envoie un courriel à l’Autorité de protection des données (APD)
demandant un avis concernant un traitement de données effectué par son employeur, qu’il identifie
alors comme une institution hospitalière, implantée en Région wallonne.
2. Selon son courriel, le plaignant est représentant syndical pour le syndicat A dans l’institution
hospitalière en question. Il sollicite l’avis de l’APD au sujet du prélèvement direct par l’employeur, sur
leur salaire de la cotisation syndicale des affiliés au syndicat B.
3. Le plaignant pose la question de la légalité d’une telle pratique au regard du RGPD. Il indique
également que ce prélèvement se ferait dans des conditions floues et non-respectueuses de la volonté
des travailleurs, ainsi que de la confidentialité de leurs données. Il ajoute que le traitement des
données syndicales entraînerait des discriminations entre employés sur base de l’appartenance
syndicale. Il s’interroge de manière générale sur l’intérêt qu’aurait un employeur à collecter des
données sur l’appartenance syndicale de ses employés.
4. Après des échanges de courriers, le plaignant introduit une plainte auprès de l’APD le 28 août 2020,
pour les faits évoqués dans les différents échanges de courriers. L’employeur du plaignant, qui est
également le responsable de traitement, est identifié comme étant l’hôpital Y.
5. Le 12 septembre 2018, la plainte est déclarée recevable par le Président de l’APD. La recevabilité
est confirmée au plaignant par courrier daté du 4 octobre 2018. Lors de la séance n°2 du 23 octobre
2018, la Chambre Contentieuse décide de demander une enquête au Service d’inspection. La demande
d’enquête est transmise au Service d’inspection le 29 octobre 2018. Le plaignant en est informé le
même jour par courrier.
6. Le Service d’inspection contacte le plaignant par courrier daté du 05 mars 2019. Dans ce courrier,
le Service d’inspection demande si le plaignant peut lui communiquer les données de contact du
délégué à la protection des données du responsable de traitement, du niveau le plus élevé de la
Direction de l’hôpital Y et du niveau le plus élevé de la hiérarchie des ressources humaines. Par une
série de questions, le Service d’inspection sollicite également du plaignant tout type de documents
pouvant étayer le contenu de sa plainte. Un courriel de rappel est envoyé au plaignant par le Service
d’inspection le 4 juin 2019.
7. Le 12 juin, le plaignant répond au Service d’inspection par courriel. Il explique que l’hôpital Y a pris
la décision de mettre fin au système de prélèvement sur salaire des cotisations syndicales des affiliés
au syndicat B. Une première date d’interruption définitive avait été établie au 31 mars 2019, avant
Décision quant au fond 72/2020 - 3/14
d’être postposée au 30 juin 2019. Le plaignant confirme par ailleurs les données que le Service
d’inspection lui demandait de bien vouloir vérifier.
8. Le 19 juin 2019, le Service d’inspection adresse une lettre au Délégué à la protection des données
de l’hôpital Y laquelle il lui demande de fournir dans le mois certaines informations, dont notamment
les finalités, la base de licéité du traitement, ainsi que la liste des données traitées et la documentation
relative audit traitement. Dans un courrier daté du 13 août 2019, reçu par l’APD le 19 août 2019, la
Direction générale de l’hôpital Y fait part de ses réponses aux questions du Service d’inspection.
9. Le courrier du responsable de traitement débute par un récapitulatif historique du traitement qui
était en vigueur au sein de l’hôpital Y et qui est exposé dans les paragraphes ci-dessous.
10. Le responsable explique que le traitement a été mis en place à l’époque où il n’existait qu’une
seule délégation syndicale au sien de l’hôpital Y, à savoir le syndicat B. Il avait été convenu oralement
que les travailleurs affiliés qui le souhaitaient pouvaient donner mandat à l’ l’hôpital Y afin que celui-
ci retienne la cotisation syndicale sur leur salaire. Un exemple de mandat signé par un travailleur le
17 avril 2018 est fourni en annexe de la lettre. Selon le responsable de traitement, l’inspection sociale
avait confirmé à plusieurs reprises que chaque travailleur pouvait donner un mandat de ce type à son
employeur.
11. Lors des élections sociales de 2008, une deuxième organisation syndicale, le syndicat A, a obtenu
des représentants syndicaux. Il leur a été proposé de souscrire au système de retenue sur salaire, ce
qu’ils ont refusé. Selon le responsable de traitement, suite à l’entrée en vigueur du RGPD, le syndicat
A a fait savoir qu’il considérait ce système comme étant illégal.
12. La Direction de l’hôpital Y a sollicité un avis à son délégué à la protection des données sur cette
question. L’avis a été fourni le 11 septembre 2018. L’avis est annexé à la lettre. Le délégué y
recommande notamment l’abandon de la pratique étant donné qu’elle n’apparaît pas utile aux objectifs
de l’institution.
13. L’hôpital Y a pris la décision d’arrêter le prélèvement de la cotisation syndicale à partir du 30 juin
2019. En annexe du courrier se trouvent deux extraits de PV de Conseils d’entreprise. Le premier daté
du 10 janvier 2019, indique que « le problème du prélèvement des cotisations sera résolu dans les 3
mois ». Le second daté du 4 avril 2019, indique que « il sera mis fin au système de prélèvement à
partir du 30 juin 2019 ».
14. Dans la seconde partie du courrier, le responsable de traitement répond aux questions de
l’Inspecteur général. Il spécifie notamment que la base de licéité du traitement de données révélant
Décision quant au fond 72/2020 - 4/14
l’appartenance syndicale du travailleur est le « mandat individuel et écrit donné par le travailleur à
l’hôpital Y ».
15. Concernant la finalité du traitement, le responsable de traitement indique qu’il n’a jamais été fait
un autre usage de ces données que celui prévu.
16. L’hôpital Y ajoute que le système a été mis en place suite à un « accord oral historique entre un
syndicat et la Direction. Il n’y a eu aucun écrit formalisé. » Il explique par ailleurs qu’il ne s’agissait
pas d’un système généralisé par l’employeur mais d’une facilité concédée par ce dernier à la demande
spécifique du travailleur.
17. Le Service d’inspection rend son rapport d’enquête le 27 août 2019. Il constate notamment que la
finalité du traitement était de retenir la cotisation syndicale sur le salaire et que le traitement était
basé sur le consentement. Il ajoute également que la légitimité de la finalité ne semble pas être
conforme au droit social, mais que d’après le plaignant (pièce 1) et la direction générale de l’hôpital
Y (pièce 21), l’inspection sociale admet(tait) une telle pratique. Par ailleurs, le Service d’inspection
pose la question de savoir si, au vu du déséquilibre manifeste dans le cadre des relations de travail
entre la personne concernée/employé et le responsable du traitement/employeur, le caractère libre
du consentement du travailleur peut être mis en doute (considérant 43 du RGPD et avis du Groupe de
travail « Article 29 » sur la protection des données n°2/2017 du 8 juin 2017 sur le traitement des
données sur le lieu de travail (WP249). Le Service d’inspection constate finalement qu’il a été mis fin
au traitement à partir du 30 juin 2019.
18. Le 20 septembre 2019, le Président de la Chambre contentieuse décide, en vertu de l’article 98 de
la LCA que le dossier peut être examiné sur le fond. A cette même date, la Chambre Contentieuse a
transmis la plainte et les pièces au défendeur par lettre recommandé et a invité les parties à faire
valoir leurs arguments selon un calendrier établi.
19. Par courriel envoyé le 3 octobre 2019, le responsable de traitement informe la Chambre
Contentieuse qu’il ne conclura pas dans cette affaire, estimant avoir porté à la connaissance de
l’Autorité de protection des données tous les éléments en sa possession.
20. Le plaignant n’a pas fait parvenir de conclusions à la Chambre Contentieuse.
Décision quant au fond 72/2020 - 5/14
2. Motivation
21. Sur base de la plainte qui lui a été transférée et du rapport d’enquête fourni par le Service
d’inspection, la Chambre Contentieuse considère comme établi que l’hôpital Y était responsable de te
traitement pour un traitement des données concernant l’appartenance syndicale de certains
travailleurs, dans le but de retenir la cotisation syndicale sur le salaire des personnes concernées
(pièces n° 1, 21 et 23).
22. La Chambre estime que plusieurs questions doivent être examinées. Tout d’abord, étant donné la
période durant laquelle les faits se sont déroulés, la Chambre souhaite se pencher sur la question du
droit applicable et sur sa compétence (section 3.1 ci-dessous). Ensuite, la Chambre estime que la
légalité du traitement de données litigieux doit être analysée sous l’angle de sa licéité (section 2.2 ci-
dessous) et de sa finalité (section 2.3 ci-dessous). Finalement, elle se penchera sur la question de la
sanction (section 2.4 ci-dessous)
2.1 Le droit applicable et la compétence de l’APD
23. Il ressort des pièces du dossier que le traitement de données syndicales dans le but d’effectuer
une retenue sur salaire de la cotisation syndicale des travailleurs affiliés au syndicat B existe au moins
depuis 2008.
24. Il ressort par ailleurs, aussi bien des propos du plaignant (pièce n° 17) et du défendeur (pièce n°
21), qu’il a été définitivement mis fin au traitement à la date du 30 juin 2019. La Chambre Contentieuse
retient donc que le traitement de données en question s’est déroulé sur une période allant de 2008
au 30 juin 2019, soit plus de 10 ans.
25. Le droit applicable à ce traitement des données diffère selon la période étudiée. Depuis sa mise
en place jusqu’au 25 mai 2018, le traitement était soumis à la LPVP. La législation applicable a changé
à partir de l’entrée en vigueur du RGPD le 25 mai 2018.
26. L’Autorité de protection des données, et partant, la Chambre Contentieuse, ont été créées par la
LCA, qui est entrée en vigueur le même jour que le RGPD, c’est-à-dire le 25 mai 2018. Par conséquent,
la Chambre Contentieuse ne s’estime par compétente pour vérifier la légalité du traitement pour la
période antérieure au 25 mai 2018. Elle analysera donc le traitement des données pour la période
allant du 25 mai 2018 au 30 juin 2019.
Décision quant au fond 72/2020 - 6/14
2.2 La licéité du traitement
27. La Chambre Contentieuse rappelle tout d’abord que les traitements des données concernant
l’appartenance syndicale sont en principe interdits (article 9.1 du RGPD). Le deuxième paragraphe du
même article prévoit cependant une série d’exceptions, dont notamment le « consentement
explicite [de la personne concernée] au traitement de ces données à caractère personnel pour une ou
plusieurs finalités spécifiques » 1.
28. Même si elle n’est pas revendiquée de manière directe, la Chambre Contentieuse note que le
responsable de traitement utilise le consentement explicite comme base de licéité pour le traitement
de données en question, puisque qu’il déclare que celui-ci se base sur « un mandat individuel et écrit
donnée par le travailleur à l’hôpital Y ». Il ajoute que « il ne s’agit pas d’un système généralisé par
l’employeur, mais d’une facilité concédée par ce dernier à la demande spécifique du travailleur » (pièce
n° 21, p. 2). Le responsable de traitement fournit un exemplaire de mandat, signé par un travailleur
(dont les données d’identification ont été supprimées) à la date du 17 avril 2018.2
29. Il convient dès lors d’examiner si les éléments constitutifs du consentement explicite sont bien
remplis à cette occasion. Une définition du « consentement » est fournie à l’article 4.11 du RGPD qui
établit que celui-ci doit être « libre, spécifique, éclairée et univoque ». L’article 9.2.a) ajoutant par
ailleurs que pour un traitement de données liées à l’appartenance syndicale, le consentement doit
également être « explicite ».
30. Concernant le caractère libre du consentement, il ressort des pièces du dossier (voir point n°
27) que celui-ci était donné par mandat écrit, en tant que facilité donnée par l’employeur à l’employé.
Les parties, pas plus que l’inspection, ne fournissent aucun élément permettant de conclure que le
consentement aurait été vicié, ou aurait été donné sous la contrainte.
31. Le rapport d’enquête constate cependant qu’au vu du déséquilibre manifeste dans le cadre des
relations du travail, entre la personne concernée qui est employée et le responsable du traitement qui
est employeur, le caractère libre du traitement peut être mis en doute. Le Service d’inspection se base
sur le considérant 43 du RGPD et sur un avis du Groupe de travail « Article 29 » sur le traitement des
données sur le lieu de travail3 pour effectuer ce constat. Les lignes directrices concernant le
1
Article 9.2.a) du RGPD.
2
En l’absence de spécification contraire de la part du responsable de traitement, la Chambre contentieuse présume que
formulaire de mandat n’a pas subi de modification depuis lors et que ce même formulaire de mandat a continué à être utilisé
après l’entrée en vigueur du RGPD.
3
Groupe de travail «ARTICLE 29» sur la protection des données, « Avis 2/2017 sur le traitement des données sur le lieu de
travail », adopté le 8 juin 2017 (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610169)
Décision quant au fond 72/2020 - 7/14
consentement4, qui étaient en vigueur au moment où le traitement en question avait lieu 5, évoquent
également ce risque d’un déséquilibre de pouvoir entre le responsable de traitement et la personne
concernée que pourrait vicier le consentement, particulièrement dans le domaine des relations du
travail, ce qui est le cas dans la présente affaire. Les lignes directrices précisent cependant qu’à titre
exceptionnel, le consentement du travailleur peut être considéré comme valablement donné, lorsque
le fait pour le travailleur de donner ou non son consentement ne peut entraîner aucune conséquence
négative pour sa personne6.
32. En d’autres termes, à titre exceptionnel, un travailleur peut valablement consentir au traitement
de données de la part de son employeur, lorsque ce dernier ne retire aucun avantage du traitement.
Comme développé ci-dessous (voir points n° 41-44 et 56), la Chambre Contentieuse ne dispose
d’aucun élément lui permettant de conclure que le traitement litigieux serait effectué pour une finalité
autre que la facilité donnée au travailleur. La Chambre contentieuse estime par conséquent que le
responsable de traitement ne tire aucun bénéfice du consentement du travailleur, et que le
déséquilibre de pouvoir entre les parties ne risque donc pas de vicier le consentement. Le travailleur
peut donc être considéré comme ayant été donné librement son consentement.
33. Sur le caractère spécifique du consentement, la Chambre Contentieuse estime que celui-ci
est rempli par le mandat individuel qu’il est demandé au travailleur de remplir (dont un exemplaire est
fourni en pièce n°21, annexe 1). Le mandat ne sollicite en effet le consentement du travailleur que
pour un seul traitement de données, qui est celui lié au prélèvement de la cotisation syndicale
directement sur le salaire.
34. Quant au caractère éclairé du consentement obtenu, les lignes directrices sur le consentement
adoptées en 2018 identifient plusieurs critères qui permettent de l’évaluer. Pour qu’une personne
concernée donne un consentement qualifiée d’éclairé, elle doit notamment avoir reçu les informations
suivantes :
- « L’identité du responsable de traitement,
- La finalité de chacune des opérations de traitement pour lequel le consentement est sollicité,
- Les données qui seront collectées et utilisées,
- L’existence du droit de retirer son consentement,
- […] »7
4
Groupe de travail «ARTICLE 29» sur la protection des données, « Lignes directrices sur le consentement au sens du
règlement 2016/679 », adoptées le 10 avril 2018 (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051)
5
Ces lignes directrices ont depuis été remplacées par une nouveau document de l’EDPB adopté le 4 mai 2020
(https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf)
6
Groupe de travail «ARTICLE 29» sur la protection des données, « Lignes directrices sur le consentement au sens du
règlement 2016/679 », op. cit., , p. 8 .
7
Ibid, p. 15.
Décision quant au fond 72/2020 - 8/14
35. La Chambre Contentieuse constate que les trois premiers éléments apparaissent de façon
relativement claire sur l’exemplaire de mandat fourni (pièce 21, annexe 1). Elle note cependant qu’il
n’est fait nulle part mention du fait que la personne concernée (le travailleur) peut retirer son
consentement à tout moment afin de mettre fin au traitement, alors que les lignes directrices estiment
qu’il s’agit d’un élément requis sur base de l’article 7.3 du RGPD. La Chambre contentieuse considère
donc que le consentement ne peut être considéré comme ayant été donné de manière éclairée.
36. En raison des éléments exposés ci-dessus (et particulièrement au point n°35), la Chambre
Contentieuse conclut que l’article 9.2.a) juncto 7.3 du RGPD n’a pas été respecté, au sens ou le
consentement ne peut être qualifié d’éclairé.
37. Quant au caractère explicite du consentement, requis par l’article 9.2.a) du RGPD, la Chambre
Contentieuse estime que celui-ci est rempli par le mandat écrit signé par la personne concernée et qui
spécifie de manière explicite et spécifique le traitement des données qui sera effectué.
38. Dans ces communications, le plaignant fait à plusieurs reprises référence au fait que le
consentement des personnes concernées ne serait pas systématiquement sollicité, et que le traitement
aurait donc parfois lieu sans base de licéité (pièce n°1). La Chambre Contentieuse note cependant
que le plaignant n’apporte aucun document permettant de démontrer ces éléments et que le
responsable de traitement spécifie que le consentement du travailleur est systématiquement demandé
(voir point 43 ci-dessus). Le Service d’inspection n’ayant pas non plus effectué de constatations
particulières à cet égard, la Chambre Contentieuse ne dispose d’aucun élément lui permettant de
considérer que le consentement des travailleurs n’aurait pas été systématiquement requis.
2.3 La finalité du traitement
39. L’article 5.1.b) du RGPD établit que les données à caractère personnel doivent être collectées
« pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une
manière incompatible avec ces finalités ».
40. Pour l’interprétation de ce principe, la Chambre Contentieuse peut se baser sur l’opinion
développée à l’époque par le Groupe de travail article 29, qui détaille ce qu’il y a lieu d’entendre par
une finalité explicite8. Il est important de noter que les caractéristiques principales du principe de
8
Groupe de travail «ARTICLE 29» sur la protection des données, « Opinion 03/2013 on purpose limitation », adoptées le 2
avril 2013 (https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf)
Décision quant au fond 72/2020 - 9/14
limitation des finalités sont restées identiques entre la Directive 95/46 9 et le RGPD. Les lignes
directrices développées en 2013 restent donc valables pour ce qui concerne l’interprétation des trois
caractéristiques essentielles du principe de finalité.
41. Quant au caractère déterminé de la finalité, la Chambre Contentieuse note que dans sa
demande d’information, la plaignant fait clairement référence à un mécanisme de « prélèvement de
la cotisation syndicale syndicat B directement sur la rémunération » (Pièce n°1).
42. Il ressort par ailleurs de la lettre de l’hôpital Y (pièce n°21), que « les travailleurs affiliés au syndicat
B qui le souhaitaient, pouvaient donner mandat à l’hôpital Y afin que celui-ci retienne sur leur salaire
le montant de la cotisation syndicale ». Ceci est confirmé par l’exemple de mandat fourni par le
responsable de traitement, qui comporte la phrase suivante : « je soussigné […] demande
expressément à la direction de l’ l’hôpital Y que ma cotisation syndicale au syndicat B soit prélevée sur
ma rémunération et ce, à partir du … » (pièce n° 21, annexe 1).
43. La note du Délégué à la protection des données fait également état de cette finalité (pièce n° 21,
annexe 2) et le rapport d’enquête du Service d’inspection arrive à la même constatation (pièce n° 23
).
44. Sur base de ces pièces, la Chambre Contentieuse estime que la finalité du traitement était bien
déterminée, dans la mesure où il s’agissait de permettre le prélèvement direct de la cotisation syndicale
sur le salaire.
45. Quant au caractère explicite de la finalité, l’opinion du Groupe de travail article 29 explique
ce qui suit :
« Les finalités de la collecte ne doivent pas seulement être précisées dans l'esprit des personnes
chargées de la collecte des données. Elles doivent également être explicitées. […]
L'objectif ultime de cette exigence est de s'assurer que les objectifs sont spécifiés sans ambiguïté ou
imprécision quant à leur signification ou leur intention. La signification doit être claire et ne doit laisser
aucun doute ou difficulté de compréhension. […]
L'obligation de préciser "explicitement" les objectifs contribue à la transparence et à la prévisibilité.
Elle permet de déterminer sans ambiguïté les limites de l'utilisation que les responsables du traitement
peuvent faire des données à caractère personnel collectées, en vue de protéger les personnes
9
Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques
à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données
Décision quant au fond 72/2020 - 10/14
concernées. Elle aide tous ceux qui traitent des données au nom du responsable du traitement, ainsi
que les personnes concernées, les autorités de protection des données et les autres parties prenantes,
à avoir une compréhension commune de la manière dont les données peuvent être utilisées. Cela
permet de réduire le risque que les attentes des personnes concernées diffèrent de celles du
responsable du traitement »10.
46. L’opinion du groupe de travail insiste donc sur la nécessité d’une explicitation de la finalité qui
permette à tout un chacun de comprendre la raison d’être du traitement de données et d’éviter les
malentendus. A propos de la manière dont cette finalité doit être explicitée, l’opinion souligne les
éléments suivants :
« En termes de responsabilité, la spécification de l'objectif par écrit et la production de documents
adéquats contribueront à démontrer que le responsable du traitement a respecté l'exigence de l'article
6, paragraphe 1, point b)11. Cela permettrait également aux personnes concernées d'exercer leurs
droits de manière plus efficace - par exemple, cela fournirait la preuve de la finalité initiale et
permettrait une comparaison avec les finalités de traitement ultérieures. »12
47. Selon le responsable de traitement, le traitement de données en question a été mis en place sur
base « d’un accord oral historique entre un syndicat la Direction. Il n’y a eu aucun écrit formalisé »
(pièce 21, p. 2). La finalité du traitement apparaît cependant sur le mandat individuel écrit donné par
le travailleur, comme indiqué ci-dessus (voir point n°42).
48. Le fait que ce la finalité du traitement soit uniquement décrite sur le mandat individuel du
travailleur concerné pose question à plusieurs titres. En effet, ceci signifie tout d’abord que la finalité
est uniquement explicitée au moment où le consentement est demandé au travailleur et vis-à-vis de
ce travailleur. Elle n’est donc pas rendue explicite pour les autres travailleurs par exemple. Cette
absence de documentation formalisant le mécanisme contribue à maintenir une certaine ambigüité.
49. La Chambre Contentieuse rappelle une fois de plus (voir point n°27) que le traitement des données
concernant l’appartenance syndicale est en principe interdit. L’article 24.1 du RGPD précise par ailleurs
que :
10
Groupe de travail «ARTICLE 29» sur la protection des données, « Opinion 03/2013 on purpose limitation », op. cit., p.
17. Traduction libre.
11
De la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes
physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
12
Groupe de travail «ARTICLE 29» sur la protection des données, « Opinion 03/2013 on purpose limitation », op. cit., p.
18. Traduction libre.
Décision quant au fond 72/2020 - 11/14
« Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi
que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés
des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et
organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est
effectué conformément au présent règlement. »13
50. La Chambre Contentieuse considère que le traitement de données syndicales par l’employeur
présente un risque évident pour les travailleurs concernés, puisqu’il octroie à l’employeur une donnée
de nature sensible qui pourrait être utilisée à tort pour faire pression sur les travailleurs ou les
discriminer en particulier lors des procédures de promotion. Il convient par conséquent de mettre en
place des précautions particulières lorsqu’un traitement de ce type de données est effectué. A cet
égard, la Chambre Contentieuse considère que l’absence de tout accord écrit et le fait que le
mécanisme ait été décidé sur base d’un simple accord oral constitue une négligence importante.
51. La Chambre constate d’ailleurs que cette absence de document écrit, contribue à maintenir un flou
quant aux intentions du responsable du traitement et installe un certain doute dans le chef de
travailleurs non-concernés par le traitement, comme le révèlent la demande d’informations et la
requête du plaignant. Cette absence de documentation crée également une certaine incertitude quant
aux limites et aux modalités du traitement. En effet, comme signalé dans la plainte, des questions se
posent par exemple quant à savoir si les montants de cotisations au syndicat B impayés peuvent faire
l’objet d’un rappel du responsable de traitement auprès des travailleurs (pièce n°1).
52. Ce n’est qu’après avoir obtenu des informations du plaignant et demandé une enquête au Service
d’inspection (qui a interrogé le responsable de traitement) que la Chambre contentieuse a pu
déterminer la finalité du traitement (voir points n° 41-44). En d’autres termes, ce n’est qu’après une
analyse approfondie de la part de la Chambre contentieuse que la finalité a pu être éclaircie. Il est,
pour la Chambre Contentieuse, indéniable qu’une finalité qui requiert ce type d’examen pour être
clarifiée, ne peut être considérée comme étant explicite.
53. Quant à la légitimité de la finalité, qui est questionnée à plusieurs reprises par le plaignant
(pièces n°1, 3, 6), le rapport d’enquête constate que celle-ci « est néanmoins problématique : une
telle retenue systématique ne paraît pas pouvoir être pratiquée sur le salaire vu la disposition
impérative de l’article 23 de la loi du 12 avril 1965 concernant la protection de la rémunération des
travailleurs qui interdit en principe toute retenue sur la rémunération, même en présence d’un accord
préalable. » La rapport précise cependant que « il ressort des déclarations du plaignant (pièce 1) et
13
C’est la Chambre contentieuse qui souligne.
Décision quant au fond 72/2020 - 12/14
de la direction générale de l’hôpital Y (pièce 21) que l’inspection sociale admet(tait) une telle
pratique ».
54. En vertu de l’article 4,§ 1er de la LCA, « l'Autorité de protection des données est responsable du
contrôle du respect des principes fondamentaux de la protection des données à caractère personnel,
dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du
traitement des données à caractère personnel ». La Chambre s’estime par conséquent incompétente
pour déterminer la légalité d’une pratique (in casu, un prélèvement direct par l’employeur d’une
cotisation sur le salaire d’employés) par rapport au droit social. Elle constate, au même titre que le
Service d’inspection, que le plaignant et le responsable du traitement déclarent tous deux que la
pratique aurait été acceptée ou à tout le moins tolérée par l’inspection sociale. Partant, la Chambre
ne peut constater une violation de l’article 5.1.b quant à la légitimité de la finalité du traitement.
55. Sur la question d’un traitement ultérieur des données syndicales pour des finalités autres
que celles prévues, traitement allégué par le plaignant (voir point n°3) et consistant notamment en
l’octroi d’avantages sur base de l’appartenance syndicale, la Chambre contentieuse constate qu’aucun
élément probant n’est apporté pour soutenir ces allégations. Le rapport d’enquête ne fait pas non plus
de constat particulier à cet égard, et le responsable de traitement indique que les données ne sont
traitées pour aucune autre finalité que la retenue sur salaire (pièce n°21, p. 2). Par conséquent, la
Chambre estime que cet élément n’est pas fondé.
2.4 La sanction
56. Sur base de l’analyse ci-dessus, la Chambre Contentieuse estime que le responsable de traitement
a violé les articles suivants du RPGD :
- l’article 9.2.a) juncto 7.3 au sens ou le consentement n’était pas éclairé (voir point° 36) ;
- l’article 5,1.,b) juncto 24.1 du RGPD au sens ou la finalité n’était pas explicite (voir point
n°52).
57. La Chambre Contentieuse note cependant que d’après les deux parties et le rapport d’enquête, il
a été définitivement mis fin au traitement à la date du 30 juin 2019 et ce, notamment, suite à un avis
en ce sens du délégué à la protection des données du responsable de traitement.
58. La Chambre contentieuse estime que même si ces violations présentaient un caractère structurel,
puisqu’elles concernaient la totalité du mécanisme et non quelques cas isolés, elles ne procèdent
vraisemblablement pas d’une volonté délibérée de contourner la législation en matière de protection
des données à caractère personnel.
Décision quant au fond 72/2020 - 13/14
59. Il est également important de noter que le plaignant n’a jamais été concerné par le traitement de
données en question, puisqu’il fait partie du syndicat ayant refusé de participer au mécanisme. La
Chambre Contentieuse considère en outre qu’il n’a pas été démontré qu’il ait subi un quelconque
préjudice.
60. Le fait que le responsable du traitement ait demandé un avis à son délégué à la protection des
données et qu’il ait décidé de mettre en œuvre cet avis démontre une évidente prise au sérieux des
obligations qui découlent du RGPD. Par ailleurs, l’interruption définitive du traitement dispense son
responsable d’une mise en conformité supplémentaire.
61. Sur base de ces éléments, la Chambre estime qu’il n’est pas nécessaire de prononcer une des
mesures prévues à l’article 100, §1er de la LCA.
2.5 La transparence
62. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et
les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l'Autorité
de protection des données moyennant la suppression des données d’identification directe des parties
et des personnes citées, qu’elles soient physiques ou morales.
Décision quant au fond 72/2020 - 14/14
PAR CES MOTIFS,
la Chambre contentieuse de l'Autorité de protection des données décide, après délibération :
- qu’il y a eu violation des articles 5,1.,b) juncto 24.1 et 9.2.a) juncto 7.3 du RGPD;
- qu’il n’est pas nécessaire de prononcer une des mesures prévues à l’article 100, §1er de la
LCA.
En vertu de l’article 108, § 1 LCA, cette décision peut faire l’objet d’un recours dans un délai de 30
jours, à compter de la notification, à la Cour des marchés, avec l'Autorité de protection des données
en tant que défendeur.
Hielke Hijmans
Président de la Chambre Contentieuse