1/9
Chambre Contentieuse
Décision 73/2023 du 12 juin 2023
N° de dossier : DOS-2023-00901
Objet : Plainte relative à la prise de photographies avec un téléphone portable
personnel par un employé dans l’exercice de ses fonctions
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel (ci-après LTD) ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, ci-après « le plaignant » ;
Le défendeur : Le Commissariat Général aux Réfugiés et Apatrides (CGRA), dont le siège
est établi à 1070 Bruxelles (Anderlecht), rue Ernest Blérot, 39 et inscrit à la
Banque Carrefour des Entreprises (BCE) sous le numéro 0308.356.862, ci-
après « le défendeur ».
Décision 73/2023 - 2/9
I. Faits et procédure
1. La plainte concerne la prise de photographies par un employé du défendeur au moyen de
son téléphone portable personnel lors d’une audition organisée dans le cadre de la
procédure de demande d’asile du plaignant.
2. Le 23 février 2023, le plaignant dépose plainte auprès de l’Autorité de protection des
données (APD). Il dirige sa plainte contre l’attaché en charge des contacts avec les avocats
(voy. aussi note 1).
3. Aux termes de sa plainte, le plaignant expose ce qui suit.
4. Dans le courant du mois de novembre 2022, le plaignant, accompagné de son conseil, a été
auditionné par le défendeur. Le plaignant rapporte qu’au cours de cette audition, l’officier de
protection (employé du défendeur1 ) en charge du dossier du plaignant a, à 4 reprises avec
un téléphone portable, pris des photographies de pages de réseaux sociaux de membres de
la famille du plaignant et joint celles-ci au dossier.
5. A la suite de cette audition, le conseil du plaignant s’est adressé au défendeur pour faire part
de son étonnement quant à cette prise de photographies et de ce que cette pratique lui
semblait contraire à la règlementation en vigueur en matière de protection des données. Le
conseil du plaignant relève à cet égard qu’ « il s’agit de la prise de photo par GSM
(professionnel ou personnel ? [voy. infra]) de données du demandeur de protection
internationale sur le GSM du demandeur de protection internationale sans avoir sollicité son
consentement préalable et qui concerne des données de tiers ». Dans ce même courrier, le
conseil du plaignant pose donc par ailleurs la question de savoir si ces photographies ont été
prises avec un téléphone portable privé ou professionnel, s’il s’agit d’une pratique
généralisée au sein du défendeur et ce qu’il advient des photographies enregistrées sur le
téléphone portable de l’auteur des photos.
6. En décembre 2022, le défendeur a, par l’intermédiaire de l’attaché responsable des contacts
avec les avocats auquel le conseil du plaignant s’était adressé, répondu de la manière
suivante :
1.
L’officier de protection et sa fonction sont décrits de la manière suivante sur le site Internet du CGRA : https://www.cgra.be/fr/travailler-pour-le-cgra L’officier de
protection est la figure-clé dans l’accomplissement de la mission fondamentale du CGRA. Il a une formation universitaire, est passionné par les droits de l’homme et
la politique internationale et possède d’excellentes aptitudes rédactionnelles. L’officier de protection développe une connaissance approfondie des pays d’origine
des demandeurs de protection internationale et suit régulièrement des formations afin de maintenir à jour son expertise et les compétences nécessaires à l’exercice
de sa fonction. L’officier de protection entend le demandeur de protection internationale à propos de tous les éléments que contient le dossier. Il en vérifie la
crédibilité et examine si les motifs de la demande répondent aux critères qui peuvent aboutir à l’octroi d’un statut de protection. L’officier de protection rédige ensuite
une proposition de décision dûment motivée.
Décision 73/2023 - 3/9
« Maître X,
Nous tenons à donner suite à votre intervention du […] novembre en vous informant
de ce qui suit.
Il ressort de discussions avec l’officier de protection qui a entendu votre client qu’il a
effectivement utilisé son téléphone privé pour prendre des photographies. Il assure
qu’il a toujours eu à cœur de respecter strictement la confidentialité et les données
personnelles des demandeurs. Il n’avait d’autre intention que d’arriver à un traitement
efficace et rapide du dossier dont il a la charge.
Les photographies prises ont été jointes au dossier administratif et supprimées de
son téléphone immédiatement après l’entretien du […] novembre.
Cependant, cette façon de procéder est incompatible avec le modus operandi du
CGRA. Le CGRA met à disposition de ses employés l’équipement de travail
nécessaire à l’exercice de leurs fonctions professionnelles. Par conséquent, prendre
des photos avec le portable privé d’un employée n’aurait pas dû se produire. Nous
insistons sur le fait qu’il s’agit d’une pratique au CGRA qui n’est ni généralisée ni
officielle.
Cela a également été communiqué à l’officier de protection en question. Et sera
également communiqué aux autres employés pour éviter que cette situation ne se
reproduise ».
7. Le 23 février 2023, soit le jour même du dépôt de la plainte, le Service de Première Ligne
(SPL) de l’APD déclare ladite plainte recevable sur la base des articles 58 et 60 de la LCA, et
transmet celle-ci à la Chambre Contentieuse conformément à l’article 62, § 1 de la LCA.
II. Motivation
8. La Chambre Contentieuse relève comme déjà mentionné au point 1 que dans son formulaire
de plainte, le plaignant dirige sa plainte contre l’attaché en charge des contacts avec les
avocats. Dans son courrier postérieur à l’audition (point 5), le plaignant semble également
mettre directement en cause l’officier de protection ayant procédé à la prise de
photographies lors de l’audition.
9. La Chambre Contentieuse est d’avis que ce dernier employé du défendeur n’est pas le
responsable de traitement en l’espèce. En effet, s’il n’est pas contestable que la prise de
photographies de membres d’une famille dans le contexte décrit par la plainte est
constitutive d’un traitement ( article 4.2.) de données personnelles ( article 4.1.) au sens du
RGPD, la seule circonstance que ces photographies aient été prises par l’employé en
question ne fait pas de lui un responsable du traitement des dites données au sens de
Décision 73/2023 - 4/9
l’article 4.7. du RGPD. En outre, la circonstance que cet employé ait pris ces photographies
avec son téléphone portable personnel, fut-ce en violation des règles internes d’application
auprès du défendeur, ne fait pas non plus de lui un responsable de traitement au sens de ce
même article.
10. Le responsable de traitement y est en effet défini comme étant « la personne physique ou
morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec
d'autres, détermine les finalités et les moyens du traitement 2 ». L’article 4.7. précise en outre
que « lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de
l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les
critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union
ou par le droit d'un État membre ».
11. La Chambre Contentieuse est d’avis que l’employé concerné n’a pas déterminé les finalités
du traitement de données. Le traitement dénoncé est intervenu dans l’exercice de sa
fonction d’officier de protection du défendeur, dans le respect des missions légalement
confiées au défendeur. A cet égard la Chambre Contentieuse relève que le défendeur
dispose d’une politique de confidentialité disponible sur son site Internet aux termes de
laquelle il s’identifie comme responsable de traitement (voir la rubrique « Données de
contact ») et aux termes de laquelle il décrit que dans le cadre de l’exécution de ses missions
légales, il traite des données personnelles aux fins de la prise de décisions concernant les
demandes de protection internationale /d’asile comme ce fut le cas en l’espèce3.
12. La Chambre Contentieuse estime par ailleurs que même s’il a certes utilisé son téléphone
portable personnel - et non un téléphone portable professionnel - ( soit un « moyen » au sens
de l’article 4.7. du RGPD) en dehors semble-t-il des consignes données par le défendeur à
cet égard, cet écart ne fait, en l’espèce, pas de lui un responsable de traitement qui aurait
déterminé les finalités ( quod non – voy. le point 11 ci-dessus) et les moyens, ces éléments
étant cumulatifs. Le cas d‘espèce est à distinguer de la situation dans laquelle un employé
détournerait la finalité déterminée par le responsable de traitement pour y substituer une
finalité propre par exemple. La Chambre Contentieuse a ainsi déjà eu l’occasion de
requalifier un employé en responsable de traitement dans des cas où celui-ci avait détourné
l’accès au registre national qui lui était accordé dans l’exercice de ses fonctions pour le
consulter à des fins strictement personnelles 4. Il en va de même pour le sous-traitant qui
2.
C’est la Chambre Contentieuse qui souligne.
3.
La base de licéité des traitements de données réalisés par le défendeur ne doit donc pas nécessairement reposer sur le consentement du demandeur de protection. Les données telles les
photographies de membres de sa famille deviennent par ailleurs des données le concernant dès l’instant où il fait état de celles-ci dans le cadre d’une audition à l’appui de sa propre demande.
4.
Voy. par exemple la décision 129/2021 de la Chambre Contentieuse, point 23 in fine : https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-129-2021.pdf . Voy.
également la décision 56/2021 de la Chambre Contentieuse, points 51 à 60 et les références citées : https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-56-2021.pdf
Décision 73/2023 - 5/9
outrepasserait les instructions reçues du responsable de traitement et poursuivrait une
finalité propre. Il est dans ce cas requalifié de responsable de traitement 5.
13. En l’espèce, ce dernier cas de figure n’est pas non plus d’application dès lors que l’employé
concerné n’est pas plus sous-traitant qu’il n’est responsable de traitement. La Chambre
Contentieuse rappelle qu’est défini comme sous-traitant au sens de l’article 4.8. du RGPD,
« la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui
traite des données à caractère personnel pour le compte du responsable de traitement ». Le
sous-traitant est donc, ainsi que le souligne le CEPD dans ses lignes directrices relatives aux
notions de responsable de traitement et de sous-traitant dans le RGPD déjà citées « une
entité distincte de celle du responsable de traitement ». Le CEPD énonce ainsi que « pour
être considéré comme un sous-traitant, deux conditions de base doivent être satisfaites: a)
être une entité distincte du responsable du traitement et b) traiter des données à caractère
personnel pour le compte du responsable du traitement (point 76). Le CEPD ajoute que « une
entité distincte signifie que le responsable du traitement décide de déléguer tout ou partie
des activités de traitement à une organisation extérieure (point 77) » 6.
14. Il découle a fortiori de ce qui précède que l’attaché du défendeur responsable des contacts
avec les avocats et identifié par le plaignant comme responsable de traitement aux termes
du formulaire de plainte ( voy. note 1) n’est pas non plus responsable de traitement ni sous-
traitant.
15. A défaut d’être responsable de traitement ou sous-traitant, les employés susvisés ne
peuvent se voir reprocher de manquement(s) au RGPD.
16. Ces employés du défendeur sont en revanche des « personnes agissant sous l’autorité du
responsable de traitement » au sens de l’article 29 du RGPD qui, lorsqu’elles ont accès à des
données à caractère personnel ne peuvent, sauf exception, les traiter que sur instruction du
responsable de traitement, soit sur instruction du défendeur. A cet égard, la Chambre
Contentieuse relève que le défendeur indique avoir, à la suite des faits dénoncés, pris des
mesures de sensibilisation auprès de l’employé concerné ainsi que vis-à-vis de l’ensemble
du personnel pour prévenir des incidents tels celui dénoncés. Cette initiative est pertinente.
17. La Chambre Contentieuse examinera à présent si un manquement au RGPD ou aux règles
de protection des données dont la Chambre Contentieuse est tenue de veiller au respect
doit être constaté dans le chef du défendeur qui revêt quant à lui la qualité de responsable
de traitement.
5.
Comité européen de la protection des données (CEPD), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD
https://edpb.europa.eu/system/files/202202/eppb_guidelines_202007_controllerprocessor_final_fr.pdf , point 86.
6
Comité européen de la protection des données (CEPD), Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD
https://edpb.europa.eu/system/files/202202/eppb_guidelines_202007_controllerprocessor_final_fr.pdf , page 4 de la version française et points 76-77. Voy. également la décision 175/2022 de la
Chambre Contentieuse.
Décision 73/2023 - 6/9
18. La Chambre Contentieuse rappelle que l’utilisation d’équipements personnels par des
employés dans l’exercice de leurs fonctions relève d’un choix de l’employeur de l’autoriser
ou non, le cas échéant sous certaines conditions. On parle dans ce cas de BYOD, acronyme
pour « Bring Your Own Device » (en français : « Apportez Votre Equipement personnel de
Communication » ou AVEC), qui désigne l'usage d'équipements informatiques personnels
dans un contexte professionnel. Il peut s’agir par exemple d’un employé qui, pour se
connecter au réseau de l’entreprise, utilise un équipement personnel comme son ordinateur,
sa tablette ou son smartphone ou encore comme en l’espèce, d’utilisation de son téléphone
portable personnel pour la prise de photographies à joindre dans un dossier à titre
d’éléments probants ou documentaires ou encore de l’utilisation de son téléphone
personnel pour des tests informatiques.
19. Le BYOD n’est pas un « traitement de données à caractère personnel » en soi. C’est un
moyen technique particulier, au moyen duquel des traitements de données s’opèrent le cas
échéant.
20. Le recours à ces équipements personnels peut certes présenter des risques accrus,
particulièrement en termes de sécurité des données7 et devrait faire l’objet d’un évaluation
en termes de risque particulièrement vigilante. Sans que ce ne soit constitutif d’une
quelconque mesure correctrice ou sanction au sens de l’article 95 de la LCA, la Chambre
Contentieuse rappelle à cet égard l’importance de la sécurisation des données, a fortiori
lorsque des données sensibles sont régulièrement traitées - comme dans le cas du
défendeur - de par la nature même des missions qui lui sont confiées ou plus généralement,
lorsque des traitements de données (sensibles ou non) interviennent dans un contexte
délicat comme celui de l’obtention d’un droit ou de la demande de reconnaissance d’un
statut (comme en l’espèce) laquelle peut exposer la personne concernée ou son entourage
à des risques.
21. En l’espèce le défendeur précise que le recours à un équipement personnel, tel un téléphone
portable personnel, par un de ses employés dans l’exercice de sa fonction, est contraire aux
règles qu’il a mises en place. Le recours à son téléphone portable par l’employé concerné est
un fait isolé contraire aux pratiques du défendeur.
22. Pour autant, ainsi qu’il a été rappelé au point 19, l’utilisation de son téléphone portable
personnel par l’employé concerné, fut ce en contravention des règles internes, n’est pas
constitutif d’un traitement au sens du RGPD. Aucun élément du dossier n’atteste de ce que
le traitement des dites données serait par ailleurs intervenu en violation des règles de
protection des données. Si comme la Chambre Contentieuse l’a exposé ci-dessus, le recours
7.
La CNIL recommande un certain nombre de bonnes pratiques relatives à l’utilisation des BYOD ici : https://www.cnil.fr/fr/byod-quelles-sont-les-bonnes-pratiques.
Voy. également les travaux de l’EDPS « Guidelines on the protection of personal data in mobile devices used by European institutions (décembre 2015), en particulier les points 90 et suivants
consacrés aux risques spécifiques des BYOD: https://edps.europa.eu/sites/edp/files/publication/15-12-17_mobile_devices_en.pdf
Décision 73/2023 - 7/9
au BYOD (que ce soit en contradiction ou conformément aux usages internes) augmente
potentiellement le risque d’atteinte à la sécurité des données traitées au moyen de tel
équipement, aucun élément du dossier n’apporte la preuve d’un manquement à l’obligation
de sécurité ou de tout autre manquement au RGPD. Le défendeur a par ailleurs précisé que
les photographies ont immédiatement été supprimées du téléphone personnel de l’employé
concerné.
23. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus et des
pièces produites, et sur la base des compétences qui lui ont été attribuées par le législateur
en vertu de l’article 95, § 1 de la LCA, la Chambre Contentieuse décide de la suite à donner au
dossier. En l’occurrence, la Chambre Contentieuse décide de procéder au classement sans
suite de la plainte, conformément à l’article 95, § 1, 3° de la LCA, pour les raisons exposées
ci-après.
24. En matière de classement sans suite, la Chambre Contentieuse est tenue de motiver sa
décision par étape8 et de:
- prononcer un classement sans suite technique si le dossier ne contient pas ou pas
suffisamment d’éléments susceptibles d’aboutir à une sanction ou s’il comporte un
obstacle technique l’empêchant de rendre une décision;
- ou prononcer un classement sans suite d’opportunité, si malgré la présence
d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du
dossier ne lui semble pas opportune compte tenu des priorités de l’Autorité de
protection des données telles que spécifiées et illustrées dans la Politique de
classement sans suite de la Chambre Contentieuse 9.
25. En cas de classement sans suite fondé sur plusieurs motifs, ces derniers (respectivement,
classement sans suite technique et classement sans suite d’opportunité) doivent être
traités par ordre d’importance10.
26. En l’espèce, la Chambre Contentieuse décide de classer la plainte sans suite pour motif
technique dès lors qu’elle estime qu’aucun manquement au RGPD ou aux règles de
protection des données dont elle contrôle le respect ne peut, sur la base des griefs et pièces
produites à l’appui de la plainte, être reproché au défendeur ( critère A.2. de la Politique de
classement sans suite de la Chambre Contentieuse).
III. Publication et communication de la décision
8
. Cour des marchés (Cour d’appel de Bruxelles), 2 septembre 2020, arrêt 2020/AR/329, p. 18.
9.
À cet égard, la Chambre Contentieuse renvoie à sa politique de classement sans suite telle que développée et publiée sur le site de l’Autorité de protection des données:
https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambre-contentieuse.pdf.
10.
Cf. Titre 3 – Dans quels cas ma plainte est-elle susceptible d’être classée sans suite par la Chambre Contentieuse? de la politique de classement sans suite de la Chambre Contentieuse.
Décision 73/2023 - 8/9
27. Compte tenu de l'importance de la transparence en ce qui concerne le processus
décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le
site Internet de l'APD. Il n’est toutefois pas nécessaire à cette fin que les données
d’identification du plaignant soient mentionnées.
28. S’agissant de l’identification du défendeur, la Chambre Contentieuse estime que la bonne et
complète compréhension de la décision - laquelle (sans que cela soit toute fois un critère
déterminant) ne reproche par ailleurs aucun manquement au défendeur - nécessite que
l’identité du défendeur soit publiée. Ceci tient à la spécificité de la mission du défendeur, aux
références citées pertinentes pour la motivation de la présente décision et partant, à l’effet
utile de la transparence voulue par la Chambre Contentieuse.
29. Conformément à sa politique de classement sans suite, la Chambre Contentieuse
communiquera la décision au défendeur 11. En effet, la Chambre Contentieuse a décidé de
communiquer les décisions de classement sans suite aux défendeurs par défaut. La
Chambre Contentieuse s’abstient toutefois d’une telle communication lorsque le plaignant
a demandé l’anonymat vis-à-vis du défendeur et lorsque la communication de la décision au
défendeur, même pseudonymisée, risque néanmoins de permettre sa ré-identification12.
Ceci n’est pas le cas dans la présente affaire.
POUR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération,
de classer la présente plainte sans suite en application de l’article 95, § 1, 3° de la LCA.
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire13. La requête interlocutoire doit être
11.
Cf. Titre 5 – Le classement sans suite sera-t-il publié? La partie adverse en sera-t-elle informée? de la politique de classement sans suite de la Chambre Contentieuse.
12.
Ibidem.
13
. La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
Décision 73/2023 - 9/9
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.14, ou
via le système d'information e-Deposit du ministère de la Justice (article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
14. La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au greffier de la juridiction ou déposée au greffe.