1/9
Chambre Contentieuse
Décision 74/2024 du 16 mai 2024
Numéro de dossier : DOS-2024-00641
Objet : Plainte relative à une collecte illicite de données à caractère personnel ainsi que
de spamming dans le cadre des élections.
La Chambre Contentieuse de l'Autorité de protection des données, constituée de
Monsieur Hielke HIJMANS, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l'égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE (règlement général sur la protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-
après « LCA » ;
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel, ci-après « LTD » ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, ci-après « le plaignant » ;
La défenderesse : Monsieur Y, ci-après « le défendeur ».
Décision 74/2023 - 2/9
I. Faits et procédure
1. Le 5 avril 2024, le plaignant a introduit une plainte auprès de l’Autorité de protection des
données (ci-après « l’APD ») à l’encontre de la partie défenderesse, Mr. Y (ci-après « la partie
défenderesse » ou « la défenderesse »).
2. L’objet de la plainte concerne une collecte illicite de données à caractère personnel ainsi qu’une
communication de marketing non-sollicitée.
3. Le 30 janvier 2024, le plaignant reçoit un mail de la défenderesse, candidat aux élections
régionales de juin 2024, visant à faire la promotion de son programme.
4. Le 3 février 2024, le plaignant répond en indiquant les provisions de droit belge interdisant les
pratiques de spam politique et son droit de refuser ou de retirer son consentement à l’utilisation
de ses données en vertu de l’article 13 du RGPD, y compris le droit de ne pas recevoir de
communications non-sollicitées. Le même jour, le plaignant exerce son droit d’accès
conformément à l’article 15 du RGPD et demande la source et/ou la méthode par laquelle la
défenderesse a collecté les données à caractère personnel du plaignant.
5. Le 5 février 2024, la défenderesse répond à la demande d’accès du plaignant en expliquant que
ses données à caractère personnel devaient sans doute déjà être dans son carnet d’adresse
mail. Elle ajoute qu’il est également possible que des amis lui aient donner ses coordonnées.
6. Le 22 février 2024, la plainte a été déclarée recevable par le Service de Première Ligne (ci-après
« SPL ») sur la base des articles 58 et 60 de la LCA [1] et la plainte a été transmise à la Chambre
Contentieuse en vertu de l’article 62, § 1er de la LCA[2].
II. Motivation
7. La Chambre Contentieuse constate que les griefs du plaignant portent d’une part, (a) sur le
traitement illicite de ses données, notamment l’utilisation de son adresse électronique à des
fins de propagande électorale ; et d’autre part (b) sur l’exercice de son droit d’accès afin de
découvrir la source des données utilisées.
8. Premièrement, conformément à l’article 6.1.a) du RGPD, un traitement de données à caractère
personnel est licite si « la personne concernée a consenti au traitement de ses données à
caractère personnel pour une ou plusieurs finalités spécifiques ; (…) ». L’article 13.1 de la
[1]
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
[2]
En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de
cette plainte, le dossier lui a été transmis.
Décision 74/2023 - 3/9
Directive 2002/58/CE1 (ci-après, « Directive e-Privacy »), applicable en sa qualité de Lex
Specialis, précise que « l’utilisation (…) de courrier électronique à des fins de prospection
directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement
préalable. »
9. De surcroit, dans sa Recommandation 01/20202, l’APD explique que le marketing direct
comprends également la promotion des objectifs et idéaux de toute organisation, y compris
politique3. La Note dans le cadre des élections 20244 (ci-après, « Note 2024) précise quant à
elle qu’« il ne peut subsister aucun doute quant au fait que la diffusion ciblée de propagande
politique sur la base de données à caractère personnel d’électeurs doit être considérée comme
du « marketing direct » au sens du terme de prospection dans le RGPD et la Directive e-
Privacy. » 5
10. En l’espèce, la Chambre Contentieuse constate que le plaignant n’a pas donné son
consentement au traitement de ses données à caractère personnel, notamment son adresse
électronique personnelle, à des fins de marketing direct. En conséquence, la défenderesse
pourrait avoir méconnu l’article 6.1.a) du RGPD juncto l’article 13.1 de la Directive e-Privacy tel
qu’interprété par la Recommandation 01/2020 et précisé par la Note 2024, en envoyant un
courriel électronique dans le but de faire du marketing direct de son programme électoral.
11. À titre exhaustif, la Chambre Contentieuse examine une base légale que la défenderesse
pourrait invoquer à savoir l’article 6.1.f) du RGPD. Ce dernier prévoit qu’un traitement de
données à caractère personnel est licite s’il « est nécessaire aux fins des intérêts légitimes
poursuivis par le responsable du traitement (…), à moins que ne prévalent les intérêts ou les
libertés et droits fondamentaux de la personne concernée (…) ». Le Considérant 47 du RGPD
précise que « le traitement de données à caractère personnel à des fins de prospection peut
être considéré comme étant réalisé pour répondre à un intérêt légitime. ».
12. L’APD rappelle dans sa Note 2024 que « l’envoi de messages électroniques sur l’ordinateur de
la personne concernée étant particulièrement intrusif, les intérêts ou les libertés et droits
fondamentaux de la personne concernée pèsent en principe plus lourd dans la balance que les
intérêts légitimes du responsable du traitement. L’envoi de messages électronique n’est donc
admissible que si la personne concernée donne au préalable son consentement en vue d’un tel
1
Article 13.1 de la Directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la
protection de la vie privée dans le secteur des communications électroniques.
2
Recommandation 01/2020 du 17 janvier 2020 relative au traitements de données à caractère personnel à des fins de
marketing direct. Disponible : https://www.autoriteprotectiondonnees.be/publications/recommandation-n-01-2020.pdf
3
Ibid., point 13.
4
Note sur le traitement des données dans le cadre des élections (2024). Disponible :
https://www.autoriteprotectiondonnees.be/publications/note-sur-le-traitement-des-donnees-dans-le-cadre-des-
elections.pdf
5
Ibid., p.2.
Décision 74/2023 - 4/9
traitement de ses données à caractère personnel. Il est en effet légitime que l’électeur doive
d’abord donner au préalable son consentement avant qu’une telle communication à des fins de
marketing direct puisse lui être adressée.» 6
13. En l’espèce, la Chambre Contentieuse estime nécessaire d’établir la licéité du traitement sous
l’angle de l’article 6.1.f) du RGPD. La CJUE a déclaré dans son arrêt Rigas, que cet article prévoit
trois conditions cumulatives ; « premièrement, la poursuite d’un intérêt légitime par le
responsable du traitement (…), deuxièmement, la nécessité du traitement des données à
caractère personnel pour la réalisation de l’intérêt légitime poursuivi, et, troisièmement, la
condition que les droits et libertés fondamentaux de la personne concernée par la protection
des données ne prévalent pas. 7 ». Il s’agit d’appliquer ces trois conditions afin de déterminer si
le traitement des données opéré par la défenderesse dans cette situation est licite dans le sens
de l’article 6.1.f) du RGPD.
14. Quant à la première condition de légitimité de l’intérêt, l’EDPB précise qu’il doit être licite,
suffisamment spécifique et doit représenter un intérêt réel et actuel.8 L’intérêt de la promotion
d’un programme électoral trouve son fondement dans les lois électorales belges. Il est en effet
prévu par le droit belge que les candidats aux élections électorales peuvent faire la promotion
de leur programme à travers des communications.9 L’intérêt est licite. De plus, sur base des
informations à dispositions, la Chambre Contentieuse décrit l’intérêt de la défenderesse
comme tel : envoi de communication marketing direct à des fins de promotions de programme
électoral pour les élections régionales de juin 2024. Il peut donc être inféré que l’intérêt de la
défenderesse est suffisamment spécifique et qu’il représente un intérêt réel et actuel. La
défenderesse poursuit un intérêt légitime.
15. Quant à la deuxième condition de la nécessité du traitement pour la réalisation de l’intérêt
légitime poursuivi, il est important de rappeler que « les dérogations et les restrictions au
principe de protection des données à caractère personnel doivent s’opérer dans les limites du
strict nécessaire »10. A cette fin, il est nécessaire d’établir si des moyens moins invasifs auraient
pu être utilisés par la défenderesse pour atteindre l’intérêt légitime poursuivi. La promotion
d’un programme électoral peut être fait à travers des flyers déposés dans les boites postales
des citoyens. Cette pratique est courante en période d’élection. Bien que le dépôt de flyer
puisse demander un effort supplémentaire, le caractère nettement moins invasif que cela
6
Ibid., p.19.
7
CJUE Arrêt du 4 mai 2017, Riga satiksme, C-13/16 ECLI:EU:C:2017:336, para 28, et CJUE, Arrêt du 7 décembre 2023,
Affaires jointes C-26/22 et C-64/22, Schufa, ECLI:EU:C:2023:958, para. 74.
8
EDPB Opinion 06/2014 sur la notion d’intérêt légitime du responsable de traitement sous l’article 7 de la Directive
95/46/EC, p.24.
9
A ce propos, voir le site élections.brussels et plus particulièrement : https://elections.brussels/reglementation-de-
campagne.
10
CJUE C-13/16 Rigas Satiksme, point 30 ; CJUE C-92/09 et C-93/09 Volker und Markis Schecke et Eifert, EU:C:2010:662,
point 86 ; et CJUE C-473/12, IPI, EU:C:2013:715, point 39.
Décision 74/2023 - 5/9
représente prévaut sur l’effort à fournir. Le marketing direct opéré par la défenderesse n’est
donc pas strictement nécessaire pour la réalisation de l’intérêt légitime poursuivit, à savoir la
promotion de son programme électoral.
16. Quant au troisième critère de mise en balance des libertés et droits fondamentaux. Les
conditions du triple test de CJUE sont cumulatives, le manquement du second critère rend
d’ores et déjà la poursuite de l’intérêt légitime de la défenderesse potentiellement illicite au
sens de l’article 6.1.f) du RGPD. Au vu du caractère intrusif et pas strictement nécessaire du
marketing direct de la défenderesse, la Chambre Contentieuse n’estime pas important
d’effectuer cet exercice de pondération. De plus, il est précisé dans la Note 2024 que « la
présence de motifs légitimes impérieux pour le traitement dans le chef de partis politiques ou
de candidats, est jugée ne pas être remplie dans le cadre de l'envoi de messages personnalisés
par courrier électronique ou par SMS car il n'existe pas d'équilibre entre les intérêts légitimes
du responsable du traitement de traiter des données à caractère personnel à des fins de
marketing direct et celui de la personne concernée de ne pas être dérangée.11 ».
17. En conclusion, la Chambre Contentieuse estime que la défenderesse pourrait avoir commis une
potentielle violation de l’article 6 du RGPD en traitant de manière illicite les données
personnelles du plaignant à des fins de propagande électorale, sans disposer d’une base légale
appropriée.
18. Deuxièmement, il convient de rappeler que selon l’article 5.1.a) juncto l’article 12.1 du RGPD,
toute personne concernée a le droit de recevoir des informations concernant l’origine de ses
données personnelles. Ces informations doivent être fournies de manière concise,
transparente, compréhensible, et aisément accessible, en des termes clairs et simples.
19. Il ressort des pièces du dossier que la défenderesse pourrait avoir méconnu l’article 5.1.a)
juncto l’article 12.1 du RGPD en ayant transmis des informations vagues et imprécises relative
à la source des données à caractère personnel du plaignant. En effet, les termes utilisés dans la
réponse de la défenderesse sont peu précis, indiquant que les données du plaignant «
[…] [avaient] dû être repris dans un mail collectif concernant une soirée, une activité, un
évènement ou une demande de cadeau commun » et qu’il est également possible que « certains
amis [lui aient] également envoyé des adresses d’amis dont ils pensaient pouvoir être
intéressés ». 12
11
Note 2024, p.19.
12
Les annexes de la plainte déposées le 5 avril 2024.
Décision 74/2023 - 6/9
20. Au vu des manquements potentiels observés ci-dessus, la Chambre Contentieuse rappelle les
règles d’applications concernant le traitement de données à caractère personnel dans le cadre
des élections.
21. Premièrement, la promotion d’activités d’associations et de fondations à caractère politique à
travers d’une communication sollicitée ou non-sollicitée adressée directement à une ou
plusieurs personnes physiques, par n’importe quel moyen, impliquant le traitement de données
à caractère personnel constitue du « marketing direct » comme entendu par le RGPD et la
Directive e-Privacy13. Afin d’émettre de telles communications, le consentement de la/les
personne(s) concernée(s) pour la finalité de recevoir ces communications sera nécessaire (cf.
points 7 à 10 de la présente décision). Il est néanmoins licite d’effectuer une propagande
électorale papier en utilisant les listes des électeurs, comme prévu par les lois électorales et
sous réserve de certaines conditions.14
22. Deuxièmement, la Chambre Contentieuse rappelle l’importance du principe de finalité
exigeant que les données à caractère personnel soient collectées pour des finalités
déterminées, explicites et légitimes, et ne soient pas traitées ultérieurement de manière
incompatible avec ses finalités15. Elle rappelle ici ses décisions 10/2019, 11/2019 et 39/2020
dans lesquelles elle a jugé incompatible et enfreignant le RGPD la réutilisation de listes
électorales, de clients ou de citoyens concernés par un projet d’urbanisme pour de la
prospection quant à un programme électoral dans le cadre des élections de 201816.
23. Troisièmement, la Chambre Contentieuse rappelle les conditions inhérente au principe de
transparence17. Le responsable de traitement doit communiquer à la personne concernée,
entre autres, les informations suivantes relative au traitement des données à caractère
personnel; les raisons du traitement, la base légale sur laquelle le traitement est fondé, l’identité
du responsable de traitement (nom, prénom, adresse mail et adresse postale), l’origine des
données ainsi que l’existence du droit à l’information (cf. point 11 de la présente décision),
d’accès, de rectification et d’opposition. Ces informations doivent être transmise si les données
à caractère personnel sont transmises par la personne concernée ainsi que si elles ne sont pas
collectées auprès d’elle18.
24. Quatrièmement, la Chambre Contentieuse rappelle la possibilité de transmettre une liste des
électeurs à un sous-traitant, sollicité pour réaliser une campagne électorale au nom d’un parti
13
Article 13.1 de la Directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la
protection de la vie privée dans le secteur des communications électroniques. Voir aussi : Note (2024), p.19.
14
Note 2024, p.11.
15
Articles 5.1.b) et 6.4 du RGPD.
16
Décision 39/2020 du 28 juillet 2020 ; Décision 11/2019 du 25 novembre 2019 ; et Décision 10/2019 du 25 novembre 2019.
17
Articles 5.1.b), 12.1, 13 et 14 du RGPD. voir aussi : CEPD Déclaration 2/2019 sur l’utilisation des données à caractère personnel
dans le cadre de campagnes politiques, p.2.
18
Ibid.
Décision 74/2023 - 7/9
politique ou d’un candidat, ainsi que de la nécessité d’établir préalablement une relation
contractuelle avec ce sous-traitant garantissant notamment des mesures techniques et
organisationnelles suffisantes pour assurer la sécurité des données à caractère personnel. 19
25. Dernièrement, la Chambre Contentieuse rappelle que lorsqu’une personne concernée exerce
son droit d’opposition au traitement de données à caractère personnel à des fins de marketing,
inclus la promotion d’un programme électoral tel que détaillé ci-dessus, les données ne peuvent
plus être traitées pour ces finalités et le traitement doit par conséquent cesser20.
26. La Chambre Contentieuse estime que sur base des faits susmentionnés, il y a lieu de conclure
que la défenderesse peut avoir commis une violation des dispositions du RGPD, ce qui justifie
qu’en l’occurrence, l’on procède à la prise d’une décision conformément à l’article 95, §1er, °4 de
la LCA, plus précisément l’adoption d’une décision d’avertissement, et ce en particulier vu des
violations potentielles des articles 5.1.a), 6.1.a) et f) et 12.1 du RGPD et article 13.1 de la Directive
e-Privacy.
27. La présente décision prima facie prise par la Chambre Contentieuse conformément à l’article
95 de la LCA sur la base de la plainte introduite par le plaignant, dans le cadre de la « procédure
préalable à la décision de fond » et pas une décision sur le fond de la Chambre Contentieuse au
sens de l’article 100 de la LCA21.
28. La présente décision a pour but d’informer la défenderesse, présumée responsable du
traitement, du fait que celle-ci peut avoir commis une violation des dispositions du RGPD, afin
de lui permettre d’encore se conformer aux dispositions précitées.
29. Si toutefois la défenderesse n’est pas d’accord avec le contenu de la présente décision prima
facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui pourraient
conduire à une autre décision, elle peut adresser à la Chambre Contentieuse une demande de
traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et ce dans
le délai de 30 jours après la notification de la présente décision. Le cas échéant, l’exécution de
la présente décision est suspendue pendant la période susmentionnée.
30. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des article 98, 2° et 3° juncto
l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs conclusions
et à joindre au dossier toutes les pièces qu’elles jugent utiles. Le cas échéant, la présente
décision est suspendue pour la durée de la procédure de recours.
19
Article 28.1 et 28.3 du RGPD. Voir aussi : EDPS Opinion 3/2018 sur la manipulation en ligne et les données à caractère
personnel, p.16
20
Article 21.2 du RGPD.
21
Section 3, Sous-section 2 de la LCA (article 94 à 97 inclus).
Décision 74/2023 - 9/9
[email protected], et ce dans le délai de 30 jours après la notification de la présente
décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période
susmentionnée.
Et, d’autre part, la défenderesse peut introduire un recours contre cette décision conformément à
l'article 108, § 1 de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour
des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie
défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit
contenir les informations énumérées à l'article 1034ter23 du Code judiciaire. La requête
interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article
1034quinquies24 du C. jud., ou via le système d'information e-Deposit du Ministère de la Justice
(article 32ter du C. jud.).
(sé). Hielke HIJMANS
Président de la Chambre Contentieuse
23
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
24
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.