1/18
Chambre Contentieuse
Décision 97/2024 du 16 juillet 2024
Numéro de dossier : DOS-2020-05645
Objet : Plainte relative à l’absence d’effacement d’une adresse e-mail professionnelle à
la suite d’un licenciement
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur
Hielke HIJMANS, président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, ci-après « le plaignant » ;
La défenderesse : Société Y, ci- après « la défenderesse »
1Le nouveau règlement d’ordre intérieur de l’APD consécutif aux modifications apportées à la LCA par la Loi du 25 décembre
2023 modifiant la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (LCA) est entré en vigueur
le 01/06/2024.
Il est uniquement d’application sur les plaintes, les dossiers de médiation, les requêtes, les inspections et les procédures devant
la Chambre contentieuse initiés à partir de cette date : https://www.autoriteprotectiondonnees.be/publications/reglement-d-
ordre-interieur-de-l-autorite-de-protection-des-donnees.pdf
Les dossiers initiés comme en l’espèce avant le 01/06/2024 restent soumis aux dispositions du règlement d'ordre intérieur
(https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur.pdf tel qu'il existait avant cette date.
Décision quant au fond 97/2024 — 2/18
I. Faits et procédure
1. L'objet de la plainte concerne l’absence d’effacement de l’adresse e-mail professionnelle
nominative du plaignant à la suite de son licenciement par la défenderesse.
2. La défenderesse est une société active dans le domaine de l’immobilier qui exerce
notamment la fonction de syndic de copropriété.
3. La défenderesse expose qu’elle a licencié le plaignant en octobre 2020, sans prestation de
préavis. La défenderesse qualifie cette cessation des activités du plaignant d’abrupte et de
conflictuelle. Elle est, toujours selon elle, intervenue sans préparation de dossiers ni passage
de témoin à l’attention d’un successeur.
4. Les parties sont en désaccord sur les motifs de ce licenciement. La défenderesse met en
évidence un contexte de reprise et, à cette occasion, la découverte d’erreurs
professionnelles commises par le plaignant. Le plaignant dément formellement tout
manquement dans son chef. Il indique qu’au moment de la reprise 7 mois avant son
licenciement, il a au contraire été informé qu’en raison de son âge et de la proximité de sa
prise de pension, il ne faisait pas partie de l’avenir de la société et que ses dossiers seraient
progressivement repris par des collègues d’une société sœur de la défenderesse. A dater de
ce moment, le plaignant indique que son travail a systématiquement été entravé par les
directives contradictoires qu’il recevait de la nouvelle direction.
5. La défenderesse rapporte que le plaignant gérait avant son licenciement une trentaine de
résidences et jouait un rôle tout à fait clé au regard des obligations légales du syndic de
copropriété ainsi que dans le fonctionnement de la société. Ses missions étaient
nombreuses (gestion financière des immeubles, gestion administrative des immeubles et
suivi de la bonne tenue de ces immeubles), s’étalant régulièrement sur plusieurs années.
Dans l’exercice de ses fonctions, le plaignant était en contact direct avec les copropriétaires
des immeubles dont il avait la gestion.
6. La défenderesse expose encore qu’elle n’a eu d’autre choix que de conserver l’adresse e-
mail du plaignant après son licenciement afin d’assurer la continuité des activités de la
société, notamment la tenue des assemblées générales de copropriétaires dont s’occupait
le plaignant et le report de celles-ci pendant la période de pandémie du virus de la covid -19
conformément aux dispositions légales temporairement applicables alors2.
7. La défenderesse souligne en effet que les faits se sont déroulés, outre dans un contexte de
reprise de ses activités, en pleine crise sanitaire liée à la pandémie du virus de la covid-19 au
cours de laquelle le traitement des e-mails reçus était plus essentiel encore (en comparaison
2
Loi du 20 décembre 2020 portant des dispositions diverses temporaires et structurelles en matière de justice dans le cadre
de la propagation du coronavirus Covid-19, M.B., 24 décembre 2020.
Décision quant au fond 97/2024 — 3/18
avec d’autres moyens de communication non électroniques) pour assurer la mission de
syndic et répondre aux demandes des copropriétaires.
8. Le 11 novembre 2020, le plaignant a adressé un courrier recommandé à la défenderesse lui
demandant de mettre fin à l’usage de sa boite e-mail [adresse mail professionnelle de X] en
se basant sur la décision quant au fond 64/2020 du 29 septembre 2020 de la Chambre
Contentieuse de l’APD.
9. Le 3 décembre 2020, le plaignant a introduit une plainte auprès de l’APD contre la
défenderesse. Le plaignant ayant été licencié début octobre 2020 (point 3), il y dénonce le
fait qu’à la date du 3 décembre 2020, la défenderesse envoyait toujours des e-mails depuis
son adresse sans informer les expéditeurs de son départ de la société. Le plaignant dénonce
par ailleurs que dans de nombreuses résidences, son nom apparaissait toujours sur les
panneaux informatifs ains que sur de nombreux documents, ce qui nuisait à sa réputation.
Le plaignant n’était en effet plus à même d’exercer sa fonction puisqu’il avait été licencié
près de deux mois plus tôt.
10. Le 16 décembre 2020, le plaignant confirme au SPL que la défenderesse s’est abstenue de
répondre à sa demande du 11 novembre 2020 (point 8).
11. Le 5 janvier 2021 la plainte est déclarée recevable par le SPL sur la base des articles 58 et
60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, §
1er de la LCA
12. Le 2 février 2021, conformément à l’article 96, § 1er de LCA, la demande de la Chambre
Contentieuse de procéder à une enquête est transmise au Service d’Inspection (SI).
13. Le 30 juin 2021, l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier
et celui-ci est transmis par l’inspecteur général au Président de la Chambre Contentieuse
(art. 91, § 1er et § 2 de la LCA).
14. Le rapport d’enquête du SI s’appuie notamment sur deux rapports technologiques du 18
mars et du 14 juin 2021 et fait les constats suivants :
- Constat 1 : le SI conclut que la défenderesse n’a pas respecté les articles 5.1.b (principe
de finalité), 5.1.c (principe de minimisation) et 5.1.e (principe de conservation limitée)
du RGPD 3 dès lors qu’à la date du 23 mars 2021, soit plus de 5 mois après le licenciement
du plaignant, l’adresse e-mail [adresse mail professionnelle de X] de ce dernier était
toujours active / contactable. Un message de réponse automatique est associé à cette
adresse e-mail qui mentionne que le plaignant a quitté l’entreprise, que l’adresse e-mail
sera prochainement désactivée et que l’adresse e-mail à utiliser à l’avenir est l’adresse
[adresse mail générique].
3 Le SI fait notamment référence à la décision 64/2020 de la Chambre Contentieuse.
Décision quant au fond 97/2024 — 4/18
- Constat 2 : le SI constate qu’il y a eu manquement à l’article 6.1 du RGPD par la
défenderesse dès lors que le maintien de l’adresse e-mail litigieuse pendant plus de 5
mois (soit d’octobre 2020 - licenciement du plaignant - à mars 2021 au minimum -
rapports d’enquête) est excessif. Plus aucune base de licéité - pas même l’intérêt
légitime au sens de l’article 6.1. f) qui autorise la poursuite du traitement pendant une
durée de 1 à 3 mois en fonction des circonstances concrètes de l’espèce - ne permettait
de fonder la poursuite du traitement de cette donnée durant toute cette période.
- Constat 3 : le SI constate que la défenderesse a enfreint le prescrit des articles 12.3,
12.4 et 17.1 du RGPD en s’abstenant de répondre au courrier du 11 novembre 2020 du
plaignant aux termes duquel il formulait une demande d’effacement de son adresse e -
mail professionnelle (articles 12.3 et 12.4) ainsi qu’en ne procédant pas à l’effacement
(article 17.1 du RGPD).
- Constat 4 : le SI relève enfin que le plaignant a mis l’APD en copie du courrier qu’il a
adressé le 8 juin 2021 à la défenderesse et dans lequel il demande que cette dernière
cesse d’utiliser son numéro de téléphone privé comme numéro de contact d’une
centrale téléphonique d’alarme. Le SI constate qu’aucune action n’est postulée par le
plaignant de la part de l’APD et qu’en tout état de cause le délai de réponse d’un mois à
sa demande d’effacement n’est pas écoulé à la date de la clôture de son rapport.
Conformément à l’article 64, § 2 de la LCA, le SI n’estime pas opportun de poursuivre
son enquête concernant ce dernier aspect.
15. Le 27 juillet 2021 la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
16. A cette même date, les parties concernées sont informées des dispositions telles que
reprises à l'article 95.2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en
vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite
pour la réception des conclusions en réponse de la défenderesse est fixée au 22 septembre
2021, celle pour les conclusions en réplique du plaignant au 14 octobre 2021 et celle pour les
conclusions en réplique de la défenderesse au 5 novembre 2021.
17. Le 13 septembre 2021, les conseils de la défenderesse demandent une copie du dossier (art.
95, §2, 3° LCA), laquelle leur est transmise le 16 septembre 2021.
18. A cette même date, la défenderesse accepte de recevoir toutes les communications
relatives à l'affaire par voie électronique.
19. Le 28 septembre 2021, la Chambre Contentieuse reçoit les conclusions en réponse de la
défenderesse. La défenderesse ayant déposé des conclusions de synthèse, son
argumentation est résumée ci-dessous (points 21 et s.).
Décision quant au fond 97/2024 — 5/18
20. Le 13 octobre 2021, la Chambre Contentieuse reçoit les conclusions en réplique du
plaignant. Le plaignant réfute tout intérêt légitime de la défenderesse à poursuivre le
traitement de son adresse e-mail nominative dès lors qu’il lui suffisait de communiquer aux
copropriétaires, via l’adresse générique de l’entreprise, que le syndic avait changé et leur
renseigner les coordonnées du successeur du plaignant. Les circonstances factuelles
spécifiques invoquées par la défenderesse, notamment pour justifier le défaut de réponse à
sa demande d’effacement dans le délai (1 mois) prescrit par le RGPD, sont également
écartées par le plaignant.
21. Le 5 novembre 2021, la Chambre Contentieuse reçoit les conclusions en réplique de la
défenderesse.
22. La défenderesse conteste toute violation de l’article 5.1. b), 5.1. c) et 5.1. e) du RGPD (constat
1 du SI) ainsi que de l’article 6.1 du RGPD (constat 2 du SI). Elle met en avant le fait qu’elle a,
sur la base de l’article 6.1. f) du RGPD, poursuivi le traitement de la donnée de l’adresse e-
mail du plaignant, laissant ouverte la boite e-mail qui y était associée, afin de poursuivre son
activité et ses relations professionnelles avec les copropriétaires concernés à la suite du
brusque départ du plaignant ce, pendant une durée n’excédant pas ce qui était raisonnable
compte tenu des circonstances concrètes de l’espèce. Ces mêmes éléments sont invoqués
pour expliquer son absence de réponse (non contestée) au plaignant dans le délai des
articles 12.3 et 12.4 du RGPD (constat 3 du SI). Enfin, quant au « constat » 4 du SI, la
défenderesse indique qu’elle s’est attachée à vérifier que la déviation des appels d’urgence
des systèmes d’alarme vers le numéro de téléphone portable du plaignant avait bien été
supprimée.
II. Motivation
II.1. Remarque liminaire
23. Il ressort des conclusions des parties que la plainte déposée s’inscrit dans un climat
particulièrement conflictuel qui trouve sa source avant même le licenciement du plaignant
par la défenderesse. La Chambre Contentieuse tient à cet égard à souligner qu’il n’entre pas
dans ses compétences de se substituer à la compétence d’autres instances, judiciaires par
exemple, compétentes en matière de litiges de droit du travail notamment.
II.2. Quant au respect des principes de finalité (article 5.1. b) du RGPD), de minimisation
(article 5.1. c) du RGPD) et de conservation limitée (article 5.1. e) du RGPD)
II.2.1. Le point de vue des parties et du SI
24. Dans son rapport d’enquête, le SI constate ainsi qu’il vient d’être mentionné qu’à la date du
23 mars 2021, soit plus de 5 mois après le licenciement du plaignant, l’adresse e-mail
Décision quant au fond 97/2024 — 6/18
[adresse mail professionnelle de X] de ce dernier est toujours active / contactable. Un
message de réponse automatique est associé à cette adresse qui mentionne que le
plaignant a quitté la société (soit la défenderesse), que l’adresse e-mail sera prochainement
désactivée et que l’adresse e-mail à utiliser à l’avenir est l’adresse [adresse mail générique].
Le SI constate par ailleurs en date du 14 juin 2021, que l’adresse [adresse mail
professionnelle de X] n’est plus joignable même s’il est probable qu’elle existe encore (pages
7 et 9 du rapport du SI).
25. Le plaignant partage le constat du SI.
26. Ainsi qu’il vient d’être mentionné dans l’exposé des faits et des rétroactes de procédure, la
défenderesse conteste toute violation de l’article 5.1. b), 5.1. c) et 5.1. e) du RGPD. Elle met
en avant le fait qu’elle a poursuivi le traitement de la donnée de l’adresse e-mail du plaignant,
laissant ouverte la boite e-mail qui y était associée, afin de poursuivre son activité et ses
relations professionnelles avec les copropriétaires concernés à la suite du brusque départ
du plaignant, ce dans le respect des principes de finalité et de minimisation pendant une
durée n’excédant pas ce qui était raisonnable. Elle souligne que si la Chambre Contentieuse
a par le passé, indiqué que ce délai ne devrait, idéalement, pas dépasser 1 à 3 mois, elle n'en
a pas moins, usant du terme « idéalement », laissé la possibilité d’un délai plus long que des
circonstances concrètes pourraient justifier. La défenderesse met en avant le contexte de
la crise sanitaire liée à la pandémie du virus de la covid-19, l’absence de période de transition
et de passation de dossiers liée au départ abrupt du plaignant, la reprise récente de la société
ainsi que le fait que le plaignant était son seul employé à temps plein pour un nombre non
négligeable de résidences.
II.2.2. Le point de vue de la Chambre Contentieuse
27. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les
principes de protection des données et doit être en mesure de démontrer que ceux-ci sont
respectés (principe de responsabilité – article 5.2. du RGPD). Elle doit par ailleurs, toujours
en sa qualité de responsable de traitement, mettre en œuvre toutes les mesures techniques
et organisationnelles nécessaires à cet effet (article 24 du RGPD).
28. L’article 5.1 b) du RGPD consacre le principe de finalité, soit l’exigence que les données
soient collectées pour des finalités déterminées, explicites et légitimes et ne soient pas
traitées ultérieurement d’une manière incompatible avec ces finalités.
29. C’est à l’aune de la finalité que pourront s’appliquer d’autres principes également consacrés
à l’article 5 du RGPD : le principe de minimisation - aux termes duquel seules les données
adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité pourront
être traitées (article 5.1 c) du RGPD) - et le principe de la limitation de la conservation – aux
termes duquel les données ne peuvent être conservées sous une forme permettant
Décision quant au fond 97/2024 — 7/18
l’identification des personnes concernées que pendant une durée n’excédant pas celle
nécessaire au regard des finalités pour lesquelles elles sont traitées (article 5.1 e) du RGPD).
30. Ces principes et les obligations qui en découlent pour le responsable de traitement, trouvent
un écho en termes de droits pour la personne concernée dès lors que notamment, en
application de l’article 17.1 a) du RGPD, la personne concernée a le droit d’obtenir du
responsable de traitement l’effacement des données la concernant lorsque ces données ne
sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou
traitées.
31. L’adresse e-mail litigieuse du plaignant est une donnée à caractère personnel au sens de
l’article 4.1. du RGPD. Il s’agit en effet d’une information se rapportant à une personne
physique identifiée ou identifiable au sens de cet article. En l’espèce, elle se rapporte au
plaignant.
32. Cette adresse, créée à des fins professionnelles dans le contexte des activités de la
défenderesse, devait permettre au plaignant de recevoir et d’envoyer des courriers
électroniques dans le cadre de ses activités au sein de la défenderesse.
33. La Chambre Contentieuse est d’avis que pour se conformer au principe de finalité (article
5.1. b) du RGPD), combiné aux principes de minimisation (article 5.1 c) du RGPD) et de
limitation du délai de conservation (article 5.1 e) du RGPD), il incombe au responsable de
traitement de bloquer la messagerie électronique des titulaires de celles-ci ayant cessé
leurs fonctions au plus tard le jour de leur départ effectif. Ce blocage devra intervenir après
les en avoir avertis au préalable et après y avoir fait insérer un message automatique. Ce
message automatique avertira tout correspondant ultérieur du fait que la personne
concernée n’exerce plus ses fonctions au sein de l’entreprise et renseignera les
coordonnées de la personne (ou l’adresse mail générique) à contacter en ses lieu et place ce,
pendant une période raisonnable (à priori 1 mois). En fonction du contexte et, en particulier,
du degré de responsabilité exercé par la personne concernée, (telle une fonction
d’administrateur délégué ou une autre fonction clé qu’il ou elle est le ou la seule à exercer
comme en l’espèce) un délai plus long peut être admis ne pouvant idéalement dépasser 3
mois. Cette prolongation doit être motivée et se faire avec l’accord de la personne
concernée ou, au minimum, après l’en avoir avertie. Une solution alternative doit en outre
être recherchée et mise en place le plus rapidement possible sans nécessairement attendre
l’échéance ultime de cette prolongation.
34. La Chambre Contentieuse estime que cette façon de procéder est à privilégier par rapport
au transfert automatique des mails à une autre adresse de courrier électronique de
l’entreprise. Dans le cas d’un transfert automatique, a fortiori sans information à l’émetteur
du message, il n’y a en effet aucune maîtrise sur les courriers électroniques entrant ou « in ».
Par ailleurs, dans ce cas, des informations d’ordre privé potentiellement sensibles pourraient
Décision quant au fond 97/2024 — 8/18
être divulguées à l’insu non seulement de la personne concernée mais également de
l’émetteur du message.
35. Au-delà de cette période (de 1 à 3 mois au maximum), la messagerie électronique de la
personne concernée sera supprimée4.
29. Le plaignant ayant été licencié par la défenderesse en octobre 2020, la Chambre
Contentieuse estime que le traitement de cette donnée aurait dû cesser à cette date ou,
tout au plus, compte tenu de la fonction qu’exerçait le plaignant, dans un délai raisonnable
à dater de celle-ci. La Chambre Contentieuse est d’avis que ce délai aurait pu varier de 1 à 3
mois moyennant notification aux émetteurs de messages de ce que cette adresse de
messagerie n’était plus active, sans transfert automatique des e-mails envoyés.
36. Il résulte des pièces de la présente procédure que l’adresse du plaignant est demeurée
active au minimum 5 mois après la cessation de ses activités au sein de la défenderesse
dont émanait la décision de licenciement avec la mise en place d’un message automatique
informant les émetteurs de messages à destination de l’adresse e-mail du plaignant que ce
dernier ne travaillait plus pour elle et qu’une nouvelle adresse était à utiliser désormais.
37. A l’appui de ce qui précède, et nonobstant la qualité du message automatique mis en place,
la Chambre Contentieuse conclut que l’article 5.1 b), combiné à l’article 5.1 c) et e) du RGPD
n’a pas été respecté par la défenderesse en raison de la durée excessive du maintien de
l’adresse e-mail du plaignant. La Chambre Contentieuse estime que le contexte de la
pandémie et les diverses circonstances invoquées par la défenderesse ne peuvent justifier
ce délai (voy .également infra point 55). Si la gestion des dossiers repris ne pouvait peut-être
pas être réalisée totalement par les successeurs du plaignant, la question du maintien de son
adresse e-mail nominative au-delà de 3 mois est distincte de celle-là.
II.3. Quant au respect de l’exigence d’une base de licéité (article 6 du RGPD)
II.3.1. Le point de vue du SI et des parties
38. Aux termes de son rapport d’enquête, le SI indique qu’une adresse e-mail professionnelle
telle celle du plaignant peut demeurer active un certain délai (constat 1) aux fins d’assurer
4 Dans sa Recommandation CM/Rec(2015)5 sur le traitement des données à caractère personnel dans le cadre de l’emploi, le
Comité des ministres du Conseil de l’Europe énonce au principe 14.5. ce qui suit : lorsqu’un employé quitte son emploi,
l’employeur devrait prendre des mesures techniques et organisationnelles afin que la messagerie électronique de l’employé
soit désactivée automatiquement. Si le contenu de la messagerie devait être récupéré pour la bonne marche de l’organisation,
l’employeur devrait prendre des mesures appropriées afin de récupérer son contenu avant le départ de l’employé et si possible
en sa présence. L’exposé des motifs de la recommandation précise encore (point 122) que dans ces situations où l’employé
quitte l’organisation, les employeurs doivent désactiver le compte de l’ancien employé de sorte à ne pas avoir accès à ses
communications après son départ. Si l’employeur souhaite récupérer le contenu du compte de l’employé, il doit prendre les
mesures nécessaires pour le faire avant le départ de ce dernier et de préférence en sa présence. Cette recommandation
sectorielle qui complète la Convention pour la protection des personnes à l'égard du traitement automatisé des données à
caractère personnel (STE 108) illustre la manière dont les principes de finalité, de minimisation et de conservation
proportionnée, consacrés tant par cette Convention que par le RGPD, doivent s’appliquer.
Décision quant au fond 97/2024 — 9/18
le bon fonctionnement de l’entreprise et la continuité de ses prestations à l’appui de l’intérêt
légitime du responsable de traitement dans le respect des conditions de l’article 6.1. f) du
RGPD. Au-delà de ce délai, le SI est d’avis que plus aucune base de licéité ne permet que le
traitement se poursuive. Partant, le SI conclut que le maintien de l’adresse e-mail litigieuse
pendant plus de 5 mois (soit d’octobre 2020 (licenciement du plaignant) à mars 2021 au
minimum (rapports d’enquête) est excessif et que plus aucune base de licéité ne permettait
de fonder la poursuite du traitement de cette donnée durant toute cette période. Le SI
constate ainsi qu’il y a eu manquement à l’article 6.1 du RGPD par la défenderesse.
39. Le plaignant réfute tout intérêt légitime de la défenderesse à poursuivre le traitement de
son adresse e-mail nominative dès lors qu’il suffisait selon lui que cette dernière
communique aux copropriétaires, via l’adresse générique de l’entreprise, que le syndic avait
changé et leur renseigner les coordonnées du successeur du plaignant. Le plaignant ajoute
qu’un juriste a été engagé au lendemain de son licenciement, venant compléter le personnel
de la société sœur de la défenderesse à qui les dossiers qu’il traitait ont été transférés. Cette
société sœur comptait outre du personnel administratif (…), un autre gestionnaire chargé de
reprendre progressivement ses dossiers. L’accueil et le suivi des appels des clients ainsi que
le travail de secrétariat était accompli par une secrétaire à temps partiel. L’argument de la
défenderesse selon lequel il était seul employé ne peut dès lors être retenu.
40. La défenderesse estime pouvoir se fonder sur son intérêt légitime (article 6.1. f) du RGPD)
à poursuivre ses activités pour justifier le traitement litigieux au-delà d’une durée de 3 mois
compte tenu des circonstances spécifiques du cas d’espèce déjà mentionnées. Il n’y a
donc pas eu selon elle de violation de l’article 6.1. du RGPD dans son chef.
II.3.2. Le point de vue de la Chambre Contentieuse
41. L’article 6.1 du RGPD exige que tout traitement s’appuie sur une base de licéité. En d’autres
termes, le responsable de traitement ne peut traiter de données sans s’appuyer sur une des
bases de licéité listées à l’article 6.1 du RGPD, lequel concrétise le principe de licéité énoncé
à l’article 5.1 a) du RGPD.
42. La Chambre Contentieuse a, aux termes des développements qui précèdent, constaté que
la finalité pour laquelle la donnée constitutive de l’adresse de messagerie était traitée s’est
éteinte avec la cessation des activités du plaignant auprès de la défenderesse. Poursuivant
un intérêt légitime dans le respect des conditions de l’article 6.1 f) du RGPD, l’adresse peut ,
comme l’indique le SI, demeurer active un certain délai aux fins d’assurer le bon
fonctionnement de l’entreprise et la continuité des prestations de la défenderesse. Au-delà
de ce délai, plus aucune base de légitimité ne permet que le traitement se poursuive.
43. La Chambre Contentieuse rappelle que pour pouvoir s’appuyer sur la base de licéité de
"l'intérêt légitime" en application de l'article 6.1.f) du RGPD, le responsable du traitement,
Décision quant au fond 97/2024 — 10/18
soit la première défenderesse en l’espèce, doit démontrer que a) l’intérêt qu'il poursuit via le
traitement de données concerné peut être reconnu comme légitime (le "test de finalité") ; b)
que le traitement envisagé est nécessaire pour réaliser cet intérêt (le "test de nécessité") et
que c) la pondération de cet intérêt par rapport aux intérêts, libertés et droits fondamentaux
des personnes concernées pèse en sa faveur ou en faveur du tiers (le "test de pondération").
44. La Chambre Contentieuse vérifiera si en l’espèce, il est satisfait à ces 3 tests en ce qui
concerne le traitement litigieux.
Test de finalité
45. La Chambre Contentieuse rappelle que pour pouvoir être qualifié de « légitime », l’intérêt
poursuivi par le responsable de traitement (ou le tiers mais ce n’est pas l’hypothèse du cas
d’espèce) doit être licite au regard du droit, déterminé de façon suffisamment claire et
précise, être né et actuel et non fictif ou hypothétique (test de finalité).
46. En l’espèce, la Chambre Contentieuse est d’avis que l’utilisation de l’adresse e-mail du
plaignant pendant un bref laps de temps destiné à assurer la continuité de l’entreprise et les
contacts avec les copropriétés gérées tout en mettant en place les mesures de transition
constitue un intérêt légitime dans le chef de la défenderesse.
Test de nécessité
47. S’agissant du test de nécessité, la Chambre Contentieuse rappelle que la Cour de Justice
de l’Union européenne (CJUE) s'est prononcée entre autres dans l'arrêt « TK » sur cette
condition de nécessité du traitement5, insistant sur l’interprétation stricte de cette
condition laquelle n’est par ailleurs pas propre à l’article 6.1. f) du RGPD mais commune à
toutes les bases de licéité listées à l’article 6.1 du RGPD à l’exception du consentement prévu
à l’article 6.1. a) du RGPD.
48. La CJUE fait également observer que la condition tenant à la nécessité du traitement doit
être examinée conjointement avec le principe dit de "minimisation des données"
consacré à l’article 6, paragraphe 1, sous c), de la directive 95/46 aux termes duquel les
données à caractère personnel doivent être "adéquates, pertinentes et non excessives
au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont
traitées ultérieurement”.
49. La CJUE a également clarifié que s'il existe des alternatives réalistes et moins intrusives
au traitement opéré, ce traitement n'est pas "nécessaire"6. En d’autres termes, le
5 S’agissant de la deuxième condition posée à l’article 7, sous f), de la directive 95/46, relative à la nécessité du recours à un
traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi, la Cour a rappelé que les
dérogations et les restrictions au principe de la protection des données à caractère personnel doivent s’opérer dans les limites
du strict nécessaire (arrêt du 4 mai 2017, Rīgas satiksme, C‑‑13/16, EU:C:2017:336, point 30 et jurisprudence citée).
6Cette condition impose à la juridiction de renvoi de vérifier que l’intérêt légitime du traitement des données poursuivi par la
vidéosurveillance en cause au principal, lequel consiste, en substance, à assurer la sécurité des biens et des personnes et à
prévenir la survenance d’infractions, ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens
Décision quant au fond 97/2024 — 11/18
responsable de traitement doit s’assurer qu’il n’existe pas de moyen moins intrusif
d’atteindre son objectif que de mettre en œuvre le traitement envisagé (par exemple un
dispositif ne traitant pas de données personnelles, ou un traitement différent plus
protecteur du droit à la privée et à la protection des données personnelles de la personne
concernée).
50. Cette jurisprudence formulée relativement aux articles 7 et 6 de la Directive 95/46/CE
reste pertinente à ce jour. L’article 6. 1 du RGPD reprend en effet les termes de l’article 7 de
la directive 95/46/CE - l’intérêt légitime du responsable de traitement y étant retenu (article
7 f) de la directive 95/46/CE et article 6.1. f) du RGPD), certes dans des termes un peu
différents. L’article 5.1. c) du RGPD relatif au principe de minimisation renforce quant à lui les
termes de l’article 6.1.c) de la directive 95/46/CE auquel la CJUE renvoie également. Le
contexte de « vidéosurveillance » de l’arrêt TK est certes distinct de celui dans lequel le
traitement litigieux s’inscrit en l’espèce. Toutefois, cela ne justifie pas que les principes
qu’énoncent la CJUE au regard des conditions de l’intérêt légitime au titre de base de licéité
soient écartés. Ces exigences sont exprimées en termes généraux applicables tous
contextes confondus.
51. En l’espèce, la Chambre Contentieuse est d’avis que le traitement de l’adresse e-mail du
plaignant peut être qualifiée de nécessaire à la réalisation de l’intérêt poursuivi par la
défenderesse, ne fût-ce que pour permettra la réception des messages qui sont encore
adressés à cette adresse et en réponse à ceux-ci, informer les émetteurs du départ du
plaignant et des modalités de communication consécutives à ce départ.
Test de pondération
52. La Chambre Contentieuse rappelle qu’outre les deux conditions précitées, l’article 6.1. f) du
RGPD ne peut être mobilisé que si les intérêts ou les libertés et droits fondamentaux de
la personne concernée ne prévalent pas sur l’intérêt poursuivi par le responsable du
traitement ou le tiers. En d’autres termes, le responsable de traitement doit opérer une mise
en balance, une pondération entre les droits et intérêts en cause, et vérifier dans ce cadre
que les intérêts (commerciaux, de sécurité des biens, de lutte contre la fraude, …) qu’il
poursuit ne créent pas de déséquilibre au détriment des droits et intérêts des personnes
dont les données sont traitées. Si les intérêts et droits de ces dernières prévalent, l'article
6.1. f) du RGPD ne peut pas être utilisé.
53. Concrètement, le responsable de traitement doit tout d’abord identifier les conséquences
de toutes sortes que son traitement peut avoir sur les personnes concernées : sur leur vie
privée mais aussi, plus largement, sur l’ensemble des droits et intérêts couverts par la
moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, en particulier aux droits au respect
de la vie privée et à la protection des données à caractère personnel garantis par les articles 7 et 8 de la Charte." C’est la
Chambre Contentieuse qui souligne.
Décision quant au fond 97/2024 — 12/18
protection des données personnelles. Il s’agit ainsi d’évaluer le degré d’intrusion du
traitement envisagé dans la sphère individuelle, en mesurant ses incidences sur la vie privée
des personnes (traitement de données sensibles, traitement portant sur des personnes
vulnérables, profilage, etc.) et sur leurs autres droits fondamentaux (liberté d’expression,
liberté d’information, liberté de conscience, etc.) ainsi que les autres impacts concrets du
traitement sur leur situation (suivi ou surveillance de leurs activités ou déplacements,
exclusion de l’accès à des services, etc.). Ces incidences doivent être mesurées afin de
déterminer, au cas par cas, l’ampleur de l’intrusion causée par le traitement dans la vie des
personnes. Le principe de minimisation des données sera également tenu en compte.
54. Le responsable de traitement doit ensuite tenir compte, dans la pondération entre son
intérêt légitime et les droits et intérêts des personnes concernées, des « attentes
raisonnables » de ces dernières. Cette prise en compte est essentielle s’agissant de
traitements qui peuvent être mis en œuvre sans le consentement préalable des personnes :
en l’absence d’un acte positif et explicite de leur part, l’intérêt légitime requiert de ne pas
surprendre les personnes dans les modalités de mise en œuvre comme dans les
conséquences du traitement.
55. De manière générale, s’agissant de la poursuite du traitement d’une adresse e -mail
professionnelle après le départ d’une employé ou autre acteur de l’entreprise, la Chambre
Contentieuse est d’avis, ainsi qu’il a été rappelé par la SI dans son rapport d’enquête et au
point 33 de la présente décision, qu’il convient de mettre en place un message automatique
avertissant tout correspondant du fait que la personne concernée ( ici le plaignant) n’exerce
plus ses fonctions au sein de l’entreprise et de renseigner au plus vite les coordonnées de la
personne (ou l’adresse mail générique) à contacter en ses lieu et place ce, pendant une
période raisonnable (à priori 1 mois). Le plaignant ayant été licencié, il importe de clarifier
la situation au plus vite et ne pas créer de confusion ou d‘attentes qu’il ne serait plus en
mesure de satisfaire vu son départ. En fonction du contexte et, en particulier, du degré de
responsabilité exercé par la personne concernée, (telle une fonction d’administrateur
délégué ou une autre fonction clé qu’il ou elle est le ou la seule à exercer comme en l’espèce)
un délai plus long peut être admis ne pouvant idéalement dépasser 3 mois. Même en période
de pandémie comme avancé par la défenderesse pour justifier une prolongation de ce délai,
la Chambre Contentieuse estime que la prolongation de ce délai au-delà de 3 mois ( lesquels
3 mois constituent déjà une extension du délai de base de 1 mois qui tend à exprimer la
balance adéquate entre les intérêts du responsable de traitement et de la personne
concernée) n’est pas justifiée en l’espèce d’autant que, comme que la Chambre
Contentieuse le constatera aux paragraphes qui suivent, cette prolongation s’est faite sans
information du plaignant ni communication du motif de cette prolongation alors même
qu’il s’y opposait. La Chambre Contentieuse estime que 5 mois constituent, même en
l’espèce, une durée excessive au regard des droits et libertés du plaignant, tout
Décision quant au fond 97/2024 — 13/18
particulièrement au regard du principe de minimisation auquel la défenderesse est tenue en
ce compris dans son appréciation du recours à l’article 6.1. f) du RGPD.
Conclusion
56. En conclusion, la Chambre Contentieuse ne peut que constater que plus aucune base de
licéité ne permettait à la défenderesse de fonder la poursuite du traitement de l’adresse-
mail du plaignant. Il y a donc eu manquement à l’article 6.1 du RGPD dans son chef.
II.4. Quant à la suite réservée à la demande d’effacement du plaignant (articles 12.3, 12.4 et
17.1 du RGPD)
II.4.1. Le point de vue du SI et des parties
57. Ainsi qu’il a été mentionné ci-dessus, le SI constate un manquement à l’article 12.3 et 12.4
du RGPD dans le chef de la défenderesse en ce qu’elle s’est abstenue de répondre à la
demande d’effacement du plaignant du 11 novembre 2020, les circonstances invoquées par
la défenderesse n’énervant pas ce constat.
58. De la même façon, le plaignant dénonce cette absence totale de réponse. Aucun des
arguments invoqués par la défenderesse ne lui semble pouvoir être retenu. L’argument de
la cessation précipitée de ses activités ne peut être retenu dès lors qu’il s’agit d’une décision
qui émane de la défenderesse elle-même. L’argument tiré de la reprise des activités par une
direction distincte ne peut non plus être retenu dès lors que cette reprise était intervenue 7
mois avant son licenciement. Le plaignant conteste à cet égard toute erreur commise dans
le cadre de ses prestations. Enfin, le plaignant souligne que les engagements de la nouvelle
direction ont été pris sous la contrainte des services de l’APD alors que la plainte était
pendante et non de manière spontanée.
59. Pour sa part, la défenderesse ne conteste pas n’avoir pas répondu à la demande du 11
novembre 2020 du plaignant d’effacement de son adresse e-mail professionnelle [adresse
mail professionnelle de X]. Outre le contexte de la pandémie et autres circonstances déjà
évoquées, la défenderesse insiste sur le fait qu’elle n’est pas restée inactive puisqu’elle a mis
en place un système de réponse automatique pour l’adresse e-mail du plaignant et l’a
ensuite désactivée. Elle s’est parallèlement attelée à remplacer toutes les affiches et
plaques comportant les coordonnées du plaignant dans les résidences dont il avait la
gestion. Enfin, elle indique avoir vérifié que la déviation des appels d’urgence sur le
téléphone privé du plaignant était bien arrêtée.
II.4.2. Le point de vue de la Chambre Contentieuse
60. La Chambre Contentieuse constate que la défenderesse n’a pas respecté l’article 12.4 du
RGPD aux termes duquel « si le responsable du traitement ne donne pas suite à la demande
Décision quant au fond 97/2024 — 14/18
formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un
délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la
possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un
recours juridictionnel ».
61. En effet, dès lors qu’il reçoit une demande d’exercice des droits d’une personne concernée
(ici le plaignant), le responsable de traitement (ici la défenderesse) est toujours tenu de
répondre à la personne concernée :
- Soit en lui fournissant des informations sur les mesures prises à la suite de sa demande
dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la
réception de la demande conformément au prescrit de l’article 12.3. du RGPD. Au besoin,
ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de
demandes. Dans ce cas, le responsable du traitement n’en informe pas moins la
personne concernée de cette prolongation et des motifs du report dans un délai d'un
mois à compter de la réception de la demande.
- Soit comme rappelé ci-dessus, s’il estime ne pas devoir donner suite à la demande
formulée par la personne concernée (article 12.4.), il informe celle-ci sans tarder et au
plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de
son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de
contrôle et de former un recours juridictionnel.
62. En d’autres termes, la personne concernée ne doit jamais être laissée sans réponse aucune
quelle que soit l’intention du responsable de traitement quant à la suite qu’il donne ou entend
donner à la demande d’exercice d’un droit qui lui est adressée.
63. En l’espèce il n’est pas contesté que la défenderesse s’est abstenue de répondre à la
demande d’effacement du plaignant du 11 novembre 2020.
64. Les circonstances déjà invoquées par la défenderesse et liées à la surcharge de travail, au
contexte particulier de la pandémie ou encore aux conséquences du départ précipité du
plaignant ne sont pas de nature à supprimer ce manquement. Tout au plus ces circonstances
pourraient-elles être prises en compte par la Chambre Contentieuse dans la détermination
de la sanction appropriée au manquement constaté.
65. Il y a donc eu violation de l’article 12.4 du RGPD dans le chef de la défenderesse, qui
s’estimant fondée (quod non – voy. supra) à poursuivre le traitement de l’adresse e-mail du
plaignant, et partant à refuser sa demande d’effacement, n’en aurait pas moins dû lui
répondre et lui exposer les motifs de ce refus ainsi que l’informer de la possibilité d'introduire
une réclamation (plainte) auprès de l’APD et de former un recours juridictionnel.
66. Enfin, comme la Chambre Contentieuse l’a déjà énoncé au ci-dessus, les principes de finalité,
de minimisation et de limitation de la conservation ainsi que les obligations qui en découlent
Décision quant au fond 97/2024 — 15/18
pour le responsable de traitement, trouvent un écho en termes de droits pour la personne
concernée. A défaut pour le responsable de traitement de se conformer à ces obligations de
manière spontanée compte tenu de l’extinction de la finalité de traitement (article 5.1. b) et
e) du RGPD), la personne concernée peut obtenir l’effacement en exerçant ce droit qui lui
est reconnu à l’article 17.1 a) du RGPD. En application de celui-ci, elle a en effet le droit
d’obtenir du responsable de traitement l’effacement des données le concernant lorsque ces
données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été
collectées ou traitées.
67. Nonobstant la demande du plaignant en ce sens, la défenderesse a satisfait tardivement à
cette demande d’effacement une fois la plainte pendante devant l’APD et en violation des
articles 5.1.b) du RGPD, combiné à l’article 5.1. c) et 5.1. e) du RGPD (point 37), ainsi que de
l’article 6.1 du RGPD (point 55).
68. Ce faisant, la défenderesse s’est rendue coupable d’un manquement à l’article 17.1
combiné à l’article 12.4. du RGPD.
II.5. Remarques complémentaires
69. La Chambre Contentieuse prend note de ce que la défenderesse a pris les mesures
nécessaires pour indiquer à la société de sécurité que le numéro de téléphone du plaignant
ne devait plus être appelé en cas d’incident, ce dernier ayant quitté l’entreprise. De manière
générale, il incombait à la défenderesse de faire savoir à ceux et celles à qui les données du
plaignant avaient été communiquées dans le cadre de l’exercice de ses fonctions que celui-
ci ne les exerçait plus ce, idéalement et si possible, de manière proactive mais en toute
hypothèse dès l’instant où le plaignant en avait fait la demande.
70. Pour rappel, l’article 19 du RGPD prévoit en ce sens que « le responsable du traitement
notifie à chaque destinataire auquel les données à caractère personnel ont été
communiquées toute rectification ou tout effacement de données à caractère personnel ou
toute limitation du traitement effectué conformément à l'article 16, à l'article 17, paragraphe
1, et à l'article 18, à moins qu'une telle communication se révèle impossible ou exige des
efforts disproportionnés. Le responsable du traitement fournit à la personne concernée des
informations sur ces destinataires si celle-ci en fait la demande ».
71. Quant aux panneaux renseignant les coordonnées du plaignant affichés dans les
différents immeubles dont il assurait la gestion, la Chambre Contentieuse prend
également note que les coordonnées du plaignant ainsi affichées - lesquelles sont
constitutives de données à caractère personnel le concernant au sens de l’article 4.1. du
RGPD - ont progressivement été effacées et remplacées par une adresse générale de
contact.
Décision quant au fond 97/2024 — 16/18
III. Quant aux mesures correctrices et sanctions
72. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un
organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données
73. Dans ses conclusions, la défenderesse indique que la nouvelle direction de la société a, plus
encore que par le passé, à cœur de respecter la réglementation en matière de protection
des données. Elle indique avoir en ce sens engagé un juriste à temps-partiel depuis les faits
dénoncés. Elle indique avoir également mis en place une politique interne d’utilisation des
outils informatique destinés aux employés et souligne que cette politique fera partie
intégrante du nouveau règlement de travail en cours d’implémentation à la date de l’envoi
de ses conclusions. Dans le cadre de la réflexion globale visant à la mise en conformité avec
le RGPD dont le juriste recruté est notamment chargé, une politique de confidentialité
Décision quant au fond 97/2024 — 17/18
destinée aux employés ainsi qu’une politique de confidentialité destinée aux clients ont été
rédigées.
74. La Chambre Contentieuse prend acte de ces démarches.
75. Les manquements à l’article 5.1 b) du RGPD - combiné à l’article 5.1 c) et e) du RGPD –
(point 37), à l’article 6.1 du RGPD (point 55) ainsi qu’à l’article 17.1. combiné à l’article 12.4
du RGPD (point 68) étant avérés, la Chambre Contentieuse décide d’adresser une
réprimande à la défenderesse pour lesdits manquements.
76. Sans remettre en cause les affirmations de la défenderesse quant aux projets entamés en
2021 déjà, la Chambre Contentieuse n’en assortit pas moins cette réprimande d’un ordre
de mise en conformité. Tenant compte du laps de temps écoulé depuis l’échéance de
calendrier des conclusions aux termes desquelles la défenderesse relate sa mise en
conformité et ses engagements et projets, elle enjoint la défenderesse à lui communiquer
la politique réglant la question de la clôture des messageries électroniques en cas de
départ de l’un de ses administrateurs, employés et autres fonctions éventuelles dans le
mois de la présente décision conformément au dispositif de celle-ci.
77. La Chambre Contentieuse est d’avis qu’il s’agit là des sanctions appropriées, effectives et
suffisamment dissuasives au regard des circonstances du dossier dans lequel les
manquements passés sont avérés mais dans lequel aussi, l’adresse e-mail professionnelle
du plaignant a, in fine, (selon les constats du SI) été supprimée et la défenderesse a indiqué
à la Chambre Contentieuse avoir pris les mesures adéquates pour éviter que les violations
constatées ne se reproduisent à l’avenir.
IV. Publication de la décision
78. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection
des données (APD). Toutefois, il n’est pas nécessaire à cette fin que les données
d’identification des parties soient directement mentionnées.