Çalışma Kayıtlarına Erişim Talebi

1/24

Chambre Contentieuse

Décision quant au fond 97/2026 du 6 mai 2026

Numéro de dossier : DOS-2023-03100

Objet : Plainte relative à l'absence de suite donnée à une demande d'accès tendant à
l'obtention d'une copie de fiches de prestations

La Chambre Contentieuse de l'Autorité de protection des données (ci-après « APD ») ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;

Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») 1 ;

Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 (ci-après « ROI »)2 ;

Vu les pièces du dossier et entendu les parties lors de l’audition du 15 octobre 2025;

A pris la décision suivante concernant :

Le plaignant : X, domicilié à […], représenté par Maître Steve GILSON, dont le cabinet est situé
[…], ci-après « le plaignant » ;

La défenderesse : Y-S.A, dont le siège social est établi à […], inscrite sous le numéro d'entreprise
[…], représentée par Maître Hervé DECKERS et Maître Anne-Catherine DOYEN,
dont le cabinet se situe au […], ci-après : « la défenderesse ».

1
L’APD rappelle que la LCA révisée est entrée en vigueur le 1er juin 2024. Elle ne s'applique qu'aux plaintes, aux dossiers de
médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initié(e)s à partir de cette date.
Les dossiers initiés avant le 1er juin 2024, tel que le présent dossier, sont soumis aux dispositions de l’ancienne version de la
LCA accessible ici : https://www.autoriteprotectiondonnees.be/publications/loi-organique-de-l-apd.pdf
2
Le nouveau ROI, consécutif aux modifications apportées par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017
portant création de l’autorité de protection des données (LCA) est entré en vigueur le 1er juin 2024. Il ne s’applique qu'aux
plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initié(e)s
à partir de cette date. Les dossiers initiés avant le 1er juin 2024 sont soumis aux dispositions du ROI tel qu'il existait avant cette
date.

Décision quant au fond 97/2026 — 2/24

I. Faits et procédure

1. Le plaignant est un technicien employé par la défenderesse. Il a introduit la présente plainte
à la suite du refus de cette dernière de répondre à une demande d’accès visant à obtenir une
copie de ses fiches de prestations pour la période du 10 mai 2016 au 10 mai 2021 (également
appelées « feuilles de route » ou « feuilles de travail » par les parties)3. Ces fiches de
prestations (une par semaine) reprennent pour chaque jour presté, la succession de
déplacements et prestations effectuées, sur la base de notes manuscrites établies par le
technicien (avec notamment les heures des interventions, les interventions effectuées et
les clients chez qui l’intervention a eu lieu).

2. Le 10 mai 2021, le plaignant demande à la défenderesse de lui fournir les corrections de
toutes les feuilles de route des 5 dernières années :

« Donc je demande qu’à cette date tous les techniciens, moi y compris, aient reçu
les corrections de toutes leurs feuilles de route afin de contrôler s’il y a des
anomalies ou non durant ces 5 dernières années ou, si cela fait moins de 5 ans qu’ils
sont dans l’entreprise, depuis leurs dates d’entrée en service ».

3. Le même jour, la défenderesse fournit au plaignant une seule copie de ses fiches de
prestations, relative à la semaine 18 (du 3 mai 2021 au 9 mai 2021), laquelle faisait l’objet
d’une discussion entre les parties.

4. Le 31 mai 2021, à la suite d’une réunion tenue le 25 mai 2021, la défenderesse précise au
plaignant des modalités pour la fourniture de copies :

« Si vous désirez une copie d’une feuille de route sur une date bien déterminée vous
pouvez vous adresser à Z1 qui scannera précisément cette feuille de route.

Si vous désirez une copie de toutes vos feuilles de route passées :

- Prendre rendez-vous avec Z2, 7 jours ouvrables à l’avance,

- Nous préparons des fardes qui contiennent uniquement prestations

- Afin que tout soit clair dans le futur, nous songerons alors à utiliser des
feuilles de route électronique pour faciliter les échanges futurs,…). »

5. Le 17 janvier 2022, par courrier recommandé et par email, le plaignant réitère sa demande
d’accès en ces termes :

3
Les fiches de prestations, également dénommées feuilles de route par les parties, constituaient le système d'enregistrement
du temps de travail de la défenderesse, remplissant une fonction analogue à celle d'une pointeuse, sous forme manuscrite.

Décision quant au fond 97/2026 — 3/24

« Monsieur X s’est aussi inquiété de voir des discordances entre les feuilles de
prestations qui étaient rentrées par les travailleurs et ce qui était déclaré
concrètement au secrétariat social et donc rémunéré. Monsieur X l’a signalé à
l’entreprise et a demandé que le travailleur puisse disposer des feuilles de
prestations des cinq dernières années (…).

Monsieur X sollicite également la production de l’ensemble de ses feuilles de travail
en application du règlement général sur la protection des données afin qu’il puisse
vérifier la comptabilisation de ses heures eu égard aux irrégularités qu’il a
constatées ».

6. Le (…), le Tribunal du travail de (…) rend un jugement portant sur un litige du droit du travail
opposant les parties.

7. Le 17 février 2023, la défenderesse écrit au plaignant en ces termes :

« Monsieur X a réclamé la production, par la S.A. Y, de ses feuilles de route depuis le
début de son engagement, et cela sous la menace de saisir l’Inspection du travail.
Bien que cette demande n’ait pas été motivée, ma cliente lui a confirmé qu’elle
ferait le nécessaire, tous droits saufs et sans la moindre reconnaissance, dès lors
qu’elle entend que les relations avec Monsieur X se poursuivent de manière sereine
et qu’aucun reproche de quelque nature que ce soit ne peut lui être formulé. Elle
n’acceptera toutefois pas d’être soumise par Monsieur X à un quelconque chantage
».

8. Le 18 février 2023, le plaignant répond à la défenderesse en ces termes :

« Monsieur X ne procède à aucun chantage en demandant d’obtenir ses feuilles de
prestations. Il s’agit d’une demande qui est formulée depuis très longtemps et dont
on ne comprend pas que l’employeur n’y fasse pas droit. Cette demande ne doit pas
être motivée. Sa motivation est très simple ».

9. Le 23 février 2023, le plaignant informe la défenderesse qu’il s’est présenté le 20 février
2023 à « ville 2 » afin de réclamer ses fiches de prestations, que celle-ci aurait refusé de
fournir.

10. Le 2 mars 2023, la défenderesse répond au plaignant en ces termes :

« En ce qui concerne la demande (du plaignant) relative à la communication de ses
feuilles de prestations, je vous confirme – à nouveau et pour autant que de besoin
– que (le plaignant) peut en prendre connaissance au siège social de la
(défenderesse), situé à « ville 1 », en-dehors des heures de travail et en prenant
préalablement rendez-vous.

Décision quant au fond 97/2026 — 4/24

Ces documents pourront être consultés sous forme informatique dès lors que dans
le cadre du processus de digitalisation en vigueur au sein de la (défenderesse), ces
documents font l’objet d’une conservation sous forme informatique ».

11. Le 31 mars 2023, le plaignant répond à la défenderesse en ces termes :

« Quant à la consultation des fiches de prestations, (le plaignant) s'est déjà rendu à
« ville 1 » dans le passé avec son collègue, ( …), et l'accès lui a été refusé.

Ne fût-ce que sur base de la charte informatique, l'obtention des feuilles de route
en question ne devrait poser aucune difficulté.

Monsieur Z2 a d’ailleurs adressé un e-mail (au plaignant) en lui indiquant qu'il
pourrait consulter les feuilles de prestations à « ville 2» ou à « ville 1 » dans un
classeur. Qu'en est-il concrètement ? »

12. Le 14 avril 2023, la défenderesse répond :

« En ce qui concerne la consultation des fiches de prestations, je ne peux que vous
renvoyer à nos échanges antérieurs ».

13. Le 27 juillet 2023, le plaignant a introduit une plainte auprès de l’APD à l’encontre de la
défenderesse.

14. Le 13 octobre 2023, la plainte a été déclarée recevable par le Service de Première Ligne sur
la base des articles 58 et 60 de la LCA 4 et la plainte a été transmise à la Chambre
Contentieuse en vertu de l’article 62, § 1er de la LCA.

15. Le 14 février 2024, la Chambre Contentieuse adresse une lettre au plaignant, en le priant de
bien vouloir fournir, au plus tard pour le 28 février 2024, une copie datée de ses échanges
avec la défenderesse, et tout particulièrement le(s) email(s) faisant état de leur refus de
fournir la copie de ses fiches de prestations.

16. Le 22 octobre 2024, la Chambre Contentieuse fait parvenir une lettre aux parties dans
laquelle elle communique plusieurs informations5.

Elle indique que le dossier ne présente pas de manière suffisante la position de la
défenderesse concernant son refus de répondre à la demande d’accès du plaignant. La
Chambre Contentieuse estime qu’il est essentiel d’avoir la position de la défenderesse pour
procéder à une évaluation correcte des arguments au regard des articles 15.4 et 12.5 du
RGPD. La position du plaignant est quant à elle suffisamment développée.

4
En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été
déclarée recevable.
5
En vertu de l'article 95, § 2 LCA, par cette lettre du 22 octobre 2024, la Chambre contentieuse informe notamment les parties
qu'à la suite de cette plainte, le dossier lui a été transmis, ainsi que de la possibilité de consulter et de copier ledit dossier

Décision quant au fond 97/2026 — 5/24

La Chambre Contentieuse demande dès lors à la défenderesse de bien vouloir motiver les
raisons pour lesquelles elle estime ne pas devoir répondre à la demande d’accès du
plaignant, fondée sur l’article 15.3 du RGPD, visant à obtenir une copie de ses fiches de
prestations depuis son entrée en service, c'est-à-dire du 10 mai 2016 jusqu’au 10 mai 2021.

Elle demande à la défenderesse de faire parvenir sa réponse pour le 25 novembre 2024.

17. Le 4 novembre 2024, la défenderesse conteste avoir refusé de répondre à une demande
d’accès du plaignant. Elle produit les courriers des 2 mars 2023 et 14 avril 2023 (points 10 et
12), dans lesquels elle avait proposé des modalités permettant au plaignant de prendre
connaissance de ses fiches de prestations. La défenderesse indique qu’à la suite de ces deux
courriers, elle n’a enregistré aucune réaction, ni de la part du plaignant ni de son conseil.

18. Le 23 janvier 2025, la Chambre Contentieuse adopte la décision « prima facie » n°14/2025.
Dans cette décision, la Chambre Contentieuse décide :

- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 5° de la LCA,
d'ordonner à la défenderesse de se conformer à la demande d'exercice de ses
droits par la personne concernée, et plus précisément de faire suite à la demande
d’accès et de copie du plaignant (art. 15 du RGPD), et ce dans un délai de 30 jours
à dater de la notification de la décision n°14/2025 ; et

- en vertu de l'article 58.2.c) du RGPD et de l'article 95, § 1er, 4° de la LCA, de
formuler un avertissement à la défenderesse en raison des potentielles violations
des articles 15.3 et 12.3 du RGPD.

19. Le 19 février 2025, la défenderesse a fait usage de la possibilité laissée dans la décision
« prima facie » de demander un traitement sur le fond de l’affaire en vertu des articles 98 et
s. de la LCA.

20. Le 25 février 2025, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond. Les parties concernées sont
informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi
qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA,
des délais pour transmettre leurs conclusions.

Au regard des pièces du dossier, y compris le formulaire de plainte, la Chambre Contentieuse
a invité les parties à conclure quant au respect et à l’applicabilité des dispositions suivantes
du RGPD :

- Violations présumées des articles 12.3, 12.4, 15.1 et 15.3 du RGPD en raison de
l’absence de réponse et de suite donnée à l’exercice du droit d’accès visant à
obtenir une copie des fiches de prestations.

Décision quant au fond 97/2026 — 6/24

- Applicabilité de l’article 12.5 du RGPD aux demandes d’accès du plaignant, en ce
que la défenderesse allègue que celles-ci seraient infondées ou, à tout le moins,
excessives.

Les conclusions du plaignant :

21. Le 30 avril 2025, la Chambre Contentieuse reçoit les conclusions du plaignant. Celui-ci
sollicite de la Chambre Contentieuse de dire pour droit que la défenderesse a violé les
articles 12 et 15 du RGPD, et d’enjoindre à la défenderesse de donner suite à la demande
d’accès et de copie du plaignant, en ordonnant à la défenderesse de délivrer dans les huit
jours suivant la décision, une copie de ses fiches de prestations des cinq dernières années,
en réponse à sa demande du 10 mai 2021, sous peine d’une astreinte de 10.000 € par
document manquant et par jour de retard. L’argumentation du plaignant peut être
synthétisée comme ci-dessous.

- À titre de premier moyen, le plaignant qualifie la défenderesse de responsable de
traitement. La défenderesse ne le conteste pas ;

- À titre de deuxième moyen, le plaignant soutient avoir exercé, à plusieurs reprises, son
droit d’accès auprès de la défenderesse conformément à l’article 15.3 du RGPD,
notamment le 10 mai 2021, en sollicitant la transmission d’une copie de ses fiches de
prestations.

- À titre de troisième moyen, le plaignant considère que la défenderesse viole les articles
12 et 15 du RGPD, dans la mesure où, premièrement, contrairement à ce qu’elle prétend
pour la première fois dans ses conclusions, elle n’a pas donné suite à la demande de
copie formulée par le plaignant ; et, deuxièmement, la défenderesse ne justifie pas
légalement son refus de délivrer une copie des fiches de prestations. En effet, le
plaignant estime que ce refus ne peut être justifié par le caractère fastidieux de cette
délivrance, résultant des choix de classement propres à la défenderesse, ni par la
prétendue impossibilité d’identifier les fiches de prestations.

- À titre de quatrième moyen, et à titre surabondant, le plaignant soutient que la
défenderesse l’a privé de tout accès aux fiches de prestations, et non seulement refusé
de donner suite à la demande de copie qu’il avait formulée.

Décision quant au fond 97/2026 — 7/24

Les conclusions de la défenderesse :

22. Le 13 mai 2025, la Chambre Contentieuse reçoit les conclusions de synthèse de la
défenderesse. L’argumentation de la défenderesse peut être résumée comme ci-dessous :

- La défenderesse soutient qu’elle n’a pas violé les articles 12.3 et 15.3 du RGPD. Elle
estime avoir répondu favorablement à la demande d’accès et de copie du plaignant
dans le mois de sa demande.

- Elle considère également que, si elle n’a pas donné suite à une demande de copie, c’est
parce qu’elle n’a pas été en mesure d’identifier les documents visés par la demande
d’accès et de copie, et parce que la délivrance d’une telle copie constituerait un travail
considérable nécessitant le respect d’une procédure particulière. C’est pour ces
raisons que, sans refuser de répondre à la demande, la défenderesse a invité le
plaignant à prendre rendez-vous au moins sept jours ouvrables à l’avance pour une
consultation des fiches de prestations sur place, au siège social de la société. La
défenderesse estime que le plaignant n’a pas respecté cette procédure.

- Enfin, la défenderesse considère que la demande du plaignant est manifestement
infondée ou, à tout le moins, excessive, au sens de l’article 12.5, du RGPD et que dans
un tel cas, elle peut refuser de faire droit à la demande d’accès aux fiches de
prestations.

II. Motivation

II.1. Quant à la portée et à l'objet de la demande d'accès et de copie (art. 15.1 et 15.3 du
RGPD)

i. Principes applicables

23. Le droit d’accès prévu dans l’article 15 du RGPD se compose de trois éléments, à savoir (i) la
confirmation du traitement ou non de données à caractère personnel (« composante
Confirmation »), (ii) l’accès à ces données (ci-après « composante Accès ») et (iii) des
informations sur le traitement (« composante Information »). Cette articulation est rappelée
par le Comité européen de la protection des données (ci-après « EDPB » pour European Data
Protection Board)6 dans ses Lignes directrices 01/2022 sur le droit d'accès 7. En effet, aux
termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du responsable
de traitement la confirmation que des données à caractère personnel la concernant sont ou
ne sont pas traitées. Lorsque c’est le cas, la personne concernée a le droit d’obtenir l’accès

6
Le Comité européen de la protection des données (ci-après « EDPB » pour European Data Protection Board) réunit les
autorités de contrôle des États membres de l'Union européenne et vise à assurer une application cohérente du RGPD.
7
EDPB, Lignes directrices 01/2022 sur les droits des personnes concernées – droit d'accès, adoptées le 28 mars 2023 (ci-
après les « Lignes directrices 01/2022 sur le droit d'accès »), disponibles à l'adresse :
https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 fr.pdf .

Décision quant au fond 97/2026 — 8/24

auxdites données à caractère personnel ainsi qu’à une série d’informations listées à l’article
15.1 a) à h) telles que la finalité du traitement de ses données, les destinataires éventuels de
ses données ainsi que des informations relatives à l’existence de ses droits, dont celui de
demander la rectification ou l’effacement de ses données ou encore celui de déposer plainte
auprès de l’APD.

24. Aux termes de l’article 15.3 du RGPD, la personne concernée a le droit d’obtenir une copie
des données à caractère personnel qui font l’objet du traitement. Cette possibilité d’obtenir
une copie des données à caractère personnel traitées n’est pas un droit supplémentaire de
la personne concernée, mais simplement la modalité de l’accès aux données8. Aussi, cette
disposition précise que lorsque la personne concernée présente sa demande par voie
électronique, les informations sont fournies sous une forme électronique d'usage courant, à
moins que la personne concernée ne demande qu'il en soit autrement. L’article 15.4 du
RGPD prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui.

25. En ce qui concerne les modalités qu'un responsable du traitement doit respecter suite à une
demande d'accès d'une personne concernée, la Chambre Contentieuse rappelle que
l'obligation de fournir une copie prévue par l'article 15.3 du RGPD ne doit pas être comprise
comme un droit complémentaire de la personne concernée, mais comme une manière de
donner accès aux données. Dès lors, l'accès aux données en vertu de l'article 15.1 du RGPD
doit comporter toutes les informations concernant toutes les données et cet accès ne peut
donc pas être compris comme l'octroi d'un accès uniquement à un résumé des données.
L'obligation de fournir une copie sert les finalités du droit d'accès, à savoir permettre à la
personne concernée de prendre connaissance de la licéité du traitement et de la contrôler
(considérant 63 du RGPD). Pour atteindre ces finalités, il n'est dans la plupart des cas pas
suffisant que la personne concernée puisse consulter temporairement les informations et
elle doit pouvoir accéder à ses données par la remise d'une copie de celles-ci.

26. Dans un arrêt C-487/21 du 4 mai 2023, la Cour de Justice de l’Union européenne (CJUE) a
considéré que l’article 15.3 du RGPD doit être interprété en ce sens que « le droit d’obtenir
de la part du responsable du traitement une copie des données à caractère personnel faisant
l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction
fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie
d’extraits de documents voire de documents entiers ou encore d’extraits de bases de
données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est
indispensable pour permettre à la personne concernée d’exercer effectivement les droits

8
EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 3.

Décision quant au fond 97/2026 — 9/24

qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard,
des droits et libertés d’autrui »9.

ii. Positions des parties

27. La défenderesse soutient essentiellement que la demande d’accès du plaignant n’a jamais
été suffisamment précise pour permettre d’y donner une suite utile et qu’elle estime, en
outre, y avoir valablement répondu. Elle fait valoir que la première demande, formulée le 10
mai 2021 dans le cadre des fonctions syndicales du plaignant, portait sur les corrections de
feuilles de route, demande à laquelle elle affirme avoir répondu le jour même. Par la suite,
lorsque le plaignant a réitéré ses demandes en 2023, la défenderesse indique qu'elle ignorait
de quels documents il s'agissait précisément, notamment parce qu'elle lui avait déjà
transmis, dans le cadre de la procédure judiciaire, un relevé des fiches de prestations
couvrant la période demandée, et que le plaignant n'avait à aucun moment précisé quels
documents faisaient encore défaut. La défenderesse soutient que c'est seulement dans le
cadre de la procédure devant la Chambre Contentieuse que la demande aurait été clarifiée,
à savoir qu'elle portait sur les fiches manuscrites individuelles et non sur les relevés
informatiques, alors que cette distinction n'aurait jamais été exprimée clairement
auparavant. C'est dans ce contexte que la défenderesse dit avoir proposé une consultation
sur place au siège social avec prise de rendez-vous préalable, solution qu'elle présente
comme raisonnable dans la mesure où elle permettrait au plaignant d'identifier lui-même les
documents dont il a besoin, compte tenu du volume considérable de fiches classées non par
travailleur mais par journée de prestation.

28. Le plaignant conteste fermement ces affirmations. Il considère que ses demandes ont
toujours été claires et que la défenderesse n’y a jamais donné suite. Il relève à cet égard que
les documents effectivement fournis par la défenderesse ne satisfont nullement à sa
demande de copie, laquelle portait sur l’ensemble des feuilles de prestations depuis son
entrée en service. Or, il n’a reçu de la défenderesse qu’une fiche de prestation suite à sa
demande le 10 mai 2021, ainsi qu’un relevé informatique incompréhensible selon lui et ne
reprenant qu’une partie des interventions réellement effectuées.

9
CJUE, arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF GmbH, C-487/21, ECLI:EU:C:2023:369, § 45. C’est
la Chambre Contentieuse qui souligne.

Décision quant au fond 97/2026 — 10/24

iii. Position de la Chambre Contentieuse

29. S'agissant en premier lieu de la demande du 10 mai 2021, la Chambre Contentieuse est d'avis
que, nonobstant l'absence de référence explicite à l'article 15 du RGPD, la demande
formulée par le plaignant tendant à recevoir les corrections de toutes ses feuilles de route
afin de contrôler l'existence d'éventuelles anomalies au cours des cinq dernières années,
peut être interprétée comme une demande d'accès et de communication de copie au sens
des articles 15.1 et 15.3 du RGPD, suffisamment claire dans son objet. La réaction même de
la défenderesse le confirme puisqu’en réponse à cette demande, celle-ci (i) a, le 10 mai 2021,
fourni au plaignant une copie d’une fiche de prestations « corrigée » qui faisait l’objet d’une
discussion entre les parties (ayant, à raison, refusé de fournir les fiches de prestation
d’autres personnes) et (ii) a, le 31 mai 2021, demandé au plaignant soit d’identifier les fiches
de prestations qu’il souhaitait spécifiquement obtenir (auquel cas il pouvait recevoir un scan
de la fiche en question), soit de suivre une procédure spécifique pour obtenir copie de
l'ensemble de ses fiches de prestations, ce qui démontre qu'elle avait bien compris que le
plaignant cherchait bien à obtenir des copies des fiches de prestation en tant que telles
(point 4).

30. S'agissant en second lieu de la demande du 17 janvier 2022, toute ambiguïté résiduelle a, en
tout état de cause, été dissipée. En effet, à cette date, le conseil du plaignant a expressément
sollicité la production de l'ensemble des fiches de prestations en invoquant le RGPD (point
5), en précisant que cette demande, portant sur les cinq dernières années, s'inscrivait dans
le cadre de la vérification de la comptabilisation des heures de son client. Une telle
formulation ne souffre d'aucune ambiguïté, ni quant à son objet, ni quant à son fondement
juridique. La Chambre Contentieuse relève en particulier que le plaignant entendait obtenir
les fiches de prestations en tant que telles, afin de vérifier si les heures qu'il avait lui-même
déclarées correspondaient à celles qui avaient effectivement été comptabilisées par la
défenderesse.

31. La Chambre Contentieuse ne saurait donc retenir l'argument selon lequel la défenderesse
aurait ignoré, jusqu'à la procédure devant elle, que la demande portait sur l'ensemble des
fiches de prestations manuscrites individuelles et qu'une confusion aurait existé quant à
l'objet précis de la demande, au motif qu'elle avait produit, dans le cadre de la procédure
judiciaire, un relevé informatique des fiches de prestations couvrant la période demandée,
relevé qui, selon elle, aurait satisfait à la demande. Or, la demande du plaignant visait non pas
un relevé retranscrivant les données figurant sur les fiches, mais bien l'ensemble des fiches
de prestations en elles-mêmes. Cette demande a été exprimée de manière constante et non
équivoque lors des demandes répétées du plaignant. Le plaignant a d’ailleurs expliqué à la
défenderesse, dès la première demande, qu’il entendait obtenir ces copies afin de vérifier la
comptabilisation de ses heures, eu égard aux irrégularités qu’il avait constatées. Or, il ne

Décision quant au fond 97/2026 — 11/24

pouvait échapper à la défenderesse que la communication d'un relevé informatique ne
permettait nullement au plaignant de procéder à cette vérification, laquelle ne pouvait
s'effectuer que par confrontation aux documents sources, à savoir les fiches manuscrites
que le plaignant avait lui-même remplies.

32. Par ailleurs, la proposition de consultation sur place formulée par la défenderesse ne saurait
constituer une réponse adéquate à la demande du plaignant. Celle-ci portait en effet
clairement sur la remise d'une copie au sens de l'article 15.3 du RGPD, et non sur une simple
consultation temporaire des documents. La Chambre Contentieuse rappelle à cet égard que
la fourniture d'une copie des données traitées constitue la modalité d'accès consacrée par
cette disposition et confère à la personne concernée la possibilité d'obtenir la remise d'une
reproduction fidèle de ses données, sous une forme lui permettant d'en disposer librement
et durablement. Inviter le plaignant à consulter les classeurs dans les locaux de la
défenderesse ne saurait dès lors être assimilé à une réponse adéquate à une demande de
copie, quand bien même cette consultation aurait pu, en pratique, s'accompagner d'une
possibilité de photocopie sur place.

33. Au surplus, si un doute avait réellement existé dans le chef de la défenderesse quant à la
portée de la demande d'accès, il lui aurait incombé de le clarifier auprès du plaignant,
conformément à l'obligation de facilitation prévue par l'article 12.2 du RGPD.

34. Quant à l'étendue temporelle de la demande, la Chambre Contentieuse ne décèle pas
davantage d'incertitude. Plusieurs des demandes successives visaient expressément les
cinq dernières années d'activité du plaignant au sein de la défenderesse, à compter de la
première demande du 10 mai 2021.

35. Il résulte en définitive de l'ensemble des éléments du dossier que la demande de copie avait
été clairement formulée par le plaignant dès le 10 mai 2021 et qu'elle avait manifestement
été comprise comme telle par la défenderesse. Le maintien des réticences de la
défenderesse à délivrer la copie révèle que la prétendue incompréhension de la demande
n'était pas la véritable raison de son inaction. Celle-ci tenait, en réalité, au volume de travail
que représentait, à ses yeux, l'exécution de la demande. La Chambre Contentieuse estime
que c'est cette considération, et non un quelconque défaut de clarté, qui explique que la
défenderesse ait systématiquement cantonné le plaignant à une consultation sur place
plutôt que de lui communiquer la copie de l'ensemble des documents sollicités. Il convient,
dès lors, d'examiner si ce motif, tiré du caractère prétendument excessif de la demande, est
de nature à justifier l'absence de réponse de la défenderesse.

Décision quant au fond 97/2026 — 12/24

II.2. Quant au prétendu caractère excessif de la demande de copie (art. 12.5 du RGPD)

i. Principes applicables

36. L'article 12.5 du RGPD pose avant tout le principe selon lequel l'exercice du droit d'accès
n'entraîne aucun frais pour la personne concernée 10. Cette disposition envisage toutefois
deux circonstances dans lesquelles un responsable du traitement peut soit facturer des frais
raisonnables tenant compte des coûts administratifs, soit refuser de donner suite à une
demande d'accès11. Ces circonstances ont trait à des cas d'abus de droit, dans lesquels les
demandes de la personne concernée doivent être regardées comme étant « manifestement
infondées » ou « excessives »12, le caractère répétitif de la demande pouvant notamment être
pris en considération13. L'article 12.5 du RGPD poursuit, à cet égard, le même objectif que
l'article 57.4 du même règlement et constitue une expression du principe général de droit
de l'Union en vertu duquel les justiciables ne sauraient frauduleusement ou abusivement se
prévaloir des normes de l'Union14.

37. L'article 12.5 du RGPD institue une exception à l'obligation de facilitation des droits de la
personne concernée, et notamment du droit d'accès, qui doit être interprétée de façon
restrictive15. De même, les principes de transparence et de gratuité des droits des personnes
concernées ne peuvent être compromis que dans des circonstances exceptionnelles. Il en
résulte que le responsable du traitement ne peut se prévaloir du caractère manifestement
infondé ou excessif d'une demande qu'à titre exceptionnel et selon des critères élevés,
l'article 12.5, alinéa 2, du RGPD lui faisant explicitement supporter la charge de cette
démonstration, qu'il lui appartient d'apporter au cas par cas, à la lumière du contexte dans
lequel la demande a été présentée. En dehors des limites, dérogations et limitations
expressément prévues, le RGPD n'autorise aucune autre exemption ou dérogation au droit
d'accès.

38. Dans les Lignes directrices 01/2022 sur le droit d'accès précitées, l’EDPB précise ce qu’il
faut entendre par « manifestement infondé » et « excessif » au sens de l’article 12.5 du

10
L’article 12.5 du RGPD dispose que « Aucun paiement n'est exigé pour fournir les informations au titre des articles 13 et 14
et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l'article 34 ».
11
L’article 12.5 du RGPD dispose que « lorsque les demandes d'une personne concernée sont manifestement infondées ou
excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : a) exiger le paiement de frais
raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux
communications ou prendre les mesures demandées; ou b) refuser de donner suite à ces demandes. Il incombe au
responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande ».
12
CJUE, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C-307/22, EU:C:2023:811, point 31.
13
Voy. CJUE, arrêt du 19 mars 2026, Brillen Rottler, C-526/24, EU:C:2026:216, points 26 à 35, par lequel la Cour juge qu'une
première demande d'accès peut, en principe, être qualifiée d'excessive au sens de l'article 12.5 du RGPD.
14
CJUE, Brillen Rottler, op.cit., points 23 à 30.
15
CJUE, arrêt du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives), C-416/23, EU:C:2025:3, point
33 ; CJUE, Brillen Rottler, op.cit., point 29.

Décision quant au fond 97/2026 — 13/24

RGPD16. S'agissant du caractère « manifestement infondé », une telle qualification suppose
que les exigences de l'article 15 du RGPD ne sont, suivant une approche objective,
clairement pas remplies. Dès lors qu’il n’existe que très peu de conditions préalables au droit
d’accès, les cas dans lesquels une demande pourra être jugée « manifestement infondée »
sont très réduits17. S'agissant du caractère « excessif », l'EDPB estime que, outre l'hypothèse
d'une demande répétitive, une demande ne peut être qualifiée d'excessive qu'en cas de
recours abusif à l'article 15 du RGPD, c'est-à-dire lorsque la personne concernée fait un
usage de son droit d'accès dans le seul but de causer un préjudice au responsable du
traitement18.

39. Cette interprétation s'inscrit dans la jurisprudence constante de la CJUE relative à la
prohibition de l'abus de droit. La preuve d'une pratique abusive nécessite la réunion de deux
éléments : d'une part, un élément objectif, consistant en un ensemble de circonstances
objectives dont il résulte que, malgré un respect formel des conditions prévues par la
réglementation de l'Union, l'objectif poursuivi par cette réglementation n'a pas été atteint ;
d'autre part, un élément subjectif, consistant en la volonté de la personne concernée
d'obtenir un avantage résultant de la réglementation de l'Union en créant artificiellement les
conditions requises pour son obtention19.

40. S'agissant plus spécifiquement de l'élément subjectif, la Cour précise qu'une intention
abusive peut être constatée lorsque la personne concernée introduit sa demande d'accès «
pour une finalité autre que celle de prendre connaissance du traitement de ces données et
d’en vérifier la licéité, afin de pouvoir, par la suite, obtenir une protection des droits qu’elle
tire de ce règlement »20. Il incombe au responsable du traitement de démontrer de façon non
équivoque que la personne concernée a introduit une demande d’accès afin non pas de
prendre connaissance de ce traitement, mais de créer artificiellement les conditions
requises pour l’obtention d’une réparation de la part dudit responsable du traitement21. Aux
fins de cette appréciation, la Cour invite à prendre en compte l'ensemble des circonstances
de l'espèce, et notamment le fait que la personne concernée ait fourni des données à
caractère personnel sans y être contrainte, le but de la fourniture de ces données, le temps
écoulé entre celle-ci et la demande d'accès, ainsi que le comportement de cette personne 22.

16
EDPB, Lignes directrices 01/2022 sur le droit d'accès.
17
Pour introduire une demande d’accès, il suffit en effet que les personnes demandeuses précisent qu’elles souhaitent
connaître les données à caractère personnel les concernant qui seraient traitées par le responsable de traitement. Aucune
exigence formelle n’est requise par le RGPD. Pour plus de détails, voir Lignes directrices 01/2022 sur le droit d'accès, section
3.
18
EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 188 (la Chambre Contentieuse souligne), voir également les
exemples cités aux points 189 et 190.
19
CJUE, Brillen Rottler, op.cit., point 36 et jurisprudence citée.
20
CJUE, Österreichische Datenschutzbehörde (Demandes excessives), op.cit., points 50 et 56.
21
CJUE, Brillen Rottler, op.cit., point 41.
22
CJUE, Brillen Rottler, op.cit., point 42.

Décision quant au fond 97/2026 — 14/24

ii. Positions des parties

41. En l’espèce, la défenderesse fait valoir en substance que la demande du plaignant est
excessive, car la fourniture de la copie sollicitée représenterait une charge de travail
considérable, eu égard à son système d’archivage 23. Elle expose à cet égard que les fiches
de prestations sont classées par journée de travail dans plusieurs dizaines de classeurs et
non par travailleur, de sorte qu'il lui faudrait affecter un ou deux membres de son personnel
pendant plusieurs heures, voire plusieurs jours, pour isoler les fiches du plaignant, en faire
des copies, les scanner et les lui transmettre. Elle ajoute qu'une société comptant plus de
cinquante techniciens devrait, si pareille demande devait être satisfaite, engager du
personnel spécifiquement à cette fin. C'est pour ces raisons qu'elle a proposé au plaignant
de se rendre sur place afin d'identifier lui-même, dans les classeurs, les fiches dont il
souhaiterait obtenir copie, à charge pour le personnel administratif de la société de procéder
ensuite à la photocopie des documents sélectionnés.

42. Le plaignant conteste cette qualification. Il relève tout d’abord que la défenderesse n’a, à
aucun moment au cours des échanges ayant précédé la plainte, invoqué le caractère
manifestement infondé ou excessif de la demande au sens de l’article 12.5 du RGPD. Le
plaignant fait ensuite valoir que les difficultés pratiques invoquées par la défenderesse
résultent exclusivement de ses propres choix en matière d’archivage (classement par jour
et non par travailleur), dont elle ne saurait se prévaloir pour éluder ses obligations au titre du
RGPD. Il suffirait, selon lui, de trier les fiches concernées et de les scanner pour en
transmettre une copie.

iii. Position de la Chambre Contentieuse

43. À la lumière des principes rappelés ci-dessus, la Chambre Contentieuse considère que la
défenderesse n'établit pas le caractère manifestement infondé ou excessif de la demande
du plaignant au sens de l'article 12.5 du RGPD, et ce pour les motifs suivants.

44. En premier lieu, la Chambre Contentieuse constate que la demande du plaignant ne saurait
être qualifiée de manifestement infondée au sens de l'article 12.5 du RGPD. Ainsi qu'il a été
rappelé ci-dessus, une telle qualification ne peut être retenue que dans des cas
exceptionnels où, suivant une approche objective, les exigences de l'article 15 du RGPD ne
sont clairement pas remplies. Or, en l'occurrence, la demande du plaignant remplit
l'ensemble des conditions auxquelles est soumis l'exercice du droit d'accès. En effet, la
demande d’accès émane d'une personne concernée identifiée, qui sollicite la
communication de données à caractère personnel la concernant et qui sont effectivement
traitées par la défenderesse en sa qualité de responsable du traitement, à savoir les fiches

23
Page 11 des conclusions de la défenderesse : « Les feuilles de prestations sont classées par jour de prestations dans plusieurs
dizaines de classeurs. Elles ne sont pas classées par travailleur. La S.A. Y doit donc isoler les feuilles de prestations de Monsieur
X avant que Monsieur X puisse les consulter et le cas échéant, en prendre copie » .

Décision quant au fond 97/2026 — 15/24

de prestations qu'elle a elle-même remplies dans le cadre de l'exécution de sa relation de
travail. La défenderesse n'apporte, au demeurant, aucun élément susceptible d'étayer que
la demande aurait été manifestement infondée, l'ensemble de son argumentation étant en
réalité tiré du caractère prétendument excessif de la demande, examiné ci-après.

45. En deuxième lieu, en ce qui concerne le caractère excessif, la Chambre Contentieuse
observe que la défenderesse n'allègue ni a fortiori ne démontre que la demande du plaignant
aurait été formulée dans une intention abusive au sens de la jurisprudence précitée (points
36 à 40). Il convient de rappeler qu'en vertu de l'article 12.5, alinéa 2, du RGPD, c'est au
responsable du traitement qu'il incombe d'établir le caractère manifestement infondé ou
excessif de la demande, selon les exigences strictes rappelées ci-dessus. Or la
défenderesse s'est exclusivement prévalue, à l'appui de son refus, de la charge de travail
qu'engendrerait la satisfaction de la demande, en raison de son propre système d'archivage.
La Chambre Contentieuse relève au demeurant que la défenderesse n'a soulevé le moyen
tiré de l'article 12.5 du RGPD qu'au stade de ses conclusions devant la Chambre
Contentieuse, sans avoir invoqué cette qualification au cours des échanges ayant précédé
la plainte.

46. En troisième lieu, l'application au cas d'espèce du test de l'abus de droit ne permet pas
d’établir une intention abusive dans le chef du plaignant, et ce tant au regard de son élément
objectif qu'au regard de son élément subjectif.

- S'agissant de l'élément objectif, l'objectif poursuivi par l'article 15 du RGPD ne peut
être considéré comme n'ayant pas été atteint en l'espèce. La demande du plaignant
tend précisément à prendre connaissance des données à caractère personnel le
concernant qui sont traitées par la défenderesse et à en vérifier l'exactitude24, à savoir
la concordance entre les prestations qu'il avait lui-même renseignées sur les fiches
manuscrites et celles retranscrites dans le système informatique de la défenderesse.
À supposer même que le plaignant ait, en outre, été motivé par un motif étranger aux
finalités visées par le considérant 63 du RGPD — quod non —, cette circonstance
demeurerait sans incidence dès lors que la CJUE a jugé que l'obligation de fournir une
copie s'impose au responsable du traitement, même lorsque cette demande est
motivée par un but étranger à ceux visés par ce considérant25, de sorte que la poursuite
éventuelle d'une finalité étrangère, à la supposer établie, ne serait pas de nature à priver
la demande de l'objectif que l'article 15 du RGPD est appelé à servir.

24
EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 10 : « la finalité du droit d’accès est de permettre aux personnes
concernées de comprendre comment leurs données à caractère personnel sont traitées ainsi que les conséquences de ce
traitement, et de vérifier l’exactitude des données traitées sans avoir à justifier leur intention. En d’autres termes, l’objectif du
droit d’accès est de fournir aux personnes physiques des informations suffisantes, transparentes et facilement accessibles
sur le traitement des données, quelles que soient les technologies utilisées, et de leur permettre de vérifier différents aspects
d’une activité de traitement particulière au titre du RGPD (par exemple, la licéité, l’exactitude) ».
25
CJUE, ordonnance du 27 mai 2024, Addiko Bank, C-312/23, EU:C:2024:458.

Décision quant au fond 97/2026 — 16/24

- S'agissant de l'élément subjectif, la défenderesse demeure en défaut d'apporter le
moindre élément susceptible d'établir que le plaignant aurait entendu créer
artificiellement les conditions requises en vue d'obtenir un avantage tiré du RGPD. Le
plaignant n'a, en effet, pas fourni ses données à caractère personnel à la défenderesse
de sa propre initiative en vue de provoquer un traitement et de pouvoir s'en prévaloir
ultérieurement : les fiches de prestations litigieuses ont été établies dans le cadre
normal de l'exécution d'une relation de travail préexistante. La fourniture de ces
données et l'introduction de la demande d'accès sont, en outre, séparées par plusieurs
années — la demande du 10 mai 2021 portant sur des fiches établies depuis le 10 mai
2016. Aucun des deux éléments cumulatifs de l’abus de droit n'est dès lors réuni en
l'espèce.

47. En quatrième lieu, et contrairement à ce qu'affirme la défenderesse, la Chambre
Contentieuse relève que le volume des documents visés par la demande demeure, en
l'occurrence, limité et aisément identifiable. Les fiches de prestations étant établies à raison
d'une fiche hebdomadaire par travailleur, la demande du plaignant, portant sur la période du
10 mai 2016 au 10 mai 2021, concerne approximativement 250 documents, tous
strictement identifiés par travailleur et par période temporelle. Il ne s’agit donc nullement
d’une demande générale et indifférenciée visant l’ensemble des données éventuellement
traitées par la défenderesse (tels que courriels, documents RH, etc.), mais bien d’une
demande ciblée sur une catégorie unique de documents.

48. En cinquième lieu, à supposer même que la charge de travail invoquée par la défenderesse
soit avérée, celle-ci ne saurait, à elle seule, conférer à la demande un caractère excessif au
sens de l'article 12.5 du RGPD. L'EDPB le souligne expressément dans ses Lignes directrices
01/2022 précitées, en énonçant que « le fait qu'il faudrait beaucoup de temps et d'efforts au
responsable du traitement pour fournir les informations ou la copie à la personne concernée
ne saurait, à lui seul, rendre une demande excessive »26, dès lors que de nombreuses activités
de traitement impliquent, par nature, le déploiement d'efforts importants pour satisfaire aux
demandes des personnes concernées. Par ailleurs, le droit d’accès ne comporte aucune
réserve générale quant à la proportionnalité en ce qui concerne les efforts que le
responsable du traitement doit prendre pour répondre à la demande des personnes
concernées au titre de l’article 15 du RGPD 27. En outre, le terme « approprié » figurant
notamment à l'article 12.1 du RGPD ne saurait être interprété comme « un moyen de limiter
la portée des données couvertes par le droit d'accès » 28. Il en résulte que la charge alléguée
ne saurait justifier à elle seule un refus, et ce d'autant moins lorsque celle-ci résulte, comme

26
EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 188.
27
Ibid., point 166.
28
Ibid., point 129.

Décision quant au fond 97/2026 — 17/24

en l'espèce, des contraintes organisationnelles et administratives découlant du système
d'archivage que la défenderesse s'est elle-même imposé. Un tel refus n'est susceptible
d'intervenir qu'en présence d'une intention abusive établie selon les exigences rappelées ci-
dessus. Toute autre interprétation viderait de sa substance le droit consacré à l'article 15 du
RGPD et serait contraire tant à l'article 12.2 qu'à l'article 25 du même règlement, lesquels
imposent au responsable du traitement, respectivement, de faciliter l'exercice du droit
d'accès de la personne concernée et de mettre en œuvre, dès la conception du traitement,
les mesures techniques et organisationnelles propres à en garantir l'exercice effectif.

49. En dernier lieu, il ressort des échanges entre les parties que la défenderesse a entendu
reprocher au plaignant l'absence de motivation de sa demande de copie (voir notamment
point 7). La Chambre Contentieuse rappelle à cet égard que la personne concernée n'est
nullement tenue de justifier les raisons pour lesquelles elle entend exercer son droit d'accès.
La CJUE a expressément jugé que ni l'article 12.5 ni l'article 15.1 et 15.3 du RGPD ne
subordonnent la fourniture, à titre gratuit, d'une première copie à l'invocation par la
personne concernée d'un motif justifiant sa demande29. La défenderesse ne pouvait, dès
lors, subordonner sa réponse à la communication de tels motifs.

50. Au regard de l'ensemble de ces éléments, la Chambre Contentieuse considère que la
défenderesse n'a établi ni le caractère manifestement infondé, ni le caractère excessif de la
demande du plaignant au sens de l'article 12.5 du RGPD. Elle ne pouvait, dès lors,
légitimement se prévaloir de cette disposition pour s'abstenir de donner suite à la demande
de copie.

II.3. Quant au respect des autres modalités d’exercice du droit d’accès (article 12.2, 12.3 et
12.4 du RGPD)

51. L’article 12 du RGPD relatif aux modalités d’exercice de leurs droits par les personnes
concernées prévoit quant à lui notamment que le responsable de traitement doit faciliter
l’exercice des droits par la personne concernée (article 12.2 du RGPD) et lui fournir des
informations sur les mesures prises à la suite de sa demande dans les meilleurs délais et au
plus tard dans le délai d’un mois à compter de sa demande (article 12.3 du RGPD). Lorsque le
responsable de traitement n’a pas l’intention de donner suite à la demande, il doit notifier
son refus dans un délai d’un mois accompagné de l’information selon laquelle un recours
contre ce refus peut être introduit auprès de l’autorité de contrôle de protection des
données (article 12.4 du RGPD).

52. Dans l’éventualité d’un refus de faire suite à une demande, la Chambre Contentieuse
souligne l’importance de la motivation de ce refus. L’article 12.4 du RGPD doit être lu en

29
CJUE, FT (Copies du dossier médical), op.cit., points 38 à 52.

Décision quant au fond 97/2026 — 18/24

combinaison avec l’article 12.2 : pour faciliter l’exercice des droits des personnes
concernées, un responsable de traitement doit indiquer en des termes clairs et simples le
motif de son refus. Si ce refus est fondé sur une disposition légale, la disposition légale
pertinente doit être communiquée à la personne concernée. En effet, il serait difficile pour
une personne concernée d’évaluer la pertinence d’un refus et d’exercer ses droits si la
motivation d’un tel refus repose sur une base légale erronée ou manquante.

53. La défenderesse soutient ne pas avoir refusé de répondre à la demande du plaignant, mais
avoir mis en place une procédure spécifique que celui-ci était tenu de respecter pour obtenir
copie des documents litigieux. Cette procédure, communiquée au plaignant, prévoyait que
celui-ci prenne rendez-vous au moins sept jours ouvrables à l'avance pour une consultation
sur place au siège social de la défenderesse. Elle justifie cette démarche en ces termes :

« Bien qu’isoler toutes les feuilles de route de Monsieur X sur plusieurs années
demande un travail considérable, la S.A. Y est disposée à effectuer ce travail
pour peu que Monsieur X respecte la procédure établie. La S.A. Y n’a pas refusé
la demande de Monsieur X alors qu’elle était en droit de le faire mais a établi une
procédure à suivre, vu l’ampleur du travail qu’engendre cette demande »30.

54. Tout en affirmant ne pas avoir refusé de donner suite à la demande, la défenderesse soutient
parallèlement que celle-ci serait manifestement infondée ou, à tout le moins, excessive au
sens de l'article 12.5 du RGPD, et qu'elle serait en droit de la rejeter à ce titre.

55. La Chambre Contentieuse ne peut retenir cette présentation des faits. Il a été établi que la
demande du plaignant était claire et que la défenderesse a, dans les faits, refusé d'y donner
suite depuis le 10 mai 2021, au motif de la charge de travail qu'elle impliquait. Ce faisant, la
défenderesse n'a à aucun moment notifié au plaignant un refus formel comme l'exige
l'article 12.4 du RGPD. Elle a au contraire laissé le plaignant dans l'expectative, en lui
proposant des procédures alternatives faisant peser sur lui une charge qui incombait
pourtant au responsable du traitement, méconnaissant ainsi par la même occasion
l'obligation de facilitation de l’exercice des droits imposée par l'article 12.2 du RGPD. En
subordonnant la remise des documents à la venue du plaignant dans ses locaux et en
exigeant de celui-ci qu'il identifie lui-même les fiches dont il souhaite copie, la défenderesse
lui transfère en réalité la charge qui lui incombe en tant que responsable du traitement.

56. La Chambre Contentieuse relève en outre que la solution de consultation sur place proposée
par la défenderesse soulève une difficulté supplémentaire au regard du RGPD. Les fiches de
prestations contiennent en effet non seulement les données personnelles du plaignant, mais
également les noms et informations relatifs aux clients de la défenderesse. Or, laisser le
plaignant consulter librement les classeurs dans les locaux de la société l'exposerait

30
Conclusions de la défenderesse, p. 13.

Décision quant au fond 97/2026 — 19/24

nécessairement aux données personnelles de tiers, en méconnaissance de la réserve
prévue à l'article 15.4 du RGPD, qui prévoit que le droit d'obtenir une copie ne peut porter
atteinte aux droits et libertés d'autrui. Cet élément conforte l'analyse selon laquelle c'est à
la défenderesse, en tant que responsable du traitement, qu'il incombait d'extraire elle-même
les fiches pertinentes et, le cas échéant, d'en anonymiser préalablement les données
relatives aux tiers avant de les communiquer au plaignant, plutôt que de déléguer cette
tâche à la personne concernée.

57. Face à la demande d'accès du plaignant, si la défenderesse ne comptait pas y donner suite
dans le délai d'un mois prescrit par l'article 12.3 du RGPD, plusieurs voies alternatives
s'offraient à elle, pour autant que les conditions d'application en aient été réunies. Elle aurait
notamment pu, conformément à ce même article, informer le plaignant d'une prolongation
du délai de réponse de deux mois supplémentaires, à charge pour elle de l'en aviser dans le
mois suivant la réception de la demande et d'en motiver les raisons. Elle aurait également pu
notifier formellement au plaignant un refus motivé conformément à l'article 12.4 du RGPD,
le cas échéant en invoquant et motivant le caractère manifestement infondé ou excessif de
la demande au sens de l'article 12.5 du RGPD ou, sur ce même fondement, exiger le paiement
de frais raisonnables pour y donner suite. Elle aurait enfin pu se prévaloir de l'article 15.4 du
RGPD pour refuser, en tout ou en partie, la fourniture des copies sollicitées, dans la mesure
où celle-ci porterait atteinte aux droits et libertés d'autrui. Or, la défenderesse n'a emprunté
aucune de ces voies. Elle s'est bornée à proposer une consultation sur place, sans jamais
notifier au plaignant de réponse formelle à sa demande de copie dans le délai prescrit par
l'article 12.3 du RGPD, laissant ainsi la demande d’accès sans suite effective.

58. Il résulte de l'ensemble de ce qui précède que la défenderesse a méconnu les obligations qui
lui incombaient au titre de l'article 12, paragraphes 2, 3 et 4, du RGPD, en s'abstenant de
donner suite dans les délais prescrits à la demande de copie du plaignant, en omettant de lui
notifier formellement les motifs de son inaction, et en ne facilitant pas l'exercice de son droit
d'accès.

II.4. Conclusions

59. Sur base des éléments précédents, la Chambre Contentieuse constate que la défenderesse
a commis les violations suivantes :

- La défenderesse a refusé, dans les faits, de donner suite à la demande de copie des
fiches de prestations du plaignant, sans lui notifier formellement ce refus. En se bornant
à proposer au plaignant une procédure de consultation sur place faisant peser sur lui la
charge de l'identification et de la reproduction des documents, la défenderesse n'a pas
facilité l'exercice du droit d'accès du plaignant et a méconnu les obligations qui lui

Décision quant au fond 97/2026 — 20/24

incombaient. La défenderesse a ainsi violé les articles 12.2, 12.3 et 12.4, ainsi que les
articles 15. 1 et 15.3 du RGPD.

- La défenderesse n'a pas donné suite à la demande de copie dans les délais prescrits. Le
plaignant a formulé une première demande d'accès le 10 mai 2021 et a réitéré celle-ci
à plusieurs reprises, notamment le 17 janvier 2022 et au cours de l'année 2023, sans
jamais obtenir communication de la copie sollicitée. À la date de la présente décision, la
demande demeure sans suite, en violation de l'article 12.3 du RGPD.

60. La Chambre Contentieuse a donné à la défenderesse la possibilité de s'exprimer sur
l'applicabilité de l'article 15.4 du RGPD aux demandes du plaignant (point 16). La
défenderesse s'est toutefois exclusivement fondée sur le caractère prétendument excessif
de la demande et le prétendu manque de précision de celle-ci, sans invoquer ni démontrer
que l'exception prévue à l'article 15.4 du RGPD trouverait à s'appliquer pour justifier un refus
de communiquer la copie sollicitée, en tout ou en partie.

61. La Chambre Contentieuse estime néanmoins ne pas pouvoir exclure que cette disposition
soit susceptible de s'appliquer en l'espèce, eu égard à la nature des documents en cause. Il
appartiendra dès lors à la défenderesse, lors de l'exécution de la présente décision,
d’examiner s’il y a lieu de procéder l’anonymisation partielle des informations relatives à des
tiers figurant sur les fiches de prestations.

62. La Chambre Contentieuse rappelle que l'article 15.4 du RGPD prévoit que le droit d'obtenir
une copie au sens de l’article 15.3 du RGPD ne peut porter atteinte aux droits et libertés
d'autrui. La notion d'« autrui » doit être entendue de manière large : elle vise toute personne
ou entité autre que la personne concernée qui exerce son droit d'accès, de sorte que
peuvent notamment être pris en considération les droits et libertés du responsable du
traitement lui-même, tels que la préservation de la confidentialité de ses secrets d'affaires
ou la protection de sa propriété intellectuelle, ainsi que les droits des tiers dont les données
personnelles figureraient dans les documents sollicités.

63. La Chambre Contentieuse souligne toutefois que cette exception prévue à l’article 15.4 du
RGPD doit, comme toute exception, être interprétée et appliquée de manière restrictive. Le
considérant 63 du RGPD le précise expressément : « ces considérations ne devraient pas
aboutir à refuser toute communication d’informations à la personne concernée ». En d'autres
termes, l'article 15.4 du RGPD ne saurait fonder un refus global et indifférencié de donner
une copie, mais tout au plus justifier, le cas échéant, des mesures ciblées telles qu'une
anonymisation partielle des informations relatives à des tiers, lorsque leur divulgation
porterait une atteinte disproportionnée aux droits de ceux-ci.

Décision quant au fond 97/2026 — 21/24

III. Sanctions et mesures correctrices

64. Aux termes de l’article 100, § 1er, de la LCA, la Chambre Contentieuse a le pouvoir de :

« 1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de
celles-ci aux récipiendaires des données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un
organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des
suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de
protection des données. »

65. La Chambre Contentieuse estime que sur la base des faits susmentionnés, il y a lieu de
conclure que la défenderesse a violé les articles 12.2, 12.3, 12.4, 15.1 et 15.3 du RGPD, l'article
12.5 du RGPD ne pouvant en l'occurrence justifier le refus opposé à la demande du plaignant.
Ces violations justifient qu’elle procède à la prise d’une décision conformément à l’article
100, § 1er, 5° de la LCA, plus précisément, qu’elle adresse une réprimande à la défenderesse.

66. S’agissant de la violation de l’article 12.2 du RGPD, la Chambre Contentieuse souligne que
cette disposition, qui impose au responsable du traitement de faciliter l’exercice des droits
des personnes concernées, entretient un lien d’étroite connexité avec les articles 12.3, 12.4,
15.1 et 15.3 du RGPD, sur lesquels la Chambre Contentieuse a invité les parties à conclure
par sa lettre du 25 février 2025 (point 20). Les articles 12 et 15 du RGPD étant
intrinsèquement liés en ce qu’ils régissent conjointement les modalités d’exercice du droit
d’accès, la qualification d’une violation de l’article 12.2 ne porte pas atteinte aux droits de la
défense de la défenderesse, dès lors que celle-ci a été expressément invitée à se prononcer
sur le respect des modalités d’exercice du droit d’accès par la personne concernée dans sa

Décision quant au fond 97/2026 — 22/24

globalité, et qu’elle pouvait raisonnablement s’attendre à devoir se défendre sur cet aspect,
qui constitue une modalité d’exécution de ce droit.

67. La Chambre Contentieuse assortit cette réprimande d’un ordre de donner suite, dans le
mois de la notification de la présente décision, à l’exercice du droit d’accès et de copie du
plaignant en exécution de l’article 15.3 du RGPD sur la base de l’article 100,6° de la LCA. Lors
de l’exécution de cet ordre, la défenderesse pourra utilement tenir compte des
considérations ci-avant concernant la portée et les modalités d’application de l’article 15.4
du RGPD (voy. les points 60 à 63).

68. La défenderesse dispose d'un délai d'un mois à compter de la notification de la présente
décision pour communiquer au plaignant une copie de l'ensemble des fiches de prestations
pour la période du 10 mai 2016 au 10 mai 2021, conformément à l'article 12.3 du RGPD. Si la
défenderesse entend se prévaloir de la complexité de la demande pour bénéficier du délai
prolongé de trois mois prévu par cette même disposition, il lui appartient d'en apporter la
démonstration et d'en informer sans délai la Chambre Contentieuse, ainsi que le plaignant,
dans le délai d'un mois susmentionné.

69. Dans tous les cas, la défenderesse est tenue de communiquer à la Chambre Contentieuse,
dans le délai qui lui est imparti, la preuve de la transmission effective des documents au
plaignant, afin de permettre à celle-ci de vérifier la bonne exécution de la présente décision.

70. La Chambre Contentieuse estime qu'une réprimande, assortie de l'ordre de se conformer à
la demande d'accès et de copie du plaignant, constitue en l'espèce la mesure proportionnée
et suffisante. Cette appréciation tient compte de l'ensemble des circonstances de l'espèce,
et notamment de l'organisation interne et des ressources de la défenderesse, telles qu'elle
les a elle-même décrites tout au long de la procédure, en faisant valoir que la satisfaction de
la demande d'accès représenterait pour elle une charge de travail considérable. Si cette
circonstance est, comme rappelé ci-dessus, sans incidence sur l'existence des violations
constatées, elle n'en demeure pas moins pertinente à ce stade de l'appréciation de la
mesure corrective. En effet l'imposition d'une amende administrative cumulée à l'ordre de
mise en conformité, lequel mobilisera lui-même des moyens internes pour son exécution,
apparaîtrait disproportionnée au regard de l'objectif poursuivi, qui est avant tout d'assurer le
rétablissement du droit du plaignant et la conformité future de la défenderesse aux
exigences du RGPD.

Décision quant au fond 97/2026 — 23/24

IV. Publication de la décision

71. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse, la présente décision est publiée sur le site Internet de l’APD. Toutefois, il n’est
pas nécessaire à cette fin que les données d’identification des parties soient directement
communiquées.

PAR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après
délibération :

- En vertu de l’article 58.2.c) du RGPD et de l’article 100, § 1er, 6° de la LCA,
d’ordonner à la défenderesse de donner suite, dans le mois de la notification de la
présente décision, à l’exercice du droit d’accès du plaignant en exécution de l’article
15.3 du RGPD, selon les modalités précisées aux points 67 à 69 et les
considérations soulevées aux points 60 à 63 de la présente décision.

- En vertu de l’article 100, § 1er, 5°de la LCA, d’adresser une réprimande à la
défenderesse pour la violation des articles 12.2, 12.3, 12.4, 15.1 et 15.3 du RGPD,
l'article 12.5 du RGPD ne pouvant en l'occurrence justifier le refus opposé à la
demande du plaignant.

Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.

Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire31 (« C. jud. »). La requête interlocutoire
doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C.

31
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.

Décision quant au fond 97/2026 — 24/24

jud.32, ou via le système d'information e-Deposit du Service Public Fédéral Justice (article 32ter du
C. jud.).

(Sé). Hielke HIJMANS

Directeur de la Chambre Contentieuse

32
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.