1/11
Chambre Contentieuse
Décision 99/2023 du 13 juillet 2023
N° de dossier : DOS-2023-02312
Objet : Plainte relative à une collecte illicite de données à caractère personnel dans le
cadre de la perception d’une taxe communale de séjour
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, siégeant seul ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la
protection des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);
Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des
traitements de données à caractère personnel (ci-après LTD) ;
Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Monsieur X, ci-après « le plaignant » ;
La défenderesse: La Ville Y, représentée par son Collège communal des Bourgmestre et
Echevins, ci-après « la défenderesse ».
Décision 99/2023 - 2/11
I. Faits et procédure
1. La plainte concerne la collecte de données personnelles par la défenderesse dans le cadre
de la perception d’une taxe communale de séjour via un formulaire qui, selon le plaignant,
sollicite la communication de données excessives en contradiction avec les principes de
licéité (article 6.1. du RGPD) et de minimisation (article 5.1.c) du RGPD) consacrés par le
RGPD.
2. Le 25 mai 2023, le plaignant dépose plainte auprès de l’Autorité de protection des données
(APD) contre la défenderesse.
3. Le contenu de la plainte peut être résumé comme suit :
4. Le plaignant est propriétaire d’un logement dans la Ville Y (la défenderesse). En cette qualité,
il reçoit annuellement un formulaire à compléter en vue de la perception de la taxe de séjour
établie par la Ville.
5. Le plaignant s’est ainsi vu adresser début 2023, un courrier papier l’invitant à compléter le
formulaire intitulé « Formulaire de déclaration à compléter par le contribuable relatif à : Taxe
de séjour – Exercice 2022 ». Le plaignant produit ce courrier au dossier.
6. Le plaignant fait remarquer que le formulaire dénoncé lui demande de fournir des données
pour tous les occupants de son bien, que ceux-ci y soient domiciliés ou non. Or, le règlement
communal qui institue ladite taxe de séjour pour les exercices […] dont l’exercice 2022
prévoit que le fait générateur de la taxe est précisément l’absence de domiciliation dans le
bien. La collecte des données relatives aux personnes domiciliées dans son bien (et plus
généralement dans les biens concernés par la taxe) lui paraît donc illicite au regard de l’article
6.1 du RGPD (absence de base de licéité).
7. Le plaignant dénonce également que ce formulaire lui demande de mentionner, pour chaque
occupant à qui il met son bien à disposition ou à qui il le donne en location, les informations
suivantes : a) nom et prénom de cet occupant, b) date de naissance de l’occupant ainsi que
c) la date d’entrée et de sortie du bien par cet occupant.
8. Le plaignant fait à cet égard remarquer qu’aux termes du règlement communal précité, la
taxe est perçue en fonction du nombre d’occupants par an (la taxe est en effet annuelle et
forfaitaire par occupant pour ce qui concerne le type de logement dont le plaignant est
propriétaire). La collecte des données susvisées relatives à chaque occupant lui semble dès
lors superflue. Selon le plaignant, la défenderesse collecte des données personnelles
relatives aux occupants de son bien en violation du principe de minimisation (article 5.1.c) du
RGPD).
Décision 99/2023 - 3/11
9. Le plaignant indique avoir, malgré ses doutes quant à la conformité au RGPD de la
communication des données demandées, complété le formulaire qui lui était adressé en sa
qualité de contribuable par la défenderesse.
10. Le plaignant rapporte avoir contacté la déléguée à la protection des données (DPO) de la
défenderesse en parallèle.
11. Le plaignant produit l’échange de courriels intervenu avec la DPO entre les mois de mars et
mai 2023. Cette dernière a précisé au plaignant qu’elle avait émis des recommandations à
l’attention du Conseil communal similaires aux préoccupations qu’il soulevait mais que le
formulaire ayant déjà été envoyé à une partie des propriétaires pour 2022, les modifications
audit formulaire décidées par le Conseil communal à la suite de son avis devraient intervenir
pour l’enrôlement annuel prochain (2023).
12. Dans un courriel du 19 avril 2023, la DPO de la défenderesse écrit précisément ce qui suit :
« J’ai moi-même analysé les traitements de données que vous mentionnez dans
votre courrier du 29 mars 2023 et remis un rapport ainsi que des recommandations
au Collège communal en novembre 2022. Les processus administratifs pour leur
mise en œuvre sont toutefois assez longs, notamment car ils nécessitent la
concertation entre toutes les parties (services administratifs, Collège et Conseil
communal).
Le Collège a finalement pris la décision, en décembre 2022, d’appliquer a minima
les recommandations formulées en révisant le formulaire permettant la déclaration
de la taxe afin de supprimer la collecte des données personnelles des locataires et
de s’en tenir à la base imposable de la taxe, à savoir le nombre d’occupants(s)
/logement.
Il n’a toutefois pas été possible d’appliquer cette décision dès l’envoi des
formulaires de déclaration relatifs à l’exercice 2022 puisque des formulaires
« ancienne version » avaient déjà été adressés à certains redevables. Par souci
d’équité entre les citoyens, l’utilisation de ce nouveau formulaire a donc été
reportée et entrera en application pour l’envoi des formulaires de déclaration
relatifs à l’exercice 2023. ( …) ».
13. Le plaignant indique également avoir interrogé la DPO quant au sort qui serait réservé aux
données excessives collectées. Le plaignant souligne que la DPO, se prévalant par ailleurs
de sa qualité d’archiviste aux côtés de celle de DPO, lui a confirmé par courriel du 24 mai
2023 que les données seraient archivées pour la durée légale prévue de 5 ans et qu’un
effacement périodique une fois les délais échus était organisé sous sa supervision.
Décision 99/2023 - 4/11
14. Le 30 juin 2023, le Service de Première Ligne (SPL) de l’APD déclare la plainte recevable sur
la base des articles 58 et 60 de la LCA et transmet celle-ci à la Chambre Contentieuse
conformément à l’article 62, § 1 de la LCA.
II. Motivation
II.1. Quant à la compétence de l’APD et de la Chambre Contentieuse
15. L'APD est l'autorité belge notamment responsable du contrôle du respect du RGPD en
application de l'article 8 de la Charte des droits fondamentaux de l’Union européenne (UE),
de l'article 16 du Traité sur le Fonctionnement de l'Union Européenne (TFUE) et de l'article
51 du RGPD.
16. Il découle à cet égard de l’article 4 de la LCA et de son exposé des motifs que l’APD est
« compétente pour exercer les missions et mandats de contrôle du respect des principes
fondamentaux de protection des données à caractère personnel tels qu’établis dans le
Règlement 2016/679. (…) »1.
17. Aux termes de l’article 77 du RGPD, il est prévu que « sans préjudice de tout autre recours
administratif ou juridictionnel, toute personne concernée a le droit d'introduire une
réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel
se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été
commise, si elle considère que le traitement de données à caractère personnel la concernant
constitue une violation du présent règlement ».
18. Avant d’examiner le bien-fondé de la plainte, la Chambre Contentieuse tient à cet égard à
préciser ce qui suit au regard de sa compétence .
19. La Chambre Contentieuse constate qu’ il ressort de la plainte déposée que le plaignant a
communiqué un certain nombre de données concernant la location de son bien, lesquelles
constituent des données à caractère personnel le concernant (voy. infra point 21). Ces
mêmes données sont aussi des données concernant les occupants de son bien, telles par
exemple leur identité et leur date de naissance. Le plaignant rapporte avoir eu des doutes
quant à la conformité au RGPD d’une telle communication de données à laquelle il était tenu
– données de tiers de surcroît (voy. point 9).
1
Exposé des motifs de la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données (APD), Chambre
des représentants, DOC 54 2648/001, page 13 sous article 4.
Décision 99/2023 - 5/11
20. Dans sa note relative à la Position du plaignant2, la Chambre Contentieuse énonce que non
seulement les personnes concernées 3 au sens du RGPD, mais également d'autres
personnes4 ont la possibilité d’introduire une plainte pour autant que les conditions de
recevabilité de la plainte soient satisfaites et pour autant que ces personnes justifient d’un
intérêt suffisant. Le simple fait de poursuivre un intérêt public ne suffit à cet égard pas. Un
plaignant qui n’est pas une personne concernée au sens du RGPD doit pouvoir démontrer à
quel égard il peut personnellement avoir un lien avec le traitement de données dont il se
plaint.
21. En l’espèce, la Chambre Contentieuse est d’avis que le plaignant est une personne
concernée au sens où les données qu’il doit fournir relativement aux occupants de son bien
sont également des données relatives à son bien et donc indirectement, des données le
concernant. Indiscutablement, l’identité des occupants est liée à son bien, de même que les
dates d’entrée et de sortie de chaque occupant. S’agissant de la date de naissance des
occupants qui, à première vue, peut sembler exclusivement concerner l’occupant et non le
plaignant, la Chambre Contentieuse considère au départ de l’interprétation large qu’il
convient de donner à la notion de « donnée à caractère personnel » et à l’appui de la position
adoptée par le Groupe 29 sur ce concept que la date de naissance de l’occupant doit
également être considérée comme concernant le plaignant5.
22. En toute hypothèse, le plaignant a un « intérêt à agir » suffisant pour porter plainte
relativement au traitement (soit la communication à la défenderesse) des données
personnelles relatives aux occupants de son bien. En effet, si la défenderesse devait
solliciter la communication de données en contradiction avec le RGPD, elle associerait le
plaignant à cette violation.
23. Pour autant que de besoin, la Chambre Contentieuse considère par ailleurs que la collecte
des données dénoncée, même organisée via l’envoi et le renvoi postal de formulaires papier
complétés (traitement non automatisé) comme cela semble être le cas en l’espèce, consiste
en un traitement de données à caractère personnel appelées à figurer dans un fichier, de
surcroît probablement partiellement automatisé un fois les données renvoyées à
2
https://www.autoriteprotectiondonnees.be/publications/note-relative-a-la-position-du-plaignant-dans-la-procedure-au-
sein-de-la-chambre-contentieuse.pdf
3
Les plaignants qui répondent à la qualification du RGPD sont potentiellement affectés dans leurs droits subjectifs, étant
donné que leur action concerne par définition un traitement de leurs propres données à caractère personnel. Ils témoignent
donc d’un intérêt.
4
Dans sa note relative à la position du plaignant la Chambre Contentieuse cite les Décisions n° 30/2020 (points 4 e.s.) et n°
80/2020 (points 47 e.s.).
5
Voy. à cet égard Groupe de l’Article 29, Avis 04/2007 sur le concept de donnée à caractère personnel, WP 136 du 20 juin
2007, pages 10 et s. relatives à l’interprétation de « concernant » dans la définition de la donnée à caractère personnel telle
que prévue par la directive 95/46/CE. Cette interprétation peut continuer à s’appliquer à la définition de la donnée à caractère
personnel prévue à l’article 4.1. du RGPD, le notions ne différant pas d’un texte à l’autre.
Décision 99/2023 - 6/11
l’administration de la défenderesse. Il s’agit donc en toute hypothèse d’un traitement de
données personnelles soumis au RGPD en exécution de l’article 2.1. du RGPD.
II.2. Quant au respect de l’article 6 du RGPD (licéité)
24. En application de l’article 6 du RGPD, tout traitement de données personnelles doit
s’appuyer sur l’une des bases de licéité qu’il prévoit. A cet égard, la défenderesse fonde la
collecte des données sollicitées via le formulaire adressé au plaignant sur le règlement
communal précité. La Chambre Contentieuse relève que le fait générateur de la taxe de
séjour en vue de la perception de laquelle les données concernées sont demandées est
libellé comme suit :
« Article 2 – Fait générateur
Est visé le séjour des personnes non inscrites, pour le logement où elles séjournent,
au registre de population ou au registre des étrangers ».
25. En d’autres termes, le fait générateur de la taxe de séjour est l’absence de domiciliation 6 des
personnes dans le bien. Il ressort en effet du règlement communal que l’objectif de la taxe
est de corriger le déséquilibre créé entre la partie de la population domiciliée sur le territoire
de la défenderesse et contribuant aux finances de celle-ci d’une part et la partie de la
population non domiciliée qui n’y contribue pas d’autre part. Le règlement pointe en ce sens
la nécessité de combler le manque à gagner (centimes additionnels) relatif à des immeubles
affectés à l’usage de logements au profit de personnes non domiciliées sur son territoire et
non à l’usage de logements au profit de personnes domiciliées sur le territoire de la
défenderesse.
26. Il en résulte que pour l’application du règlement communal précité et la perception de la taxe
de séjour instituée, la notion « d’occupants » doit être comprise comme n’incluant pas les
personnes domiciliées dans les biens visés.
27. Or, ainsi que le dénonce le plaignant, le courrier de début 2023 qui lui a été adressé avec le
formulaire à compléter indique sans aucune équivoque que « Tout bien mis à la location ou
à disposition sur le territoire de la Ville Y doit être renseigné sur le formulaire, ainsi que
tout occupant, domicilié ou non dans le bien ». La Chambre Contentieuse reproduit ici les
termes dudit courrier en ce compris le surlignage en gras et le souligné des termes « tout
occupant, domicilié ou non dans le bien ».
28. En demandant aux propriétaires concernés tels le plaignant de lui communiquer des
données personnelles concernant des occupants domiciliés auprès d’elle, la défenderesse
collecte prima facie, des données personnelles sans disposer d’une base de licéité qui la
6
L’inscription au registre de la population se fait sur la base du domicile.
Décision 99/2023 - 7/11
justifie. En effet, seules les données nécessaires à la satisfaction de l’obligation légale qui est
la sienne peuvent être traitées par la défenderesse (article 6.1.c)). La Chambre Contentieuse
décide donc d’adresser un avertissement à la défenderesse quant à ce (voy. infra). Ce faisant,
la défenderesse place par ailleurs ses contribuables tel le plaignant dans une position
délicate, non-conforme au RGPD, sollicitant qu’en exécution de leur obligation propre, ils lui
communiquent des données personnelles de tiers excessives.
29. A toutes fins utiles, la Chambre Contentieuse rappelle ici que pour prévoir une obligation de
traitement de données à caractère personnel au sens de l’article 6.1.c du RGPD, il faut,
comme le souligne le Groupe de travail « Article 29 », prédécesseur en droit du Comité
européen de la protection des données (CEPD), que la disposition légale qui l’instaure
remplisse « toutes les conditions requises pour rendre l’obligation valable et
contraignante » . Son libellé doit donc être clair et précis de telle sorte que le responsable du
7
traitement soumis à cette obligation ne dispose pas de marge d’appréciation dans la
détermination des éléments essentiels du traitement de données à caractère personnel
nécessaire au respect de son obligation légale 8.
II.3. Quant au respect de l’article 5.1. c) du RGPD (minimisation)
30. La Chambre Contentieuse rappelle également qu’en application de l’article 5.1.c) du RGPD,
les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui
est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des
données).
31. A l’appui de la plainte et des pièces produites par le plaignant, en particulier du formulaire de
de demande de communication des données des occupants du bien et du règlement
communal déjà cités, la Chambre Contentieuse conclut que la collecte de données relatives
aux occupants semble, prima facie, excessive et contraire au principe de minimisation
consacré à l’article 5.1. c) du RGPD.
32. En effet, seule la collecte par la défenderesse (et partant, la communication par le plaignant)
des données nécessaires à la réalisation de la finalité poursuivie – soit en l’espèce
l’enrôlement de la taxe de séjour – est autorisée en exécution de cet article 5.1.c) du RGPD.
33. Cette taxe de séjour étant calculée annuellement et sur la base d’un forfait par occupant, la
Chambre Contentieuse comprend que le nombre d’occupants annuels doive être déclaré
par le propriétaire. En revanche, la Chambre Contentieuse ne perçoit pas, prima facie, en quoi
7
Groupe de travail « Article 29 », Avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des
données au sens de l’article 7 de la directive 95/46/CE, p. 21.
8
Groupe de travail « Article 29 », Avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des
données au sens de l’article 7 de la directive 95/46/CE, p. 22.
Décision 99/2023 - 8/11
la communication des données sollicitées relatives aux occupants est nécessaire à cette
finalité. La Chambre Contentieuse rappelle à cet égard que la condition de nécessité doit
s’apprécier de manière stricte. A titre d’exemple, elle n’aperçoit pas, prima facie, en quoi la
date de naissance de l’occupant est nécessaire à l’établissement du nombre d’occupants
dans le bien sauf si l’âge de l’occupant devait entrer en ligne de compte dans la perception
de ladite taxe. Il en va de même pour les nom et prénom des occupants ainsi que des dates
d’entrée et de sortie. La Chambre Contentieuse décide dès lors d’adresser un avertissement
à la défenderesse quant à ce ( voy. infra).
II.4. Quant à la conservation des données
34. La Chambre Contentieuse rappelle également qu’en application de l’article 17.1 du RGPD, la
personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les
meilleurs délais, de données à caractère personnel la concernant et que le responsable du
traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs
délais, lorsque l'un des motifs listés à l’article 17.1 du RGPD s’applique dont, « lorsque les
données à caractère personnel ont fait l'objet d'un traitement illicite » (article 17.1.d) du
RGPD).
35. Ce n’est que si le responsable de traitement devait pouvoir invoquer une des exceptions
prévues à l’article 17.3. du RGPD que des données traitées en contradiction avec le RGPD
pourraient être conservées. A l’aune des conclusions, certes prima facie (voy. infra) de la
Chambre Contentieuse aux points 28 et 33 qui précèdent, il incombe à la défenderesse
d’évaluer le respect de ses obligations à cet égard (accountability) et le cas échéant de
procéder à l’effacement desdites données.
36. Enfin, la Chambre Contentieuse rappelle également qu’un ou une délégué.e à la protection
des données (DPO) peut exécuter d'autres missions et tâches pour autant que celles-ci
n'entraînent pas de conflit d'intérêts avec sa fonction de DPO, en particulier au regard de
l’indépendance avec laquelle il/elle doit l’exercer (article 38.6. du RGPD). Le/la DPO ne peut
par ailleurs recevoir aucune instruction en ce qui concerne l’exercice de ses fonctions (article
38.3 du RGPD).
37. S’agissant de la question de l'existence de conflits d'intérêts, la Cour de Justice de l’Union
européenne (CJUE) a dans un arrêt du 9 février 20239 rappelé - se référant aux articles cités
ci-dessus - que le RGPD prévoyait que le DPO pouvait exécuter d'autres missions et tâches,
sous réserve que ces dernières n'entraînent pas de conflit d'intérêts, pour préserver
9 CJUE, arrêt X-FAB Dresden GmbH & Co. KG c. FC, C-453/21.
https://curia.europa.eu/juris/document/document.jsf%3Bjsessionid=01B3AC0EA10C69E1E137D316B3A6BB46?text=&do
cid=270323&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=224750
Décision 99/2023 - 9/11
l'indépendance de ce dernier. Elle a notamment souligné que le DPO ne pouvait se voir
confier des missions qui le conduiraient à déterminer les finalités et les moyens du
traitement de données à caractère personnel auprès du responsable de traitement ou de
son sous-traitant, ce dernier devant pouvoir effectuer un contrôle de ces finalités et de ces
moyens de manière indépendante.
38. La Chambre Contentieuse est d’avis que ceci signifie en pratique que lorsqu’un DPO est
associé à d’autres missions, il ne saurait être amené à déterminer les finalités ou les moyens
de certains traitements, puisqu’il ne pourrait en même temps contrôler objectivement ces
derniers10.
39. Il ressort des pièces produites par le plaignant à l’appui de sa plainte que la DPO de la
défenderesse exerce également la qualité d’archiviste. Ce cumul de fonction ressort de la
signature des courriels de la DPO et des propos qu’elle a, en date du 24 mai 2023, adressés
en réponse au plaignant, se prévalant de cette double casquette (point 13).
40. S’agissant d’une décision prima facie, et en l’absence de tout élément attestant que dans le
cas d’espèce, il existerait dans le chef de la déléguée à la protection des données (DPO) de
la défenderesse, un conflit d’intérêts avec sa fonction d’archiviste, la Chambre Contentieuse
se limite au rappel précité.
41. Elle précise à cet égard que ce rappel - comme celui formulé aux points 34 et 35 - , ne
constitue ni une mesure correctrice ni une sanction au sens de l’article 95 de la LCA.
II.5. Quant à l’avertissement
42. La Chambre Contentieuse tient à préciser que la présente décision d’avertissement est une
décision prima facie prise par la Chambre Contentieuse conformément à l’article 95 de la
LCA - sur la base de la seule plainte déposée par le plaignant et des pièces qu’il a produites
à l’appui de celle-ci - dans le cadre de la « procédure préalable à la décision de fond ». Il ne
s’agit donc pas d’une décision quant au fond au sens de l’article 100 LCA.
43. La présente décision d’avertissement a pour but d’informer la défenderesse et de lui
permette de se mettre en conformité à l’avenir (formulaire d’enrôlement de la taxe 2023)
au regard des articles 6 et 5.1. c) du RGPD (points 27 et 32). Le choix de cette sanction tient
compte des engagements que semble avoir pris la défenderesse, lesquels ont été rapportés
par la DPO avec laquelle la défenderesse ne se confond pas (et inversement).
L’avertissement n’en constitue pas moins un précédent dont il sera tenu compte en cas de
nouvelle plainte éventuelle ayant le même objet.
10
Voy. également les Lignes directrices du G29, reprises à son compte par le Comité européen de la protection des données
(CEPD) concernant les délégués à la protection des données (DPD), WP 243 du 5 avril 2017 :
https://ec.europa.eu/newsroom/article29/items/612048
Décision 99/2023 - 10/11
44. Dès lors, si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima
facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui
pourraient conduire à une autre décision sur les points sur lesquels porte cet avertissement,
elle peut adresser à la Chambre Contentieuse une demande de traitement sur le fond via
l’adresse e-mail [email protected], et ce dans un délai de 30 jours après la
notification de la présente décision.
45. En cas de poursuite du traitement de la plainte sur le fond en vertu des articles 98, 2° et 3°
juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties, soit tant le
plaignant que la défenderesse, à introduire leurs arguments sous la forme de conclusions et
à joindre au dossier toutes les pièces qu'il et elle jugeront utiles.
46. La Chambre Contentieuse informe à cet égard tant le plaignant que la défenderesse que le
dossier de procédure relatif à la plainte aboutissant à la présente décision d’avertissement
peut, en application de l’article 95.2, 3° de la LCA, être demandé en adressant de préférence
un e-mail au greffe de la Chambre Contentieuse ([email protected] ).
47. Enfin, dans un souci de complétude et de transparence, la Chambre Contentieuse souligne
qu’un examen de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées
à l’article 100 de la LCA11.
11
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer la suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements et des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ;
7° ordonner que l'intéressé soit informé du problème de sécurité ;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ;
9° ordonner une mise en conformité du traitement ;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des
données ;
11° ordonner le retrait de l'agréation des organismes de certification ;
12° donner des astreintes ;
13° donner des amendes administratives ;
14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ;
16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
Décision 99/2023 - 11/11
III. Publication et communication de la décision
48. Compte tenu de l'importance de la transparence en ce qui concerne le processus
décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le
site Internet de l'APD. Il n’est toutefois pas nécessaire à cette fin que les données
d’identification des parties soient directement mentionnées.
POUR CES MOTIFS,
la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération,
de sous réserve de l’introduction d’une demande par la défenderesse d’un traitement sur le
fond conformément aux articles 98 e.s. de la LCA via l’adresse e-mail
[email protected], et ce dans un délai de 30 jours après la notification de la
présente décision, de prononcer à l’encontre de la défenderesse un avertissement en vertu
de l'article 58.2.a) du RGPD et de l'article 95.1, 4° de la LCA au regard des griefs tirés
d’éventuels manquements aux articles 6 et 5.1. c) du RGPD (points 28 et 33).
Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit,
dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour
d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse.
Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les
informations énumérées à l'article 1034ter du Code judiciaire12. La requête interlocutoire doit être
déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.13, ou
via le système d'information e-Deposit du ministère de la Justice (article 32ter du C. jud.).
(sé.) Hielke HIJMANS
Président de la Chambre Contentieuse
12
La requête contient à peine de nullité:
1° l'indication des jour, mois et an;
2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou
numéro d’entreprise;
3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer;
4° l'objet et l'exposé sommaire des moyens de la demande;
5° l'indication du juge qui est saisi de la demande;
6° la signature du requérant ou de son avocat.
13
La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre
recommandée au greffier de la juridiction ou déposée au greffe.