Çalışan Araçlarının Konum Verileri

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n° […] menée auprès de la « Société A »

Délibération n° 11FR/2021 du 8 avril 2021

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

1/26

I. Faits et procédure

Lors de sa séance de délibération du 14 février 2019, la Commission nationale pour
la protection des données siégeant en formation plénière (ci-après: « Formation Plénière
») avait décidé d’ouvrir une enquête auprès du groupe ABC1 sur base de l’article 37 de la
loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données (ci-après « loi du 1er août
2018 ») et de désigner Monsieur Christophe Buschmann comme chef d’enquête.

Aux termes de la décision de la Formation Plénière l’enquête menée par la
Commission nationale pour la protection des données (ci- après : « CNPD ») avait comme
objet de vérifier le respect des dispositions du règlement relatif à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)
et de la loi du 1er août 2018, notamment par la mise en place de systèmes de
vidéosurveillance et de géolocalisation le cas échéant installés par les trois sociétés du
groupe ABC.

En date du 20 février 2019, des agents de la CNPD ont effectué une visite dans les
locaux du groupe ABC. Etant donné que le procès-verbal no. […] relatif à ladite mission
d'enquête sur place ne mentionne que, parmi les trois sociétés du groupe ABC, comme
responsable du traitement contrôlé la société « Société A » 2, la décision de la Commission
nationale pour la protection des données siégeant en formation restreinte sur l’issue de
l’enquête (ci-après : « Formation Restreinte ») se limitera aux traitements contrôlés
par les agents de la CNPD et effectués par la société « Société A ».

« Société A », est une […] inscrite au registre de Commerce et des Sociétés de
Luxembourg sous le numéro […], avec siège social à L- […] (ci-après « le contrôlé »). Le

1 Et plus précisément auprès des sociétés : Société A, inscrite au registre du Commerce et des

Sociétés de Luxembourg sous le numéro […], avec siège social à L-[…]; Société B, inscrite au
registre du Commerce et des Sociétés de Luxembourg sous le numéro […], avec siège social à L-
[…] et Société C, inscrite au registre du Commerce et des Sociétés de Luxembourg sous le numéro
[…], avec siège social à L-[…] .
2 Voir notamment le procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date

du 20 février 2019 auprès de la société Société A.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

2/26

contrôlé a pour activité de fournir des services de conseils, d’installations et de
maintenance en technologie […] .3

Lors de la visite précitée du 20 février 2019 par des agents de la CNPD dans les
locaux du contrôlé, Monsieur X, Directeur des Ressources humaines du contrôlé, a
confirmé aux agents de la CNPD qu’un dispositif de géolocalisation est installé dans une
partie des véhicules du parc automobile du contrôlé, mais que ce dernier ne recourt pas à
un système de vidéosurveillance.4

Selon les explications fournies aux agents de la CNPD, les personnes concernées
par la géolocalisation sont des salariés de la société qui utilisent les véhicules pour leurs
déplacements vers les clients et sur leur trajet professionnel entre leur domicile et le siège
social du contrôlé. Monsieur X a de même confirmé aux agents de la CNPD que chaque
véhicule est attribué à un salarié spécifique et que la partie des véhicules qui peut être
utilisée par les salariés à des fins privées n’est pas équipée d’un dispositif de
géolocalisation.5

A l’issue de son instruction, le chef d’enquête a fait notifier au contrôlé en date du 9
août 2019 une communication des griefs détaillant les manquements qu’il estimait
constitués en l’espèce, et plus précisément une non-conformité aux exigences prescrites
par l'article 13 du RGPD pour ce qui concerne les salariés, une non-conformité aux
mesures prescrites par l'article 32.1 du RGPD, ainsi qu’une non-conformité aux exigences
prescrites par l'article 5.1.e) du RGPD.

La demande de réunion par le contrôlé du 13 août 2019 a été acceptée par le chef
d’enquête et la réunion a eu lieu en date du 20 août 2019.6

3 Selon les informations fournies sur son propre site internet : […] .

4 Voir procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date du 20 février

2019 auprès de la société Société A ; voir aussi le mail de la société Société A du 1 mars 2019 et
le courrier du 29 mars 2019.
5 Voir constat 1 du procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date

du 20 février 2019 auprès de la société Société A.
6 Voir compte-rendu de la réunion du 20 août 2019 avec la société Société A.

3/26

Le 7 octobre 2019, le contrôlé a produit des observations écrites sur la
communication des griefs.

Un courrier complémentaire à la communication des griefs a été adressé au contrôlé
en date du 17 août 2020. Dans ce courrier, le chef d’enquête a proposé à la Formation
Restreinte de prendre trois différentes mesures correctrices, ainsi que d’infliger au contrôlé
une amende administrative d’un montant de 4.000 EUR.

Par courrier du 24 septembre 2020, le contrôlé a produit des observations écrites
sur le courrier complémentaire à la communication des griefs.

La présidente de la Formation Restreinte a informé le contrôlé par courrier du 9
octobre 2020 que son affaire serait inscrite à la séance de la Formation Restreinte du 17
novembre 2020. Le contrôlé a confirmé sa présence à ladite séance en date du 20 octobre
2020.

Lors de la séance de la Formation Restreinte du 17 novembre 2020, le chef
d’enquête et le contrôlé ont réitéré oralement leurs observations écrites et répondu aux
questions posées par la Formation Restreinte. Le contrôlé a eu la parole en dernier.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié au principe de la limitation de la conservation

1. Sur les principes

Conformément à l’article 5.1.e) du RGPD, les données à caractère personnel
doivent être conservées « sous une forme permettant l'identification des personnes
concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités
pour lesquelles elles sont traitées […] ».

4/26

D’après le considérant (39) du RGPD « les données à caractère personnel devraient
être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour
lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de
conservation des données soit limitée au strict minimum. Les données à caractère
personnel ne devraient être traitées que si la finalité du traitement ne peut être
raisonnablement atteinte par d'autres moyens. Afin de garantir que les données ne sont
pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le
responsable du traitement pour leur effacement ou pour un examen périodique […]. »

2. En l’espèce

Lors de l’enquête sur site, il a été expliqué aux agents de la CNPD que les finalités
de la géolocalisation sont les suivantes : « le repérage géographique, la protection des
biens de l'entreprise, le suivi des biens transportés, la gestion optimale de la flotte,
l'optimisation du processus de travail, la fourniture de réponses aux réclamations des
clients, la fourniture de preuves des prestations, la facturation des prestations ainsi que le
suivi du temps de travail des salariés en déplacement ».7

En ce qui concerne la durée de conservation des données issues du dispositif de
géolocalisation, il ressort des constatations des agents de la CNPD que les plus anciennes
données dataient du 14 octobre 2016, c’est-à-dire que la durée de conservation des
données était de 2 ans et 4 mois.8

D’après le chef d’enquête, ladite durée de conservation des données de
géolocalisation de 2 ans et 4 mois excédait celle qui était nécessaire à la réalisation des
finalités précitées et pour lesquelles le dispositif de la géolocalisation avait été mis en
place. Pour cette raison, il était d’avis qu’une non-conformité aux prescrits de l'article 5.1.e)
du RGPD est à retenir (voir communication des griefs, Ad.A.3).

7 Voir constat 5 du procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date

du 20 février 2019 auprès de la société Société A.
8 Voir constat 4 du procès-verbal no. […] relatif à la mission d'enquête sur place effectuée en date

5/26

Par courrier du 29 mars 2019, le contrôlé de son côté a réitéré les propos contenus
dans son courrier électronique du 1er mars 2019 en précisant que la durée de conservation
des données issues du système de géolocalisation « […] » avait été adaptée à 12 mois,
limite qui était déjà en place pour le volet « historique » mais pas encore pour le volet
« rapports généraux ».9

Durant l’audience de la Formation Restreinte du 17 novembre 2020, le contrôlé a
précisé que la durée de conservation de 12 mois se justifiait, entre autres, par le fait que
les données de localisation sont utilisées pour la facturation aux clients des prestations
effectuées par ses salariés.

La Formation Restreinte rappelle qu’il appartient au responsable du traitement de
déterminer, en fonction de chaque finalité spécifique, une durée de conservation
appropriée et nécessaire afin d’atteindre ladite finalité. Ainsi, comme le système de
géolocalisation mis en place par le contrôlé poursuit plusieurs finalités, les durées de
conservation sont à individualiser pour chaque finalité spécifique.

La Formation Restreinte estime que le contrôlé aurait notamment dû différencier
entre la durée de conservation des données de localisation ayant comme finalité le
repérage géographique, le suivi des biens transportés et la gestion optimale de sa flotte,
d’une part, et les données relatives au temps de travail des salariés ayant précisément
comme finalité de suivre le temps de travail des salariés en déplacement, d’autre part.
Comme susmentionné, durant l’audience de la Formation Restreinte, le contrôlé a par
ailleurs précisé que les données de géolocalisation ont aussi comme finalité la facturation
aux clients des prestations effectuées par ses salariés. De ce fait, la Formation restreinte
estime qu’une durée de conservation appropriée aurait dû être déterminée afin d’atteindre
ladite finalité.

En ce qui concerne la géolocalisation des véhicules des salariés, la Formation
Restreinte considère que les données à caractère personnel obtenues par la
géolocalisation peuvent en principe seulement être conservées pendant une période
maximale de deux mois en vertu du principe susmentionné de l’article 5.1.e) du RGPD.

9 En ce qui concerne les différentes fonctionnalités de « […] », voir les explications du contrôlé dans

son courrier du 7 octobre 2019.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

6/26

Toutefois, elle estime que si lesdites données sont utilisées par le responsable du
traitement à des fins de preuve pour la facturation des prestations effectuées pour ses
clients, les données nécessaires à une telle facturation peuvent être conservées pour une
durée d’un an, à condition qu’il ne soit pas possible de rapporter la preuve des prestations
par d’autres moyens.10

Au cas où le dispositif de géolocalisation est installé à des fins de vérification du
temps de travail (lorsque c’est le seul moyen possible), la Formation Restreinte considère
que les données à caractère personnel obtenues par la géolocalisation qui permettent de
vérifier le temps de travail peuvent néanmoins être conservées pendant une durée
maximale de trois ans conformément au délai de prescription posé à l’article 2277 alinéa
1er du Code Civil en matière d’action en paiement de rémunérations des salariés.

En cas d’incident, la Formation Restreinte est d’avis que les données peuvent
toutefois être conservées au-delà des délais pré-mentionnés dans le cadre de la
transmission des données aux autorités judiciaires compétentes et aux autorités
répressives compétentes pour constater ou pour poursuivre des infractions pénales.

Elle tient en outre à préciser que les données obtenues par la géolocalisation
peuvent également être conservées au-delà des durées susmentionnées, si celles-ci ont
été préalablement rendues anonymes, c’est-à-dire qu’il n’est plus possible de faire un lien
– direct ou indirect – entre ces données et un salarié déterminé.

Dans son ancienne autorisation n° […], sur laquelle se base le contrôlé entre autres
pour justifier que les salariés étaient déjà informés de la mise en place du système de
géolocalisation, la CNPD avait déjà imposé comme condition que les données de
géolocalisation ne pourraient être conservées au-delà de deux mois, respectivement trois
ans pour les données relatives au temps de travail.

Sur base de l’ensemble de ces éléments, la Formation Restreinte conclut que
l’article 5.1.e) du RGPD n’a pas été respecté par le contrôlé.

10 Voir dans ce contexte l’article de la Commission Nationale de l’Informatique et des Libertés

(CNIL): « La géolocalisation des véhicules des salaries », disponible sous: https://www.cnil.fr/fr/la-
geolocalisation-des-vehicules-des-salaries. »
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

7/26

B. Sur le manquement lié à l'obligation d'informer les personnes concernées

1. Sur les principes

Aux termes de l’alinéa 1 de l’article 12 du RGPD, le « responsable du traitement
prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14
ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article
34 en ce qui concerne le traitement à la personne concernée d'une façon concise,
transparente, compréhensible aisément accessible, en des termes clairs et simples […]. »

L’article 13 du RGPD prévoit ce qui suit :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

8/26

internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit
à la personne concernée, au moment où les données à caractère personnel sont
obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir
un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;

b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;

d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;

f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la

9/26

logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. »

La communication aux personnes concernées d’informations relatives au traitement
de leurs données est un élément essentiel dans le cadre du respect des obligations
générales de transparence au sens du RGPD.11 Lesdites obligations ont été expliquées
par le Groupe de Travail Article 29 dans ses lignes directrices sur la transparence au sens
du règlement (UE) 2016/679, dont la version révisée a été adoptée le 11 avril 2018 (ci-
après : « WP 260 rév.01 »).

A noter que le Comité européen de la protection des données (ci-après : « CEPD
»), qui remplace depuis le 25 mai 2018 le Groupe de Travail Article 29, a repris et
réapprouvé les documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai
2018, comme précisément les lignes directrices précitées sur la transparence12.

2. En l’espèce

Selon le chef d’enquête, les salariés du contrôlé n’ont pas été valablement informés
sur les éléments précis de l'article 13.1 et 2 du RGPD (voir communication des griefs,
page 2, Ad.A.1.).

11 Voir notamment les articles 5,1,a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.

12 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

10/26

Par courrier du 29 mars 2019, le contrôlé de son côté a réitéré les propos contenus
dans son courrier électronique du 1er mars 2019 en précisant que déjà avant la visite sur
site de la CNPD, une fiche plastifiée était ajoutée aux documents de bord des véhicules
équipés d'un système de géolocalisation spécifiant que le véhicule est équipé d'un tel
système, d’une part, et que lesdits véhicules avaient une étiquette sur la portière arrière
informant le conducteur de la présence dudit système, d’autre part.

Le contrôlé a joint au courrier précité du 29 mars 2019 une déclaration de la
délégation du personnel datée au 27 mars 2019 et attestant que celle-ci était informée de
la mise en place d'un système de géolocalisation dans certains véhicules du groupe ABC.

Par courrier du 7 octobre 2019, le contrôlé a par ailleurs envoyé au chef d’enquête
une copie de la note d’information destinée à l’ensemble du personnel sur le système de
géolocalisation et qui est affichée depuis le 4 octobre 2019 sur le site du contrôlé, ainsi
qu’une photo de son affichage.

Finalement, dans son courrier du 24 septembre 2020, le contrôlé a ajouté qu’en […],
une autorisation en matière de géolocalisation avait été délivrée par la CNPD13 et que déjà
à ce moment-là, les salariés avaient été informés de la mise en place du système de
géolocalisation, notamment via la délégation du personnel. Le contrôlé a précisé avoir
demandé aux délégations du personnel du groupe ABC de bien vouloir attester du fait que
l'information au personnel a effectivement été faite en 2009.

La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD fait
référence à l’obligation imposée au responsable du traitement de « fournir » toutes
les informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie
que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne
concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.). » (WP260 rev. 01. paragraphe 33).

13 Voir la délibération n° […].

11/26

La déclaration des délégations du personnel des sociétés Société A et Société B du
27 mars 2019 atteste dans ce contexte qu’elles étaient informées de la mise en place d'un
système de géolocalisation dans certains véhicules du groupe ABC, tandis que
l’attestation conjointe du 14 septembre 2020 desdites délégations indique qu’elles étaient
« dûment informées par le responsable du traitement de la mise en place d'un système de
géolocalisation dans les véhicules de société. Il est à noter que les délégations du
personnel en sont informées depuis la mise en place en 2009. […]. »

Néanmoins, la Formation Restreinte considère qu’une simple déclaration,
respectivement une attestation par la délégation du personnel du contrôlé indiquant avoir
été informée sur la présence du dispositif de géolocalisation n'assure pas que les salariés
de la société ont été valablement informés conformément à l'article 13.1 et 2 du RGPD,
d’autant plus que lesdits documents sont datés après la visite sur site par les agents de la
CNPD.

Par ailleurs, comme précité, le contrôlé indique dans sa prise de position du 24
septembre 2020 que, comme il disposait d’une autorisation de la CNPD du […], les
salariés avaient déjà été informés à ce moment-là de la mise en place du système de
géolocalisation, notamment via la délégation du personnel.

La seule dérogation possible aux obligations d’information visées à l’article 13 du
RGPD d’un responsable du traitement est en effet « lorsque, et dans la mesure où, la
personne concernée dispose déjà de ces informations »14. Le principe de responsabilité
exige cependant des responsables du traitement qu’ils démontrent (en le documentant)
quelles informations étaient déjà en possession de la personne concernée, comment et
quand elle les a reçues et qu’aucune modification n’ait été apportée à ces informations
susceptibles de les rendre obsolètes.15

La Formation Restreinte constate toutefois qu’aucune documentation soumise par
le contrôlé ne contient de preuve attestant que l’information des salariés ait en effet eu lieu

14 Selon l’article 13.4 du RGPD.

15 Voir WP260 rev. 01, paragraphe 56.

12/26

en 2009, au moins par rapport aux exigences prévues par la législation en vigueur à
l’époque16.

Ensuite, la Formation Restreinte tient à remarquer qu’il existe dans le RGPD un
« conflit inhérent entre, d’une part, l’exigence de communiquer aux personnes concernées
les informations complètes qui sont requises au titre du RGPD et, d’autre part, l’exigence
de le faire d’une manière concise, transparente, compréhensible et aisément accessible. »
(WP260 rev. 01, para. 34) Hiérarchiser les informations à fournir aux personnes
concernées et déterminer quels sont les niveaux de détail et les méthodes adaptés à la
communication des informations n’est pas toujours évident.

C’est pour cette raison qu’une approche à plusieurs niveaux pour communiquer des
informations sur la transparence aux personnes concernées peut être utilisée dans un
contexte hors ligne ou non numérique, c’est-à-dire dans un environnement réel comme
par exemple des données à caractère personnel traitées au moyen d’un système de
géolocalisation. Le premier niveau d’information devrait de manière générale inclure les
informations les plus importantes, à savoir les détails de la finalité du traitement, l’identité
du responsable du traitement et l’existence des droits des personnes concernées, ainsi
que les informations ayant la plus forte incidence sur le traitement ou tout traitement
susceptible de surprendre les personnes concernées. Le deuxième niveau d’information,
c’est-à-dire les autres informations requises au titre de l’article 13 du RGPD, pourraient
être fournies ultérieurement et par d’autres moyens, comme par exemple un exemplaire
de la politique de confidentialité envoyé par e-mail.17

Finalement, l’attestation conjointe des délégations du personnel des sociétés
Société A et Société B du 14 septembre 2020 indique que lesdites délégations ont à
nouveau été informées lors de la publication de la note d’information sur le système de
géolocalisation destinée à l'ensemble du personnel en date du 4 octobre 2019. La pièce
annexée aux observations du contrôlé du 24 septembre 2020 contient ladite note
d’information et une photo de son affichage.

16 Conformément à l’article 26 de la loi abrogée du 2 août 2002 relative à la protection des
personnes à l'égard du traitement des données à caractère personnel.
17 Voir le WP260 rev. 01 (point 38).

13/26

La Formation Restreinte constate pourtant que la fiche plastifiée ajoutée aux
documents de bord indiquant uniquement que le véhicule « est muni d’un système de
géolocalisation », ainsi que l’étiquette apposée sur la portière arrière du véhicule
mentionnant « Surveillé par GPS avec […] »18 ne respectent même pas les exigences du
contenu obligatoire du premier niveau d’information. S’y ajoute que le contrôlé a manqué
à son obligation de mettre en place une politique de confidentialité qui contient toutes les
informations requises conformément à l’article 13.1 et 13.2 du RGPD.

Au vu de ce qui précède, la Formation Restreinte conclut que l’article 13 du RGPD
n’a pas été respecté par le contrôlé.

C. Sur le manquement lié à l'obligation de garantir une sécurité appropriée

1. Sur les principes

En vertu de l’article 32.1 du RGPD et « compte tenu de l'état des connaissances,
des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du
traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les
droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant
mettent en œuvre les mesures techniques et organisationnelles appropriées afin de
garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins:

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la
résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel
et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des
mesures techniques et organisationnelles pour assurer la sécurité du traitement. »

18 Y se trouve aussi un lien vers le site internet du développeur dudit logiciel … .

14/26

2. En l’espèce

Le chef d’enquête a examiné l’aspect lié à la sécurité des accès aux données
figurant dans le système de géolocalisation. Comme l’accès au logiciel d’exploitation du
dispositif de géolocalisation était uniquement sécurisé au moyen d’une identification
unique, c’est-à-dire un nom d’utilisateur et un mot de passe unique, qui est utilisée par
toutes les personnes autorisées à accéder audit logiciel, il retenait à l’encontre du contrôlé
une non-conformité aux mesures prescrites par l’article 32.1 du RGPD (voir
communication des griefs, Ad.A.2).

Le contrôlé se défend en se basant sur ses observations écrites du 7 octobre 2019
relatif au courrier électronique qu’il a envoyé dans ce contexte le 21 août 2019 à la
personne qui gère les accès aux comptes des utilisateurs du système de géolocalisation.
Dans ledit courrier, le contrôlé demande à la personne qui gère les accès aux comptes
des utilisateurs de créer des logins et des mots de passe personnalisés pour les
personnes qui ont accès à « […] »19 et de supprimer les logins existants, d’un côté, et de
veiller à ce que les mots de passe soient régulièrement mis à jour et pas communiqués à
des tiers, d’autre côté. De plus, il y est précisé que le « périmètre auquel elles ont accès
reste inchangé (donc seulement les camionnettes du service pour lequel ces personnes
travaillent) ».

La Formation Restreinte constate qu’au jour de la visite par les agents de la CNPD
dans les locaux du contrôlé, les politiques d’accès au logiciel de géolocalisation ne
respectaient pas les exigences minimales nécessaires en termes de sécurité, c’est-à-dire
avoir en place des comptes individuels au moyen d'un identifiant et d'un mot de passe
pour les personnes habilitées à y accéder dans le cadre de l'accomplissement de leurs
missions.

Au vu de ce qui précède, la Formation Restreinte conclut que l’article 32.1 du RGPD
n’a pas été respecté par le contrôlé.

19 Il s’agit du nom du logiciel de géolocalisation développé par […].

15/26

II. 2. Sur les mesures correctrices et amendes

1. Les principes

Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du pouvoir
d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement
;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

16/26

certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut en sus imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre
de l’État ou des communes.

L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu
des articles 25 et 32 ;

17/26

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

La Formation Restreinte tient à préciser que les faits pris en compte dans le cadre
de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.

Néanmoins, les démarches effectuées par le contrôlé pour se mettre en conformité
avec le RGPD au cours de la procédure d’enquête ou pour remédier aux manquements
relevés par le chef d’enquête dans la communication des griefs, sont prises en compte par
la Formation Restreinte dans le cadre des éventuelles mesures correctrices à prononcer
et/ou de la fixation du montant d’une éventuelle amende administrative.

18/26

2. En l’espèce

2.1. Quant à l’imposition d’une amende administrative

Dans son courrier complémentaire à la communication des griefs du 17 août 2020,
le chef d’enquête proposait à la Formation Restreinte d’infliger une amende administrative
au contrôlé portant sur le montant de 4.000 euros en prenant en compte les éléments
suivants :

 « Le fait qu'une information claire et complète des personnes concernées sur le(s)
traitement(s) mis en œuvre par le responsable du traitement constitue une
condition indispensable pour que ces personnes concernées puissent connaître
l'existence dudit traitement, mais également saisir son ampleur. Ne pas fournir ces
informations ou les fournir de manière incomplète empêchera non seulement les
personnes concernées de comprendre ce qui adviendra de leurs données à
caractère personnel, mais les privera effectivement d'exercer tous les droits de
recours leurs accordés par le RGPD.

 Le fait qu'une information partielle des personnes concernées a effectivement été
effectuée.

 L'ampleur du système de géolocalisation, installé dans au moins 191 véhicules.

 La bonne coopération de l'entreprise tout au long de l'enquête ainsi que sa volonté
de se conformer à la loi dans les meilleurs délais. »

Dans sa réponse audit courrier complémentaire du 24 septembre 2020, le contrôlé
soutenait notamment que les critères concrets pris en compte par le chef d’enquête ayant
abouti à la détermination du quantum étaient peu clairs et il ne comprenait pas sur quels
éléments objectifs la proposition de l'amende aurait été effectuée.

Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider, le
cas échéant, du montant de cette amende, la Formation Restreinte analyse les critères
posés par l’article 83.2 du RGPD :
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

19/26

 Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), la
Formation Restreinte relève qu’en ce qui concerne le manquement à l’article 5.1.e)
du RGPD, il est constitutif d’un manquement à l’un des principes fondamentaux du
RGPD (et du droit de la protection des données en général), à savoir au principe
de la limitation de la conservation des données consacré au Chapitre II « Principes
» du RGPD.

 Quant au manquement à l’obligation d’informer les personnes conformément à
l’article 13 du RGPD, la Formation Restreinte rappelle que l’information et la
transparence relative au traitement des données à caractère personnel sont des
obligations essentielles pesant sur les responsables de traitement afin que les
personnes soient pleinement conscientes de l’utilisation qui sera faite de leurs
données à caractère personnel, une fois celles-ci collectées. Un manquement à
l’article 13 du RGPD est ainsi constitutif d’une atteinte aux droits des personnes
concernées. Ce droit à l’information a par ailleurs été renforcé aux termes du
RGPD, ce qui témoigne de leur importance toute particulière.

 Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte
constate que ces manquements ont duré dans le temps, à tout le moins depuis le
25 mai 2018. La Formation Restreinte rappelle ici que deux ans ont séparé l’entrée
en vigueur du RGPD de son entrée en application pour permettre aux
responsables de traitement de se conformer aux obligations qui leur incombent et
ce même si une obligation d’information comparable existait en application de
l’article 26 de la loi abrogée du 2 août 2002 relative à la protection des personnes
à l'égard du traitement des données à caractère personnel.

En ce qui concerne la durée de conservation des données, la Formation Restreinte
tient à rappeler que déjà dans son autorisation n° […], la CNPD avait imposé
comme condition que les données à caractère personnel ne pourront être
conservées au-delà de deux mois, respectivement trois ans pour les données
relatives au temps de travail.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

20/26

 Quant au nombre de personnes concernées (article 83.2.a) du RGPD), comme le
contrôlé a précisé que chaque véhicule est attribué à un salarié spécifique, le
nombre de personnes concernées correspond au nombre de véhicules dotés d’un
système de géolocalisation.

Lors de l’audience de la Formation Restreinte du 17 novembre 2020, le contrôlé a
confirmé que le groupe « ABC » dispose en tout de 191 véhicules équipés d’un
système de géolocalisation, comme l’a d’ailleurs retenu le chef d’enquête dans son
courrier complémentaire à la communication des griefs du 17 août 2020.
Néanmoins, il a précisé que la société « Société A » ne dispose uniquement de 92
véhicules équipés d’un système de géolocalisation.

Comme le chef d’enquête a limité le périmètre de l’enquête à une des trois sociétés
du groupe « ABC » et plus précisément à la société « Société A », la Formation
Restreinte retient qu’uniquement 92 véhicules, contrairement aux 191 véhicules
mentionnés par le chef d’enquête, correspondant à 92 personnes qui sont
concernées par le traitement mis en place par le système de géolocalisation.

 Quant à la question de savoir si les manquements ont été commis délibérément
ou non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que « non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas
respecté l’obligation de diligence qui lui incombe en vertu de la législation.

En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef
du contrôlé.

 Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2.f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête
selon laquelle la coopération du contrôlé tout au long de l'enquête était bonne, ainsi
que de sa volonté de se conformer à la loi dans les meilleurs délais.

21/26

 Quant aux circonstances atténuantes applicables aux circonstances en l’espèce
(article 83.2.k) du RGPD), la Formation Restreinte tient compte des éléments
suivants :

o une information partielle des personnes concernées a été effectuée,
notamment par la fiche plastifiée ajoutée aux documents de bord indiquant
que le véhicule « est muni d’un système de géolocalisation », ainsi que
l’étiquette apposée sur la portière arrière du véhicule mentionnant «
Surveillé par GPS avec […] » ;

o la prise de mesures de mise en conformité avec les articles 12 et 13 du
RGPD, notamment par l’élaboration et l’affichage sur son site d’une note
d’information sur le système de géolocalisation destinée à l’ensemble du
personnel ;

o la réduction des durées de conservation des données contenues dans le
système de géolocalisation de 2 ans et 4 mois à 12 mois.

La Formation Restreinte constate que les autres critères de l’article 83.2 du RGPD
ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition d’une
amende administrative et son montant.

S’agissant du manquement à l’obligation d’assurer la sécurité des données, en
application de l’article 32 du RGPD, la Formation Restreinte considère qu’au vu des
mesures prises par la société, notamment les efforts entamés afin de créer des logins et
des mots de passe personnalisés pour les personnes qui ont accès à « […] » et de
supprimer les logins existants et de veiller à ce que les mots de passe soient régulièrement
mis à jour et pas communiqués à des tiers, elle a fait preuve de bonne foi dans le cadre
de la procédure. En conséquence, la Formation Restreinte considère, qu’au regard des
circonstances de l’espèce, il n’y a pas lieu d’assoir son amende sur le fondement de ce
manquement, bien qu’il soit caractérisé.

22/26

La Formation Restreinte relève aussi que si plusieurs mesures ont été mises en
place par le contrôlé afin de remédier en totalité ou en partie à certains manquements,
celles-ci n’ont été adoptées qu’à la suite du contrôle des agents de la CNPD en date du
20 février 2019.

Dès lors, la Formation restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5 et 13 du RGPD.

S’agissant du montant de l’amende administrative, la Formation Restreinte rappelle
que le paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations multiples,
comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant
fixé pour la violation la plus grave. Dans la mesure où un manquement aux articles 5 et
13 du RGPD est reproché au contrôlé, le montant maximum de l’amende pouvant être
retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant
le plus élevé est retenu.

Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la
Formation Restreinte considère que le prononcé d’une amende de 2.800 euros apparaît
à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1
du RGPD.

2.2. Quant à la prise de mesures correctrices

L’adoption des mesures correctrices suivantes a été proposée par le chef d’enquête
à la Formation Restreinte dans son courrier complémentaire à la communication des
griefs :

« a) Ordonner au responsable du traitement de mettre en place les mesures d'information
destinées aux personnes concernées par la géolocalisation, conformément aux
dispositions de l'article 13, paragraphes (1) et (2) du RGPD en renseignant notamment
l'identité et les coordonnées du responsable du traitement, le cas échéant, les
coordonnées du délégué à la protection des données, les finalités du traitement et sa base
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

23/26

juridique, les catégories de données traitées, les intérêts légitimes poursuivis par le
contrôlé, les destinataires, la durée de conservation des données ainsi que les droits de
la personne concernée et de la manière de les exercer, et le droit d'introduire une
réclamation auprès d'une autorité de contrôle ;

b) Ordonner au responsable du traitement de prendre toute mesure de sécurité dans le
cadre de l'utilisation du logiciel d'exploitation du dispositif de géolocalisation, notamment
(i) de définir des habilitations pour accéder au logiciel d'exploitation de géolocalisation aux
seules personnes pour lesquelles cela est strictement nécessaire à l'accomplissement de
leurs missions et (ii) de créer des comptes individuels aux moyen d'un identifiant et d'un
mot de passe pour les personnes habilitées ci-avant ;

c) Ordonner au responsable du traitement de mettre en œuvre une politique de durée de
conservation des données à caractère personnel conforme aux dispositions du e) de
l'article 5 du RGPD, n'excédant pas la durée nécessaire aux finalités pour lesquelles elles
sont collectées, et notamment en ne conservant pas les données de localisation plus de
deux mois et les données relatives au temps de travail pendant une durée maximale de
trois ans. »

Quant à la mise en place d’une politique de durée de conservation des données à
caractère personnel conforme aux dispositions de l'article 5.2.e) du RGPD, le contrôlé a
adapté après la visite sur site des agents de la CNPD la durée de conservation des
données issues du système de géolocalisation de 2 ans et 4 mois à 12 mois.

La Formation Restreinte considère cependant que les durées de conservation des
données issues du système de géolocalisation doivent être adaptées en fonction des
différentes finalités poursuivies.

Quant aux informations destinées aux personnes concernées par la géolocalisation,
conformément aux dispositions de l'article 13.1 et 13.2 du RGPD, le contrôlé soutient avoir
élaboré et affiché depuis le 4 octobre 2019 sur son site une note d’information sur le
système de géolocalisation destinée à l’ensemble du personnel.

24/26

La Formation Restreinte considère cependant que la note d’information ne reprend
pas l’intégralité des droits dont bénéficient les personnes concernées aux termes du
RGPD. Ainsi, le droit d’opposition (article 21 du RGPD) n’est pas mentionné. Par ailleurs,
l’information sur la durée de conservation des données doit être actualisée.

Quant à l’obligation de mettre en place des politiques d’accès au logiciel de
géolocalisation en vertu de l’article 32.1 du RGPD, la Formation Restreinte considère que
malgré les efforts entamés par le contrôlé, ce dernier doit en vertu du principe de
responsabilisation (« accountability ») mettre en œuvre des mécanismes et des
procédures internes permettant de démontrer le respect de l’article 32.1 du RGPD.

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

- de prononcer à l’encontre de la société Société A une amende administrative d’un
montant de deux mille et huit cents euros (2.800 euros), au regard des manquements
constitués aux articles 5.1.e) et 13 du RGPD ;

- de prononcer à l’encontre de la société Société A une injonction de mettre en conformité
le traitement avec les dispositions des articles 5.1.e), 13 et 32.1 du RGPD, dans un délai
de deux mois suivant la notification de la décision de la Formation restreinte, les justificatifs
de la mise en conformité devant être adressés à la Formation Restreinte, au plus tard,
dans ce délai ;

et en particulier :

1. s’agissant du manquement à l’obligation de mettre en œuvre une politique de durée de
conservation des données à caractère personnel conforme aux dispositions de l'article
5.1.e) du RGPD : adapter les durées de conservation des données à caractère personnel
obtenues par la géolocalisation en fonction des différentes finalités poursuivies, et
notamment en ne conservant pas les données à caractère personnel obtenues par la
géolocalisation au-delà de deux mois, les données à caractère personnel obtenues par la
géolocalisation utilisées à des fins de preuve pour la facturation des prestations effectuées
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de « Société A »

25/26

pour les clients au-delà d’un an et les données à caractère personnel obtenues par la
géolocalisation qui permettent de vérifier le temps de travail au-delà de trois ans ;

2. s’agissant du manquement à l’obligation d’informer les personnes concernées du
traitement de leurs données personnelles conformément à l’article 13 du RGPD : informer
les personnes concernées de manière claire et complète, conformément aux dispositions
de l’article 13 du RGPD, notamment en fournissant une information relative à la durée de
conservation des données en fonction des finalités poursuivies et à l’ensemble des droits
des personnes ;

3. s’agissant du manquement de prendre toute mesure de sécurité appropriée dans le
cadre de l'utilisation du logiciel d'exploitation du dispositif de géolocalisation en vertu de
l’article 32 du RGPD, créer des comptes individuels aux moyen d'un identifiant et d'un mot
de passe uniquement pour les personnes pour lesquelles l’accès au système de
géolocalisation est strictement nécessaire à l'accomplissement de leurs missions.

Ainsi décidé à Belvaux en date du 8 avril 2021.

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

26/26

Çalışan Araçlarının Konum Verileri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni