Belediye araçlarının konum takibinde bilgilendirme

Décision de la Commission nationale siégeant en formation restreinte
sur l’issue de l’enquête n°[…] menée auprès de l’administration
communale de [...]

Délibération n° 13FR/2021 du 21 avril 2021

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10 point 2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’administration communale de […]

1/13

I. Faits et procédure

1. Lors de sa séance de délibération du 16 janvier 2019, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après: « Formation
Plénière ») avait décidé d’ouvrir une enquête auprès de l’administration communale de
[…] (ci-après : « le contrôlé ») sur base de l’article 37 de la loi du 1er août 2018 portant
organisation de la Commission nationale pour la protection des données et du régime
général sur la protection des données (ci-après « loi du 1er août 2018 ») et de désigner
Monsieur Christophe Buschmann comme chef d’enquête.

2. Aux termes de la décision de la Formation Plénière l’enquête menée par la
Commission nationale pour la protection des données (ci-après : « CNPD ») avait comme
objet de vérifier le respect des dispositions du règlement relatif à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel et à la
libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »)
et de la loi du 1er août 2018, notamment par la mise en place de systèmes de
vidéosurveillance et de géolocalisation le cas échéant installés par le contrôlé.

3. En date du 24 janvier 2019, des agents de la CNPD ont effectué une visite dans
les locaux du contrôlé à l’adresse suivante : [...]1 La décision de la Commission nationale
pour la protection des données siégeant en formation restreinte sur l’issue de l’enquête
(ci-après: « Formation Restreinte ») se limitera aux traitements contrôlés par les agents
de la CNPD.

4. Lors de ladite visite, les représentants du contrôlé2 ont confirmé aux agents de la
CNPD qu’un système de géolocalisation est installé dans […] véhicules munis d'un

1 Voir Procès-verbal no. […] relatif à la mission d’enquête sur place effectuée en date du 24 janvier 2019

auprès de l’administration communale de [...].
2 Voir Procès-verbal no. […] relatif à la mission d’enquête sur place effectuée en date du 24 janvier 2019
auprès de l’administration communale de [...].

2/13

dispositif de déneigement ou de salage de la voirie, mais que le contrôlé ne recourt pas à
un système de vidéosurveillance.3

5. Selon les explications fournies aux agents de la CNPD, les personnes concernées
par la géolocalisation sont les membres du personnel communal (salariés et fonctionnaires
communaux) ayant manifesté leur volonté de participer au service hivernal.

6. Par ailleurs, les agents de la CNPD ont constaté que le logiciel du dispositif de
géolocalisation du contrôlé est hébergé en ligne par le fournisseur « […] », spécialisé en
matière de nettoyage et de déneigement et que ledit fournisseur est à considérer comme
sous-traitant au sens de l'article 4, point 8 du RGPD.

7. Dans son courrier de réponse du 14 février 2019 au procès-verbal dressé par les
agents de la CNPD, le contrôlé a précisé que les données collectées par les boîtiers du
dispositif de géolocalisation ne sont pas transmises vers les serveurs du fournisseur du
programme via connexion wifi ([…]), mais moyennant des cartes de téléphonie mobile.

8. A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du 8
août 2019 une communication des griefs détaillant le manquement qu’il estimait constitué
en l’espèce, et plus précisément une non-conformité aux exigences prescrites par l'article
13 du RGPD pour ce qui concerne les salariés.

9. Le 17 septembre 2019, le contrôlé a produit des observations écrites sur la
communication des griefs.

10. Un courrier complémentaire à la communication des griefs a été adressé au
contrôlé en date du 3 août 2020. Dans ce courrier, le chef d’enquête a proposé à la
Formation Restreinte d’adopter deux mesures correctrices différentes.

11. Par courrier du 24 août 2020, le contrôlé a produit des observations écrites sur
le courrier complémentaire à la communication des griefs.

3 Voir procès-verbal no. […] relatif à la mission d’enquête sur place effectuée en date du 24 janvier 2019

auprès de l’administration communale de [...]. Voir aussi la réponse du contrôlé du 14 février 2019 où ce
dernier a précisé qu’il ne s’agit pas de […], mais uniquement de […] véhicules équipés d’un système de
géolocalisation.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’administration communale de […]

3/13

12. La présidente de la Formation Restreinte a informé le contrôlé par courrier du 9
octobre 2020 que son affaire serait inscrite à la séance de la Formation Restreinte du 17
novembre 2020. Le contrôlé a confirmé sa présence à ladite séance en date du 3
novembre 2020.

13. Lors de la séance de la Formation Restreinte du 17 novembre 2020, le chef
d’enquête et le contrôlé ont exposé leurs observations orales à l’appui de leurs
observations écrites et ont répondu aux questions posées par la Formation Restreinte. La
présidente a consenti à la demande du contrôlé de pouvoir envoyer à la Formation
Restreinte des photos supplémentaires du système de géolocalisation et de fournir par
écrit les explications nécessaires endéans une semaine. Le contrôlé a eu la parole en
dernier.

14. Par courrier électronique du 18 novembre 2020, le contrôlé a envoyé quatre
photos à la Formation Restreinte du système de géolocalisation en place avec des
explications supplémentaires.

II. En droit

II. 1. Quant aux motifs de la décision

A. Sur le manquement lié à l'obligation d'informer les personnes concernées

1. Sur les principes

15. Aux termes de l’alinéa 1 de l’article 12 du RGPD, le « responsable du traitement
prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14
ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article
34 en ce qui concerne le traitement à la personne concernée d'une façon concise,
transparente, compréhensible aisément accessible, en des termes clairs et simples […].
Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est
approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les
informations peuvent être fournies oralement, à condition que l'identité de la personne
concernée soit démontrée par d'autres moyens. »

4/13

16. L’article 13 du RGPD prévoit ce qui suit :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :

a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit
à la personne concernée, au moment où les données à caractère personnel sont
obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir
un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’administration communale de […]

5/13

b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;

d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données;

f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. »

6/13

17. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des
obligations générales de transparence au sens du RGPD.4 Lesdites obligations ont été
explicitées par le Groupe de Travail Article 29 dans ses lignes directrices sur la
transparence au sens du règlement (UE) 2016/679, dont la version révisée a été adoptée
le 11 avril 2018 (ci-après : « WP 260 rév.01 »).

18. A noter que le Comité européen de la protection des données (ci-après :
« CEPD »), qui remplace depuis le 25 mai 2018 le Groupe de Travail Article 29, a repris
et réapprouvé les documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai
2018, comme précisément les lignes directrices précitées sur la transparence5.

2. En l’espèce

19. Dans la communication des griefs, le chef d’enquête s’est référé à une lettre du
14 février 2019 du contrôlé, dans laquelle ce dernier a annexé un document intitulé « […]
». Dans ladite lettre, le contrôlé a par ailleurs précisé que « tout est mis en œuvre pour
transmettre également les informations par voie écrite aux agents concernés. Ainsi, un
courrier d'information personnalisé à l'attention des agents composant les équipes du
service hivernal a été préparé […] ».

20. Néanmoins, le chef d’enquête a constaté que la non-conformité à l'article 13 du
RGPD était acquise au jour de la visite sur site, car la documentation lui soumise par la
lettre précitée ne contenait aucune preuve à l'encontre de cette non-conformité à cette
date précise. Le chef d’enquête a ajouté que « l'observation que les salariés avaient été
informés par voie orale, sans pour autant présenter des preuves à l'appui à cette
prétention, n'est pas de nature à énerver ce constat. » (voir communication des griefs,
page 2, Ad.A.1.).

4 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.

5 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’administration communale de […]

7/13

21. Dans son courrier du 24 août 2020, le contrôlé de son côté a renvoyé à ses
propos contenus dans son courrier du 17 septembre 2019 qui mentionnait déjà les
démarches effectuées par le contrôlé, suite à la visite des agents de la CNPD, afin de se
conformer aux dispositions de l’article 13 du RGPD. Le contrôlé y précisait que
conformément à l’article L-261-1 du Code du travail une information collective relative à la
mise en place du système de géolocalisation des délégations des fonctionnaires et
employés communaux, ainsi que des salariés a eu lieu par courrier du 13 août 2019, d’une
part, et que tous les agents concernés seraient informés individuellement avant le 1er
novembre 2019, d’autre part. Par ailleurs, le contrôlé y précisait que l'information a aussi
été mise sur le site intranet de […] et que l'instruction a été donnée aux services d'afficher
l'information dans les locaux des services concernés. Copies des notices d’information
destinées aux délégations, ainsi qu’aux salariés étaient annexées au courrier du 17
septembre 2019.

22. Par ailleurs, le contrôlé expliquait dans le courrier précité du 17 septembre 2019
qu’à cette date le nombre de véhicules d’intervention munis d’un système de
géolocalisation s’élevait en tout à […]6 et que pour le 1er novembre 2019, des vignettes
signalétiques seraient installées dans lesdits véhicules ayant la teneur suivante : « … tient
à vous informer que le présent véhicule est équipé d'un système de géolocalisation.
Pour davantage d'informations, vous pouvez vous renseigner à l'adresse suivante: ... »

23. Finalement, lors de la séance de la Formation Restreinte du 17 novembre 2020,
ainsi que dans son courrier électronique du 18 novembre 2020, le contrôlé a confirmé que
la notice d’information communiquée à la CNPD par le courrier précité du 19 septembre
2019 a été transmise et contresignée individuellement par tous les agents du service
hivernal de [...].

24. La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD
fait référence à l’obligation imposée au responsable du traitement de « fournir » toutes les
informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie
que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne

6 […] véhicules au service Hygiène et […] véhicules au service Voirie.

8/13

concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.). » (WP260 rev. 01, paragraphe 33).

25. Par ailleurs, elle tient à préciser que l’article 12 du RGPD n’exclut pas de facto
que les informations prévues aux articles 13 et 14 peuvent être fournies oralement par le
responsable du traitement à la personne concernée. Par contre, le WP260 rev. 01
(paragraphe 21) insiste que dans ce cas, le responsable du traitement devrait veiller « à
conserver une trace écrite, et s’assurer qu’il est en mesure de le prouver (aux fins de la
conformité à l’exigence de responsabilité), de: i) la demande d’informations par voie orale,
ii) la méthode par laquelle l’identité de la personne concernée a été vérifiée (le cas
échéant, voir le point 20 ci-dessus), et iii) du fait que les informations ont été transmises à
la personne concernée. »

26. Lors de la visite sur site des agents de la CNPD, le contrôlé a précisément
mentionné que les personnes concernées ont uniquement été informées oralement sur la
présence du dispositif de géolocalisation dans les véhicules en question dans le cadre des
instructions de travail fournies.

27. Néanmoins, la Formation Restreinte constate qu’aucune documentation
soumise par le contrôlé ne contient de preuve attestant que les salariés du contrôlé ont
été valablement informés, avant la visite sur site des agents de la CNPD, de manière orale
conformément à l'article 13 du RGPD.

28. Au vu de ce qui précède, la Formation Restreinte conclut qu’au moment de la
visite sur site des agents de la CNPD, l’article 13 du RGPD n’était pas respecté par le
contrôlé.

II. 2. Sur les mesures correctrices

1. Les principes

29. Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

9/13

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel ;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

10/13

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

30. Parmi ces mesures figure aussi le pouvoir d’ « imposer une amende
administrative en application de l'article 83 […] ». Or, l’article 48.1 de la loi du 1er août
2018 portant organisation de la Commission nationale pour la protection des données et
du régime général sur la protection des données précise que « [l]a CNPD peut imposer
les amendes administratives telles que prévues à l’article 83 du [RGPD], sauf à l’encontre
de l’État ou des communes. ».

31. Par ailleurs, la Formation Restreinte tient à préciser que les faits pris en compte
dans le cadre de la présente décision sont ceux constatés au début de l’enquête. Les
éventuelles modifications relatives aux traitements de données faisant l’objet de l’enquête
intervenues ultérieurement, même si elles permettent d’établir entièrement ou
partiellement la conformité, ne permettent pas d’annuler rétroactivement un manquement
constaté.

32. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer.

2. En l’espèce

33. L’adoption des mesures correctrices suivantes a été proposée par le chef
d’enquête à la Formation Restreinte dans son courrier complémentaire à la communication
des griefs du 3 août 2020 :

« a) Ordonner au responsable du traitement de compléter les mesures d'information
destinées aux personnes concernées par la géolocalisation, conformément aux
dispositions de l'article 13, paragraphes (1) et (2) du RGPD en renseignant
notamment l'identité du responsable du traitement, les finalités du traitement et sa
base juridique, les catégories de données traitées, les intérêts légitimes poursuivis
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’administration communale de […]

11/13

par le contrôlé, les destinataires, la durée de conservation des données ainsi que
l'indication des droits de la personne et de la manière de les exercer.

b) De prononcer un rappel à l'ordre à l'encontre du responsable du traitement pour
cause de violation des dispositions du RGPD. »

34. La Formation Restreinte prend en compte les démarches effectuées par le
contrôlé, suite à la visite des agents de la CNPD, afin de se conformer aux dispositions de
l’article 13 du RGPD, comme détaillées dans son courrier du 24 août 2020. Plus
particulièrement, elle prend note des faits suivants, qui ont été confirmés par le contrôlé
lors de la séance de la Formation Restreinte du 17 novembre 2020, ainsi que dans son
courrier électronique du 18 novembre 2020 :

 La notice d’information en matière de géolocalisation des véhicules d’intervention,
communiquée à la CNPD par courrier du 19 septembre 2019, a été transmise et
contresignée individuellement par tous les agents du Service Hygiène et du
Service Voirie assurant le service hivernal de [...].

 Des vignettes signalétiques ont été installées dans les véhicules d’intervention
ayant la teneur suivante : « … tient à vous informer que le présent véhicule est
équipé d'un système de géolocalisation. Pour davantage d'informations, vous
pouvez vous renseigner à l'adresse suivante: ... »

35. En vertu de l’article 58.2.b) du RGPD, la CNPD peut rappeler à l'ordre un
responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont
entraîné une violation des dispositions du RGPD.

36. Compte tenu du fait qu’au moment de la visite sur site des agents de la CNPD,
aucune documentation soumise par le contrôlé ne contenait de preuve attestant que les
salariés du contrôlé ont été valablement informés en violation de l’article 13 du RGPD, la
Formation Restreinte considère qu’il est justifié de prononcer un rappel à l’ordre à
l’encontre du contrôlé.

12/13

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :

 de prononcer à l’encontre de l’administration communale de […] un rappel à l’ordre
pour avoir violé l’article 13 du RGPD.

Ainsi décidé à Belvaux en date du 21 avril 2021.

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

13/13

Belediye araçlarının konum takibinde bilgilendirme

Türkçe özet

Hukuki mesele

Sonuç

Karar metni