Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
Délibération n° 13FR/2023 du 21 septembre 2023
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et
Alain Herrmann, commissaires ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10.2 ;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;
Considérant ce qui suit :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
1/38
I. Faits et procédure
1. Lors de sa séance de délibération du 10 mars 2021, la Commission nationale
pour la protection des données siégeant en formation plénière avait décidé d’ouvrir une
enquête auprès de l’Organisme public A et de l’Organisme public B sur base de l'article 38
de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données (ci-après : la « loi du 1er
août 2018 ») et de désigner Monsieur Marc Lemmer comme chef d’enquête.
2. Ladite décision a précisé que l’enquête menée par la Commission nationale
pour la protection des données (ci- après : la « CNPD » ou la « Commission nationale »)
avait pour objet de « [c]ontrôler l’application et le respect du RGPD[1] (et des textes légaux
prévoyant des dispositions spécifiques en matière de protection des données à caractère
personnel) des traitements mis en œuvre par un système de géolocalisation, en
considérant en particulier l’avis rendu par la CNPD par la délibération n° […] du […]
décembre 2020 relative à la demande d’avis introduite sur base de l’article L.261-1
paragraphe (4) du Code du travail par la délégation du personnel [de l’Organisme public A
et de l’Organisme public B] ».
3. Le « […] » est un […], dont l’adresse est : L - […] (ci-après : « Organisme public
A »).
L’Organisme public A [accomplit des missions d’intérêt général].
4. Le « […] » est un […], dont l’adresse est : L - […] (ci-après : « Organisme public
B » et ensemble avec l’Organisme public A ci-après : « […] » ou les « contrôlés »).
L’Organisme public B [accomplit des missions d’intérêt général].
5. En date du 26 mai 2021, des agents de la CNPD ont effectué une visite sur
place au bâtiment administratif […] sis à […].
6. Par deux courriels du 2 juin 2021 les contrôlés ont fourni à la CNPD des
informations complémentaires demandées lors de ladite visite.
1 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après : le « RGPD »).
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
2/38
7. Le « Procès-verbal no. [...] relatif à la visite sur place effectuée en date du
26 mai 2021 auprès de l’Organisme public A et de l’Organisme Public B » (ci-après : le
« procès-verbal relatif à la visite sur place ») dressé par les agents de la CNPD a été
envoyé aux contrôlés par courrier du 8 juin 2021.
Il résulte de ce procès-verbal que :
- les contrôlés avaient mis en place un système de géolocalisation (ci-après : le
« système de géolocalisation ») de la Société C (système […]) dans […] véhicules de
service et/ou engins de chantier2 ;
- le système de géolocalisation disposait « des fonctionnalités et caractéristiques
suivantes :
- Surveillance permanente des Véhicules [véhicules de service et/ou engins de
chantier] en temps réel au moyen de boitiers intégrés à chaque véhicule ;
- Connexion desdits boitiers à une centrale ;
- Transmission des informations via un réseau GPRS ;
- Transmission des informations à un serveur tiers ([…]) ;
- Event data recorder ;
- Logiciel de traitement des données (« […] ») et accès à la localisation des
véhicules surveillés au moyen d'un moniteur de contrôle (Annexes 4 et 5, photo
[…]) »3 ; et
- les données collectées par le système de géolocalisation étaient « les suivantes :
- Date et heure de début et de fin du trajet ;
- État du véhicule (en mouvement ou à l'arrêt, en ce compris d'éventuelles
pauses) ;
2 Procès-verbal relatif à la visite sur place, constat 3.
3 Procès-verbal relatif à la visite sur place, constat 7.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
3/38
- Données de positionnement du véhicule (à deux mètres près) et parcours du
véhicule ;
- Temps de conduite et kilométrage parcouru ; et
- Mise en mouvement anormale du véhicule en raison du jour (samedi ou
dimanche) ou de l'horaire (fonction « Geo-fencing ») »4 ;
- le système de géolocalisation était associé aux véhicules de service, respectivement
aux engins de chantier, et non pas aux salariés, le recoupement entre la géolocalisation
d’un véhicule de service ou engin de chantier et le salarié le conduisant étant possible,
en effectuant un croisement avec les fiches de travail des salariés, ces dernières
indiquant quel véhicule était utilisé quel jour par chaque salarié.5
8. Les contrôlés ont produit des observations écrites sur le procès-verbal relatif à
la visite sur place par courriel du 9 juin 2021.
9. Par la suite, les contrôlés et le service d’enquêtes de la CNPD ont procédé à
un échange de courriers.6
10. A l'issue de son instruction, le chef d'enquête a notifié aux contrôlés en date du
13 décembre 2022 une communication des griefs (ci-après : la « communication des griefs
initiale ») détaillant les manquements qu'il estimait constitués en l'espèce par rapport aux
exigences prescrites par l'article 13 du RGPD (droit à l’information), […] et l’article 5.1.c) et
b) du RGPD (principes de minimisation et de limitation des finalités).
Le chef d’enquête a proposé à la Commission nationale siégeant en formation restreinte
(ci-après: la « Formation Restreinte ») d’adopter quatre mesures correctrices différentes,
ainsi que d’infliger aux contrôlés une amende administrative d’un montant de […] euros.
11. Par courrier en date du 2 février 2023, les contrôlés ont formulé leurs
observations relatives à la communication des griefs initiale.
4 Procès-verbal relatif à la visite sur place, constat 8.
5 Procès-verbal relatif à la visite sur place, constat 10.
6 Cf. point 12 de la communication des griefs pour une liste détaillée des échanges tout au long de
l'enquête.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
4/38
12. En réplique, le chef d’enquête a notifié aux contrôlés en date du 15 février 2023
une nouvelle communication des griefs modifiant la communication des griefs initiale (ci-
après : la « communication des griefs »).
Le chef d’enquête a maintenu les manquements qu'il estimait constitués en l'espèce, ainsi
que les mesures correctrices qu’il proposait.
Toutefois, sur base des informations transmises aux termes du courrier des contrôlés en
date du 2 février 2023, il a considéré que les manquements retenus dans la communication
de griefs initiale n’avaient pas été commis intentionnellement, mais relevaient d’une
négligence grave. Par conséquent, il a réduit le montant de l’amende administrative
proposée à […] euros.
La faculté de formuler leurs observations écrites sur la communication des griefs a été
offerte aux contrôlés. Ces derniers n'ont pas communiqué d'observations au chef
d'enquête.
13. La présidente de la Formation Restreinte a informé les contrôlés par courrier
en date du 18 avril 2023 que leur affaire serait inscrite à la séance de la Formation
Restreinte du 13 juin 2023 et qu’il leur était offert la possibilité d'y être entendu. Par courriel
du 6 juin 2023, les contrôlés ont confirmé leur présence à ladite séance.
Lors de cette séance le chef d’enquête […], et les contrôlés, représentés par […], ont
exposé leurs observations orales à l’appui de leurs observations écrites et ont répondu aux
questions posées par la Formation Restreinte. La Formation Restreinte a donné aux
contrôlés la possibilité d’envoyer jusqu’au 28 juin 2023 des informations complémentaires
demandées lors de ladite séance. Les contrôlés ont eu la parole en dernier.
14. Par courriels des 21 et 29 juin 2023, les contrôlés ont fourni les informations
complémentaires demandées à la Formation Restreinte. Les contrôlés avaient informé la
Formation Restreinte dans leur courriel du 21 juin 2023 que le bilan de l’année 2022 de
l’Organisme public B était en cours de finalisation et ne pouvait lui être transmis qu’au plus
tôt dans les quinze jours à venir.
15. La décision de la Formation Restreinte sur l’issue de l’enquête se basera :
- sur les traitements des données à caractère personnel découlant de la géolocalisation
des véhicules de service et engins de chantier mis à la disposition des salariés des
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
5/38
contrôlés au moyen du système de géolocalisation et contrôlés par les agents de la
CNPD ;
- la Délibération n° […] du […] décembre 2020 de la Commission nationale pour la
protection des données relative à la demande d’avis introduite sur base de
l’article L.261-1 paragraphe (4) du Code du travail par la délégation du personnel de
l’Organisme public A et de l’Organisme public B ; et
- sur les dispositions légales et réglementaires prises en compte par le chef d’enquête
dans la communication des griefs.
II. En droit
II. 1. Sur les motifs de la décision
A. Sur la détermination du responsable du traitement
1. Sur les principes
16. Aux termes de l’article 4.7 du RGPD le responsable du traitement est « la
personne physique ou morale, l'autorité publique, le service ou un autre organisme qui,
seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ».
Aux termes de l’article 26.1 du RGPD « [l]orsque deux responsables du traitement ou plus
déterminent conjointement les finalités et les moyens du traitement, ils sont les
responsables conjoints du traitement ».
17. La notion de responsables conjoints du traitement a été explicité par le Comité
européen de la protection des données (ci-après : le « CEPD ») dans les « Lignes
directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant
dans le RGPD », version 2.0, adoptées le 7 juillet 2021 (ci-après : les « Lignes directrices
07/2020 »).
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
6/38
Aux termes de ces lignes directrices « [l]a responsabilité conjointe du traitement devrait
être appréciée sur la base d’une analyse factuelle plutôt que formelle de l’influence réelle
exercée sur les finalités et les moyens du traitement »7.
« Une participation conjointe à la détermination des finalités et des moyens implique que
plus d’une entité exerce une influence déterminante sur la question de savoir si et comment
le traitement a lieu ». Dans la pratique, une participation conjointe peut revêtir plusieurs
formes, telle qu’une décision commune prise par deux entités ou plus ou des décisions
convergentes adoptées par deux entités ou plus au sujet des finalités et des moyens
essentiels du traitement.8 Une participation conjointe résultant d’une décision commune
signifie que les parties décident ensemble et suppose une intention commune. Des
décisions peuvent être considérées comme convergentes dès lors qu’elles se complètent
et sont nécessaires à la réalisation du traitement de sorte qu’elles ont un effet concret sur
la détermination des finalités et des moyens du traitement (« […] le traitement par chacune
des parties est indissociable de celui de l’autre, c’est-à-dire inextricablement lié. »).9
2. En l’espèce
18. La CNPD dans la « Délibération n° […] du […] décembre 2020 de la
Commission nationale pour la protection des données relative à la demande d’avis
introduite sur base de l’article L.261-1 paragraphe (4) du Code du travail par la délégation
du personnel de l’Organisme public A et de l’Organisme public B »10 (ci-après : l’ « avis de
la CNPD ») avait retenu que « l’Organisme public A et l’Organisme public B doivent être
considérés comme responsables conjoints du traitement, au sens des articles 4 point (7)
et 26 […] [du RGPD], dans la mesure où ils semblent déterminer conjointement les finalités
et moyens du traitement en question »11.
19. Dans la communication des griefs le chef d’enquête a estimé que les contrôlés
étaient à considérer comme responsables conjoints du traitement au sens du RGPD pour
les traitements mis en œuvre par un système de géolocalisation12.
20. En effet, les contrôlés avaient eux-mêmes déclaré se considérer comme
responsables conjoints concernant les traitements effectués dans le cadre du système de
7 Lignes directrices 07/2020, point 52.
8 Lignes directrices 07/2020, point 54.
9 Lignes directrices 07/2020, point 55.
10 Pièce 1 du chef d’enquête.
11 Avis de la CNPD, deuxième paragraphe.
12 Communication des griefs point 23.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
7/38
géolocalisation lors de la visite sur place des agents de la CNPD du 26 mai 2021. Ils
avaient en particulier précisé que […].
[…]
28. Au vu de ces circonstances, la Formation Restreinte estime que les contrôlés
avaient conjointement déterminé à quelles fins et comment les données de géolocalisation
étaient traitées.
29. Elle se rallie donc à l’avis du chef d’enquête et conclut que les contrôlés étaient
à qualifier de responsables conjoints du traitement pour les traitements visés par la
présente décision.
B. Sur le manquement lié à l'obligation d'informer les personnes concernées
1. Sur les principes
30. Aux termes de l’article 12.1 du RGPD, le « responsable du traitement prend
des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi
que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en
ce qui concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible aisément accessible, en des termes clairs et simples […]. Les informations
sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie
électronique. Lorsque la personne concernée en fait la demande, les informations peuvent
être fournies oralement, à condition que l'identité de la personne concernée soit démontrée
par d'autres moyens. »
31. L’article 13 du RGPD prévoit ce qui suit :
« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
8/38
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert
de données à caractère personnel vers un pays tiers ou à une organisation internationale,
et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans
le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième
alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une
copie ou l'endroit où elles ont été mises à disposition ;
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à
la personne concernée, au moment où les données à caractère personnel sont obtenues,
les informations complémentaires suivantes qui sont nécessaires pour garantir un
traitement équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;
b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
9/38
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données ;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à
l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles
concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues
de ce traitement pour la personne concernée.
3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.
4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. »
32. La communication aux personnes concernées d’informations relatives au
traitement de leurs données est un élément essentiel dans le cadre du respect des
obligations générales de transparence au sens du RGPD13. Lesdites obligations ont été
explicitées par le Groupe de Travail Article 29 dans ses lignes directrices sur la
transparence au sens du règlement (UE) 2016/679, dont la version révisée a été adoptée
le 11 avril 2018 (ci-après : « WP 260 rév.01 »).
33. A noter que le CEPD a repris et réapprouvé les documents adoptés par ledit
Groupe entre le 25 mai 2016 et le 25 mai 2018, comme précisément les lignes directrices
précitées sur la transparence14.
2. En l’espèce
34. En ce qui concerne l’obligation d’information, la CNPD, dans les observations
formulées à la fin de son avis rendu à la demande de la délégation du personnel de
l’Organisme public A et de l’Organisme public B, avait estimé qu’une des conditions de
licéité du « traitement envisagé par l’employeur » était que « les personnes concernées
13 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.
14 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
10/38
doivent être informées de la surveillance opérée conformément aux dispositions des
articles 12 et 13 du RGPD ainsi que de l’article L.261-1 paragraphe (2) du Code du
Travail »15.
35. Lors de la visite sur place du 26 mai 2021 les contrôlés avaient déclaré aux
agents de la CNPD que
- les délégations du personnel des contrôlés avaient été informées au préalable de la
mise en place du système de géolocalisation16 ; et
- les salariés concernés avaient été informés des traitements mis en œuvre par le
système de géolocalisation au moyen d’affichages dans les véhicules de service et
engins de chantier, par une note d'information (reprise également dans l'intranet), ainsi
qu’une note de service et à l’occasion d’une réunion.17
Les contrôlés avaient remis aux agents de la CNPD une copie de la note de service datée
du 17 février 202118, ainsi qu’une notice d’information relative à la géolocalisation19.
36. Par la suite les contrôlés avaient transmis à la CNPD plusieurs documents
d’information :
37. Par courriel du 2 juin 2021 les contrôlés avaient transmis à la CNPD « […] [le
rapport] entre la délégation du personnel et la direction […], reprenant la première mention
du système GPS, ainsi que le rapport […] avec une discussion plus approfondie quant au
sujet du GPS ; […] ; une image de la note d’information dans nos véhicules [20] ; [et] les
notices d’informations affichées dans nos localités (un exemplaire en AL et en FR […])
[21] ».
38. Par courriel du 15 octobre 2021, les contrôlés avaient transmis une autre copie
de la notice d’information22. En outre, ils avaient exposé que leurs salariés avaient été
informés de la géolocalisation « oralement et par écrit […] le 9 juin 2020. Les informations
15 Avis de la CNPD, page 15.
16 Procès-verbal relatif à la visite sur place, constat 4.
17 Procès-verbal relatif à la visite sur place, constat 11.
18 Pièce 9 du chef d’enquête.
19 Pièce 19 du chef d’enquête.
20 Pièce 22 du chef d’enquête.
21 Pièces 20 et 21 du chef d’enquête.
22 Pièce 14 du chef d’enquête.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
11/38
ont été affichées dans les […] [locaux des contrôlés] durant plusieurs mois, en allemande
et en français et pour les deux […] [contrôlés]. ».
39. Par courriel du 24 mars 2022 les contrôlés avaient transmis à la CNPD une
copie de la note de service renouvelée en date du 11 janvier 202223. Ils avaient par ailleurs
confirmé qu’en ce qui concerne les quatre copies de la notice d’information, précédemment
transmises à la CNPD, à savoir une copie remise lors de la visite sur place du 26 mai 2021,
deux copies annexées à leur courriel du 2 juin 2021 et une copie annexée à leur courriel
du 15 octobre 2021, il « s’agit de la même note d’information, juste en allemand et français,
signé et non signé. On a utilisé cette note afin d’informer le personnel ».
40. Par courrier du 2 février 2023, les contrôlés avaient transmis à la CNPD la
copie d’un courriel du 9 juin 2020 intitulé « GPS » et une autre copie de la notice
d’information24.
41. Finalement, les contrôlés ont inséré une copie du courriel susmentionné du
9 juin 2020 en dessous de leur courriel du 21 juin 2023 à la Formation Restreinte. Ils y ont
également annexé quatre copies de la notice d’information et ils ont précisé que le courriel
du 9 juin 2020 avait été « envoyé à l’ensemble du personnel au début de la mise en service
du système de géolocalisation avec les annexes correspondantes ».
42. Dans la communication des griefs, le chef d'enquête après avoir examiné la
documentation soumise aux agents de la CNPD par les contrôlés au cours de l’enquête25,
ainsi que les trois notices d’information qui avaient été communiquées à la CNPD dans le
cadre de la demande d’avis introduite sur base de l’article L.261-1.4 du Code du travail26,
a retenu qu’au jour de la visite sur place une non-conformité à certaines dispositions de
l’article 13 du RGPD était acquise. Plus particulièrement, il était d’avis qu’au jour de la visite
sur place les contrôlés avaient manqué à leur obligation :
- d'informer les personnes concernées quant à l'identité du responsable du traitement,
découlant de l'article 13.1.a) du RGPD, étant donné que les contrôlés n’étaient pas
23 Pièce 10 et 25 du chef d‘enquête.
24 Pièce 9 des contrôlés.
25 En particulier, les notices d’information (Pièces 14, 19, 20 et 21 du chef d’enquête), la
photographie de l’affiche d’information dans les véhicules (pièce 22 du chef d’enquête) et les notes
de service (pièces 24 et 25 du chef d’enquête).
26 Pièces 11 à 13 du chef d’enquête.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
12/38
indiqués comme responsables conjoints du traitement dans les documents transmis à
leurs salariés27;
- d'informer les personnes concernées quant à l'identité du délégué à la protection des
données, découlant de l'article 13.1.b) du RGPD, parce que l’existence du délégué
n’apparaissait pas dans les documents transmis à leurs salariés28 ;
- d'informer les personnes concernées quant à la base juridique justifiant les traitements,
découlant de l'article 13.1.c) du RGPD, comme les notices d’information ne
mentionnaient pas une base juridique pertinente au titre de l’article 6 du RGPD29 ;
- d'informer les personnes concernées quant aux intérêts légitimes poursuivis, découlant
de l'article 13.1.d) du RGPD, étant donné que les intérêts légitimes poursuivis par les
contrôlés n’apparaissaient pas dans les documents transmis à leurs salariés, bien que
lors de la visite sur place les contrôlés avaient déclaré baser les traitements sur l’intérêt
légitime30 ;
- d'informer les personnes concernées quant aux garanties appropriées mises en place,
ainsi que des moyens d'en obtenir une copie ou de l’endroit où elles sont mises à
disposition, découlant de l'article 13.1.f) du RGPD, parce que bien que les notices
d’informations mentionnaient « un transfert de données vers un pays tiers au sens du
RGPD (en l’espèce les Etats-Unis d'Amérique) », les documents transmis aux salariés
ne mentionnaient pas les mesures prises pour garantir un niveau de protection adéquat
et les notices d’information mentionnaient que ce transfert était encadré par le « [EU-
U.S.] Privacy Shield [Framework] » alors que cette décision d’adéquation avait été
invalidée par la Cour de Justice de l’Union européenne31 32 ;
- d'informer les personnes concernées quant à leur droit d'introduire une réclamation
auprès de la CNPD, découlant de l'article 13.2.d) du RGPD, comme cette mention
n’apparaissait pas dans les documents transmis aux salariés33.
27 Communication des griefs, points 39 à 44.
28 Communication des griefs, point 45 à 50.
29 Communication des griefs, point 51 à 55.
30 Communication des griefs, points 56 à 60.
31 CJUE, Affaire C-311/18, arrêt du 16 juillet 2020.
32 Communication des griefs, point 61 à 66.
33 Communication des griefs, point 67 à 69.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
13/38
43. La Formation Restreinte tient tout d’abord à souligner que l’article 13 du RGPD
fait référence à l’obligation imposée au responsable du traitement de « fournir » toutes les
informations y mentionnées. Le mot « fournir » est crucial en l’occurrence et il « signifie
que le responsable du traitement doit prendre des mesures concrètes pour fournir les
informations en question à la personne concernée ou pour diriger activement la personne
concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien
direct, d’un code QR, etc.) »34.
44. Elle estime par ailleurs qu'une approche à plusieurs niveaux pour communiquer
des informations sur la transparence aux personnes concernées peut être utilisée dans un
contexte hors ligne ou non numérique, c'est-à-dire dans un environnement réel comme par
exemple des données à caractère personnel collectées au moyen d'un système de
géolocalisation. Le premier niveau d'information (panneau d’avertissement, note
d’information, etc.) devrait de manière générale inclure les informations les plus
essentielles, à savoir les détails de la finalité du traitement, l'identité du responsable du
traitement et l'existence des droits des personnes concernées, ainsi que les informations
ayant la plus forte incidence sur le traitement ou tout traitement susceptible de surprendre
les personnes concernées. Le deuxième niveau d'information, c'est-à-dire l'ensemble des
informations requises au titre de l'article 13 du RGPD, pourrait être fourni ou mis à
disposition par d'autres moyens, comme par exemple un exemplaire de la politique de
confidentialité envoyé par e-mail aux salariés.35
45. En ce qui concerne le premier niveau d’information, la Formation Restreinte
note que sur l’autocollant qui était apposé dans les véhicules de service et engins de
chantier des contrôlés, dont une photo était annexée au courriel des contrôlés du
2 juin 2021, figuraient les mentions « GPS überwacht mit […] » et « Surveillé par GPS avec
[…] », une référence à « […].com », ainsi que les logos « […] » et « Made in
Luxembourg ». Elle constate toutefois que cet autocollant ne contenait pas les informations
requises au sens de l’article 13 du RGPD et même pas les éléments requis par le premier
niveau d'information. Il y manquait notamment les détails de la finalité du traitement,
l'identité des responsables conjoints du traitement et l'existence des droits des personnes
concernées.
34 Cf. WP 260 rév.01, point 33.
35 Cf. WP260 rév.01, point 38.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
14/38
46. La Formation Restreinte note en outre la copie de la « Note de service
concernant l’utilisation des GPS installés dans les engins et véhicules […] [des contrôlés] »
daté au 17 février 2021 qui avait été remise aux agents de la CNPD lors de la visite sur
place du 26 mai 202136.
Ladite note précisait certains aspects pratiques de l’utilisation du système de
géolocalisation tels que la personne responsable du système, les durées de conservation
des données de géolocalisation et les accès au système.
La Formation Restreinte constate toutefois que cette note ne contenait pas non plus les
éléments requis par le premier niveau d'information. Il y manquait notamment les détails
de la finalité du traitement, l'identité des responsables conjoints du traitement et l'existence
des droits des personnes concernées.
En outre, la documentation soumise à la Formation Restreinte ne contient aucune preuve
que la note d’information avait effectivement été transmise de manière individuelle aux
salariés des contrôlés avant la visite sur place des agents de la CNPD.
47. En ce qui concerne le deuxième niveau d’information, la Formation Restreinte
prend note
- des trois notices d’information qui avaient été communiquées à la CNPD dans la cadre
de la demande d’avis introduite sur base de l’article L.261-1.4 du Code du travail37.
Deux de ces documents38 étaient en langue française, datés au 9 juin 2020 et intitulés
« Notice d’information concernant la mise en place d’une géolocalisation de véhicules
professionnels ». L’Organisme public A ou l’Organisme public B étaient identifiés
comme responsables du traitement.
Le troisième document39 était en langue allemande, daté au 2 juin 2020 et intitulé
« Informationsblatt bezüglich des Einsatzes eines Geolokalisierungssystems in
Dienstfahrzeugen ». L’Organisme public A était identifié comme responsable du
traitement ;
36 Pièces 9 et 24 du chef d’enquête.
37 Pièce 17 du chef d’enquête.
38 Pièces 11 et 13 du chef d’enquête.
39 Pièce 12 du chef d’enquête.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
15/38
- de la notice d’information intitulée « Informationsblatt bezüglich des Einsatzes eines
Geolokalisierungssystems in Dienstfahrzeugen » qui avait été remise aux agents de la
CNPD lors de la visite sur place du 26 mai 202140. Elle était en langue allemande, non
datée et identifiait l’Organisme public B comme responsable du traitement ;
- des deux notices d’informations que les contrôlés avaient annexé à leur courriel du
2 juin 2021.
Un document était en langue française et intitulé « Notice d’information concernant la
mise en place d’une géolocalisation de véhicules professionnels »41. L’autre document
était en langue allemande et intitulé « Informationsblatt bezüglich des Einsatzes eines
Geolokalisierungssystems in Dienstfahrzeugen »42. Aucun de ces documents n’était
daté. La version française identifiait l’Organisme public B comme responsable du
traitement et la version allemande l’Organisme public A. En effet, il ressortait de la page
de couverture, dont ces documents étaient assortis, qu’il s’agissait de projets de
modèles que la Société C avait mis à disposition de ses clients ensemble avec
certaines autres informations légales pour élaborer une « note d’information […] à
fournir aux employés concernés » ;
- de la notice d’information intitulée « Informationsblatt bezüglich des Einsatzes eines
Geolokalisierungssystems in Dienstfahrzeugen »43 que les contrôlés avaient annexé à
leur courriel du 15 octobre 2021 et qui était en langue allemande et datée au
9 juin 2020. Elle renseignait l’Organisme public B comme responsable du traitement ;
- de la copie de la notice d’information intitulée « Notice d’information concernant la mise
en place d’une géolocalisation de véhicules professionnels » qui était annexée au
courrier des contrôlés du 2 février 2023 et qui était en langue française et datée au
9 juin 202044. Elle identifiait l’Organisme public A comme responsable du traitement ;
- des quatre copies de la notice d’information qui étaient annexées au courriel des
contrôlés du 21 juin 2023 à la Formation Restreinte et qui étaient datées au 9 juin 2020.
Deux de ces documents étaient en langue française et intitulés « Notice d’information
concernant la mise en place d’une géolocalisation de véhicules professionnels ».
40 Pièce 19 du chef d’enquête.
41 Pièce 21 du chef d’enquête.
42 Pièce 20 du chef d’enquête.
43 Pièce 14 du chef d’enquête.
44 Pièce 9 des contrôlés.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
16/38
L’Organisme public B ou l’Organisme public A étaient identifiés comme responsables
du traitement.
Les autres deux documents étaient en langue allemande et intitulés « Informationsblatt
bezüglich des Einsatzes eines Geolokalisierungssystems in Dienstfahrzeugen ».
L’Organisme public B ou l’Organisme public A étaient identifiés comme responsables
du traitement.
La Formation Restreinte considère qu’à l’exception des informations divergentes sur le
responsable du traitement et la base juridique du traitement dans les différentes versions
linguistiques, le contenu des notices d’information susmentionnées était quasiment
identique.
48. Elle observe par ailleurs que le courriel du 9 juin 202045 que les contrôlés ont
inséré en dessous de leur courriel du 21 juin 2023 et les quatre notices d’information y
annexées, avaient été adressés à leurs salariés individuellement, à savoir à leur adresses
e-mail professionnelles.
49. Toutefois, elle constate que les notices d’information susmentionnées ne
contenaient pas l’intégralité des informations prévues à l’article 13 du RGPD.
Ainsi, elles ne mentionnaient pas les responsables conjoints du traitement (article 13.1.a)
du RGPD), le délégué à la protection des données des contrôlés (article 13.1.b) du RGPD),
l’information relative à la base juridique pertinente au titre de l’article 6 du RGPD
(article 13.1.c) du RGPD), les intérêts légitimes poursuivis par les responsables conjoints
du traitement (article 13.1.d) du RGPD), le détail des transferts vers des pays tiers et plus
précisément des informations pertinentes sur l'existence ou l'absence d'une décision
d'adéquation, les garanties appropriées ou adaptées et les moyens d'en obtenir une copie
ou l'endroit où elles étaient mises à disposition (article 13.1.f) du RGPD) et l'information
quant au droit d'introduire une réclamation auprès de l'autorité de contrôle (article 13.2.d)
du RGPD), en l’espèce la CNPD.
50. Elle constate également que les notices d’information combinées avec
l’affichage dans les véhicules de service et les engins de chantier et/ou la note de service
ne contenaient pas non plus toutes les informations requises par l'article 13 du RGPD.
45 […].
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
17/38
51. Les contrôlés avaient encore invoqué avoir fourni des informations orales aux
salariés à l’occasion d’une réunion.
La Formation Restreinte relève qu’il ne résulte pas des rapports relatifs aux réunions entre
[…] [la délégation du personnel et la direction], dont les copies étaient annexées au courriel
des contrôlés du 2 juin 2021, que les représentants des délégations du personnel avaient
été informés de toutes les informations requises par l'article 13 du RGPD. Elle considère
par ailleurs qu’une information de la délégation du personnel pourrait tout au plus être
qualifiée comme information collective, et non pas comme information individuelle des
salariés.
Partant, la Formation Restreinte constate que la documentation soumise par les contrôlés
ne contient aucune preuve attestant que les salariés des contrôlés avaient été valablement
informés, avant la visite sur place des agents de la CNPD, par voie orale conformément à
l'article 13 du RGPD.
52. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête et conclut qu’une non-conformité à l’article 13 du RGPD était acquise au jour de
la visite sur place des agents de la CNPD.
C. […]
[…]
D. Sur le manquement lié au principe de minimisation des données
1. Sur les principes
62. Conformément à l’article 5.1.c) du RGPD, les données à caractère personnel
doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des
finalités pour lesquelles elles sont traitées (minimisation des données) ».
63. L’article 5.1.b) du RGPD dispose par ailleurs que les données à caractère
personnel doivent être « collectées pour des finalités déterminées, explicites et légitimes,
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
18/38
et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ; […]
(limitation des finalités) ».
2. En l’espèce
64. En ce qui concerne le principe de minimisation, la CNPD, dans les observations
formulées à la fin de son avis, avait estimé qu’une des conditions de licéité du « traitement
envisagé par l’employeur » était que « la géolocalisation des engins de chantier ne peut
être activée qu’en dehors des heures de travail, sauf pour les salariés travaillant seuls et
effectuant des tâches dangereuses dans des espaces reculés, auquel cas l’activation de
la géolocalisation doit être faite par les salariés »46.
65. Lors de la visite sur place les contrôlés avaient déclaré aux agents de la CNPD
que
- le système de géolocalisation installé dans les véhicules de service ou des engins de
chantiers des contrôlés n’était pas pourvu d’un bouton de désactivation47 ;
- les véhicules de service et engins de chantier ne pouvaient pas être utilisés à des fins
privées48 ;
- les contrôlés craignaient que dans le cas de l’installation d’un bouton de désactivation,
le système de géolocalisation ne soit pas réactivé le soir, par oubli, de sorte que les
engins ne soient pas protégés contre le vol49 ;
- le système de géolocalisation était utilisé pour plusieurs finalités, à savoir la sécurité et
santé des salariés, le suivi et la vérification du temps de travail des salariés, l'émission
de factures, l'optimisation du processus du travail et la sécurité des véhicules de service
et engins de chantier50 ;
46 Avis de la CNPD, page 15.
47 Procès-verbal relatif à la visite sur place, constat 9.
48 Idem.
49 Idem.
50 Procès-verbal relatif à la visite sur place, constat 12.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
19/38
- par le passé, des situations d'urgence dans lesquelles un repérage immédiat des
véhicules avait été nécessaire (par exemple […]) étaient gérées sur base des
informations, dont disposaient les contrôlés dans les situations spécifiques51 ;
- les véhicules de service et engins de chantier avaient fait l'objet de tentatives de vol
(déplacements)52.
66. Le chef d’enquête a relevé dans la communication des griefs que le système
de géolocalisation était « notamment installé sur des engins de chantiers » et qu’il n’était
pas pourvu d’un bouton de désactivation53.
67. Il a par ailleurs rappelé que « concernant les engins de chantier, l'Avis de la
CNPD établit que « en ce qui concerne la surveillance des engins de chantier […] [des
contrôlés], la Commission nationale est d'avis que géolocaliser ceux-ci durant les heures
de travail reviendrait à surveiller les salariés des responsables du traitement de manière
quasi-permanente. En effet, comme indiqué par […] [les contrôlés] dans […] [leur] courrier
du 2 octobre 2020, les personnels […] [des contrôlés] travaillent souvent seuls ou en très
petites équipes. Il est donc facile de relier un engin particulier à son utilisateur. [...] La
Commission nationale comprend néanmoins le besoin pour […] [les contrôlés] de pouvoir
protéger ses engins de chantier contre le vol et également de pouvoir suivre le temps de
travail des salariés. A cet égard, la Commission nationale est d'avis qu'une géolocalisation
des engins de chantier activée uniquement en dehors des heures de travail, et désactivée
par les salariés lorsqu'ils commencent à utiliser un engin particulier, permettrait d'atteindre
ces deux finalités, tout en étant moins attentatoire à la vie privée des salariés […] [des
contrôlés]. En outre, la Commission nationale reconnaît qu'une géolocalisation des engins
de chantier pendant les heures de travail pourrait être utile, voire nécessaire, pour assurer
la sécurité des salariés qui effectuent, seuls, des tâches dangereuses (par exemple, […])
dans des endroits reculés. [...] Par conséquent, au regard des activités parfois périlleuses
effectuées par les salariés […] [des contrôlés], dans des espaces […] qui peuvent être fort
reculés, la Commission nationale est d'avis que la géolocalisation des engins de chantier
pourrait néanmoins être activée pendant les heures de travail, lorsque ceux-ci sont utilisés
par des salariés travaillant seuls dans des espaces […] fort reculés (par exemple, […]) et
51 Procès-verbal relatif à la visite sur place, constat 12 (i).
52 Procès-verbal relatif à la visite sur place, constat 12 (v).
53 Communication des griefs, points 81 et 82.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
20/38
effectuant des tâches de nature dangereuse. L'activation devrait alors être effectuée par le
salarié lui-même. » »54.
68. Il a estimé « qu'aucun des éléments obtenus lors de la visite sur place […]
[n’était] de nature à infléchir l'argumentation développée dans l'Avis de la CNPD » et
qu’aucun élément de la documentation soumise à la CNPD ne contenait des preuves
contraires55. Il a donc constaté que la non-conformité à l'article 5.1.c) du RGPD était
acquise au jour de la visite sur place56.
69. Les contrôlés par courriel du 2 juin 2021 avaient précisé que par le passé des
véhicules avaient été déplacés sur un chantier, mais n’avaient pas été volés et que cet
incident n’avait pas été rapporté à la police.
70. Par la suite, les contrôlés avaient exposé dans leur courrier du 2 févier 2023
que le système de géolocalisation avait été installé pour faire droit à une demande du
personnel qui avait justifié la demande « dans un souci de sécurité personnelle. »
Ils avaient en particulier expliqué que « les ouvriers […] travaillant en partie seuls à
l’extérieur et potentiellement loin des habitations, […] avec du matériel plus ou moins
lourds. Face ou risque d’accident omniprésent, les salariés souhaitaient avoir l’assurance
que leur position exacte soit connue afin d’éviter des pertes de temps inutiles au cas où
une intervention de secours devait s’avérer nécessaire » et que « [p]ar conséquent, un
système permettant à l’ouvrier de l’éteindre ou l’allumer en fonction de ses besoins, tel que
proposé par la CDG, comporterait toujours le risque de l’oubli de mise en service au
moment où il en aurait besoin. Un tel module serait manifestement à l’encontre du but
recherché par les salariés et diminuerait l’intérêt d’un tel système. »
En outre, ils avaient expliqué que bien qu’un avis avait été demandée à la CNPD par la
délégation du personnel, les salariés concernés ne se seraient à aucun moment senti
personnellement gênés par la géolocalisation et toute atteinte à leur vie privée serait
demeuré « purement théorique ».
54 Communication des griefs, points 83.
55 Communication des griefs, points 84.
56 Communication des griefs, point 85.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
21/38
Ils avaient par ailleurs souligné qu’une surveillance permanente des salariés n’était à
aucun moment la finalité recherchée par le système de géolocalisation.
Afin de confirmer ce qui précède, les contrôlés avaient annexé à leur courrier susmentionné
deux attestations de témoignage de salariés des contrôlés57, ainsi […] [que plusieurs
rapports des séances de leurs organes dirigeants]. La Formation Restreinte note que ces
documents mentionnaient la sécurité des salariés comme une des finalités de la mise en
place du système de géolocalisation.
71. Lors de la séance de la Formation Restreinte les contrôlés ont réitéré ces
propos et ils ont par ailleurs confirmé que contrairement à ce qui était indiqué dans les
notices d’information58, les véhicules de service et engins de chantiers étaient réservés à
un usage strictement professionnel. Ils ont également expliqué que le suivi du temps de
travail était effectué actuellement par pointage dans le local technique […] pour les ouvriers
et que l’utilisation du système de géolocalisation était un moyen alternatif qui pouvait être
employé afin de permettre aux ouvriers de se rendre directement (par leurs moyens privés)
sur les chantiers et aux contrôlés de vérifier en même temps les déclarations de temps de
travail écrites (via le système de géolocalisation des engins de chantier).
72. Vu les explications sur les finalités des traitements fournies par les contrôlés
dans leur courrier du 2 février 2023 et lors de la séance de la Formation Restreinte, ainsi
que la confirmation que les engins de chantiers étaient réservés à un usage strictement
professionnel, la Formation Restreinte considère que le système de géolocalisation peut
être utilisé pour assurer la sécurité des ouvriers travaillant seuls dans des lieux isolés
pendant les heures de travail, sans pour autant exiger qu’un bouton d’activation séparé ne
soit installé, et pour vérifier les déclarations de temps de travail écrites des ouvriers
autorisés à se rendre directement sur les chantiers.
73. Au vu de ces circonstances, la Formation Restreinte estime qu’il n’y a pas lieu
de retenir un manquement à l’article 5.1.c) du RGPD.
57 Pièce 1 des contrôlés.
58 Les notices d’informations mentionnaient ce qui suit : « Le système de géolocalisation peut être
désactivé sur les véhicules qui peuvent être utilisés en dehors du temps de travail pour des raisons
privées » ou « Das Geolokalisierungssystem kann bei den Fahrzeugen deaktiviert werden, die
außerhalb der Arbeitszeiten für private Zwecke genutzt werden dürfen ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
22/38
E. Sur le manquement lié à l’obligation de limitation des finalités
1. Sur les principes
74. L’article 5.1.b) du RGPD dispose que les données à caractère personnel
doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas
être traitées ultérieurement d'une manière incompatible avec ces finalités ; […] (limitation
des finalités) ».
75. L’article 6.1 du RGPD prévoit qu’un traitement n'est licite que si, et dans la
mesure où, au moins une des six bases juridiques énumérées à cet article s’applique.
76. Par ailleurs, l’article L. 261-1.1 du Code du Travail dispose que le « traitement
de données à caractère personnel à des fins de surveillance des salariés dans le cadre
des relations de travail ne peut être mis en œuvre par l’employeur que dans les cas visés
à l’article 6, paragraphe 1er, lettres a) à f) » du RGPD, et conformément aux dispositions
de cet article.
77. En ce qui concerne l’exigence que la finalité soit « légitime », le Groupe de
Travail Article 29 dans son avis 03/2013 sur la limitation de la finalité, adopté le 2 avril 2013
(ci-après : « WP 203 »)59, a précisé qu’afin qu’une finalité soit légitime, le traitement doit, à
tout stade et à tout moment, être basé sur au moins une des bases juridiques prévues par
l’article 7 de la directive 95/46/CE60 et que l’article 6.1.b) de ladite directive exige en outre
que les finalités doivent être conformes à toutes les dispositions du droit de la protection
des données applicable, ainsi qu’à toute autre législation applicable, telle que le droit du
travail, le droit général des contrats, le droit de la consommation, etc.61.
78. Concernant cet avis, le CEPD a précisé dans ses « Lignes directrices 4/2019
relatives à l’article 25 Protection des données dès la conception et protection des données
par défaut », dont la version 2.0 a été adoptée le 20 octobre 2020 que le « groupe de travail
59 « Opinion 03/2013 on purpose limitation ». Cet avis n’est disponible qu’en anglais.
60 Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données et qui a été abrogée par le RGPD.
61 WP 203, pages 19 à 20; texte original en anglais : « In order for the purposes to be legitimate, the
processing must - at all different stages and at all times - be based on at least one of the legal
grounds provided for in Article 7 […]. However, the requirement that the purposes must be legitimate
is broader than the scope of Article 7. In addition, Article 6(1)(b) also requires that the purposes
must be in accordance with all provisions of applicable data protection law, as well as other
applicable laws such as employment law, contract law, consumer protection law, and so on ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
23/38
« Article 29 » a fourni des orientations sur l’interprétation du principe de limitation des
finalités dans le cadre de la directive 95/46/CE » et que « [b]ien que cet avis n’ait pas été
adopté par le comité, il peut néanmoins conserver sa pertinence, étant donné que le
principe est libellé de la même manière dans le RGPD »62.
2. En l’espèce
79. La CNPD à la fin de son avis avait observé qu’il était de sa compréhension que
les contrôlés souhaitaient mettre en œuvre le traitement envisagé entre autres pour
« assurer le suivi de marchandises en raison de leur nature particulière (matières
dangereuses, denrées alimentaires) »63.
80. Le chef d’enquête a relevé dans la communication des griefs qu’il « ressort des
Notes d’information (PIECES 11, 12, 13 et 14) que l’une des finalités du Traitement est la
« Garantie du suivi des marchandises en raison de leur nature particulière (matières
dangereuses, denrées alimentaires,…) », respectivement dans les versions allemandes
« Sicherstellung der Warennachverfolgung aufgrund der besonderen Art der
transportierten Waren (gefährliche Stoffe, Lebensmittel,…) » »64 et que « le transport de
marchandises n’apparaît [toutefois] dans aucun des objets sociaux figurant dans les statuts
des Contrôlés »65.
81. Il a estimé que « [s]i le transport de marchandise peut constituer en soi et dans
certains cas une finalité légitime, tel ne saurait être le cas si cette finalité ne recouvre pas
une réalité opérationnelle »66. Ainsi, après avoir constaté qu’ « il ne ressort nullement de
l’enquête que les Contrôlés se livreraient effectivement à une activité de transport de
marchandises », il a retenu que la finalité relative au transport de marchandises était
dépourvue de légitimité67 de sorte que la non-conformité à l’article 5.1.b) du RGPD était
acquise au jour de la visite sur place68.
82. Lors de la séance de la Formation Restreinte les contrôlés ont précisé en ce
qui concerne le transport de marchandises qu’afin de réaliser leurs projets, ils étaient
62 Cf. note en bas de page 34.
63 Avis de la CNPD, page 15.
64 Communication des griefs, point 89.
65 Communication des griefs, point 90.
66 Communication des griefs, point 91.
67 Idem.
68 Communication des griefs, point 93.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
24/38
amenés à transporter des terres et des pierres, ainsi que d’autres matériaux similaires
qu’ils considèrent comme des marchandises.
83. La Formation Restreinte rappelle que pour qu’une finalité soit légitime, le
traitement doit en particulier être fondé sur une base juridique pertinente au titre de
l’article 6 du RGPD.
84. Elle note que le suivi des marchandises en raison de leur nature particulière
était mentionné comme une des finalités des traitements dans les notices d’informations
que les contrôlés avaient adressées à leurs salariés et que lors de la visite sur place les
contrôlés invoquaient leurs intérêts légitimes comme base juridique des traitements
(article 6.1.f) du RGDP)69.
85. La Formation Restreinte a déjà constaté que les contrôlés n’avaient pas
mentionné dans les notices d’information les intérêts légitimes poursuivis par les
responsables conjoints du traitement (article 13.1.d) du RGPD) (cf. point 49 de la présente
décision) […]70.
86. Elle exprime néanmoins ses doutes concernant la qualification des terres et
pierres transportées par les contrôlés d’éléments qui méritent une surveillance en raison
de leur nature particulière tel que la CNPD la comprend, c’est-à-dire que ce soient des
matières dangereuses ou des marchandises périssables ou particulièrement précieuses.
Ainsi, les activités auxquelles les contrôlés se livraient effectivement, ne correspondaient
pas aux activités que la CNPD avait considérées dans son avis. En effet, ce n’est que lors
de l’enquête qu’il s’est révélé que la finalité du suivi des marchandises ne reflétait pas une
réalité opérationnelle.
87. Elle considère que le suivi des marchandises en raison de leur nature
particulière ne constituait pas une finalité réelle et dès lors légitime, et ne pouvait donc pas
motiver le recours à la géolocalisation sur base de l’article 6.1.f) du RGPD pour cette
finalité.
88. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête et conclut qu’une non-conformité à l’article 5.1.b) du RGPD était acquise au jour
de la visite sur place des agents de la CNPD.
69 Procès-verbal relatif à la visite sur place, constat 13.
70 […].
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
25/38
II. 2. Sur l’amende et les mesures correctrices
1. Sur les principes
89. Conformément à l’article 12 de la loi du 1er août 2018, la Commission nationale
dispose des pouvoirs prévus à l’article 58.2 du RGPD:
« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;
e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel ;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
26/38
i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »
90. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre
de l’État ou des communes.
91. L’article 83.1 du RGPD prévoit que chaque autorité de contrôle veille à ce que
les amendes administratives imposées soient, dans chaque cas, effectives, proportionnées
et dissuasives.
92. L’article 83.2 du RGPD précise les éléments qui doivent être pris en compte
pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant
de cette amende :
« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
27/38
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».
93. L’imposition des amendes administratives a été explicité par le Groupe de
Travail Article 29 dans ses « Lignes directrices sur l’application et la fixation des amendes
administratives aux fins du règlement (UE) 2016/679 » adoptées le 3 octobre 2017. Ces
lignes directrices ont été reprises et réapprouvées par le CEPD71. La Formation Restreinte
souligne que ces lignes directrices ont été complétées par les « Guidelines 04/2022 on the
calculation of administrative fines under the GDPR » du CEPD dont la version 2.1 a été
adoptée le 24 mai 202372.
94. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.
95. Néanmoins, les démarches effectuées par les contrôlés pour se mettre en
conformité avec le RGPD en cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer et/ou de la fixation du montant d’une éventuelle amende administrative à
prononcer.
71 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
72 Les lignes directrices sur le calcul des amendes ne sont actuellement que disponibles en anglais.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
28/38
2. En l’espèce
2.1 Quant à l’imposition d’une amende administrative
96. Dans la communication des griefs, le chef d’enquête a proposé à la Formation
Restreinte de prononcer à l’encontre des contrôlés une amende administrative d’un
montant de […] euros « pour le paiement de laquelle les Contrôlés seront solidairement
tenus »73.
97. Les contrôlés dans leur courrier du 2 février 2023, par lequel ils avaient pris
position par rapport à la communication des griefs initiale, avaient en premier lieu soulevé
l’incompétence de la CNPD à prononcer une « sanction administrative » […].
A titre subsidiaire, les contrôlés avaient contesté le montant de l’amende administrative
proposée par le chef d’enquête dans la communication des griefs initiale, en particulier au
vu des décisions précédentes prises par la Formation Restreinte. Ils ont également
contesté toute intention dans leur chef de commettre les manquements retenus dans la
communication des griefs initiale.
98. Le chef d’enquête dans son courrier en date du 15 février 2023 par lequel il a
notifié aux contrôlés la communication des griefs a exposé « [q]uant aux arguments relatifs
à l’incompétence de la Commission nationale pour la protection des données à prononcer
une sanction administrative […] » que « ces derniers sont rejetés et, par conséquent, pas
de nature à modifier la CDG ».
99. Lors de la séance de la Formation Restreinte du 13 juin 2023, les contrôlés ont
réitéré les propos susmentionnés.
2.1.1 Sur la compétence de la CNPD pour prononcer une amende administrative
100. […] étant donné que la dérogation de l'article 48.1 de loi du 1er août 2018
ne vise que « l'État et les communes » et non pas les personnes morales de droit public
en général, la Formation Restreinte considère qu'elle est compétente pour imposer des
amendes administratives […] [aux Organismes publics A et B].
101. […]
73 Communication des griefs, point 125.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
29/38
2.1.2 Sur l’opportunité de prononcer une amende administrative
102. Afin de décider s’il y a lieu d’imposer une amende administrative, la
Formation Restreinte analyse les critères posés par l’article 83.2 du RGPD.
103. Quant à la nature et la gravité de la violation (article 83.2.a) du RGPD), elle
relève qu’en ce qui concerne le manquement à l’article 5.1.b) du RGPD, il est constitutif
d’un manquement à un principe fondamental du RGPD (et du droit de la protection des
données en général), à savoir au principe de la limitation des finalités consacré au
Chapitre II « Principes » du RGPD.
Quant au manquement à l’obligation d’informer les personnes concernées conformément
à l’article 13 du RGPD, elle rappelle que l’information et la transparence relative au
traitement de données à caractère personnel sont des obligations essentielles pesant sur
les responsables de traitement, afin que les personnes soient pleinement conscientes de
l’utilisation qui sera faite de leurs données à caractère personnel, une fois celles-ci
collectées. Un manquement à l’article 13 du RGPD est ainsi constitutif d’une atteinte aux
droits des personnes concernées. Ce droit à l’information a par ailleurs été renforcé aux
termes du RGPD, ce qui témoigne de son importance toute particulière.
104. Quant au critère de durée (article 83.2.a) du RGPD), la Formation
Restreinte constate que ces manquements ont duré dans le temps, à tout le moins depuis
[…] mars 2021 et jusqu'au jour de la visite sur place. En effet, les contrôlés ont expliqué
lors de la séance de la Formation Restreinte que le système de géolocalisation avait été
désactivé en attendant un retour de la CNPD. Toutefois, le courrier […] que les contrôlés
ont annexé à leur courriel à la Formation Restreinte du 21 juin 2023 précise que le système
de géolocalisation […] [était] réactivé après que les contrôlés avaient eu connaissance de
l’avis de la CNPD et avant la visite sur place des agents de la CNPD en date du 26 mai
2021.
105. Quant au nombre de personnes concernées affectées et au niveau de
dommage qu'elles ont subi (article 83.2.a) du RGPD), la Formation Restreinte constate
qu’il s’agit de tous les salariés des contrôlés ayant utilisé les véhicules de service et engins
de chantiers équipés du système de géolocalisation. A cet égard, elle tient compte des
explications fournies par les contrôlés lors de la séance de la Formation Restreinte selon
lesquelles les personnes concernées par la géolocalisation étaient les […] salariés-ouvriers
qui partaient quotidiennement avec les véhicules de service et utilisaient les engins de
chantier, ainsi que leurs […] autres salariés qui utilisaient ponctuellement un des véhicules
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
30/38
de service. La Formation Restreinte constate qu’uniquement un tiers des salariés n’était
susceptible d’être surveillé en permanence.
106. Quant à la question de savoir si les manquements ont été commis
délibérément ou par négligence (article 83.2.b) du RGPD), la Formation Restreinte rappelle
que l’« intention » c’est-à-dire une infraction commis délibérément, comprend à la fois la
connaissance et la volonté en rapport avec les caractéristiques d’une infraction, tandis que
« non délibérément » (par négligence) signifie qu’il n’y a pas eu d’intention de commettre
la violation, bien que le responsable du traitement ou le sous-traitant n’ait pas respecté
l’obligation de diligence qui lui incombe en vertu de la législation.
Les contrôlés dans leur courrier susmentionné du 2 février 2023 avaient expliqué qu’ils se
méfiaient au départ du système de géolocalisation, mais que ledit système avait
néanmoins été installé à la demande des salariés pour des raisons principalement de
sécurité. Ils avaient également souligné qu’à aucun moment, une surveillance permanente
des salariés n’aurait été la finalité recherchée par le système de géolocalisation (cf.
point 70 de la présente décision).
La Formation Restreinte tient par ailleurs compte des affirmations du chef d’enquête selon
lesquelles « les Contrôlés ont eu un certain nombre de discussions internes quant à la
façon d’adapter de manière concrète l’Avis de la CNPD à leurs besoins (PIECES 28 et
29) » qui « à aucun moment, […] font état d’une quelconque volonté d’ignorer les
recommandations de l’Avis de la CNPD »74.
Alors que la Formation Restreinte est d’avis que les faits et les manquements constatés
ne traduisent pas une intention délibérée de violer le RGPD dans le chef des contrôlés,
elle estime néanmoins que les manquements ont été commis par négligence.
107. Quant aux mesures prises par les contrôlés ou leur sous-traitant pour
atténuer le dommage subi par les personnes concernées (article 83.2.c) du RGPD), la
Formation Restreinte tient compte de la mesure prise par les contrôlés et renvoie au
Chapitre II.2, Section 2.2 de cette décision pour les explications y afférentes.
Les contrôlés avaient par ailleurs exposé dans leur courrier du 2 février 2023, ainsi que
lors de la séance de la Formation Restreinte qu’ils avaient nommé un délégué à la
protection des données externe à savoir la Société D, déjà avant la demande d’avis
74 Communication des griefs, point 115.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
31/38
adressée à la CNPD et que ce dernier « avait notamment comme mission d’assurer la mise
en conformité des […] [des contrôlés] aux règles du RGPD ». Or, comme cette
nomination75 n’avait pas résulté dans une atténuation du dommage, la Formation
Restreinte ne saurait pas en tenir compte comme facteur atténuant.
Ceci vaut également pour la désactivation susmentionnée du système de géolocalisation,
étant donné que les contrôlés avaient réactivé le système après la réception de l’avis de la
CNPD et avant la visite sur place des agents de la CNPD (cf. point 104 de la présente
décision).
108. Quant au degré de coopération établi avec l’autorité de contrôle
(article 83.2.f) du RGPD), la Formation Restreinte tient compte de l’affirmation du chef
d’enquête selon laquelle « les Contrôlés ont fait preuve d’une bonne coopération »76.
109. Quant aux catégories de données à caractère personnel concernées par la
violation (article 83.2.g) du RGPD), il s’agit de la date et de l’heure du début et de la fin du
trajet, de l’état du véhicule (en mouvement ou à l'arrêt, en ce compris d'éventuelles
pauses), des données de positionnement du véhicule (à deux mètres près) et parcours du
véhicule, du temps de conduite et kilométrage parcouru et de la mise en mouvement
anormale du véhicule en raison du jour (samedi ou dimanche) ou de l'horaire (fonction
« Geo-fencing »)77. Les contrôlés ont déclaré lors de la visite sur place des agents de la
CNPD que le système de géolocalisation était associé aux véhicules de service et engins
de chantier et non aux salariés. Or, le recoupement entre la géolocalisation du véhicule et
le salarié le conduisant était possible, en effectuant un croisement avec les fiches de travail
des salariés, dans la mesure où ces dernières documentaient quel véhicule était utilisé
quel jour par quel salarié78.
110. Quant à toute autre circonstance aggravante ou atténuante applicable aux
circonstances de l’espèce (article 83.2.k) du RGPD), la Formation Restreinte tient compte
des affirmations du chef d’enquête selon lesquelles « les violations identifiées ne sont a
75 Pièces 26 et 27 du chef d’enquête selon lesquelles les formulaires de déclaration de délégué à la
protection des données étaient transmis à la CNPD par courriel du 9 novembre 2020 (Organisme
public B) et courriel du 16 novembre 2020 (Organisme public A).
76 Communication des griefs, point 118.
77 Procès-verbal relatif à la visite sur place, constat 8.
78 Procès-verbal relatif à la visite sur place, constat 10.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
32/38
priori pas de nature à apporter un bénéfice économique/ aux Contrôlés. Le chef d’enquête
n’a par ailleurs pas constaté d’éléments permettant de conclure à des pertes évitées »79.
111. La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.
112. Dès lors, la Formation Restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5.1.b) et 13 du RGPD.
2.1.3 Sur le montant de l’amende
113. Les contrôlés ont transmis à la Formation Restreinte par courriels des 21 et
29 juin 2023 leur compte respectif pour l’année 2022.
114. S’agissant du montant de l’amende administrative, la Formation Restreinte
rappelle que l’article 83.3 du RGPD prévoit qu’en cas de violations multiples, comme c’est
le cas en l’espèce, le montant total de l’amende ne peut excéder le montant maximal fixé
pour la violation la plus grave. Dans la mesure où un manquement aux articles 5 et 13 du
RGPD est reproché aux contrôlés, le montant maximum de l’amende pouvant être retenu
s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus
élevé étant retenu, conformément à article 83.5 du RGPD.
115. Au regard de la responsabilité des contrôlés, de leurs capacités financières
et des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant au chapitre « 2.1.2
Sur l’opportunité de prononcer une amende administrative », la Formation Restreinte
considère que le prononcé d’une amende de deux mille cinq cents (2 500) euros apparaît
à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1 du
RGPD.
2.2 Quant à la prise de mesures correctrices
116. Dans la communication des griefs le chef d’enquête a proposé à la
Formation Restreinte d’adopter les mesures correctrices suivantes : « dans un délai de 1
79 Communication des griefs, point 121.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
33/38
mois à compter de la notification aux Contrôlés de la décision prise par la Formation
Restreinte :
Prononcer à l’encontre des Contrôlés en vertu de l’article 58.2 d) du RGPD une
injonction de mettre en conformité le Traitement avec les dispositions 13.1 a, b, c, d, f
et 13.2 d) du RGPD et plus précisément de compléter, respectivement rectifier les
mesures d’information destinées aux Salariés, en :
- complétant l’identité du responsable du Traitement ;
- renseignant l’identité du délégué à la protection des données ;
- corrigeant la base juridique du Traitement ;
- renseignant les intérêts légitimes poursuivis par les Contrôlés ;
- renseignant quant à l’existence ou non d’une décision d’adéquation et, le cas
échéant, en indiquant l’existence de garanties appropriées et les moyen[s] d’en
obtenir une copie ;
- indiquant le droit d’introduire une réclamation auprès de l’autorité de contrôle ;
- harmonisant les notes d’informations allemandes et françaises rectifiées afin
qu’elles aient un contenu identique ;
et de communiquer tout justificatif à même de rapporter le respect de la présente
injonction.
[…]
Prononcer à l’encontre des Contrôlés en vertu de l’article 58.2 d) du RGPD une
injonction de mettre en conformité le Traitement avec les dispositions de l’article 5.1 c)
du RGPD et plus précisément de doter le système de géolocalisation installé dans les
engins de chantier d’un bouton de désactivation et de communiquer tout justificatif à
même de rapporter le respect de la présente injonction.
Prononcer à l’encontre des Contrôlés en vertu de l’article 58.2 d) du RGPD une
injonction de mettre en conformité le Traitement avec les dispositions de l’article 5.1 b)
du RGPD et plus précisément de supprimer des Notes d’information la finalité
« Garantie du suivi des marchandises en raison de leur nature particulière (matières
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
34/38
dangereuses, denrées alimentaires,…) », respectivement dans les versions
allemandes « Sicherstellung der Warennachverfolgung aufgrund der besonderen Art
der transportierten Waren (gefährliche Stoffe, Lebensmittel,…) » et de communiquer
tout justificatif à même de rapporter le respect de la présente injonction. ».80
117. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 95 de la présente décision, la Formation Restreinte prend en compte
les démarches effectuées par les contrôlés afin de se conformer aux dispositions des
articles 5.1.b) et 13 du RGPD, telles que détaillées dans leur courrier du 2 février 2023.
Plus particulièrement, elle prend note des faits suivants :
118. Dans leur courrier du 2 février 2023, les contrôlés […]. Ils avaient […]
contesté qu’ils n’auraient pris aucune mesure pour se conformer à leurs obligations légales
« après la réception de l’avis de la CNPD ».
Ainsi, ils avaient exposé qu’ils envisageaient dans un premier temps d’attendre la réception
de l’avis de la CNPD avant d’engager des mesures internes de mise en conformité et qu’ils
ne s’étaient pas attendu à être « soumis peu de temps après [la réception de cet avis] à un
contrôle de détail ». Sinon, les mesures nécessaires auraient été prises plus rapidement.
[…]
Ensuite, ils avaient souligné qu’une note de service avait été mise en place après la
réception du « premier avis » de la CNPD et restait en place en attendant la guidance de
la CNPD en forme de son « avis définitif ».
En support de leur argumentation ils avaient annexé ainsi […] [plusieurs rapports des
séances de leurs organes dirigeants].
119. Lors de la séance de la Formation Restreinte du 13 juin 2023, les contrôlés
ont réitérés leurs propos.
120. Quant à la première mesure correctrice proposée par le chef d’enquête
reprise sous le point 116 de la présente décision de mettre les mesures d’information
destinées aux salariés des contrôlés en conformité avec les dispositions des
articles 13.1.a), b), c), d), f) et 13.2.d) du RGPD et plus précisément de compléter,
respectivement rectifier, lesdites mesures d’information, la Formation Restreinte tient
80 Communication des griefs, point 124.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
35/38
compte de la copie de la version renouvelée de la note de service datée du
11 janvier 202281 qui était annexée au courriel des contrôlés du 24 mars 2022, et
mentionnée dans leur courrier susmentionné du 2 février 2023.
La Formation Restreinte constate cependant que le contenu de ladite note était
essentiellement identique à celui de la note de service datée du 17 février 202182. Etant
donné qu’elle a déjà constaté que ce dernier document ne contenait pas les éléments
requis par le premier niveau d'information (cf. point 46 de la présente décision), elle
considère donc que le même constat s’impose pour la note de service datée du
11 janvier 2022.
En outre, la documentation soumise à la Formation Restreinte ne contient aucune preuve
que la note d’information renouvelée avait effectivement été transmise de manière
individuelle aux salariés des contrôlés.
En considération des mesures de mise en conformité insuffisantes prises par les contrôlés
en l'espèce et du point 95 de la présente décision, la Formation Restreinte estime dès lors
qu'il y a lieu de prononcer la mesure correctrice proposée par le chef d'enquête à cet égard.
121. […]
122. Quant à la troisième mesure correctrice proposée par le chef d’enquête
reprise sous le point 116 de la présente décision de mettre en conformité les traitements
avec les dispositions de l’article 5.1.c) du RGPD et plus précisément de doter le système
de géolocalisation installé dans les engins de chantier d’un bouton de désactivation, la
Formation Restreinte, étant donné qu’elle n’a pas retenu le manquement lié au principe de
minimisation retenu par le chef d’enquête (cf. point 73 de la présente décision), elle estime
qu'il n’y a pas non plus lieu de prononcer la mesure correctrice proposée par le chef
d'enquête à cet égard.
123. Quant à la quatrième mesure correctrice proposée par le chef d’enquête
reprise sous le point 116 de la présente décision de mettre en conformité les traitements
avec les dispositions de l’article 5.1.b) du RGPD et plus précisément de supprimer des
notes d’information la finalité relative au suivi de marchandises, la Formation Restreinte
rappelle qu’elle a constaté que le suivi des marchandises en raison de leur nature
81 Pièces 10 et 25 du chef d’enquête.
82 Pièces 9 et 24 du chef d’enquête.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
36/38
particulière ne constituait pas une finalité légitime du traitement (cf. point 87 de la présente
décision).
En considération des mesures de mise en conformité insuffisantes prises par les contrôlés
en l'espèce et du point 95 de la présente décision, la Formation Restreinte estime dès lors
qu'il y a lieu de prononcer la mesure correctrice proposée par le chef d'enquête à cet égard.
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte, après en avoir délibéré, décide :
- de retenir les manquements aux articles 5.1.b) et 13 du RGPD ;
- de prononcer à l’encontre de l’Organisme public A et de l’Organisme public B une
amende administrative d’un montant de deux mille cinq cents (2 500) euros au regard
des manquements aux articles 5.1.b) et 13 du RGPD ;
- de prononcer à l'encontre de l’ Organisme public A et de l’Organisme public B une
injonction de mettre en conformité les traitements avec les obligations résultant de
l'article 13.1 et 2 du RGPD et en particulier d’informer individuellement les salariés de
manière claire et précise sur le système de géolocalisation, dans un délai de deux mois
suivant la notification de la décision de la Formation Restreinte, soit en procédant par
un premier et un deuxième niveau, soit en leur fournissant dans un endroit unique ou
dans un même document (au format papier ou électronique) une information sur
l'ensemble des éléments requis au titre de l'article 13 du RGPD, et plus précisément
de compléter, respectivement de rectifier, les mesures d’information destinées aux
salariés, en
o complétant l’identité des responsables du traitement ;
o renseignant l’identité du délégué à la protection des données ;
o supprimant la finalité du traitement indiqué comme « suivi des marchandises en
raison de leur nature particulière (matières dangereuses, denrées alimentaires,
…) » ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
37/38
o renseignant la base juridique du traitement par rapport aux autres finalités ;
o renseignant les intérêts légitimes poursuivis ;
o renseignant quant à l’existence ou non d’une décision d’adéquation et, le cas
échéant, en indiquant l’existence de garanties appropriées et les moyens d’en
obtenir une copie ;
o indiquant le droit d’introduire une réclamation auprès de la Commission
nationale pour la protection des données ;
o harmonisant les notes d’informations allemandes et françaises rectifiées afin
qu’elles aient un contenu identique.
Belvaux, le 21 septembre 2023.
La Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Thierry Lallemang Alain Herrmann
Présidente Commissaire Commissaire
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Organisme public A et de l’Organisme public B
38/38