Lüksemburg Veri Koruma Otoritesi (CNPD) — gdprhub/cnpd-luxembourg-d-lib-ration-n-18-fr-2022

Décision de la Commission nationale siégeant en formation restreinte sur l’issue
de l’enquête n°[…] menée auprès de la Société A

Délibération n° 18FR/2022 du 13 décembre 2022

La Commission nationale pour la protection des données siégeant en formation restreinte
composée de Mme Tine A. Larsen, présidente, et des sieurs Marc Lemmer et Alain
Herrmann, commissaires ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données, et abrogeant la directive
95/46/CE ;

Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données, notamment
son article 41 ;

Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des
données adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son
article 10.2 ;

Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020,
notamment son article 9 ;

Considérant ce qui suit :

_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

1/31

I. Faits et procédure

La Commission nationale pour la protection des données (ci-après : la « CNPD »)
a été saisie de deux réclamations introduites en date du 27 février 2019 par Monsieur A
et en date du 28 févier 2019 par Monsieur B (ci-après ensembles : les « réclamations »
respectivement les « réclamants ») à l’égard de la Société A ci-après désigné comme
« Société A » ou « l’Agence », en relation avec l’exercice de ses fonctions de syndic de la
copropriété de la Résidence A située à L-[…], […] (ci-après : la « Résidence A »).

Les réclamants reprochaient à cette dernière « d'une part la transmission [par] le
responsable de traitement de données à caractère personnel à des tiers sans autorisation
préalable et sans mesures de sécurité et de confidentialité appropriées et, d'autre part, le
non-respect par cette dernière du droit d'information et d'accès à leurs données »1.

Lors de sa séance de délibération du 4 octobre 2019, la Commission nationale
pour la protection des données siégeant en formation plénière (ci-après : « Formation
Plénière ») a ainsi décidé d’ouvrir une enquête auprès de la Société A sur base de
l’article 37 de la loi du 1er août 2018 portant organisation de la Commission nationale pour
la protection des données et du régime général sur la protection des données (ci-après :
« loi du 1er août 2018 ») et de désigner Monsieur Thierry Lallemang comme chef
d’enquête.

Aux termes de la décision de la Formation Plénière l'enquête avait pour objet de
contrôler l'application et le respect du règlement (UE) 2016/679 du Parlement européen
et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du
traitement des données à caractère personnel et à la libre circulation de ces données, et
abrogeant la directive 95/46/CE (ci-après : « RGPD ») et de la loi du 1er août 2018 dans le
cadre de la réclamation introduite par Monsieur A en date du 27 février 2019. Etant donné
que Monsieur B a introduit une réclamation quasiment identique à l’égard de la Société A,
les deux réclamations ont fait l’objet de l’enquête menée par le chef d’enquête.

1 Constats initiaux (cf. définition au point 5. de la présente décision), Constat 3.

2/31

La Société A est immatriculée […] au Registre de Commerce et des Sociétés de
Luxembourg sous le numéro […], […] à l’adresse L-[…], […] (ci-après : le « contrôlé »).
L’objet de son commerce est l’exploitation d’une agence immobilière.2

Le contrôlé a été informé de l'ouverture de l'enquête à son égard par courrier du
chef d’enquête en date du 28 juillet 2020.

Il ressort de ce courrier que le chef d’enquête avait défini deux objectifs de contrôle :

« 1. S'assurer que le traitement faisant l'objet des réclamations des deux réclamants
respecte les principes relatifs au traitement des données à caractère personnel tels que
définis par les articles 5 (1) et 6 (1) du RGPD.

2. S'assurer que le droit d'accès des personnes concernées a été respecté (informations
sur les traitements listés aux points (a) à (d) du paragraphe 1 de l'article 15 du RGPD telles
que demandées par les personnes concernées). »

Le courrier était accompagné du document intitulé « Constats initiaux Enquête n°[…] »
exposant les constats initiaux réalisés par les agents de la CNPD en l’espèce (ci-après :
les « constats initiaux »). Le chef d’enquête a offert la faculté au contrôlé de « contester
les faits repris dans les constats initiaux, ou faire part de […] [ses] éventuels remarques,
précisions ou ajouts » pour le 7 septembre 2020 au plus tard.

Le contrôlé a répondu par courrier en date du 29 juillet 2020. Il a informé qu’il
n’était plus « syndic de la Résidence A depuis […] 2019 ».

Le chef d’enquête a informé le contrôlé par courrier en date du 3 août 2020 que
le fait qu’il n’agissait plus en tant que syndic de la Résidence A depuis […] 2019, « ne
saurait annuler […] [son] rôle de responsable de traitement pour les faits constatés
préalablement à ce changement ». Il a invité le contrôlé à répondre aux demandes qui lui
avaient été adressées par son courrier en date du 28 juillet 2020 précité dans les délais
impartis. Le contrôlé n’a pas transmis d’observations écrites à la CNPD.3

2 Formulaire de réquisition (Immatriculation) déposé auprès du Registre de Commerce et des
Sociétés de Luxembourg en date du […].
3 Communication des griefs, point 18.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

3/31

A l’issue de son instruction, le chef d’enquête a notifié au contrôlé en date du
12 juillet 2021 une communication des griefs (ci-après : la « communication des griefs »)
détaillant les manquements qu’il estimait constitués en l’espèce, et plus précisément une
non-conformité aux exigences de l'article 5.1.a), b) et c) (principes de licéité, limitation des
finalités et de minimisation des données) et de l'article 6.1 du RGPD (licéité du traitement),4
ainsi qu’une non-conformité aux obligations découlant de l'article 12.3 et 4 du RGPD
(modalités de l’exercice des droits de la personne concernée) et de l'article 15.1.b) et c)
du RGPD (droit d’accès de la personne concernée)5.

Dans ladite communication des griefs, le chef d’enquête a proposé à la Commission
nationale pour la protection des données siégeant en formation restreinte sur l'issue de
l'enquête (ci-après : « Formation Restreinte ») d’infliger au contrôlé une amende
administrative d’un montant de 2.500 (deux mille cinq cents) euros.6 Il n’a pas proposé de
mesures correctrices parce qu’il était d’avis que du fait que le contrôlé n'avait plus de
mandat pour agir en tant que syndic de la Résidence A, ce dernier ne serait pas en
mesure, ni en fait, ni en droit, de les mettre en œuvre.7

Le chef d’enquête a offert la faculté au contrôlé « de prendre position par écrit par
rapport aux griefs retenus et aux mesures correctrices et/ou sanctions proposées par le
chef d'enquête, dans les meilleurs délais et au plus tard en date du 8 septembre 2021 »8.
Le contrôlé n’a pas transmis d’observations écrites à la CNPD.

La présidente de la Formation Restreinte a informé le contrôlé par courrier en
date du 2 décembre 2021 que son affaire serait inscrite à la séance de la Formation
Restreinte du 17 janvier 2022. Le contrôlé n’a pas non plus répondu à ce courrier.

Lors de cette séance, le chef d'enquête a exposé ses observations orales à
l'appui de ses observations écrites et a répondu aux questions posées par la Formation
Restreinte.

La décision de la Formation Restreinte se limitera aux traitements et obligations
légales en cause dans les constats initiaux susmentionnés et aux dispositions légales et

4 Communication des griefs, point 28.
5 Communication des griefs, point 35.
6 Communication des griefs, point 39.
7 Communication des griefs, point 40.
8 Communication des griefs, point 41.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

4/31

réglementaires pour lesquelles le chef d’enquête a retenu un manquement dans sa
communication des griefs.

II. En droit

II. 1. Sur les motifs de la décision

A. Sur le manquement lié aux principes de licéité, limitation des finalités et de
minimisation des données

1. Sur les principes

L’article 5.1 du RGPD exige entre autres que les données à caractère personnel
doivent être

« a) traitées de manière licite, loyale et transparente au regard de la personne concernée
(licéité, loyauté, transparence);

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées
ultérieurement d'une manière incompatible avec ces finalités; le traitement ultérieur à des
fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique
ou à des fins statistiques n'est pas considéré, conformément à l'article 89, paragraphe 1,
comme incompatible avec les finalités initiales (limitation des finalités);

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour
lesquelles elles sont traitées (minimisation des données); […] ».

L’article 6.1 du RGPD dispose que

« 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions
suivantes est remplie:

a) la personne concernée a consenti au traitement de ses données à caractère personnel
pour une ou plusieurs finalités spécifiques;

b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée
est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;

5/31

c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable
du traitement est soumis;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne
concernée ou d'une autre personne physique;

e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publique dont est investi le responsable du traitement;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable
du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits
fondamentaux de la personne concernée qui exigent une protection des données à
caractère personnel, notamment lorsque la personne concernée est un enfant.

Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités
publiques dans l'exécution de leurs missions. »

2. En l’espèce

Il ressort des constats initiaux des agents de la CNPD

- qu’en date du 11 février 2019, le contrôlé « agissant en tant que syndic de la
copropriété Résidence A […], a envoyé un courriel à Madame A et un courriel à
Monsieur et Madame B, tous trois copropriétaires de la résidence, dans le cadre
d'un rappel de créances.

Ces deux courriels contenaient les données personnelles suivantes :

- Le détail de la situation comptable de Monsieur et Madame A et de
Monsieur et Madame B vis-à-vis de la copropriété de janvier 2018 à février
2019 ;

- Les adresses privées de Madame A et de Monsieur et Madame B.

Ces deux courriels ont été envoyés aux autres copropriétaires de la Résidence A
ainsi qu'à un ancien copropriétaire afin de souligner des irrégularités de paiement

6/31

de la part de Madame A et de Monsieur et Madame B ».9 Les copies des courriels
du contrôlé en date du 11 février 2019 font partie des pièces versées en
l’espèce10 ;

- qu’en date du 13 février 2019, Monsieur A et Monsieur B avaient chacun envoyé
un courriel au contrôlé, dans lequel ils déclaraient, entre autres, « que l'email
envoyé par la Société A le […] 2019 aux autres copropriétaires et à l'ancien
copropriétaire constitue une violation de données à caractère personnel et
représente une brèche de confidentialité ainsi qu'une infraction aux droits des
personnes concernées », et « à ce titre […] « encouragent fortement » le
responsable de traitement à « reporter » cette violation de données à caractère
personnel à la CNPD endéans les 72 heures après sa survenue »11. Les copies
des courriels des réclamants font partie des pièces versées en l’espèce12 ;

- que « concernant les raisons justifiant la transmission d'un courrier adressé à un
copropriétaire (contenant également son adresse) et reprenant sa situation
comptable individuelle à d'autres copropriétaires et un ancien copropriétaire, le
responsable de traitement a pris position dans plusieurs courriers adressés à la
CNPD du 04/04/2019 ; 23/04/2019 et 22/07/2019 […] »13. Les copies des courriers
du contrôlé font partie des pièces versées en l’espèce.14

Comme les réclamants n'avaient pas encore reçu une prise de position du
contrôlé, suite à l'introduction de leurs réclamations en date des 27 et 28 février 2019, le
service juridique de la CNPD a écrit au contrôlé en date du 21 mars 2019 et demandé à
ce dernier « de prendre position sur les raisons justifiant la communication des courriers
adressés initialement aux réclamants et reprenant leur situation comptable individuelle
détaillée à d'autres copropriétaires et anciens copropriétaires de la Résidence A ». Il a

9 Constats initiaux, constat 1.
10 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».
11 Constats initiaux, constat 2.
12 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».
13 Constats initiaux, constat 5.
14 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».

7/31

demandé des précisions au contrôlé par courriers en date des 3 et 21 juin 2019. Des
copies de ces courriers font partie des pièces versées en l’espèce.15

Le contrôlé de son côté, par lettre en date du 4 avril 2019, a pris position par
rapport au courrier du service juridique de la CNPD en date du 21 mars 2019. Une copie
de ce courrier fait partie des pièces versées en l’espèce.16

En ce qui concerne la communication litigieuse, il a donné « à considérer que les situations
des comptes des copropriétaires indiquent le montant total des avances de trésorerie
effectuées par chacun et de son solde envers la copropriété ».

Il a également indiqué qu’« aucun autre document de nature à faire état du montant total
des avances trésorerie et du solde envers la copropriété n'est établi par le syndic de sorte
que seul ce document est à disposition du syndic ».

Ainsi, il lui a « dès lors semblé au regard des articles 24, 25 et 26 des dispositions grand-
ducales du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975
portant statut de la copropriété des immeubles, que la situation de compte de chaque
propriétaire, dans la mesure où elle fait apparaître le montant total de ses avances de
trésorerie et de son solde envers la copropriété, pouvait être communiqué ».

Par courrier en date du 23 avril 2019, et suite à une conversation téléphonique
avec un agent de la CNPD, le contrôlé a fourni les précisions suivantes :

« Le syndic est le comptable et le caissier de la copropriété.

A ce titre, il est tenu d'une triple obligation sur le plan comptable :

- Il doit d'abord tenir une comptabilité distincte par syndicats, chaque syndicat
constituant une personne morale autonome.

- Cette comptabilité séparée doit permettre de dégager clairement la situation de
trésorerie notamment pour mettre le syndicat et, à travers lui, les copropriétaires,
en face de leurs responsabilités en cas d'insuffisance de trésorerie, pour détecter

15 Idem.
16 Idem.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

8/31

éventuellement le syndicat en pré-difficulté, voir même en difficulté et aussi pour
faciliter les transmissions des fonds en cas de changement de syndic.

- Cette comptabilité doit permettre de déterminer la position comptable de chaque
copropriétaire à l'égard du syndicat. Plus précisément elle doit faire apparaître
clairement l'identification des copropriétaires débiteurs et l'évaluation de leur dette,
aussi bien pour exercer une action en recouvrement que pour mettre en œuvre
des sûretés.

De son côté, il appartient au syndicat des copropriétaires de contrôler la gestion opérée
par le syndic.

Ce contrôle porte surtout sur les aspects de la gestion du syndic, notamment la
comptabilité du syndicat, l'élaboration et le suivi du budget prévisionnel, la répartition des
dépenses, les conditions dans lesquelles sont passées les marchés, exécuter les
contrats...

Dès lors, dans le cadre du contrôle de la comptabilité faite par le syndicat, il appartient au
syndicat de communiquer l'identification des copropriétaires débiteurs, et l'évaluation de
leurs dettes.

En effet, il échet de rappeler que sous peine de mettre en jeu sa responsabilité
contractuelle à l'égard du syndicat des copropriétaires, le syndic doit procéder au
recouvrement éventuelle des créances de la copropriété au cas où les copropriétaires
débiteurs ne s'acquittent pas de leur dette.

Dès lors, au regard tant des obligations du syndic que celui du syndicat des
copropriétaires, la communication de la situation de compte personnel des
copropriétaire[s] ne constitue pas une violation de la réglementation sur la protection des
données. »

Une copie du courrier précité du contrôlé fait partie des pièces versées en l’espèce.17

Finalement, par courrier en date du 22 juillet 2019, dont une copie fait partie des
pièces versées en l’espèce18, et suite à deux rappels du service juridique de la CNPD en

17 Idem.
18 Idem.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

9/31

date des 21 juin 2019 et 15 juillet 2019, le contrôlé a pris position par rapport au courrier
du service juridique de la CNPD en date du 3 juin 2019. Il a renvoyé à la prise de position
dans son courrier du 4 avril 2019 relative à la question de la licéité de la communication
de la situation comptable individuelle de copropriétaires à d'autres copropriétaires ou à
d'anciens copropriétaires.

2.1. Licéité du traitement

Le chef d’enquête dans sa communication des griefs a tout d’abord constaté qu’il
« ressort de l'enquête que le responsable du traitement [le contrôlé] a envoyé deux
courriels aux autres copropriétaires de la Résidence A ainsi qu'à un ancien copropriétaire
afin de souligner des irrégularités de paiement de la part de Madame A et de Monsieur et
Madame B dans le cadre d'un rappel de créances. » et que « ces deux courriels
contenaient les données personnelles suivantes :

 Le détail de la situation comptable de Monsieur et Madame A et de Monsieur et
Madame B vis-à-vis de la copropriété de janvier 2018 à février 2019 ;

 Les adresses privées de Madame A et de Monsieur et Madame B »19.

Ensuite, le chef d’enquête a observé que le contrôlé a invoqué « différentes
dispositions légales […] dans son courrier à la CNPD, daté du 04/04/2019, pour justifier la
licéité du traitement réalisé ». Il a relevé que le contrôlé a invoqué « le Règlement grand-
ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975 portant
statut de la copropriété des immeubles » pour justifier « la licéité du traitement en question
comme suit : « II m'a dès lors semblé au regard des articles 24, 25 et 26 des dispositions
grand-ducales du 13 juin 1975 prescrivant les mesures d'exécution de la loi du
16 mai 1975 portant statut de la copropriété des immeubles, que la situation de compte
de chaque propriétaire, dans la mesure où elle fait apparaître le montant total de ses
avances de trésorerie et de son solde envers la copropriété, pouvait être
communiqué. » »20.

Le chef d’enquête estimait que l’article 14 de la loi modifiée du 16 mai 1975
portant statut de la copropriété des immeubles bâtis (ci-après : « loi du 16 mai 1975 »)

19 Communication des griefs, point 23.
20 Communication des griefs, point 24.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

10/31

« pourrait être invoqué par le responsable du traitement en permettant au syndic d'intenter
une action en justice (action en recouvrement de créance) », notant que « celui-ci dispose
que « le syndic ne peut intenter une action en justice au nom du syndicat sans y avoir été
autorisé par une décision de l'assemblée générale, sauf lorsqu'il s'agit d'une action en
recouvrement de créance même par voie d'exécution forcée ou lorsqu'il a y urgence ne
permettant pas la convocation d'une assemblée générale dans les délais. A l'occasion de
tous litiges dont est saisie une juridiction et qui concernent le fonctionnement d'un syndicat
ou dans lesquels le syndicat est partie, le syndic avise chaque copropriétaire de l'existence
et de l'objet de l'instance. ».

Toutefois, il était d’avis que « cet article ne saurait justifier une telle transmission de
données personnelles ». Il a précisé qu’« en effet, un simple rappel de créances ne saurait
constituer une action en justice. En outre, quand bien même une action en justice pour
recouvrement de créances aurait été engagée, le syndic n'aurait pas eu besoin d'obtenir
l'autorisation préalable de l'assemblée générale des copropriétaires et donc pas eu besoin
de transmettre proactivement le détail de la situation comptable individuelle et les
adresses personnelles de copropriétaires à d'autres copropriétaires et à d'anciens
copropriétaires ».21

Par ailleurs, le chef d’enquête après avoir noté que l’article 24 du règlement
grand-ducal du 13 juin 1975 prescrivant les mesures d'exécution de la loi du 16 mai 1975
portant statut de la copropriété des immeubles (ci-après : « règlement grand-ducal du
13 juin 1975 ») « dispose que « Le syndic tient, pour chaque syndicat de copropriétaires,
une comptabilité séparée de nature à faire apparaître la position comptable de chaque
copropriétaire à l'égard du syndicat. Il prépare le budget prévisionnel qui est voté par
l'assemblée générale », a exprimé l’avis que « ces dispositions règlementaires
n'autorisent pas de transmettre proactivement le détail de la situation comptable
individuelle et les adresses personnelles de copropriétaires à d'autres copropriétaires et à
d'anciens copropriétaires ».22

Le chef d’enquête a également pris note que l'article 25 du règlement grand-
ducal du 13 juin 1975 « dispose que « Le syndic peut exiger le versement: 1° De l'avance
de trésorerie permanente prévue au règlement de copropriété; 2° Au début de chaque

21 Communication des griefs, point 24.a.
22 Communication des griefs, point 24.b.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

11/31

exercice, d'une provision qui, sous réserve des stipulations du règlement de copropriété
ou, à défaut, des décisions de l'assemblée générale, ne peut excéder soit le quart du
budget prévisionnel voté pour l'exercice considéré, soit la moitié de ce budget, si le
règlement de copropriété ne prévoit pas le versement d'une avance de trésorerie
permanente; 3° En cours d'exercice, soit d'une somme correspondant au remboursement
des dépenses régulièrement engagées et effectivement acquittées, soit de provisions
trimestrielles qui ne peuvent chacune excéder le quart du budget prévisionnel pour
l'exercice considéré; 4° De provisions spéciales destinées à permettre l'exécution de
décisions de l'assemblée générale, comme celles de procéder à la réalisation des travaux
prévus aux articles 26 à 32 de la loi du 16 mai 1975, dans les conditions fixées par
décisions de ladite assemblée. L'assemblée générale décide, s'il y a lieu, du mode de
placement des fonds ainsi recueillis. » et que l'article 26 du règlement grand-ducal du
13 juin 1975 « dispose que « Sauf stipulation contraire du règlement de copropriété, les
sommes dues au titre du précédent article portent intérêt au profit du syndicat. Cet intérêt,
fixé au taux légal en matière civile, est dû à compter de la mise en demeure adressée par
le syndic au copropriétaire défaillant ».

A cet égard, il a constaté que les dispositions des articles 25 et 26 du règlement grand-
ducal du 13 juin 1975 « n'autorisent pas de transmettre proactivement le détail de la
situation comptable individuelle de chaque copropriétaire et leurs adresses personnelles
à d'autres copropriétaires et d'anciens copropriétaires ».23

Au vu de ce qui précède, le chef d’enquête a retenu que le contrôlé dans son
courrier à la CNPD en date du 4 avril 2019 « n'a pas invoqué de base légale susceptible
de fonder et justifier le traitement de données réalisé en l'espèce, à savoir la transmission
de données à des tiers non autorisés »24. Il était d’avis que le contrôlé n’a pas respecté la
condition de licéité de l'article 5.1.a) du RGPD « dans le cadre du traitement de données
réalisé ».25

En outre, le chef d’enquête a constaté que le contrôlé a énoncé « d'autres
arguments […] pour justifier un tel traitement dans son courrier du 23/04/2019 en indiquant

23 Communication des griefs, point 24.c.
24 Communication des griefs, point 24.
25 Idem.

12/31

que : « dans le cadre du contrôle de la comptabilité faite par le syndicat, il appartient au
syndicat de communiquer l'identification des copropriétaires débiteurs, et l'évaluation de
leurs dettes. » »26.

Dans ce contexte, il a identifié des similitudes avec l'article 16.2 du règlement
grand-ducal du 13 juin 1975. En effet, il a retenu que « cet article permet au conseil
syndical (repris par le responsable du traitement sous le nom de « syndicat », si
l'interprétation du chef d'enquête est correcte) de contrôler la gestion du syndic (repris par
le responsable du traitement sous le nom de « syndicat », si l'interprétation du chef
d'enquête est correcte), notamment la comptabilité de ce dernier. Il dispose que : « Il [le
conseil syndical] contrôle la gestion du syndic, notamment la comptabilité de ce dernier,
la répartition des dépenses, les conditions dans lesquelles sont passés et exécutés les
marchés et tous autres contrats. » »27.

Il a par ailleurs énoncé que « toutefois, les dispositions légales et réglementaires
invoquées ne s'appliquent pas au traitement sous revue. D'une part, la communication du
détail de la situation comptable individuelle de chaque copropriétaire et leurs adresses
personnelles aux copropriétaires et à un ancien copropriétaire était à l'initiative du syndic
uniquement et ne répond pas à une demande d'accès à ces documents par des membres
du conseil syndical spécialement habilités par ce dernier dans le cadre de son contrôle de
la gestion de la copropriété par le syndic. D'autre part, et quand bien même le conseil
syndical aurait voulu accéder à la comptabilité, ces informations n'auraient pas dû être
proactivement transmises à l'ensemble des copropriétaires et à un ancien copropriétaire.
En effet, le conseil syndical est un organe facultatif, qui n'est pas nécessairement composé
de l'ensemble des copropriétaires ou d'anciens copropriétaires (Selon l'article 14 de la loi
du 16 mai 1975 et l'article 13 du RGD du 13 juin 1975) »28.

Au vu de ce qui précède, il a retenu que le contrôlé dans son courrier à la CNPD
en date du 23 avril 2019 « n'a pas invoqué d'argument pertinent permettant de le rattacher
à une obligation légale ou aux fins des intérêts légitimes poursuivis par le responsable du
traitement ou par un tiers »29.

26 Communication des griefs, point 25.
27 Idem.
28 Idem.
29 Idem.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

13/31

Partant, le chef d’enquête était d’avis que le contrôlé n’a pas respecté les
conditions de licéité des articles 5.1.a) et 6.1 du RGPD « dans le cadre du traitement de
données réalisé en l'espèce, à savoir la transmission de données à des tiers non
autorisés »30.

La Formation Restreinte relève que les faits exposés dans les deux réclamations
quant à la communication litigieuse de données à caractère personnel sont quasiment
identiques.

Elle constate en particulier que le courriel du contrôlé aux copropriétaires et à un ancien
copropriétaire en date du 11 février 201931 avait été adressé à six adresses e-mail
différentes dont celles des réclamants. Le contrôlé avait indiqué dans ce courriel de faire
« suivre les situations de compte » et s’était plaint que deux copropriétaires avaient pris
du retard dans le paiement de leurs avances mensuelles. Il avait réclamé le paiement de
ces retards, et avait menacé de procéder à une saisie sur salaire en cas de non-paiement.

Des courriers reprenant la situation comptable individuelle des époux B ainsi que celle de
Madame A, datés du même jour, étaient annexés à ce courriel. Ces annexes faisaient
apparaitre entre autres les noms des destinataires et les adresses privées respectives des
époux, les mouvements mensuels (sommes débitées et créditées) pour les années 2018
et 201932 et les soldes débiteurs, montants dont le paiement était demandé.

La Formation Restreinte relève que le contrôlé dans les courriers qu’il a adressé
à la CNPD au cours des procédures de réclamation, a invoqué deux bases légales pour
justifier la licéité de son traitement, à savoir le respect d’une obligation légale (article 6.1.c)
du RGPD) et l’intérêt légitime (article 6.1.f) du RGPD).

En ce qui concerne le respect d’une obligation légale, elle prend note des
dispositions réglementaires que le contrôlé a invoqué dans son courrier en date du
4 avril 2019 (cf. point 17 de la présente décision) pour justifier la communication de

30 Communication des griefs, points 25 et 28.
31 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».
32 C’est-à-dire les mouvements mensuels du […] 2018 au […] 2019 en ce qui concerne l’annexe

adressée à Monsieur et Madame B, et ceux du […] 2018 au […] 2019 en ce qui concerne l’annexe
adressée à Madame A.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

14/31

situations de compte individuelles de copropriétaires à d'autres copropriétaires, actuel ou
anciens, à savoir les articles 24, 25 et 26 du règlement grand-ducal du 13 juin 1975 :

« Art. 24. Le syndic tient, pour chaque syndicat de copropriétaires, une comptabilité
séparée de nature à faire apparaître la position comptable de chaque copropriétaire à
l´égard du syndicat. Il prépare le budget prévisionnel qui est voté par l´assemblée
générale.

Art. 25. Le syndic peut exiger le versement:

1° De l´avance de trésorerie permanente prévue au règlement de copropriété;

2° Au début de chaque exercice, d´une provision qui, sous réserve des stipulations du
règlement de copropriété ou, à défaut, des décisions de l´assemblée générale, ne peut
excéder soit le quart du budget prévisionnel voté pour l´exercice considéré, soit la moitié
de ce budget, si le règlement de copropriété ne prévoit pas le versement d´une avance de
trésorerie permanente;

3° En cours d´exercice, soit d´une somme correspondant au remboursement des
dépenses régulièrement engagées et effectivement acquittées, soit de provisions
trimestrielles qui ne peuvent chacune excéder le quart du budget prévisionnel pour
l´exercice considéré;

4° De provisions spéciales destinées à permettre l´exécution de décisions de l´assemblée
générale, comme celles de procéder à la réalisation des travaux prévus aux articles 26 à
32 de la loi du 16 mai 1975, dans les conditions fixées par décisions de ladite assemblée.

L´assemblée générale décide, s´ il y a lieu, du mode de placement des fonds ainsi
recueillis.

Art. 26. Sauf stipulation contraire du règlement de copropriété, les sommes dues au titre
du précédent article portent intérêt au profit du syndicat. Cet intérêt, fixé au taux légal en
matière civile, est dû à compter de la mise en demeure adressée par le syndic au
copropriétaire défaillant. »

La Formation Restreinte estime que si ces dispositions déterminent des
obligations comptables et trésorières auxquelles le contrôlé est soumis, elles n’autorisent
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

15/31

pas la communication par transmission à d'autres copropriétaires, actuels ou anciens, d'un
courriel ayant pour annexe des courriers adressés à un copropriétaire et reprenant sa
situation comptable individuelle, ni à titre d’information, ni à titre de rappel de créance. Par
ailleurs, le contrôlé n’a pas démontré dans quelle mesure la communication litigieuse était
nécessaire au respect des devoirs incombant au syndic au titre de ces dispositions, de
sorte que le contrôlé ne pouvait pas baser ce traitement sur celles-ci.

Elle considère en particulier que les affirmations du contrôlé selon lesquelles les situations
de compte individuelles des copropriétaires seraient le seul « document de nature à faire
état du montant total des avances trésorerie et du solde envers la copropriété » établi par
le syndic et à sa disposition ne sauraient énerver ces constats.

Elle relève par ailleurs que dans son courrier à la CNPD en date du 23 avril 2019
(cf. point 18 de la présente décision), le contrôlé pour fonder la communication litigieuse,
a en outre invoqué des obligations de contrôle du syndicat des copropriétaires concernant
la gestion du syndic et la comptabilité du syndicat. Toutefois, le contrôlé ne saurait fonder
le traitement en cause sur des obligations légales qui incombaient au syndicat des
copropriétaires.

En ce qui concerne l’intérêt légitime, le contrôlé, dans son courrier précité à la
CNPD en date du 23 avril 2019 pour fonder la communication litigieuse, a en plus invoqué
qu’il mettrait en jeu sa responsabilité contractuelle à l'égard du syndicat des
copropriétaires, s’il ne procéderait pas « au recouvrement éventuelle des créances de la
copropriété au cas où les copropriétaires débiteurs ne s'acquittent pas de leur dette ».

Or, au vu de l'obligation qui incombe au syndic de recouvrir les créances en vertu
de l'article 14.5 de la loi du 16 mai 1975, qui prescrit que « le syndic ne peut intenter une
action en justice au nom du syndicat sans y avoir été autorisé par une décision de
l’assemblée générale, sauf lorsqu’il s’agit d’une action en recouvrement de créance même
par voie d’exécution forcée […] », la Formation Restreinte ne peut pas retenir cette
justification pour légitimer le traitement en cause.

Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête et conclut que les articles 5.1.a) et 6.1 du RGPD n’ont pas été respectés par le
contrôlé dans le cadre de la communication litigieuse.

16/31

2.2 Limitation des finalités

Le chef d’enquête dans la communication des griefs a par ailleurs retenu que
« les données initialement collectées et traitées (détail de la situation comptable de
copropriétaires vis-à-vis de la copropriété et adresses privées) pour des finalités initiales
déterminées, explicites et légitimes pour un syndic dans le cadre de ses activités
régulières (rappel de créances au débiteur) ont ensuite été traitées ultérieurement d'une
manière incompatible avec ces finalités (volonté de nuire à certains copropriétaires). En
effet, le responsable de traitement a réalisé un traitement incompatible avec ces finalités,
à savoir la transmission délibérée de la situation financière des copropriétaires concernés
à des tiers non autorisés en vue de nuire aux copropriétaires débiteurs. La volonté du
responsable de traitement de nuire est avérée dans son courriel initial daté du 11/02/2019.
En effet, dans ce courriel, le responsable du traitement précise que « c'est la honte de voir
que 2 copropriétaires [en indiquant leurs noms et leur situation financière] ne paient pas
leurs avances mensuelles » »33.

Il estimait que le contrôlé « a utilisé des données personnelles des copropriétaires
débiteurs pour une finalité incompatible avec les finalités pour lesquelles le syndic pouvait
légitimement les traiter, ce qui constitue un détournement de finalité ». Ainsi, il était d’avis
que le contrôlé a violé l’article 5.1.b) du RGPD.34

Etant donné que la Formation Restreinte ne reconnait pas une volonté de nuire
comme finalité spécifique dans le chef du contrôlé, elle ne peut pas se rallier à l’avis du
chef d’enquête, et partant ne peut pas conclure à la violation de l’articles 5.1.b) du RGPD
par le contrôlé dans le cadre de la communication litigieuse.

2.3 Minimisation des données

Dans sa communication des griefs le chef d’enquête a finalement retenu qu’il
estimait « qu'un rappel de créances ne saurait justifier la transmission proactive de
données personnelles à d'autres copropriétaires et d'anciens copropriétaires ». Partant, il
était d’avis que « les données, en les communiquant à des tiers non autorisés, ont été

33 Communication des griefs, point 26.
34 Communication des griefs, points 26 et 28.

17/31

utilisées et traitées de manière excessive, de sorte que l'article 5.1.c) du RGPD a été
violé ».35

Or, en vue du défaut de licéité du traitement en cause en vertu de l’article 6.1 du
RGPD, la Formation Restreinte estime qu’il n’y a pas lieu de statuer sur ce point.

B. Sur le manquement lié à l'obligation de respecter les modalités de l’exercice des
droits de la personne concernée

1. Sur les principes

En ce qui concerne tout d’abord les modalités de l’exercice des droits de la
personne concernée, l’article 12 du RGPD prévoit entre autres que :

« […] 3. Le responsable du traitement fournit à la personne concernée des informations
sur les mesures prises à la suite d'une demande formulée en application des articles 15 à
22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter
de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois,
compte tenu de la complexité et du nombre de demandes. Le responsable du traitement
informe la personne concernée de cette prolongation et des motifs du report dans un délai
d'un mois à compter de la réception de la demande. Lorsque la personne concernée
présente sa demande sous une forme électronique, les informations sont fournies par voie
électronique lorsque cela est possible, à moins que la personne concernée ne demande
qu'il en soit autrement.

4. Si le responsable du traitement ne donne pas suite à la demande formulée par la
personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois
à compter de la réception de la demande des motifs de son inaction et de la possibilité
d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours
juridictionnel. […] »

En ce qui concerne ensuite le droit d’accès de la personne concernée, l’article
15 du RGPD prévoit ce qui suit :

35 Communication des griefs, points 27 et 28.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

18/31

« 1. La personne concernée a le droit d'obtenir du responsable du traitement la
confirmation que des données à caractère personnel la concernant sont ou ne sont pas
traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que
les informations suivantes:

a) les finalités du traitement ;

b) les catégories de données à caractère personnel concernées ;

c) les destinataires ou catégories de destinataires auxquels les données à caractère
personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis
dans des pays tiers ou les organisations internationales ;

d) lorsque cela est possible, la durée de conservation des données à caractère personnel
envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette
durée ;

e) l'existence du droit de demander au responsable du traitement la rectification ou
l'effacement de données à caractère personnel, ou une limitation du traitement des
données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer
à ce traitement ;

f) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

g) lorsque les données à caractère personnel ne sont pas collectées auprès de la
personne concernée, toute information disponible quant à leur source ;

h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.

2. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une
organisation internationale, la personne concernée a le droit d'être informée des garanties
appropriées, en vertu de l'article 46, en ce qui concerne ce transfert.

3. Le responsable du traitement fournit une copie des données à caractère personnel
faisant l'objet d'un traitement. Le responsable du traitement peut exiger le paiement de
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

19/31

frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire
demandée par la personne concernée. Lorsque la personne concernée présente sa
demande par voie électronique, les informations sont fournies sous une forme électronique
d'usage courant, à moins que la personne concernée ne demande qu'il en soit autrement.

4. Le droit d'obtenir une copie visé au paragraphe 3 ne porte pas atteinte aux droits et
libertés d'autrui. »

2. En l’espèce

Il ressort des constats initiaux des agents de la CNPD

- qu’en date du 13 février 2019, Monsieur A et Monsieur B avaient chacun envoyé
un courriel au contrôlé, dans lequel ils déclaraient entre autres « qu'ils n'ont pas
été informés sur la manière dont leurs données ont été traitées » et qu’ « à ce titre,
ils demandent, endéans 5 jours, une copie de la politique de protection des
données de l'Agence et un accès aux informations spécifiées à l'article 15 (1) (a)
à (d) du RGPD »36. Les copies des courriels des réclamants font partie des pièces
versées en l’espèce ;37

- qu’une réponse que la contrôlé a fournie à Monsieur B le 26 février 2019 ne
contenait pas les informations demandées par ce dernier, et qu’aucune réponse
n'avait été fournie à Monsieur A.38 Une copie du courrier précité du contrôlé fait
partie des pièces versées en l’espèce ;39

- que « le 16/04/2019, le responsable de traitement adresse deux lettres
recommandées avec accusé de réception à Monsieur A et à Monsieur B. Ces
lettres contiennent une « note d'information relative à la protection des données
personnelles ». Dans un courrier du 19/06/2019, le responsable de traitement
confirme que le courrier du 16/04/2019 précité constitue une « réponse aux
demandes d'accès de Messieurs A et B concernant les informations relatives au
traitement de leurs données correspondant à celles prévues à l'article 15

36 Constats initiaux, constat 2.
37 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».
38 Constats initiaux, constat 6.
39 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».

20/31

paragraphe 1er a (h) (sic) du règlement général sur la protection des
données » »40. Les copies des courriers du contrôlé font partie des pièces versées
en l’espèce.41

Comme les réclamants n'avaient pas encore reçu une prise de position du
contrôlé suite à l'introduction de leurs réclamations en date des 27 et 28 février 2019, le
service juridique de la CNPD dans son courrier en date du 21 mars 2019 a demandé au
contrôlé des informations sur les suites données à leurs demandes d’accès, ou à défaut
sur les raisons qui justifieraient de refuser l'exercice de leur droit d’accès. Il a demandé
des précisions au contrôlé par courrier en date du 3 juin 2019. La copie de ce courrier fait
partie des pièces versées en l’espèce.42

Le contrôlé de son côté, par lettre en date du 4 avril 2019, a pris position par
rapport au courrier du service juridique de la CNPD en date du 21 mars 2019. En ce qui
concerne l’exercice du droit d’accès par les réclamants, il a indiqué avoir « répondu aux
déclarations de Monsieur B en date du 26 février 2019 », et que Monsieur A n'aurait pas
formulé une demande d'accès. Une copie du courrier précité du contrôlé, ayant pour
annexe entre autres une copie de son courriel à Monsieur B en date du 26 février 2019,
fait partie des pièces versées en l’espèce.43

Finalement, le contrôlé a précisé dans son courrier à la CNPD en date du
19 juin 2019 qu’une réponse aux demandes d’accès aurait été envoyée à Messieurs A et
B par lettres recommandées en date du 16 avril 2019. Il a annexé à son courrier à la CNPD
les copies de ces deux lettres qui étaient adressées à « Monsieur et Madame B »
respectivement à « Madame A », ainsi que les copies des récépissés de dépôt d’un envoi
de Post Luxembourg du même jour et des avis de réception correspondants. Le contrôlé
avait indiqué dans les lettres recommandées qu’il a annexé la « note d’information sur la
politique relative à la protection des données personnelles ». Toutefois, il n’a pas annexé
ce document à son courrier à la CNPD.

40 Constats initiaux, constat 7.
41 Constats initiaux, point « 1. Pieces vérsées à la présente enquête ».
42 Idem.
43 Idem.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

21/31

Une copie de cette note d’information a été fournie à la CNPD par chacun des réclamants
sur demande, à savoir par courriel de Monsieur B en date du 15 février 2020 et par courriel
de Monsieur A en date du 11 février 2020 (ci-après : la « note d’information »).

Une copie du courrier du contrôlé du 19 juin 2019 avec les annexes susmentionnées ainsi
que des copies des documents fournis par les réclamants font partie des pièces versées
en l’espèce.44

Le chef d’enquête dans sa communication des griefs a retenu « qu’il ressort de
l'enquête que les réclamants, Monsieur A et Monsieur B, envoient chacun un courriel au
responsable du traitement en date du 13/02/2019, afin d'effectuer une demande d'accès
à leurs données personnelles » et qu’ils « demandent, endéans 5 jours, une copie de la
politique de protection des données de l'Agence et un accès aux informations spécifiées
à l'article 15.1. a) à d) du RGPD »45.

Ensuite, il a constaté que le contrôlé a fourni deux réponses aux réclamants, à
savoir :

- « une première réponse a été fournie […] dans le mois à compter de la réception
de la demande à Monsieur B (le 26/02/2019). Cette réponse ne contenait aucune
des informations demandées par Monsieur B. Aucune réponse n'a été fournie à
Monsieur A » ;

- « une seconde réponse avec une note d'information relative à la protection des
données personnelles a été envoyée le 16/04/2019 […] par courrier à Messieurs
B et A, soit plus de deux mois après la demande initiale du 13/02/2019 » ;46

Il a relevé que « ces réponses ont donc été envoyées plus d'un mois à partir de la réception
des demandes d'accès de Messieurs A et B et sans explication sur la prolongation du délai
de réponse au-delà d'un mois ni sur la possibilité d'introduire une réclamation auprès d'une
autorité de contrôle »47.

44 Idem.
45 Communication des griefs, point 32.
46 Communication des griefs, point 33.
47 Idem.

22/31

Ainsi, le chef d’enquête était d’avis que les conditions de l’article 12.3 et 4 du RGPD
n’avaient pas été respectées par le contrôlé « dans le cadre des réponses faites […] aux
demandes d'accès introduites par Messieurs A et B ».48

Le chef d’enquête a par ailleurs constaté que si la note d’information
susmentionnée que le contrôlé a envoyée aux réclamants par lettres recommandées en
date du 16 avril 2019 « contenait des informations sur les traitements listées dans l'article
15.1. a), b), c) et d) du RGPD […] des informations étaient manquantes dans la note
d'information sur les points suivants:

 Point b) de l'article 15.1. du RGPD (relatif aux catégories de données à caractère
personnel concernées): il ressort de l'enquête que les données financières
n'étaient pas incluses dans la description des catégories de données à caractère
personnel traitées par le syndic (ex: RIB ou numéro de compte bancaire,
mouvements de fonds).

 Point c) de l'article 15.1. du RGPD (relatif aux destinataires ou catégories de
destinataires auxquels les données à caractère personnel ont été ou seront
communiquées, en particulier les destinataires qui sont établis dans des pays tiers
ou les organisations internationales): la note d'information ne faisait pas mention
des destinataires ou catégories de destinataires à qui les données à caractère
personnel ont été ou sont actuellement communiquées. Il est uniquement fait
mention des destinataires potentiels (ex: « il peut faire appel à des sous-traitants
externes »). Le cas échéant, la catégorie de destinataires devrait être précisée (la
formulation « sous-traitants externes » n'est pas suffisante) et mention devrait être
faite si des destinataires sont établis dans des pays tiers ou des organisations
internationales ».49

Ainsi, le chef d’enquête était d’avis que le contrôlé n’avait pas respecté les conditions de
l'article 15.1.b) et c) du RGPD « dans le cadre des réponses faites […] aux demandes
d'accès introduites par Messieurs A et B ».50

48 Communication des griefs, points 33 et 35
49 Communication des griefs, point 34.
50 Communication des griefs, points 34 et 35.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

23/31

En ce qui concerne la demande d’accès de Monsieur B, la Formation Restreinte
relève que dans son courriel au contrôlé en date du 13 février 2019, celui-ci avait demandé
au contrôlé de lui fournir sa « politique de confidentialité » ainsi qu’un accès aux
informations spécifiées dans l’article 15.1.a) à d) du RGPD.

Elle constate également que dans sa réponse à Monsieur B en date du 26 février 2019 le
contrôlé n’avait pas adressé la demande d’accès de ce dernier, et que le contrôlé ne lui a
communiqué la note d’information qu’avec sa lettre recommandée en date du
16 avril 2019, c’est-à-dire plus qu’un mois après la réception de la demande.

En ce qui concerne la demande d’accès de Monsieur A, la Formation Restreinte
constate que celui-ci avait expressément fait référence au droit d’accès que lui confère le
RGPD51 dans son courriel au contrôlé en date du 13 février 2019 par lequel il avait
demandé à ce dernier de lui fournir sa politique de confidentialité ainsi qu’un accès aux
informations spécifiées dans l’article 15.1.a) à d) du RGPD, de sorte que l’affirmation du
contrôlé selon laquelle Monsieur A n’aurait pas formulé une demande d’accès est fausse.

Elle prend par ailleurs note de ce que le contrôlé ne lui a communiqué la note d’information
qu’avec sa lettre recommandée en date du 16 avril 2019, c’est-à-dire plus qu’un mois
après la réception de la demande.

La Formation Restreinte estime que le contrôlé n’a ni répondu aux demandes
d’accès des réclamants endéans le délai prévu à l'article 12.3 du RGPD, ni informé les
réclamants d'un éventuel motif de son inaction tel qu'exigé par l'article 12.4 du RGPD.

Elle considère en plus que la note d’information communiquée avec la lettre
recommandée du contrôlé en date du 16 avril 2019, et qui avait pour « l’objectif […]
d’informer les différents copropriétaires quant au traitement et au transfert de leurs
données personnelles par le syndic »52, était inadaptée pour répondre aux demandes
d’accès des réclamants.

En effet, celle-ci ne mentionnait pas toutes les catégories de données à caractère
personnel concernées (article 15.1.b) du RGPD), ni tous les destinataires ou catégories

51 Extrait du texte original anglais: « Pursuant to our rights of access as data subjects under the

General Data Protection Regulation, please provide us with the following information […] ».
52 Point « […] » de la note d’information.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

24/31

de destinataires auxquels les données à caractère personnel ont été ou seront
communiqués (article 15.1.c) du RGPD).

Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête et conclut que les articles 12.3 et 4 ainsi que l’article 15.1.b) et c) du RGPD
n'avaient pas été respectés par le contrôlé en ce qui concerne les demande d’accès
introduites par les réclamants.

II. 2. Sur l’amende et les mesures correctrices

1. Les principes

Conformément à l’article 12 de la loi du 1er août 2018, la CNPD dispose du
pouvoir d'adopter toutes les mesures correctrices prévues à l’article 58.2 du RGPD :

« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement ;

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement ;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;

e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel ;

f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;

g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19 ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

25/31

h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites ;

i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas ;

j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »

Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre
de l’État ou des communes.

L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les
amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :

« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

26/31

f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation;

i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;

j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».

La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.

Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises
en compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices
à prononcer et/ou de la fixation du montant d’une éventuelle amende administrative à
prononcer.

27/31

2. En l’espèce

2.1 Quant à l’imposition d’une amende administrative

Dans la communication des griefs, le chef d’enquête propose à la Formation
Restreinte d’infliger une amende administrative au contrôlé d’un montant de 2.500 (deux
mille cinq cents) euros.53

Afin de décider s'il y a lieu d'imposer une amende administrative et pour décider,
le cas échéant, du montant de cette amende, la Formation Restreinte prend en compte
les éléments prévus par l’article 83.2 du RGPD :

- Quant à la nature et à la gravité de la violation (article 83.2.a) du RGPD), elle relève
qu’en ce qui concerne les manquements à l’article 5.1.a) et l'article 6.1 du RGPD, ils
sont constitutifs de manquements à un principe fondamental du RGPD (et du droit de
la protection des données en général), à savoir au principe de licéité consacré au
Chapitre II « Principes » du RGPD.

Elle relève par ailleurs que le respect du droit d'accès prévu par l'article 15 du RGPD
est une des exigences majeures du droit à la protection des données, car il constitue
la « porte d'entrée » permettant l'exercice des autres droits que le RGPD confère à la
personne concernée, comme les droits à la rectification et à l'effacement prévus par
les articles 16 et 17 du RGPD.

En plus, en l'espèce, les manquements retenus ne portent pas uniquement sur le droit
d’accès, mais également les modalités de l’exercice de ce droit prévus aux articles
12.3 et 4 du RGPD qui n’ont pas été respectés par le contrôlé.

- Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte constate
que les manquements aux droits d’accès des réclamants ont duré dans le temps, à
tout le moins depuis le 13 février 2019, date de leurs demandes d’accès, et jusqu’à la
réception de la note d’information communiquée par le contrôlé avec sa lettre
recommandée en date du 16 avril 2019. Par ailleurs, elle ne dispose d'aucune
documentation qui prouve que le contrôlé a entretemps répondu intégralement aux

53 Communication des griefs, point 39.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

28/31

demandes d'accès des réclamants en leurs transmettant l'ensemble des données à
caractère personnel traitées par lui tel que requis par l'article 15.1 a) à d) du RGPD.

- Quant au nombre de personnes concernées (article 83.2.a) du RGPD), la Formation
Restreinte constate que les manquements constatés aux articles 5.1.a) et 6.1 du
RGPD concernent les deux réclamants, leurs épouses et les autres copropriétaires,
anciens et actuels, tandis que les manquements constatés aux articles 12.3 et 4 ainsi
que l’article 15.1 b) et c) du RGPD ne concernent que les deux réclamants.

- Quant à la question de savoir si les manquements ont été commis délibérément ou
non (par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle que
« non délibérément » signifie qu’il n’y a pas eu d’intention de commettre la violation,
bien que le responsable du traitement ou le sous-traitant n’ait pas respecté l’obligation
de diligence qui lui incombe en vertu de la législation.

En l’espèce, elle est d’avis que les faits et les manquements constatés ne traduisent
pas une intention délibérée de violer le RGPD dans le chef du contrôlé.

La Formation Restreinte constate que les autres critères de l’article 83.2 du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition
d’une amende administrative et son montant.

Dès lors, la Formation Restreinte considère que le prononcé d’une amende
administrative est justifié au regard des critères posés par l’article 83.2 du RGPD pour
manquement aux articles 5.1.a), 6.1, 12.3 et 4 ainsi qu’à l’article 15.1.b) et c) du RGPD.

S’agissant du montant de l’amende administrative, elle rappelle que le
paragraphe 3 de l’article 83 du RGPD prévoit qu’en cas de violations multiples, comme
c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour
la violation la plus grave. Dans la mesure où un manquement aux articles 5, 6, 12 et 15
du RGPD est reproché au contrôlé, le montant maximum de l’amende pouvant être retenu
s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus
élevé étant retenu.

Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la
Formation Restreinte considère que le prononcé d’une amende d’un montant de 1.500

29/31

(mille cinq cents) euros apparaît à la fois effectif, proportionné et dissuasif, conformément
aux exigences de l’article 83.1 du RGPD.

2.2 Quant à la prise de mesures correctrices

Dans la communication des griefs le chef d’enquête n’a pas proposé à la
Formation Restreinte d’adopter les mesures correctrices. En effet, « étant donné que le
contrôlé faisant l'objet de la présente enquête […] n'a plus de mandat pour agir en tant
que syndic de la Résidence A depuis […] 2019 » le chef d'enquête était d'avis « qu'il ne
fait pas de sens de proposer de mesures correctrices complémentaires à l'amende
administrative proposée ci-dessus, étant donné que le contrôlé ne sera pas en mesure, ni
en fait, ni en droit, de mettre en œuvre des mesures correctrices »54.

Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte, après en avoir délibéré, décide :

- de retenir les manquements aux articles 5.1.a), 6.1, 12.3 et 4 ainsi qu’à l’article 15.1b)
et c) du RGPD ; et

- de prononcer à l’encontre de la Société A, une amende administrative d’un montant
de 1.500 (mille cinq cents) euros, au regard des manquements constitués aux articles
5.1.a), 6.1, 12.3 et 4 ainsi qu’à l’article 15.1.b) et c) du RGPD.

Belvaux, le 13 décembre 2022.

Pour la Commission nationale pour la protection des données siégeant en formation
restreinte

Tine A. Larsen Marc Lemmer Alain Herrmann
Présidente Commissaire Commissaire

54 Communication des griefs, point 40.
_____________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A

30/31

Indication des voies de recours

La présente décision administrative peut faire l'objet d'un recours en réformation dans les
trois mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif
et doit obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des
avocats.

31/31

CNPD (Luxembourg) - Délibération n° 18/FR/2022

Karar metni