Décision de la Commission nationale siégeant en formation restreinte sur
l’issue de l’enquête n° […] menée auprès de l’Administration communale de […]
Délibération n° 2FR/2024 du 21 mai 2024
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données, notamment son article 41 ;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°07AD/2024 en date du 23 février 2024, notamment son article 10.2 ;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°08AD/2024 en date du 23 février 2024, notamment
son article 9 ;
Considérant ce qui suit :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
1/13
I. Faits et procédure
1. En date du 10 mars 2020, la Commission nationale pour la protection des
données (ci-après : la « CNPD » ou la « Commission nationale ») a été saisie d’une
réclamation de Madame X (ci-après : la « réclamante » ou « la personne concernée »)
concernant une mesure de surveillance via un système de vidéosurveillance en raison de
laquelle son licenciement avec effet immédiat aurait été prononcé. Dans ce contexte, la
réclamante a signalé à la CNPD des violations potentielles des dispositions du règlement (UE)
2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE (ci-après : le « RGPD »).
2. Dans le cadre de l’instruction de la réclamation, l’Administration communale de
[…] a précisé qu’un système de vidéosurveillance avait été installé à l’extérieur de l’ensemble
des bâtiments communaux en 2013 « dans le but de garantir une certaine sécurité tant pour
les employés que pour les usagers des infrastructures »1. Sur demande2, l’Administration
communale de […] a confirmé avoir consulté les images de vidéosurveillance « afin de
qualifier les fautes graves de la manière la plus précise possible »3.
3. Lors de sa séance de délibération du 7 juillet 2023, la Commission nationale
siégeant en formation plénière a décidé d’ouvrir une enquête auprès de l’Administration
communale de […], sise à […], L-[…] (ci-après : le « contrôlé »), sur base de l’article 38 de la
loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des
données et du régime général sur la protection des données (ci-après : la « loi du 1er août
2018 ») et de désigner Monsieur Alain Herrmann comme chef d’enquête.
4. Ladite décision a précisé que l’enquête menée par la Commission nationale
avait pour objet de contrôler dans le cadre de la réclamation n° […] l'application et le respect
par l'Administration communale de […] des dispositions du RGPD, de la loi du 1er août 2018
et des textes légaux prévoyant des dispositions spécifiques en matière de protection des
données à caractère personnel, et plus particulièrement celles relatives à la finalité du
traitement litigieux (vidéosurveillance)4.
1
Cf. Pièce n° 4 de la communication des griefs ; Courrier du contrôlé du 22 mars 2021.
2
Cf. Pièce n° 5 de la communication des griefs.
3
Cf. Pièce n° 6 de la communication des griefs ; Courrier du contrôlé du 20 février 2023, avant-dernier paragraphe.
4
Cf. Délibération n° […] du 7 juillet 2023.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
2/13
5. Le contrôlé a été informé de l'ouverture de l'enquête à son égard par courrier
du chef d'enquête en date du 8 août 20235. Ce moment est référencé ultérieurement dans
cette décision comme « début de l'enquête ».
6. Le courrier précité était accompagné du document intitulé « Constats initiaux »
exposant les constats initiaux réalisés par les agents de la CNPD sur base des pièces
collectées dans le cadre de la réclamation et versées à la présente enquête (ci-après : les
« constats initiaux »). Le chef d'enquête a offert la faculté au contrôlé de « contester les faits
repris dans les constats initiaux, ou faire part de [ses] éventuelles remarques, précisions ou
ajouts » pour le 15 septembre 2023 au plus tard. Le contrôlé n’a pas répondu au courrier
précité.
7. A l'issue de son instruction, le chef d'enquête a notifié au contrôlé en date du
10 janvier 2024 une communication des griefs (ci-après : la « communication des griefs »)
soulevant le manquement qu'il estimait constitué en l'espèce par rapport aux exigences
prescrites par l’article 5.1.b) du RGPD (principe de limitation des finalités relatif au traitement
des données à caractère personnel) pour ce qui concerne la personne concernée.
8. Le chef d’enquête a proposé à la Commission nationale siégeant en formation
restreinte (ci-après : la « Formation Restreinte ») d’adopter quatre mesures correctrices
différentes.
9. La faculté de formuler ses observations écrites sur la communication des griefs
a été offerte au contrôlé. Ce dernier n’a pas communiqué d’observations au chef d’enquête.
10. Le 22 février 2024, le chef d’enquête a transmis le dossier à la Formation
Restreinte en vue d'une prise de décision quant à l'issue de l'enquête.
11. La présidente de la Formation Restreinte a informé le contrôlé par courrier en
date du 27 février 2024 que son affaire serait inscrite à la séance de la Formation Restreinte
du 18 avril 2024 et qu’il lui était loisible d'y être entendu.
12. Le contrôlé n’a pas répondu à cette invitation et il n’a pas assisté à la séance
de la Formation Restreinte.
5
Courrier du chef d’enquête au contrôlé du 8 août 2023.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
3/13
13. Lors de cette séance, le chef d'enquête a exposé ses observations orales à
l'appui de ses observations écrites et a répondu aux questions posées par la Formation
Restreinte.
14. La décision de la Formation Restreinte sur l’issue de l’enquête se basera :
- sur les traitements effectués par le contrôlé dans le cadre de la réclamation susmentionnée
et contrôlés par les agents de la CNPD ; et
- sur les dispositions légales et réglementaires prises en compte par le chef d’enquête dans
sa communication des griefs.
II. En droit
II.1. Sur les motifs de la décision
A. Sur le manquement lié au principe de limitation des finalités
1. Sur les principes
15. L’article 5.1.b) du RGPD dispose que les données à caractère personnel
doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être
traitées ultérieurement d'une manière incompatible avec ces finalités; […] (limitation des
finalités); […] ».
16. Dans un contexte de vidéosurveillance, le Comité européen de la protection
des données (ci-après : le « CEPD ») a précisé qu’avant l’utilisation d’un dispositif vidéo « les
finalités du traitement doivent être spécifiées en détail [article 5, paragraphe 1, point b)]. La
vidéosurveillance peut avoir de nombreux objectifs, tels que la protection des biens et autres
actifs, […]. Il y a lieu de documenter ces objectifs de surveillance par écrit (article 5,
paragraphe 2) et de les préciser pour chaque caméra de surveillance utilisée »6.
17. Plus généralement, le CEPD a explicité dans ses lignes directrices 4/2019
relatives à l’article 25 (Protection des données dès la conception et protection des données
par défaut) qu’« [e]n cas de traitement ultérieur, le responsable du traitement doit d’abord
veiller à ce que les finalités de ce traitement ultérieur soient compatibles avec les finalités
6
Lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo, version
2.0 adoptées le 29 janvier 2020, point 15.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
4/13
originales et concevoir celui-ci en conséquence. La compatibilité ou non d’une nouvelle finalité
doit être appréciée au regard des critères énoncés à l’article 6, paragraphe 4 »7.
18. L’article 6.4 de l’RGPD prévoit que « [l]orsque le traitement à une fin autre que
celle pour laquelle les données ont été collectées n'est pas fondé sur le consentement de la
personne concernée ou sur le droit de l'Union ou le droit d'un État membre qui constitue une
mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs
visés à l'article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le
traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère
personnel ont été initialement collectées, tient compte, entre autres:
a) de l'existence éventuelle d'un lien entre les finalités pour lesquelles les données à
caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;
b) du contexte dans lequel les données à caractère personnel ont été collectées, en
particulier en ce qui concerne la relation entre les personnes concernées et le
responsable du traitement ;
c) de la nature des données à caractère personnel, en particulier si le traitement porte
sur des catégories particulières de données à caractère personnel, en vertu de l'article
9, ou si des données à caractère personnel relatives à des condamnations pénales et
à des infractions sont traitées, en vertu de l'article 10 ;
d) des conséquences possibles du traitement ultérieur envisagé pour les personnes
concernées ;
e) de l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou
la pseudonymisation ».
2. En l’espèce
19. Il ressort des constats initiaux des agents de la CNPD
- qu’en 2013 le contrôlé a mis en place un système de vidéosurveillance
situé à l’extérieur de l’ensemble des bâtiments communaux et que la CNPD
7
Lignes directrices 4/2019 du CEPD relatives à l’article 25 - Protection des données dès la conception et protection
des données par défaut, version 2.0 adoptées le 20 octobre 2020, point 71.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
5/13
avait autorisé le système de vidéosurveillance par le biais de l’autorisation
n° […]8 ;
- que par courrier du 4 novembre 2020, la CNPD a attiré l'attention du
contrôlé sur le caractère disproportionné de la surveillance des salariés sur
leur lieu de travail via un mécanisme de vidéosurveillance, ainsi que sur les
finalités autorisées dans le cadre de l'autorisation n° […]9;
- que le contrôlé a confirmé par courrier du 22 mars 2021 que le système
de vidéosurveillance a été mis en place dans le but de garantir la sécurité
tant des employés que des usagers de la structure10 ;
- que la CNPD a demandé au contrôlé par courrier du 21 février 2022 de
confirmer ou infirmer si les images du système de vidéosurveillance avaient
été utilisées pour soutenir les faits quant aux heures des arrivées et des
départs de la personne concernée11 ; et
- que dans son courrier du 20 février 2023, le contrôlé a confirmé avoir
consulté les images de vidéosurveillance dans le but de qualifier les fautes
graves de la manière la plus précise possible en indiquant
qu’ « indépendamment de la législation relative à la protection des
données, le droit du travail exige que la lettre de licenciement doit indiquer
de manière précise la ou les fautes graves reprochées au salarié, afin
d'éviter que le licenciement en question en soit déclaré abusif par le tribunal
compétent »12.
20. Le chef d’enquête a pris acte que les constats initiaux n’ont pas fait l’objet
d’observations ou de contestation de la part du contrôlé.
21. Il a relevé dans la communication des griefs que le contrôlé a indiqué (dans le
cadre de l’instruction de la réclamation n° […]) que le système de vidéosurveillance avait
« pour finalité de garantir une certaine sécurité tant pour les employés de la commune que
pour les usagers des infrastructures, tout en précisant que le système de surveillance n’a pas
8
Constats initiaux, constat 3.
9
Constats initiaux, constat 4.
10
Constats initiaux, constat 5.
11
Constats initiaux, constat 6.
12
Constats initiaux, constat 7.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
6/13
été mis en place afin de contrôler le personnel communal (Pièce n° 4) »13 et il a rappelé que
le contrôlé « est en aveu d’avoir utilisé les images issues de la vidéosurveillance pour établir
de manière précise les fautes graves de la Réclamante afin de justifier son licenciement avec
effet immédiat (Pièce n° 6) »14.
22. A cette fin, le chef d’enquête a estimé que « les données à caractère personnel
initialement collectées et traitées dans le cadre de la vidéosurveillance pour une finalité
déterminée, explicite et légitime, à savoir la sécurité des usagers des infrastructures
communales et des employés de la commune, ont ensuite été traitées pour une finalité
différente »15. Il a été d’avis que « les images de la vidéosurveillance collectées par le
[c]ontrôlé ont été traitées pour la réalisation d'un traitement ultérieur, à savoir la motivation du
licenciement avec effet immédiat de la Réclamante ».
23. Il a également expliqué que le contrôlé aurait pu être autorisé à effectuer un
traitement ultérieur des images de la vidéosurveillance pour d’autres finalités mais uniquement
si ce traitement ultérieur reposait sur le consentement de la personne concernée ou si le
traitement ultérieur était compatible avec les finalités initiales conformément aux articles 5.1.b)
et 6.4 du RGPD. Comme, d’une part, le contrôlé n’avait pas obtenu au préalable le
consentement de la personne concernée, et que d’autre part, le traitement ultérieur n’était pas
compatible avec les finalités initiales, il a retenu que les conditions posées par ces articles
précités n’étaient pas remplies16.
24. Le chef d’enquête a donc considéré que le contrôlé avait utilisé les images de
la vidéosurveillance pour une finalité incompatible avec les finalités pour lesquelles il pouvait
légitiment les traiter et que le contrôlé avait donc violé son obligation découlant de l’article
5.1.b) du RGPD17.
25. La Formation Restreinte constate tout d’abord que les finalités énoncées dans
l’autorisation de la CNPD n° […] du […] délivrée à la demande du contrôlé en matière de
vidéosurveillance étaient les suivantes :
- « de sécuriser les accès aux bâtiments de la requérante ;
- d’assurer la sécurité du personnel, des visiteurs, des enfants, etc. ;
13
Point 23 de la communication des griefs.
14
Point 25 de la communication des griefs.
15
Point 26 de la communication des griefs.
16
Points 28 à 30 de la communication des griefs.
17
Points 31 et 32 de la communication des griefs.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
7/13
- de détecter et d’identifier des comportements potentiellement suspects
ou dangereux susceptibles de provoquer des accidents ou incidents ;
- de repérer avec précision l’origine d’un incident ;
- de protéger les biens (bâtiment, installations, etc.) ;
- d’organiser et d’encadrer une évacuation rapide des personnes en cas
d’accident ;
- de pouvoir alerter en temps utile les services de secours, d’incendie ou
des forces de l’ordre ainsi que de faciliter leur intervention »18.
Elle précise également que déjà à l’époque, la CNPD à délivré l’autorisation susmentionnée
sous réserve que « les caméras ne doivent pas servir à observer les performances et le
comportement des membres du personnel de la requérante en dehors des finalités sur
lesquelles est fondée la présente autorisation »19.
26. Elle rappelle que les salariés ont en principe le droit de ne pas être soumis à
une surveillance continue et permanente sur le lieu de travail. Pour respecter le principe de
proportionnalité, le responsable du traitement doit recourir aux moyens de surveillance les plus
protecteurs de la sphère privée de ses salariés s’il décide d’installer un système de
vidéosurveillance sur le lieu de travail20.
27. Ensuite, elle note que le contrôlé a confirmé dans son courrier du 22 mars 2021
que « les caméras ont été installées dans le but de garantir une certaine sécurité tant pour les
employés que pour des usagers des infrastructures. […] En aucun cas, ce système de
surveillance n’a été réalisé dans le but unique de vouloir contrôler le personnel communal »21.
Néanmoins, le contrôlé a confirmé dans son courrier du 20 février 2023 avoir consulté les
images de vidéosurveillance « afin de qualifier les fautes graves de la manière la plus précise
possible » en indiquant qu’ « indépendamment de la législation relative à la protection des
données, le droit du travail exige que la lettre de licenciement doit indiquer de manière précise
la ou les fautes graves reprochées au salarié, afin d'éviter que le licenciement en question en
soit déclaré abusif par le tribunal compétent »22 (cf. constats initiaux, constat 7, comme exposé
18
Cf. Autorisation de la CNPD n° […] du […], page 1, point 2.
19
Cf. Autorisation de la CNPD n° […] du […], page 8, deuxième tiret.
20
Cf. Guidance de la CNPD en matière de surveillance : https://cnpd.public.lu/fr/dossiers-
thematiques/surveillance/videosurveillance.html
21
Cf. Pièce n° 4 de la communication des griefs.
22
Cf. Pièce n° 6 de la communication des griefs.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
8/13
déjà au point 19 ci-dessus). Dans ce même courrier, le contrôlé a également noté que la
personne concernée n’avait pas fait de recours contre ce licenciement.
28. Elle partage l’avis du chef d’enquête concernant l’analyse de l’article 5.1.b)
ensemble avec l’article 6.4 du RGPD et constate que le contrôlé d’une part, n’avait pas le
consentement de la personne concernée, et d’autre part, le traitement ultérieur n’était pas
compatible avec les finalités pour lesquelles les images de vidéosurveillance avaient
initialement été collectées. Elle constate donc que le contrôlé a utilisé les images résultant de
la vidéosurveillance pour une finalité incompatible avec les finalités pour lesquelles il pouvait
légitimement les traiter. Par ailleurs, elle estime que le contrôlé aurait pu prouver une
prétendue faute grave de sa salariée en utilisant des moyens plus protecteurs de la sphère
privée de cette dernière.
29. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef
d’enquête et conclut que le contrôlé a manqué à son obligation découlant de l’article 5.1.b) du
RGPD.
II.2. Sur l’amende administrative et les mesures correctrices
1. Sur les principes
30. Conformément à l’article 12 de la loi du 1er août 2018, la Commission nationale
dispose des pouvoirs prévus à l’article 58.2 du RGPD :
« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations
de traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les opérations
de traitement ont entraîné une violation des dispositions du présent règlement ;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du présent
règlement ;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé ;
e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
9/13
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la limitation
du traitement en application des articles 16, 17 et 18 et la notification de ces mesures aux
destinataires auxquels les données à caractère personnel ont été divulguées en application
de l'article 17, paragraphe 2, et de l'article 19 ;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une certification
délivrée en application des articles 42 et 43, ou ordonner à l'organisme de certification de ne
pas délivrer de certification si les exigences applicables à la certification ne sont pas ou plus
satisfaites ;
i) imposer une amende administrative en application de l'article 83, en complément ou à la
place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à
chaque cas ;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays
tiers ou à une organisation internationale ».
31. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de
l’État ou des communes.
32. La Formation Restreinte tient à préciser que les faits pris en compte dans le
cadre de la présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la conformité,
ne permettent pas d’annuler rétroactivement un manquement constaté23.
33. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD en cours de la procédure d’enquête ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, sont prises en
compte par la Formation Restreinte dans le cadre des éventuelles mesures correctrices à
prononcer.
23
Cf. Trib. adm., 14 mai 2024, n° 46401 du rôle, page 27, paragraphes 1 et 2.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
10/13
2. En l’espèce
2.1. Quant à la prise de mesures correctrices
34. Dans la communication des griefs le chef d’enquête a proposé à la Formation
Restreinte d’adopter les mesures correctrices suivantes « endéans un délai de 3 mois à
compter de la notification au Contrôlé de la décision prise par la Formation Restreinte :
a. retenir le manquement à l'article 5, paragraphe I, b) du RGPD ;
b. prononcer un rappel à l'ordre à l'encontre du Contrôlé pour avoir violé l'article 5,
paragraphe 1, b) du RGPD ;
c. prononcer à l'encontre du Contrôlé une injonction de mettre en conformité le
traitement avec les obligations résultant de l'article 5, paragraphe 1, b) du RGPD
notamment en prenant des mesures techniques et/ou organisationnelles
supplémentaires pour limiter tout risque de détournement de finalités des données
à caractère personnel' à l'avenir et de transmettre tout élément justificatif du respect
de cette injonction ; et
d. publier la décision à intervenir sur le site internet de la CNPD »24.
35. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 33 de la présente décision, la Formation Restreinte prend en compte que
le contrôlé n’a ni répondu aux constats initiaux, ni à la communication des griefs et que le
contrôlé était en aveu d’avoir utilisé les images de la vidéosurveillance pour une finalité autre
que celles initialement indiquées dans son courrier du 22 mars 202125. Elle prend également
note que le contrôlé a justifié l’utilisation des images dans le cadre de l’instruction de la
réclamation n° […] avec « le droit du travail [qui] exige que la lettre de licenciement doit
indiquer de manière précise la ou les fautes graves reprochées au salarié, afin d’éviter que le
licenciement en question ne soit déclaré abusif par le tribunal compétent »26.
36. Quant à la qualification proposée par le chef d’enquête reprise sous a) du point
34 de la présente décision, la Formation Restreinte considère que, au vue des
développements qui précèdent, la violation de l’article 5.1.b) du RGPD est avéré et qu'il y a
24
Communication des griefs, point 37.
25
Pièce n° 4 de la communication des griefs.
26
Courrier du contrôlé du 20 février 2023 ; Pièce n° 6 de la communication des griefs.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
11/13
dès lors lieu de retenir le manquement tel que proposé par le chef d'enquête à cet égard et
reprise au point 34 de la présente décision sous a).
37. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous b)
du point 34 de la présente décision, la Formation Restreinte considère qu’alors que l’opération
de traitement litigieux a entraîné une violation du RGPD, il y a lieu de prononcer la mesure
correctrice proposée par le chef d'enquête à cet égard et reprise au point 34 de la présente
décision sous b).
38. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous c)
du point 34 de la présente décision, la Formation Restreinte considère qu’au vue du fait qu’il
s’agissait d’un cas isolé qui remonte dans le temps, il n’y a pas lieu de prononcer la mesure
correctrice proposée par le chef d'enquête à cet égard et reprise au point 34 de la présente
décision sous c).
39. Quant à la mesure correctrice proposée par le chef d’enquête reprise sous d)
du point 34 de la présente décision, la Formation Restreinte considère qu’il n’y a pas lieu de
prononcer la mesure correctrice proposée par le chef d’enquête à cet égard et reprise au point
34 de la présente décision sous d).
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte, après en avoir délibéré, décide :
- de retenir un manquement à l’article 5.1.b) du RGPD ; et
- de prononcer à l'encontre de l’Administration communale de […] un rappel à l’ordre pour
avoir violé l’article 5.1.b) du RGPD.
Belvaux, le 21 mai 2024.
La Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
12/13
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de l’Administration communale de […]
13/13