206
| Numéro du répertoire 2022/ 8617 |
| --- |
| Date du prononcé 7 décembre 2022 |
| Numéro du rôle 2022/AR/549 |
Expédition
| Délivrée à | Délivrée à | Délivrée à |
| --- | --- | --- |
| le € CIV | le € CIV | le € CIV |
Non communicable au
receveur
# Cour d'appel
# Bruxelles
Section Cour des marchés
19e chambre A
Chambre des marchés
# Arrêt
| Présenté le |
| --- |
| Non enregistrable |
COVER 01-00003026497-0001-0025-02-01-1
Cour d'appel Bruxelles – 2022/AR/549 p. 2
**EN CAUSE DE :**
Y, [...] ;
*partie requérante*
ayant pour conseils Mes Fabienne Raepsaet [...] et Amaury Arnould [...] avocats, Claeys & Engels, dont le cabinet est situé à [...] ;
**CONTRE :**
**L'Autorité de Protection des Données** (ci-après l'« **APD** »), située à 1000 Bruxelles, 35 Rue de la presse, BCE 0694.679.950,
*partie Adverse*
ayant pour conseils Mes Evrard de Lophem et Clara Delbruyère, avocats, dont le cabinet est établi à [...], [...].
**EN PRESENCE DE :**
**Monsieur X, [...] ;**
*partie appelée à la cause*
Défaillant,
Vu les pièces de procédure et notamment :
- la décision rendue par la Chambre Contentieuse de l'Autorité de Protection des Données, le 1er avril 2022 (numéro de la décision : 46/2022, numéro du dossier : DOS-2020-02892) ;
- la requête de Y du 29 avril 2022 ;
- le calendrier acté à l'audience d'introduction du 18 mai 2022 ;
PAGE 01-00003026497-0002-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 3
- les conclusions de synthèse d'appel de Y du 12 septembre 2022;
- les conclusions de désistement d'action de Monsieur X du 4 octobre 2022 ;
- les conclusions de synthèse de l'APD du 10 octobre 2022 ;
- les dossiers de pieces déposés par les parties ;
Entendu les conseils des parties Y et l'APD à l'audience publique du 2 novembre 2022.
# I. La Décision attaquée
1.
La Chambre Contentieuse de l'APD a rendu la Décision attaquée le 1er avril 2022, dont le dispositif est libellé comme il suit :
« PAR CES MOTIFS la Chambre Contentieuse de l'Autorité de protection des données émet, après délibération:
Sur base de l'article 100, § 1er, \(9^{\circ}\) de la LCA un ordre de mise en conformite tel que libellé supra, y compris la mise en place d'une charte telle qu'énoncé au point 56
Sur base de l'article 83 du RGPD et des articles 100, \(13^{\circ}\) et 101 de la LCA, une amende de 7500 EUR
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la Cour des marchés dans un délai de trente jours à compter de sa notification, avec l'Autorité de protection des données en qualité de défenderesse. »
PAGE 01-00003026497-0003-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 4
# II. Le contexte factuel et les antécédents de procédure
2.
Selon l'APD, la Cour tenant compte dans sa délibération de l'ensemble des faits du dossier, les faits pertinents peuvent être synthétisés comme il suit :
«
1. (...).
2. La partie intervenante, M. X, a exercé au sein de la requérante, dont il a été l'actionnaire unique durant plusieurs années, la fonction d'administrateur délegué du 15 octobre 2004 jusqu'en 2019. En cette date, M. X a revendu l'intégrality de ses actions à la S.A de droit allemand Z et a cessé ses fonctions d'administrateur. Z a ensuite cédé tous ses droits et obligations à la société de droit luxembourggeois W.
3. M. X a ensuite ete engage par la requereante en tant qu'employ, a partir de 2019.
4. En date du 26 novembre 2019 et du 14 décembre 2019, M. X et la société actionnaire W échangent des couriers concernant des manquements invoqués par les deux parties au sujet de la convention de cession des actions.
5. Le 23 avril 2020, M. X cite les sociétés Z et W devant le Tribunal de Première Instance francophone à Bruxelles, devant lequel le litige est toujours pendant. M. X reproche à la requérante de lui devoir un solde impayé suite à la cession de ses actions, alors que la requérante lui réclame des indemnités liées aux dettes de la société rachatée. La requérante avance que ces manquements seraient dus au fait que M. X aurait dissimulé et tronqué certaines informations lors de la cession des actions. Les sommes en jours sont importantes, et font l'objet de divergences entre les parties. M. X conteste fermement les manquements allégués, et a par ailleurs aussi cité la requérante devant les tribunaux turcs pour diffamation, licenciement abusif, et paiement de dommages et intérêts (la requérante est aussi active en Turquie).
6. Pour le surplus, la décision attaquée détaille les faits comme il suit :
« (...)
5. Les faits à l'origine de la plainte devant l'APD sont les suivants. Le 18 février 2020, le plaignant [M. X] est licencié par la défenderesse [Y]. Avant la remise de son matériel informatique suite à son licenciement, le plaignant a procédé à l'effacement des données présentes sur son laptop professionnel. Il avance n'avoir effacé que ses données privées (boites email privées), alors que la défenderesse avance qu'il aurait effacé l'entièreté des boites emails (tant professionnelles que privées). Les seules preuves avancées à cet égard
PAGE 01-00003026497-0004-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 5
constituent en deux témoignages d'employés soumis par la défenderesse, affirmant que toutes les boites emails auraient été effacées.
6. Le plaignant a ensuite pris connaissance de l'intention de la défenderesse de procéder à la récapération des donnéesAAParavant presentsur son laptop, et met en demeure la défenderesse,le 26 février 2020 de suspendre tout traitement de ses données à caractère personnel, tant que les informations au titre de l'article 14 du RGPD ne lui seraient pas fournies. Il demande par ailleurs l'exercice de son droit à l'effacement, la limitation du traitement, et l'opposition.
7. Le 28 février 2020 la défenderesse refuse de donner suite aux demandes du plaignant, sur base du contrat de travail qui les liait, ainsi que sur base de l'article 6.1.f du RGPD (intérêt légitime) justifiant selon elle le traitement des données à caractère personnel du plaignant.
8. Le 4 mars 2020 le plaignant conteste la licite du traitement par la défenderesse, en particulier concernant ses données purement privées, ainsi que celles professionnelles antérieures au 1er juin 2019 (période non couverte pas le contrat de travail d'employé sur lequel se basait la défenderesse, contrat datant du 01 juin 2019). Il met par ailleurs la défenderesse en demeure de lui transmettre son contrat de sous-traitance avec la S.A V (ayant procédé à la récapération des donnéesAAParavant presents sur le laptop du plaignant).
9. Le 7 mars 2020 la défenderesse refuse de suspendre le traitement pour les données à caractère personnel (professionnelles) du plaignant antérieures au 01 juin 2019, en avançant son intérêt légitime à la continuité de ses activités, et afin de vérifier des manquements allégués dans son chef en tant que travailleur.
10. La défenderesse ajoute que bien que pour la période antérieure au 01 juin 2019 le plaignant n'était pas sous contrat d'employé, il exerçait des fonctions de management et utilisait le laptop en question. Elle déduit que pour les données antérieures au 01 juin 2019, l'intérêt légitime constitue bien une base licite de traitement.
11. La défenderesse s'engage néanmoins aussi à ne pas traiter les boites mail privées du plaignant, mais uniquement les boites professionnelles. Elle s'engage de même à cesser le traitement actif des données personnelles trouvées lors de l'analyse des boites mail professionnelles du plaignant, mais refuse de les effacer.
12. La défenderesse refuse par ailleurs de produit le contrat de sous-traitance, au motif que le sous-traitant n'aurait pas traité de données personnelles en procédant à la récapération des boites emails.
13. Le 16 mars 2020 le plaignant informe la défenderesse qu'elle n'a pas d'intérêt légitime à traiter ses données personnelles antérieures aux cinq dernières années, et l'invite à limiter la période de temps pour laquelle elle traite ses emails à ces cinq dernières années (correspondant au-delai de prescription de la responsabilité des dirigeants d'entreprises).
14. Il demande par ailleurs l'exercice de son droit d'accès et de copie à tous les emails traités par la défenderesse.
PAGE 01-00003026497-0005-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 6---
15. Le 7 avril 2020 la défenderesse refuse de limiter le traitement des données aux cinq dernières années, sur base de son intérêt légitime au traitement. Elle ajoute que les demandes d’effacement, d’opposition et de limitation ne peuvent être suivies, de même, sur base de l’exception de motifs légitimes impérieux (intérêt légitime de défense en justice, d’assurer la continuité des services de l’entreprise, et potentielle mise en cause de la responsabilité professionnelle et pénale du plaignant).
16. Elle accepte par ailleurs la demande d’accès du requérant, mais indique qu’elle ne pourra s’y conformer dans le délai légal d’un mois, mais de trois mois (en raison de la complexité de la requête et des circonstances liées à la crise sanitaire).
17. Le 25 mai 2019 le plaignant conteste l’intérêt légitime tel que mis en avant par la défenderesse comme base de licéité de traitement, en avançant que ces intérêts ne sont ni actuels ni précis, et qu’elle n’a pas procédé à la balance d’intérêts, ni pris en compte le déséquilibre entre le plaignant et elle-même dans le cadre de leur relation d’ex employé à ex-employeur.
18. Il lui reproche par ailleurs une violation du principes de minimisation, dans la mesure où les données plus anciennes que cinq ans n’étaient pas pertinentes pour les finalités poursuivies.
19. Il lui reproche aussi d’avoir manqué au principe de nécessité, en avançant que d’autres
mesures moins invasives auraient permis à la défenderesse de disposer des données nécessaires en ménageant ses intérêts (un tri des emails aurait par exemple pu être opéré par un tiers en présence du plaignant, afin de ne remettre que les emails pertinents à la défenderesse, au lieu d’une restauration complète).
20. Le plaignant réitère ses demandes de suspension du traitement, ainsi que d’exercice de ses droits à l’effacement, limitation, opposition (particulièrement pour les données datant de plus de cinq ans).
21. Le 5 juin, la défenderesse répond au plaignant qu’elle maintient sa position quant à son intérêt légitime au traitement, ainsi que concernant l’absence d’obligation de lui transmettre le contrat de sous-traitance avec V. Elle répète qu’elle ne traitera pas les boîtes emails privées du plaignant ni les emails trouvés sur ses boîtes mail professionnelles provenant de ces adresses email (privées).
22. Le 15 juin 2020, la défenderesse envoie au plaignant un courrier contenant une liste des données personnelles qu’elle détient à son sujet (pièce 11 du plaignant).
23. Le 16 juin 2020 le plaignant informe la défenderesse de son intention de déposer plainte à l’Autorité de Protection des Données (APD ci-dessous), ce qu’il fait le 17 juin 2020 »¹.
¹ Décision attaquée, pièce 36, §§ 1 - 24.
PAGE 01-00003026497-0006-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 7
3.
La Décision attaquée est rendue le 1er avril 2022.
4.
La requérante a formé recours à l'encontre de la Décision attaquée par requête déposée au greffe de la cour le 29 avril 2022.
### III. Le cadre légal.
5.
Par la Décision attaquée, l'APD décide, à l'égard de la requérante en la présente cause :
- sur base de l'article 100.1,9° de la loi du 3 décembre 2017. - Loi portant creation de l'Autorité de protection des données (LCA) - d'émettre un ordre de mise en conformité,
- sur base de l'article 83 du RGPD et des articles 100, 13° et 101 de la LCA, d'infliger une amende de 7500 EUR.
6.
La Chambre contentieuse de l'APD fonde notamment la Décision attaquée sur les considérations suivantes :
«
105. La Chambre Contentieuse a constaté un manquement aux articles 5.1.a combiné à l'article 6.1.f du RGPD, en raison de l'absence partielle de base légale de traitement. Elle a aussi relevé un manquement à l'article 15 (droit d'accès et de copie), 17 (droit d'effacement), 18 (droit de limitation), et 21 (droit d'opposition). Enfin, l'article 28 a aussi été violé (en l'absence de contrat entre la défenderesse et son sous-traitant).
106. Il ressort des conclusions du plaignant que la défenderesse s'était engagée, sur insistence du plaignant, à ne pas analyser les données personnelles du plaignant trouvées dans ses boites mails privées, ainsi qu'à cesser tout traitement actif des emails privés trouvés lors de l'analyse des boites mail professionnelles².
² Conclusions du plaignant p.5
PAGE 01-00003026497-0007-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 8
107. La Chambre Contentieuse relève par ailleurs que la défenderesse indique dans ses conclusions être disposée à supprimer les emails relatifs aux boites mail privées du plaignant, pour autant que les emails en question n'entravent pas son droit de défense en justice$^{3}$. Cependant, au vu des nombreux manquements dans le chef de la défenderesse, la Chambre Contentieuse est d'avis que cette concession ne suffit pas pour justifier une absence de sanctions.
108. Partant, la Chambre Contentieuse ordonne à la défenderesse :
- de se conformer aux demandes du plaignant d'exercer ses droits dans la mesure explicité ci-dessus
- de mettre une place une charte telle qu'énoncé au point 56
- de cesser le traitement des données personnelles relatives au plaignant plus anciennes que 5 ans
109. Outre cet ordre de mise en conformité, la Chambre Contentieuse est d'avis qu'en complément, une amende administrative est en l'espece justifiée pour les motifs ci-après, motifs analysés sur base de l'article 83.2 RGPD et conformément à l'enseignement recent de la Cour des Marchés.
110. Les droits des personnes concernées font partie de l'essence du RGPD et les violations de ces droits sont punies des amendes les plus élevées, conformément à l'article 83.5 RGPD. Dans cet esprit, les manquements sérieux au droit des personnes concernées doivent être sanctionnés d'amendes proportionnellement élevées, en fonction des circonstances du cas d'espace. A cet égard, on peut citer les Lignes directrices du Groupe 29 sur l'application et la fixation des amendes administratives, selon lesquelles :
« Les amendes sont un instrument important que les autorités de contrôle devraient utiliser dans les circonstances appropriées. Les autorités de contrôle sont encouragées à adopter une approche mûrement réfléchie et équilibrée lorsqu'elles appliquent des mesures correctives afin de réagir à la violation d'une manière tant effective et dissuasive que proportionnée. Il ne s'agit pas de considérer les amendes comme un recours ultime ni de craindre de les imposer, mais, en revanche, elles ne doivent pas non plus être utilisées de telle manière que leur efficacité s'en trouverait amoindrie. »
³ Conclusions de synthèse de la défenderesse p.17
PAGE 01-00003026497-0008-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 9
111. Dans son alinéa a), l'article 83.2. concerne « la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ». Dans le cas d'espace, la Chambre Contentieuse relève que les principes de licéité et de minimisation (articles 5.1.a et 5.1.c RGPD) que le droit d'accès (article 15), d'effacement (article 17), de limitation (article 18) et d'opposition (article 21) sont des principes essentiels du régime de protection mis en place par le RGPD. Le principe de responsabilité énoncé à l'article 5.2. du RGPD et développé à l'article 24 est par ailleurs au cœur du RGPD et traduit le changement de paradigme amné par celui-ci, soit un basculement d'un régime qui s'appuyait sur des déclarations et autorisations préalables de l'autorité de contrôle vers une plus grande responsabilisation et responsabilité du responsable de traitement. Le respect de ses obligations par ce dernier et sa capacité à le démontré n'en sontès lors que plus importants. Les manquements à ces principes sont constitutifs de manquements graves. La violation de l'article 28 RGPD constitue par ailleurs aussi un manquement grave.
112. Concernant plus spécifique la nature des données, bien qu'il ne resorte pas clairment des conclusions déposées (dans la mesure où les parties se contredisent à ce sujet et en l'absence de preuves) si la défenderesse a restauré les boites mais tant privées que professionnelles du plaignant, la Chambre note que la défenderesse reconnaît à tout le moins avoir traité (restauré) aussi les emails privés sur plaignant contenus dans ses boites professionnelles.
113. En ce qui concerne la durée et la portée du traitement litigieux, la Chambre relève que la défenderesse a procédé d'emblée et délibérément (art 83.2.b RGPD) à une restauration des emails du plaignant sans aucune limite temporelle, et ce malgré l'opposition de celui-ci et sa demande de placer une limite de 5 ans.
114. Les autres critères de l'article 83.2. du RGPD ne sont ni pertinents ni susceptibles d'influer sur la décision de la Chambre Contentieuse quant à l'imposition d'une amende administrative et son montant.
PAGE 01-00003026497-0009-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 10
115. Aux termes de l'article 83.4 et 83.5 RGPD, les violations des dispositions identifiées supra peuvent s'élever jusqu'à 20.000.000 d'euros ou dans le cas d'une entreprise, jusqu'à 4% du chiffre d'affaire annuel mondial total de l'exercice précédent. Un manquement aux articles 5.1.a combiné à l'article 6.1.f du RGPD, aux articles 12 et 13, 15, 17, 18, et 21 et 28 RGPD est retenu. Le montant maximum de l'amende dans le cas d'espece, tel que prévu par l'article 83.5 est donc de 20 000 000 EUR.
116. S'agissant, entre autre, de manquements à un droit fondamental, consacre à l'article 8 de la Charte des droits fondamentaux de l'Union europeenne, l'appréciation de leur gravité se fera, comme la Chambre Contentieuse a déjà eu l'occasion de le souligner, à l'appui de l'article 83.2.a) du RGPD, de manière autonome.
117. En conclusion, au regard des éléments développés ci-dessus propres à cette'affaire, la Chambre Contentieuse estime que les manquements susmentionnés justifient qu'au titre de sanction effective, proportionnée et dissuasive telle que prévue à l'article 83 du RGPD et compte tenu des facteurs d'appréciation listés à l'article 83.2. RGPD et de la réaction de la défenderesse au formulaire de sanctions envisagées, un ordre de mise en conformité assorti d'une amende administrative d'un montant de 7500 euros (article 100.1, \(13^{\circ}\) et 101 LCA) soient prononcés à l'encontre de la défenderesse.
118. Le montant de 7500 euros demeure eu égard à ces éléments proportionné aux manquements dénonçés. Ce montant demeure en outre largement inférieur au montant maximum prévu par l'article 83.5 RGPD, de 20.000.000 euros (voir supra).
119. Ce montant se justifie pour les raisons énoncées supra, y compris le fait que la défenderesse ait traité d'emblée les boites mail du plaignant sans aucune limite temporelle.
120. La Chambre Contentieuse est d'avis qu'un montant d'amende inférieur ne rencontresrait pas, en l'espece, les critères requis par l'article 83.1. du RGPD selon lesquels l'amende administrative doit être non seulement proportionnée, mais également effective et dissuasive. Ces éléments constituent une Specification de l'obligation générale des États membres sous le droit de l'Union Européenne, basé sur le principe de coopération loyale (article 4.3 du Traité sur l'Union Européenne).
PAGE 01-00003026497-0010-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 11
121. Vu l'importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse et conformément à l'article 100, § 1er, 16° de la LCA, la présente décision est publiée sur le site Internet de l'Autorité de protection des données en supprimant les données d'identification des parties, vu que celles-ci ne sont ni nécessaires ni pertinentes dans le cadre de la publication de la présente décision. »
7.
L'article 100 LCA est rédigé comme il suit :
« § 1er. La chambre contentieuse a le pouvoir de:
1° classer la plainte sans suite;
2° ordonner le non-lieu;
3° prononcer la suspension du prononcé;
4° proposer une transaction;
5° formuler des avertissements et des réprimandes;
6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits;
7° ordonner que l'intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données;
11° ordonner le retrait de l'agréation des organismes de certification;
12° donner des astreintes;
13° donner des amendes administratives;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international;
PAGE 01-00003026497-0011-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 12---
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier;
**16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.**
§ 2. Lorsqu'après application du § 1er, 15°, le ministère public renonce à engager des poursuites pénales, à proposer une résolution à l'amiable ou une médiation pénale au sens de l'article 216ter du Code d'instruction criminelle, ou lorsque le ministère public n'a pas pris de décision pendant un délai de six mois à compter du jour de réception du dossier, l'Autorité de protection des données détermine si la procédure administrative doit être reprise ».
L'article 108 LCA est quant à lui rédigé comme il suit :
« Art. 108.
§ 1er. La chambre contentieuse informe les parties de sa décision et de la possibilité de recours dans un délai de trente jours, à compter de la notification à la Cour des marchés. Sauf les exceptions prévues par la loi ou sauf si la chambre contentieuse en décide autrement par décision spécialement motivée, la décision est exécutoire par provision, nonobstant recours.
La décision d'effacement des données conformément à l'article 100, § 1er, 10°, n'est pas exécutoire par provision.
§ 2 Un recours peut être introduit contre les décisions de la chambre contentieuse en vertu des articles 71 et 90 devant la Cour des marchés qui traite l'affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire ».
8.
8. La Décision attaquée se fonde par ailleurs, entre autres, sur le prescrit des articles 5.1.a combiné à l'article 6.1.f du RGPD, (absence partielle de base légale de traitement), 15 (droit d'accès et de copie), 17 (droit d'effacement), 18 (droit de limitation), 21 (droit d'opposition) et 28 du RGPD (absence de contrat entre la défenderesse et son sous-traitant).
9.
9. La requérante invoque en outre une absence de l'exigence légale de motivation de la Décision attaquée et une violation du principe de proportionnalité.
PAGE 01-00003026497-0012-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 13
# IV. L'objet du recours
10.
Au terme de ses derniers écrits de conclusions la requérante demande à la Cour des marchés de :
«
- déclarer le présent appel recevable et fondé et par conséquent :
- annuler la décision 46/2022 rendue le 1er avril 2022 par la Chambre Contentieuse de l'Autorité de Protection des Données (numéro du dossier : DOS-2020-02892) ;
- condamner l'Autorité de Protection des Données aux dépens, en ce compris l'indemnité de procédure liquidée à 1.680,00 EUR ;
- condamner l'Autorité de Protection des Données à payer à l'Etat belge (SPF Finances) le droit de mise au rôle d'appel de 400 EUR ».
11.
L'APD demande quant à elle à la Cour des marchés de :
« Déclarer le recours recevable, mais non fondé,
Condamner la requérante aux entiers dépens de l'instance, en ce compris l'indemnité de procédure de 1.680 € (montant de base) ».
12.
Monsieur X, au terme de ses conclusions principales, demandait à la Cour de :
« A titre principal :
- Déclarer l'appel de Y recevable mais non fondé ;
- En débouter Y ;
A titre subsidiaire, prendre une nouvelle décision déclarant fondées les demandes formulées par Monsieur X ;
En tout état de cause, condamner Y aux entiers frais et dépens de l'instance, en ce compris l'indemnité de procédure liquidée à 1.680,00 € ».
PAGE 01-00003026497-0013-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 14
Monsieur X a cependant déposé des conclusions de désistement d'action le 4 octobre 2022, au terme desquelles il demande à la Cour :
« De (lui) donner (...) acte qu'il se désiste de l'action introduite par Y le 29 avril 2022 devant la Cour d'Appel de Bruxelles, section Cour des Marchés inscrite sous le numéro de RG : 2022/AR/546 ;
De délaisser à chacune des parties ses propres frais et dépens, en ce compris les indemnités de procédure prévues à l'article 1022 du Code judiciaire ».
# V. Moyens de la requérante
13.
La requérante, au terme de ses conclusions, développe les deux moyens suivants :
1. La décision de la Chambre Contentieuse de l'Autorité de Protection des Données n'est pas suffisamment motivée et doit être annulée sur cette base
2. La décision de la Chambre Contentieuse de l'Autorité de Protection des Données n'est pas proportionnelle et doit être annulée sur cette base
# VI. Moyens de l'APD
14.
Les moyens suivants sont invoqués par l'APD:
«
A. EN CE QUI CONCERNE LA MOTIVATION DE LA DÉCISION (PREMIER GRIEF DE LA REQUÉRANTE)
1. Moyen 1 : La requérante procède à une lecture erronée de la décision
Première branche : Le choix de fixer la limite temporelle de la base de licéité des « intérêts légitimes » aux cinq dernières années est justifié
Deuxième branche : En ce qui concerne le calcul de la limite temporelle de cinq ans, la requérante procède à une lecture erronée de la décision
PAGE 01-00003026497-0014-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 15
2. Moyen 2 : La Décision attaquée est adéquatement
B. En ce qui concerne le montant de l'amende (deuxième grief de la requérante)
1. Moyen 3 : Une protection effective du droit à la protection des données personnelles suppose que l'autorité puisse imposer des sanctions « effectives, proportionnées et dissuasives » ; ni le RGPD, ni la LCA ne prévoient que l'amende aurait un caractère subsidiaire
2. Moyen 4 : La décision d'imposer une amende fait l'objet d'une motivation circonstanciée dans la décision attaquée »
# VII. Recevabilité de la requête
16.
La Décision attaquée a été prise par l'APD le 1er avril 2022.
Il n'est pas contesté que la requête a été déposée au greffe de la cour dans le délai de 30 jours visé à l'article 108 § 1er de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données.
La requête est recevable en ce qu'elle est dirigée à l'encontre de l'APD.
17.
La requérante a appelé Monsieur X à la cause. Elle ne forme cependant aucune demande particulière à son égard.
Conformément à la jurisprudence de la Cour des marchés, le recours n'est recevable, en ce qu'il est dirigé à l'encontre de Monsieur X, que dans la mesure où il est purement conservatoire et tend à lui rendre l'arrêt à intervenir commun et opposable.
# VIII. Désistement d'action de Monsieur X
18.
Il convient de donner acte à Monsieur X de son désistement tel qu'exprimé dans ses conclusions de désistement d'action du 4 octobre 2022, la Cour prenant acte de ce que la partie requérante et l'APD ne formulent aucune opposition quant à ce.
PAGE 01-00003026497-0015-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 16
# IX. Discussion – Décision de la Cour des marchés
19. Quant au premier moyen de la requérante : défaut de motivation de la décision attaquée
19.1. Thèse de la requérante
Le premier moyen de la requérante peut être synthétisé comme il suit :
« En droit
Dans sa décision du 16 février 2022, la Cour des marchés a considéré que la décision de la Chambre Contentieuse de l'Autorité de Protection des Données fondée sur une motivation contradictoire (s'assimilant à un défaut de motivation) devait être annulée.4(...)
En fait
La décision attaquée par la concluante n'est pas suffisamment claire et motivée quant aux obligations qu'elle lui impose et aux raisons de celles-ci. Elle est également contradictoire. L'Autorité de Protection des Données ne peut dès lors être suivie lorsqu'elle indique à ce sujet dans ses conclusions d'appel que la concluante ne soulèverait pas un défaut de motivation de la décision.
Tout en soulignant « qu'en principe, un employeur ne peut pas librement consulter les emails d'ordre privés de ses employés, même s'il a interdit d'utiliser les outils de l'entreprise à des fins personnelles. Ce principe souffre néanmoins d'exception, dans un cadre légal strict et prévisible, comme lors d'une procédure judiciaire pendante », que « Le considérant 65 du RGPD reprend par ailleurs l'exception de la défense en justice telle que prévue à l'article 17.3.e du RGPD au droit à l'effacement », que le litige pendant « est lié aux échanges d'informations (et d'emails) entre le plaignant, la défenderesse, et des tiers » et que « l'intérêt légitime pour défense en justice constitue bien une base de licéité valable dans le chef de la défenderesse », la Chambre Contentieuse considère sans apporter le moindre développement à ce sujet que la concluante disposerait uniquement d'une base de licéité valable pour les données de Monsieur X plus récentes que 5 ans.
La concluante souligne tout d'abord que la Chambre Contentieuse ne précise pas quelles données sont spécifiquement visées. S'agit-il exclusivement des données à caractère privé (versus le données à caractère professionnel ?) La décision attaquée n'est dès lors pas du tout claire sur ce point précis, pourtant capital.
4 Bruxelles, 16 février 2022, R.G. n°2021/AR/1363,
PAGE 01-00003026497-0016-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 17
La Chambre Contentieuse ne semble pas davantage imposer de limites aux mesures qu'elle entend prendre à l'encontre de la concluante dans le cadre de l'exercice des droits de Monsieur X. La concluante relève pourtant que ce dernier ne pourrait par définition par exemple pas accéder aux données contenant des informations confidentielles de la concluante, ou des données à caractère personnel d'autres travailleurs et/ou clients de la concluante.
La concluante rappelle également qu'elle doit se défendre dans deux procédures judiciaires pendantes (une en Turquie et une autre en Belgique). La procédure judiciaire en Belgique concerne notamment les garanties et indemnités liées à la vente de Y par Monsieur X (qui a présenté de manière inexacte la situation financière et juridique de Y), tandis que la procédure judiciaire
en Turquie concerne notamment les éléments suivants : la diffamation, l'atteinte à la réputation et la nuisance à la liberté du travail. Il est dès lors plus que nécessaire pour la concluante de disposer d'éléments plus anciens que 5 ans.
(...)
Il résulte de ce qui précède que la concluante a un intérêt légitime de pouvoir continuer à disposer des informations encryptées récupérées par V tant que les différents délais de prescription de droit pénal, de droit civil, de droit social, de droit commercial et de droit fiscal ne seront pas venus à échéance et tant que les deux procédures judiciaires pendantes en Belgique et en Turquie ne seront pas clôturées (et pas « ad vitam aeternam comme le soutient sans aucune raison/justification l'Autorité de Protection des Données dans ses conclusions d'appel). Il y aurait par ailleurs une sérieuse discrimination entre Monsieur X et la concluante (ainsi qu'une violation flagrante des droits de la défense) si seul le premier pouvait tenter de justifier le bien-fondé de ses prétentions en faisant état d'éléments remontant à plus de 5 ans.
Malgré ces différents éléments, la Chambre Contentieuse ne précise pas à quelles données elle fait référence et ne justifie pas non plus sur quelle base il faudrait se limiter à un délai de 5 ans. La Chambre Contentieuse n'a aucune connaissance des procédures judiciaires pendantes ; elle n'était donc pas en mesure (et ce n'était d'ailleurs pas son rôle ni sa compétence) d'apprécier ce qui est ou non pertinent afin que la concluante puisse faire valoir ses intérêts en justice. L'Autorité de Protection des Données ne peut raisonnablement être suivie lorsqu'elle se contente d'indiquer à ce sujet dans ses conclusions d'appel que « le choix d'une limite temporelle identique (...) s'explique par la volonté de l'APD de rester cohérente » et de s'en référer uniquement pour le choix de la limite temporelle aux « considérations qui ont été développées dans la Décision attaquée ».
PAGE 01-00003026497-0017-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 18
## 19.2. Thèse de l'APD
Au terme de la première branche de son premier moyen, l'APD soutient en substance que le choix de fixer la limite temporelle de la base de licéité des « intérêts légitimes » aux cinq dernières années est justifié :
« 12. Dans la Décision attaquée, l'APD admet que la défense en justice est un intérêt légitime « réel et présent »⁵ dans le chef de la requérante, de sorte qu'il est susceptible de fonder le traitement de données litigieux.
Suivant le prescrit de l'article 6, §1, f) du RGPD, l'APD procède, dans la Décision attaquée, à une mise en balance entre les différents intérêts en jeu. Cette mise en balance est concrétisée par le biais d'un triple test de nécessité.
13. En effet, afin que le responsable du traitement puisse invoquer le fondement de licéité de « l'intérêt légitime », les conditions cumulatives suivantes doivent être remplies⁶ :
« 1) les intérêts qu'il poursuit avec le traitement peuvent être reconnus comme légitimes (le « test de finalité ») ;
2) le traitement envisagé est nécessaire pour réaliser ces intérêts (le "test de nécessité") ;
3) la pondération de ces intérêts par rapport aux intérêts, libertés et droits fondamentaux des personnes concernées pèse en faveur du responsable du traitement (le « test de pondération ») »⁷.
14. A l'issue de la vérification des conditions précitées à l'égard de l'intérêt légitime de « défense en justice »⁸, l'APD met en place « une limite temporelle à la période durant laquelle la défense en justice peut fonder l'intérêt légitime de la défenderesse, et ainsi constituer la base de licéité du traitement litigieux »⁹. Cette limite temporelle a été fixée à cinq ans.
⁵ Décision attaquée, § 42.
⁶ Les conditions de ce triple test ont été précisées par la Cour de Justice de l'Union européenne. Voy. notamment C.J., 11 décembre 2019, TK c. Asociatio de Proprietari bloc MSA-ScaraA, C-708/18, EU:C:2019:1064.
⁷ Décision attaquée, § 36.
⁸ Décision attaquée, §§ 41 – 55.
⁹ Décision attaquée, § 66.
PAGE 01-00003026497-0018-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 19
Par la deuxième branche de son premier moyen, l'APD soutient que la requérante procède à une lecture erronée de la décision en ce qui concerne le calcul de la limite temporelle de 5 ans. L'APD expose notamment :
« Il convient ici de réexpliquer le point de vue de l'APD lorsqu'elle fixe « une limite temporelle à la période durant laquelle la défense en justice peut fonder l'intérêt légitime de la défenderesse, et ainsi constituer la base de licéité du traitement litigieux »¹⁰, dès lors que ce point semble incompris par la requérante.
Cette affirmation signifie que la base de licéité du traitement, à savoir, les intérêts légitimes de la requérante (et plus précisément : sa défense en justice dans le cadre du litige qui l'oppose à M. X), permet à cette dernière de traiter les données à caractère personnel du plaignant relatives aux cinq dernières années.
Elle ne signifie pas, en revanche, que ces données ne pourraient être utilisées que pendant cinq ans, indépendamment de la durée des procédures opposant la requérante à M. X.
En effet, en décider autrement signifierait que si la procédure venait à durer, par exemple, jusqu'en 2028 (ce qui n'est pas inenvisageable dans l'hypothèse d'un appel), la requérante ne serait fondée à exploiter, cette année-là, que des données vieilles de l'an 2023 au plus tôt. Cela n'aurait pas de sens dès lors que M. X ne travaille plus au sein de la requérante depuis le mois de février 2020, et que, par conséquent, il est difficilement concevable qu'en 2023, des données à caractère personnel relatives à ces parties, qui soient susceptibles d'être utiles à la procédure en justice, existent.
Au contraire, le point de l'APD dans la Décision attaquée est d'indiquer à la requérante que la base de licéité de son traitement, telle qu'elle est fondée sur l'article 6, §1, f) du RGPD, constitue un fondement valable lui permettant d'exploiter les données relatives aux cinq dernières années, tant que cette base de licéité existe.
Cette limite temporelle de cinq ans se différencie dès lors tout à fait d'un délai de conservation des données « classique », dès lors qu'il n'y a pas lieu de supprimer les données tant que les bases de licéité sont toujours valables (du moins, en ce qui concerne les données à caractère personnel relatives aux cinq dernières années) ».
10
Décision attaquée, § 36.
PAGE 01-00003026497-0019-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 21
L'expression « satisfaisante » signifie que la décision est étayée par la motivation¹³.
L'objet de l'obligation de motivation est de donner un tel aperçu des motifs de cette décision que la personne à l'égard de laquelle la décision a été prise est en mesure d'apprécier correctement s'il est judicieux de se défendre contre cette décision avec les moyens dont elle dispose par la loi. Quiconque qui connaît les motifs d'une décision qui doit être formellement motivée, même si cette décision n'est pas formellement motivée, ne peut utilement invoquer la violation de l'obligation de motivation car, dans un tel cas, le but de l'obligation formelle de motivation est atteint, à savoir lui faire prendre conscience des motifs de la décision¹⁴.
Pour atteindre l'objectif de l'obligation de motivation, la décision doit énoncer clairement et concrètement les motifs qui peuvent la justifier, il ne peut être tenu compte de l'explication fournie dans le cadre de la procédure judiciaire entamée ultérieurement¹⁵.
Il suffit que les motifs soient clairement, si nécessaire de manière concise, énoncés dans la décision elle-même. S'il est fait référence à des avis ou à des rapports, il suffit d'indiquer brièvement l'objet et le contenu de ces documents, sans qu'il soit nécessaire de les reproduire intégralement ou de les joindre à la décision¹⁶.
19.3.2.
Il découle de la lecture du premier moyen de la requérante que le grief central faisant l'objet de sa contestation a trait au délai de traitement des données, et à sa limitation à 5 années.
La Cour relève que la motivation de la Décision attaquée, en ce qu'elle ordonne une mise en conformité du traitement des données ne semble pas faire, en tant que telle, l'objet d'une contestation de la partie requérante.
Elle expose en effet ce qui suit en termes de conclusions de synthèse :
« La concluante souligne d'emblée qu'elle a immédiatement mis en place une charte informatique en son sein suite à la décision de l'Autorité de Protection des Données du 1er avril 2022 (elle n'avait pas encore eu l'occasion de le faire ; c'est Monsieur X – qui s'est finalement plaint – qui aurait dû le faire quand il était CEO de la société, après la nouvelle direction n'a disposé que de 8 mois avant la pl ainte de Mr X). La concluante souligne également qu'elle avait fournit les informations essentiel les à Monsieur X concernant le traitement de ses données à caractère personnel dans son contrat de travail (contrat de travail et annexe, pièce 12).
¹³ voir: Cass. 12 novembre 2015, APT 2016, 94; http://www.cass.be à sa date, arrêt n° C.13.0257.N; TBO 2016, 152; aussi: Cass. 7 septembre 2017, APT 2018, 174; http://www.cass.be à sa date, arrêt n° C.16.0360.N.
¹⁴ Conseil d'Etat n°. 40.442, 22 septembre 1992, Arr. R.v.St. 1992, z.p.; Pas. 1995, IV, 21; R.A.C.E. 1992, z.p.
¹⁵ Comparer avec : Conseil d'Etat., 3 juin 1993, n.v. Syndicaat Machiensteen en n.v. Swenden, nr. 43.154. Aussi : Conseil d'Etat 17 mai 1993, n° 42.968.
¹⁶ Conseil d'Etat n° 43.526, 29 juin 1993, Arr. R.v.St. 1993, z.p.; R.A.C.E. 1993, z.p.; TBP 1994, 225.
PAGE 01-00003026497-0021-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 22---
La concluante précise également qu'une réunion a été organisée à son siège social le 24 août 2022 avec Monsieur X et son conseil. A cette occasion, la concluante a remis à Monsieur X toutes les données à caractère personnel le concernant. Tous les e-mails professionnels et privés datant de plus de cinq ans avant la signature de la convention d'acquisition en 2019 ont par ailleurs été supprimés par la concluante (alors que la concluante n'en avait aucunement l'obligation tant que la procédure d'appel était encore pendante) ».
### 19.3.2.
La Décision attaquée fait mention à plusieurs reprises du délai de 5 ans, qu'elle retient comme permettant d'apprécier le caractère licite du traitement litigieux.
La Cour souligne notamment les passages suivants de la Décision attaquée :
« (...) 55. La Chambre Contentieuse conclut au regard de ce qui précède et en accord avec la jurisprudence susmentionnée tant de la CJUE que de la CEDH, que la défenderesse ne pouvait fonder les traitements de données visés par la plainte et plus anciennes que cinq ans sur son intérêt légitime de la défense en justice, à défaut pour ces traitements d'être nécessaires au sens de l'article 6.1.f) du RGPD. Cet intérêt légitime constitue néanmoins bien une base de licéité pour les données personnelles du plaignant afférentes à la période antérieure à cinq ans.
65. (...) En accord avec cette position, au vu du fait que la défenderesse reproche au plaignant dans le litige devant le Tribunal de Première Instance déjà pendant la communication d'informations tronquées et/ou fausses, et qu'elle lui reproche aussi un abus de la carte de crédit de la société sous son mandat d'administrateur, la Chambre Contentieuse considère le potentiel dépôt de plainte au pénal avec constitution de partie civile par la défenderesse envers le plaignant pour manquements qualifiés de graves comme un intérêt légitime dans le chef de la défenderesse (pour les traitements afférents aux données personnelles du plaignant des cinq dernières années uniquement).
68. (...) Comme indiqué supra, en l'absence de base de licéité, la Chambre Contentieuse conclut que l'article 5.1.a. du RGPD combiné à l'article 6 du RGPD n'ont pas été respectés en ce qui concerne le traitement des données plus anciennes que cinq ans. A l'inverse, en ce qui concerne les données personnelles du plaignant plus récentes que cinq ans, l'intérêt légitime constitue bien une base de licéité.
PAGE 01-00003026497-0022-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 23
72. (...) L'élement d'information au titre de l'article 13 du RGPD particulièrement pertinent au cas d'espece et absent dans le document est donc la durée de conservation des données traitées par la défenderesse. Bien que cet élément constitue un point central dans leprésent litige et dans les revendications du plaignant, il convient aussi de prendre en compte la difficulté pour la défenderesse d'estimer le temps que prendra la résolution du litige pendant devant les juridictions de l'ordre judiciaire, durée durant laquelle elle est fondée à conserver les données (plus récentes que cinq ans).
93. (...) Comme indiqué supra, la Chambre Contentieuse estime qu'au vu du litige pendant devant les juridictions de l'ordre judiciaire, et à fortiori dans la mesure où celui-ci est lié aux échanges d'informations (et d'emails) entre le plaignant, la défenderesse, et des tiers, l'intérêt légitime pour défense en justice constitue bien une base de licéité valable dans le chef de la défenderesse, pour les données plus récentes que cinq ans, au départ du traitement litigieux. Pour les données postérieures à cette date, la défenderesse ne peut se baser sur l'intérêt légitime (voir supra section 2.1.3) pour fonder les traitements litigieux.
94. En toute cohérence, l'exception au droit à l'effacement reprise à l'article 17.3.e du RGPD (la défense de droits en justice) est d'application au cas d'espèce, selon le même critère temporel.
95. Il n'y a donc pas de manquement par la défenderesse à l'article 17 du RGPD en ce qui concerne le traitement des données antérieures de cinq années au traitement, mais bien concernant les données postérieures à cette date.
96. Dans la mesure où les articles 18.2 (droit à la limitation) et 21.1 (droit d'opposition) reprennent l'exception de la défense en justice, le même raisonnement s'applique concernant la demande d'exercice de son droit de limitation et d'opposition par le plaignant.
97. Il n'y a donc pas de manquement par la défenderesse à l'article 18 du RGPD et 21 du RGPD en ce qui concerne le traitement des données antérieures de cinq années au traitement, mais bien concernant les données postérieures à cette date »
PAGE 01-00003026497-0023-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 24---
### 19.3.3.
La Cour relève que le Décision attaquée ne fixe cependant pas le point de départ du délai de 5 ans sur lequel elle fonde son raisonnement. Selon les faits soumis à la Cour, il semble que ce point de départ aurait pu être fixé soit au jour de la rupture du contrat de travail existant entre parties, soit au jour de la fin du mandat d’administrateur de Monsieur X, qui lui est antérieur.
Il semble se déduire de la thèse de l’APD qu’il convient que les parties s’accordent sur cette prise de cours du délai dans le cadre de la mise en œuvre des mesures correctrices qu’elle prescrit, ce qu’elles semblent, à tout le moins partiellement, avoir fait postérieurement à la Décision attaquée dans le cadre de la transaction intervenue entre elles.
Cependant, en laissant cette question ouverte, la Décision attaquée ne détermine pas avec précision le comportement infractionnel de la requérante qu’elle estime, au surplus des mesures correctrices prescrites, devoir sanctionner par l’application d’une amende de 7.500,00 euros.
Il ne peut être admis que l’autorité administrative sanctionne par une amende, de caractère pénal, un comportement dont elle ne décrit pas avec précision le caractère irrégulier, les éléments constitutifs de l’infraction au RGPD qu’elle entend sanctionner n’étant pas explicitement énoncés dans la Décision attaquée.
En appliquant une amende pour sanctionner un comportement non précisément défini, la Décision attaquée n’est pas adéquatement motivée.
Ce manque de motivation doit être sanctionné par l’annulation de la Décision attaquée en ce qu’elle porte sur l’application d’une amende de 7.500,00 euros à la partie requérante.
Il n’est pas nécessaire d’examiner le second moyen de la partie requérante, qui ne pourrait aboutir à une annulation plus complète de la Décision attaquée quant à ce.
### X. Dépens
### 20.
Conformément à l’article 1017, alinéa 1, du Code judiciaire, la requête étant partiellement fondée, l’APD est la partie succombante et est condamnée aux dépens, liquidés par la requérante à 1.680,00 euros (indemnité de procédure – affaire non évaluable en argent).
Les éventuels dépens de Monsieur X lui seront délaissés.
PAGE 01-00003026497-0024-0025-02-01-4
Cour d'appel Bruxelles – 2022/AR/549 p. 25
**PAR CES MOTIFS,**
**LA COUR,**
Vu les dispositions de la loi du 15 juin 1935 sur l'emploi des langues en matière judiciaire,
Statuant par défaut à l'égard de Monsieur X et contradictoirement pour le surplus,
Dit le recours recevable à l'égard de Monsieur X, uniquement en ce qu'il tend à lui rendre le présent arrêt commun et opposable,
Dit le recours recevable à l'égard de l'APD, et le dit partiellement fondé dans la mesure suivante :
Annule la Décision attaquée en ce qu'elle inflige à Y une amende de 7.500,00 euros,
Condamne l'APD aux dépens de la requérante, en ce compris l'indemnité de procédure liquidée par elle à 1.680,00 euros,
Donne acte à X de son désistement d'action et lui délaisse ses éventuels dépens,
Condamne l'APD au paiement du droit de mise au rôle devant la cour d'appel (400,00 €) au SPF FINANCES, conformément à l'article 269² § 1er, du Code des droits d'enregistrement, d'hypothèque et de greffe.
Ainsi jugé et prononcé à l'audience civile publique de la 19ème chambre A de la cour d'appel de Bruxelles, section Cour des marchés, le 7 décembre 2022.
Où étaient présents :
- M. F. FOGLI, Conseiller ff. président,
- Mme A.-M. WITTERS, Conseiller
- M. O. DUGARDYN, Conseiller
- Mme C. JOURDAN, Greffier
C. JOURDAN
A-M. WITTERS
F. FOGLI
O. DUGARDYN
PAGE 01-00003026497-0025-0025-02-01-4