ECLI:BE:GBAPD:2026:DEC.20260422.2

JUPORTAL Base de données publique de la jurisprudence belge

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

 
Autorité de protection des données

Décision du 22 avril 2026

No ECLI:

ECLI:BE:GBAPD:2026:DEC.20260422.2

No Rôle:

83/2026

Domaine juridique:

Droit civil

Date d’introduction:

2026-04-28

Consultations:

82 – dernière vue 2026-05-18 13:04

Fiche

La Chambre Contentieuse de l'Autorité de protection des données
décide, sous réserve de l'introduction d'une demande par la
défenderesse d'un traitement sur le fond, conformément aux articles
98 e.s. de la LCA : – en vertu de l'article 58.2.a), du RGPD et de
l'article 95, §1er, 4°, de la LCA, de prononcer à l'encontre
de la défenderesse un avertissement afin que cette dernière veille,
à l'avenir, au respect des articles 5.1.a et 5.1.c. du RGPD, en
ce sens qu'elle doit mettre en place des mesures lui permettant de
respecter les principes de transparence du traitement et de minimisation
des données en ne plaçant pas d'alias sur les boites mails de collaborateurs
qui ont quitté l'entreprise et de mettre en place une réponse automatique
afin de garantir la transparence du traitement. – En vertu de l'article
95.1.3° de la LCA, de classer sans suite le surplus.

Thésaurus UTU:

DROIT CIVIL – VIE PRIVÉE – Traitement données à caractère personnel – Autorité de protection des données (Commission de la protection de la vie privée)

Mots libres:

DOS-2024-05529 et DOS-2025-00399 Objet : Plaintes relatives à la mise
en place d'un alias sur la boite mail professionnelle de collaborateurs,
l'impossibilité pour ces collaborateurs de récupérer leurs emails
privés et l'absence de mise en place de réponse automatique suite
à leur départ. (DOS-2024-05529 et DOS-2025-00399)

Bases légales:

Loi – 03-12-2017 – 95,§1,3° – 11
Lien ELI No pub 2017031916
Loi – 03-12-2017 – 95,§1,4° – 11
Lien ELI No pub 2017031916

Texte de la décision

Chambre Contentieuse
Décision 83/2026 du 22 avril 2026
Numéro de dossier : DOS-2024-05529 et DOS-2025-00399
Objet : Plaintes relatives à la mise en place d’un alias sur la boite mail professionnelle de collaborateurs, l’impossibilité pour ces collaborateurs de récupérer leurs emails privés et l’absence de mise en place de réponse automatique suite à leur départ.
La Chambre Contentieuse de l’Autorité de protection des données ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après “RGPD” ;
Vu la loi du 3 décembre 2017 portant création de l’Autorité de protection des données, ci-après “LCA” ;
Vu le règlement d’ordre intérieur de l’Autorité de protection des données, tel qu’approuvé par le Comité de direction le 25 avril 2024 et publié au Moniteur belge le 31 mai 2024 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante 1 : X1, représentée par Me Sandrine Kinart, ci-après « la plaignante 1»;
Les plaignants 2 : X2 et X3, représentés par Me Céline Payen, ci-après « les plaignants 2 » ;
La défenderesse : Y, dont le siège social à […], inscrite sous le numéro d’entreprise […], ci-après « la défenderesse ».
I. Faits et procédure
1. L’objet des deux plaintes porte sur la mise en place d’un alias sur la boite mail professionnelle de collaborateurs, l’impossibilité pour ces collaborateurs de récupérer leurs emails privés et l’absence de mise en place de réponse automatique suite à leur départ.
2. Le 17 décembre 2024, la plaignante 1 introduit une plainte (ci-après « plainte 1 ») auprès de l’Autorité de protection des données (ci-après « l’APD ») contre l’entreprise Z.
3. Le 20 janvier 2025, la plainte 1 est déclarée recevable par le Service de Première Ligne (ci-après « SPL ») sur la base des articles 58 et 60 de la LCA et la plaignante en est informée conformément à l’article 61 de la LCA.
4. Le même jour, la Chambre Contentieuse est saisie de ce dossier en vertu de l’article 92, 1° de la LCA.
5. Le 22 janvier 2025, les plaignants 2 introduisent une plainte (ci-après « plainte 2 ») auprès de l’Autorité de protection des données contre l’entreprise Z et la défenderesse.
6. Le 3 mars 2025, conformément à l’article 95, § 2 de la LCA, la Chambre Contentieuse informe l’entreprise Z du fait que le dossier lié à la plainte 1 est pendant, du contenu de la plainte et de la possibilité de consulter et de copier le dossier auprès du greffe de la Chambre Contentieuse. L’entreprise Z est invitée à transmettre ses éventuelles remarques à cet égard à la Chambre Contentieuse.
7. Le 7 mars 2025, la plainte 2 est déclarée recevable par le SPL sur la base des articles 58 et 60 de la LCA et les plaignants 2 en sont informés conformément à l’article 61 de la LCA.
8. Le 17 mars 2025, W répond au courrier de la Chambre Contentieuse en sa qualité d’administrateur de la société Y, la défenderesse. Il y explique, entre autres, que sa société Z est actionnaire de la société Y au même titre que les entreprises des plaignants 1 et 2.
9. Le 14 avril 2025, la Chambre Contentieuse demande aux plaignants 1 et 2 si leur identité peut être partagé avec l’autre plaignant dans le but de traiter les dossiers de manière conjointe. Le même jour, tous les plaignants acceptent le partage de leur identité.
10. Le 28 octobre 2025, conformément à l’article 95, § 2 de la LCA, la Chambre Contentieuse informe l’entreprise Y du fait que les deux plaintes sont pendantes, de leur contenu et de la possibilité de consulter et de copier les dossier auprès du greffe de la Chambre Contentieuse. L’entreprise Y est invitée à transmettre ses éventuelles remarques à cet égard à la Chambre Contentieuse.
11. Le 11 novembre 2025, la défenderesse fournit ses observations à la Chambre Contentieuse.
12. Le 22 décembre 2025, les plaignants 1 et 2 envoient un courriel identique contestant le point de vue de l’entreprise Y.
II. Motivation
II.1. En ce qui concerne la qualification du responsable du traitement
13. Le RGPD place la notion de responsable du traitement au centre de son système de protection. Il est donc très important pour la Chambre Contentieuse de l’identifier avec précision. Elle n’est en outre pas tenue par la qualification que les parties ont retenue.
14. Le responsable du traitement doit être entendu comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres détermine les finalités et les moyens du traitement ».
15. En l’espèce, les plaignants regrettent la mise en place d’un alias sur leur boite mail professionnelle, leur impossibilité de récupérer leurs emails privés et l’absence de mise en place d’une réponse automatique suite à leur départ.
16. Les plaignants sont des actionnaires de l’entreprise Y, au travers de leurs sociétés. Ils avaient relevé dans leur plainte la société Z comme responsable du traitement qui leur fait grief. La société Z est également actionnaire de l’entreprise Y.
17. En ce que leurs boites mails professionnelles relèvent de la gestion de l’entreprise Y, cette entreprise doit être considérée comme responsable du traitement en l’espèce. En effet, la société Y, en fournissant des adresses emails, détermine les finalités et les moyens du traitement de ces adresses mail. En outre, le domaine de messagerie des adresses email visées en l’espèce correspond à la société Y : e-mail et e-mail.
18. La Chambre Contentieuse considère donc que le responsable du traitement est Y en l’espèce.
II.2. En ce qui concerne la mise en place d’un alias sur des boites mails.
19. La mise en place d’un alias sur une boite mail permet d’associer plusieurs adresses email à une même boite de réception. Cela signifie que le courrier envoyé à une adresse sur laquelle est placée un alias devient accessible dans une boite mail à laquelle une autre adresse peut également avoir accès. Cela signifie que, lorsqu’un alias est mis sur une adresse email, les emails adressés à cette adresse email peuvent également être consultés par une personne ayant également accès à la boite mail.
20. En l’espèce, les plaignants allèguent qu’un alias ait été mis en place sur leurs adresses e-mail et e-mail. De cette manière, les emails envoyés à ces adresses arrivaient dans une boite mail à laquelle la défenderesse avait accès. La défenderesse explique que c’est effectivement la procédure mise en place lors de chaque départ de l’entreprise.
21. La Chambre Contentieuse constate, de prime abord, qu’en mettant en place un alias sur les boites mail des plaignants, la défenderesse peut prendre connaissance de leur courrier entrant.
22. Le RGPD impose au responsable du traitement de respecter les principes prévus par l’article 5, notamment le principe de minimisation des données.
23. Le principe de minimisation des données prévoit que les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Dans le cas où l’alias aurait été mis sur les boites mail dans un but de continuité du service, il ne semble pas nécessaire que l’entièreté du contenu de la boite mail professionnelle soit mise à connaissance de la défenderesse.
En effet, le courrier reçu par les boites mail pourrait contenir des informations privées qui n’ont pas d’impact sur la continuité du service.
24. La Chambre Contentieuse constate donc que, si la défenderesse met en place des alias sur les boites mails de ses collaborateurs qui quittent l’entreprise, cela pourrait correspondre à une violation de l’article 5.1.c. du RGPD.
II.3. En ce qui concerne l’impossibilité de récupérer ses emails privés
25. En l’espèce, les plaignants reprochent à la défenderesse de ne pas les avoir laissé récupérer leurs emails privés dans leurs boite mails. La défenderesse allègue ne jamais avoir reçu de demande de récupérer des emails privés.
26. En tout état de cause, bien que cette pratique soit recommandée par l’APD, il n’existe aucune obligation pour le responsable du traitement de proposer proactivement à des collaborateurs démissionnaires de récupérer leurs emails privés dans leur boite mail professionnelle. En l’espèce, la preuve d’une demande d’accès à ces emails n’est pas apportée.
27. La Chambre Contentieuse constate que les plaintes n’apportent pas de preuve suffisante pour permettre à la Chambre Contentieuse de prendre une décision sans recourir à une enquête du Service d’Inspection. De plus, la plainte n’entraîne pas un impact sociétal ou personnel élevé1.
28. En outre, un examen approfondi de ce grief ne serait pas proportionné compte tenu des moyens nécessaires pour l’examiner. En effet, demander une enquête du service d’inspection sur ce sujet serait disproportionné au regard de l’impact personnel et sociétal limité2.
29. Dès lors, la Chambre Contentieuse décide de ne pas donner suite à ce grief.
II.4. En ce qui concerne l’absence de mise en place de réponse automatique suite à un départ
30. La mise en place de réponse automatique suite à un départ permet aux interlocuteurs de la personne partie d’être informées de son départ et d’éventuellement les rediriger vers les contacts des personnes qui pourraient les aider. Cette pratique est recommandée par l’APD afin d’éviter de devoir consulter les boites mails des personnes qui partent pour garantir la continuité de l’entreprise et, de cette manière, de prendre connaissance de données non-nécessaires. Cette pratique permet donc de garantir le respect du principe de minimisation3.
31. La Chambre Contentieuse constate que la défenderesse n’a pas mis en place de réponse automatique suite au départ des plaignants et que, par conséquent, la défenderesse pourrait violer l’article 5.1.c en ne mettant pas en place une réponse automatique permettant aux interlocuteurs des plaignants d’être informé de leur départ et ainsi de ne pas devoir consulter les boites mail des collaborateurs partis afin de garantir la continuité du service.
II.5. Conclusion
32. Conformément à l’article 95, § 1er, 4° de la LCA et à l’article 58.2.a) du RGPD, la Chambre Contentieuse a le pouvoir d’avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du RGPD.
33. La Chambre Contentieuse considère, sur la base des faits susmentionnés, qu’il y a lieu de retenir que la défenderesse est susceptible de violer l’article 5.1.c. du RGPD, en raison de la mise en place d’un alias sur les boites mails professionnelles de collaborateurs démissionnaires et de l’absence de mise en place de réponse automatique sur ces mêmes boites mails, ce qui justifie, en l’espèce, l’adoption d’un avertissement afin que la défenderesse veille, à l’avenir, à mettre en place des mesures permettant le traitement des données conformément au principe de minimisation des données. Le grief concernant l’impossibilité de récupérer des emails privés est classé sans suite.
34. La présente décision d’avertissement a pour objet de rappeler à la défenderesse, responsable du traitement, quant à son obligation de respecter les dispositions précitées du RGPD, afin de lui permettre de se conformer, à l’avenir, à ces dispositions dans le cadre des opérations de traitement en cause dans la présente affaire.
35. La présente décision est une décision prima facie prise par la Chambre Contentieuse conformément à l’article 95 de la LCA sur la base de la plainte introduite par les plaignants, dans le cadre de la ‘procédure préalable à la décision de fond” 4 et non une décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
36. Si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient conduire à une nouvelle décision, elle peut demander un réexamen à la Chambre Contentieuse selon la procédure établie par l’article 98 juncto l’article 99 de la LCA, connue sous le nom de “procédure quant au fond” ou “traitement de l’affaire sur le fond”. Cette demande doit être envoyée à l’adresse e-mail [email protected] dans un délai de 30 jours à compter de la notification de la présente décision prima facie. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période susmentionnée.
37. En cas de poursuite du traitement de l’affaire sur le fond, en vertu de l’article 98, 2° et 3° juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs conclusions et à joindre au dossier toutes les pièces qu’elles jugent utiles. Le cas échéant, la présente décision est définitivement suspendue.
38. Dans un souci d’exhaustivité, la Chambre Contentieuse souligne enfin qu’un traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à l’article 100 de la LCA5.
III. Publication de la décision
39. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties soient directement communiquées.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de l’introduction d’une demande par la défenderesse d’un traitement sur le fond, conformément aux articles 98 e.s. de la LCA :
– en vertu de l’article 58.2.a), du RGPD et de l’article 95, §1er, 4°, de la LCA, de prononcer à l’encontre de la défenderesse un avertissement afin que cette dernière veille, à l’avenir, au respect des articles 5.1.a et 5.1.c. du RGPD, en ce sens qu’elle doit mettre en place des mesures lui permettant de respecter les principes de transparence du traitement et de minimisation des données en ne plaçant pas d’alias sur les boites mails de collaborateurs qui ont quitté l’entreprise et de mettre en place une réponse automatique afin de garantir la transparence du traitement. .
– En vertu de l’article 95.1.3° de la LCA, de classer sans suite le surplus.
La Chambre Contentieuse rappelle que si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui pourraient conduire à une autre décision, elle peut, d’une part, adresser à la Chambre Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et ce dans un délai de 30 jours à compter de la notification de la présente décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période susmentionnée.
D’autre part, la défenderesse peut introduire un recours contre cette décision conformément à l’article 108, § 1er de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour des marchés (cour d’appel de Bruxelles), avec l’Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d’une requête contradictoire qui doit contenir les mentions énumérées à l’article 1034ter du Code judiciaire6. La requête contradictoire doit être déposée au greffe de la Cour des marchés conformément à l’article 1034quinquies du Code judiciaire7, ou via le système informatique e-Deposit de la Justice (art. 32ter du Code judiciaire).
(sé). Hielke HIJMANS
Directeur de la Chambre Contentieuse

Document PDF ECLI:BE:GBAPD:2026:DEC.20260422.2

Publication(s) liée(s)

suivi par:

ECLI:BE:GBAPD:2026:AVIS.20260429.1

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

✉ [email protected]

©  2017-2026 Service ICT – SPF Justice

Powered by PHP 8.5.0

Server Software Apache/2.4.66

== Fluctuat nec mergitur ==