ECLI:BE:GBAPD:2026:DEC.20260427.1

JUPORTAL Base de données publique de la jurisprudence belge

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

 
Autorité de protection des données

Décision du 27 avril 2026

No ECLI:

ECLI:BE:GBAPD:2026:DEC.20260427.1

No Rôle:

92/2026

Domaine juridique:

Droit civil

Date d’introduction:

2026-04-30

Consultations:

88 – dernière vue 2026-05-18 11:18

Fiche

La Chambre Contentieuse de l'Autorité de protection des données
décide, sous réserve de l'introduction d'une demande par la
défenderesse d'un traitement sur le fond conformément aux articles
98 e.s. de la LCA, : – en vertu de l'article 58.2.a) du RGPD et de
l'article 95, § 1er, 4° de la LCA, d'avertir la défenderesse
au sujet des futures demandes d'exercice du droit d'accès de
personnes concernées, dont la réponse devra être transmise dans les
délais impartis par le RGPD.

Thésaurus UTU:

DROIT CIVIL – VIE PRIVÉE – Traitement données à caractère personnel – Autorité de protection des données (Commission de la protection de la vie privée)

Mots libres:

Plainte relative à une réponse tardive à une demande d'exercice
de droit d'accès (DOS-2024-01057).

Bases légales:

Loi – 03-12-2017 – 95,§1,4° – 11
Lien ELI No pub 2017031916
Loi – 03-12-2017 – 98 – 11
Lien ELI No pub 2017031916

Texte de la décision

Chambre Contentieuse
Décision 92/2026 du 27 avril 2026
Numéro de dossier : DOS-2024-01057
Objet : Plainte relative à une réponse tardive à une demande d’exercice de droit d’accès
La Chambre Contentieuse de l’Autorité de protection des données ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données, ci-après « LCA » ;
Vu le règlement d’ordre intérieur tel qu’approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, ci-après « le plaignant » ;
La défenderesse : Y, inscrite sous le numéro […], ci-après : « la défenderesse ».
I. Faits et procédure
1. L’objet de la plainte concerne un suivi tardif à une demande d’exercice de droit d’accès.
2. Le 22 mai 2024, le plaignant a introduit une plainte auprès de l’Autorité de protection des données (APD) contre la défenderesse.
3. Le 1er novembre 2023, le plaignant formule une demande d’exercice du droit d’accès auprès de la défenderesse par le biais de son adresse email privée. Ce dernier demande l’accès à ses données à caractère personnel, aux emails le mentionnant spécifiquement entre le 3 septembre 2021 et le 31 aout 2023, et aux emails échangés entre certains employés pour les périodes du 27 septembre 2021 au 31 aout 2022 et du 1 septembre 2022 au 31 aout 2023.
4. Le 7 novembre 2023, la défenderesse demande au plaignant une copie de sa carte d’identité pour vérifier son identité, ce que le plaignant lui communique le jour même.
5. Le 24 novembre 2023, la défenderesse explique avoir besoin d’un délai supplémentaire de deux mois pour faire suite à la demande du point 3, conformément à l’article 12.3 du RGPD.
6. Le 6 février 2024, la défenderesse répond à la demande d’accès du plaignant par le biais de son adresse email professionnelle et personnelle. Le plaignant n’en prend pas connaissance au vu d’une erreur de la défenderesse dans l’adresse email personnelle du plaignant.
7. Le 15 février 2024, le plaignant contacte la défenderesse concernant le suivi de sa demande d’accès du 1er novembre 2023.
8. Le 23 mars 2024, le plaignant introduit un formulaire de requête en médiation auprès de l’APD.
9. Le 5 avril 2024, le Service de Première Ligne (SPL) demande à la défenderesse de faire suite à la demande d’exercice de droit d’accès. Cette dernière répond y avoir donné suite le 6 février 2024, précisant qu’une erreur fut commise dans l’adresse email privée du plaignant mais que la réponse fut également communiquée à son adresse email professionnelle, dont il avait toujours les accès.
10. Le 10 avril 2024, le plaignant informe le SPL qu’il désirerait avoir accès à une copie d’un email non caviardé qui lui permettrait de supporter l’objet d’une plainte introduite auprès de la Commission des plaintes relatives aux écoles européennes. La défenderesse explique ce caviardage en raison du contenu de cet email lequel reprend des données à caractère personnel concernant un collègue, auteur de l’email. Elle souligne en conséquence que sa communication non caviardée porterait atteinte à son droit à la protection des données personnelles de ce collègue. Enfin, le 1er mai 2024, la défenderesse confirme l’opposition de ce dernier à la communication de ses données à caractère personnel.
11. Le 22 mai 2024, le plaignant informe le SPL de son souhait de transformer la médiation en plainte.
12. Le 28 mai 2024, la plainte a été déclarée recevable par le SPL sur la base des articles 58 et 60 de la LCA1 et la plainte a été transmise à la Chambre Contentieuse en vertu de l’article 62, § 1er de la LCA.
13. Le 27 février 2026, conformément à l’article 95, § 2 de la LCA, la Chambre Contentieuse informe les parties du fait que le présent dossier est pendant, du contenu de la plainte et de la possibilité de consulter et de copier le dossier auprès du greffe de la Chambre Contentieuse. Les parties sont invitées à transmettre leurs éventuelles remarques à cet égard à la Chambre Contentieuse, au plus tard le 13 mars 2026.
14. Le 27 février 2026, la défenderesse transmet ses observations à la Chambre Contentieuse, réitérant les faits et arguments des points 6 et 9 de la présente décision.
II. Motivation
15. A titre préliminaire, la Chambre Contentieuse rappelle que les Z sont traitées dans chaque Etat membre comme un établissement scolaire régi par le droit public 2. En conséquence, la Chambre Contentieuse est compétente pour les traitements de données à caractère personnel effectués par les écoles se trouvant sur le territoire du Royaume de Belgique.
16. La Chambre Contentieuse constate que le plaignant a effectivement exercé son droit d’accès le 1er novembre 2023, conformément à l’article 15.1 du RGPD. Le 7 novembre 2023, la défenderesse demande une copie de la carte d’identité du plaignant pour vérifier son identité. Ce dernier la lui transmet le même jour. Le 24 novembre 2024, la défenderesse explique avoir besoin d’un délai supplémentaire pour faire suite à cette demande. Le 6 février 2024, la défenderesse fait suite à la demande du plaignant par le biais de son adresse email professionnelle et personnelle. Ce dernier n’en ayant pas pris connaissance suite à une erreur de la défenderesse dans la retranscription de son adresse email personnelle.
17. De plus, la Chambre Contentieuse remarque que, le 10 avril 2024, le plaignant demande d’avoir accès à une copie non caviardée d’un email, rédigé par un collègue, pour supporter une plainte déposée auprès de la Commission des plaintes relatives aux écoles européennes. La Chambre Contentieuse constate que la défenderesse refuse un tel partage au vu de son impact sur le droit à la protection des données du collègue qui s’y est par ailleurs opposée explicitement.
18. L’article 4.7 du RGPD définit le « responsable du traitement » comme étant « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement » 3.
19. La Chambre Contentieuse rappelle que le responsable du traitement doit donner suite à la demande formulée en application des articles 15 à 22 du RGPD par la personne concernée, en l’espèce une demande d’accès prévue par l’article 15 du RGPD, et ce dans le respect des conditions fixées à l’article 12 du RGPD.
20. En vertu de l’article 12.1 du RGPD, il appartient au responsable du traitement de prendre « des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […]. ».
21. L’article 12.3 du RGPD précise que les réponses aux demandes d’exercice du droit d’accès doivent être données « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. ».
22. Les lignes directrices 01/2022 du CEPD précisent par ailleurs que ce délai peut être suspendu jusqu’à ce que le responsable du traitement ait obtenu les informations nécessaires pour vérifier l’identité de la personne concernée auprès de cette dernière4.
23. De surcroit, les articles 15.3 et 15.4 du RGPD prévoient un droit non absolu à une copie des données. La CJUE considère ce droit, dans son arrêt C-487/21 du 4 mai 20235, comme supposant celui d’obtenir une copie d’extraits de documents voire de documents entiers lorsqu’indispensable pour permettre à la personne concernée d’exercer ses droits conférés par le RGPD.
24. En outre, la Chambre Contentieuse rappelle aussi qu’en sa qualité de responsable du traitement présumée, la défenderesse est tenue de respecter les principes de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés. Elle doit par ailleurs mettre en œuvre toutes les mesures nécessaires à cet effet (principe de responsabilité – articles 5.2 et 24 du RGPD).
25. Par ailleurs, la Chambre Contentieuse rappelle que le droit d’accès est une des exigences majeures du droit à la protection des données, il constitue « la porte d’entrée » qui permet l’exercice des autres droits que le RGPD confère à la personne concernée, tel le droit à la rectification, le droit à la limitation du traitement ou le droit à l’effacement.
26. Il convient désormais à la Chambre Contentieuse d’analyser séparément les deux demandes d’exercice du droit d’accès du plaignant.
27. S’agissant de la première demande d’accès (cfr., point 15), il ressort des faits du cas d’espèce que la défenderesse y a répondu le 6 février 2024, soit trois mois et six jours après son introduction. Or, le dépassement du délai de trois mois ne peut être justifié par la possibilité de suspension détaillée au point 20 de la présente décision. En effet, le plaignant transmettait une copie de sa carte d’identité à la défenderesse le jour même où celle-ci en avait fait la demande. En conséquence, il ne ressort pas des pièces du dossier que la défenderesse justifie valablement la réponse tardive à la demande de droit d’accès.
28. S’agissant de la deuxième demande d’accès (cfr. point 17), la Chambre Contentieuse constate que cette demande de copie n’est pas effectuée dans le but d’exercice de droits sous le RGPD, contrairement à la jurisprudence du point 22 de la présente décision. De plus, la Chambre Contentieuse remarque que la copie non caviardée de cet email impliquerait la divulgation des données à caractère personnel d’une personne tierce. Dès lors, la Chambre Contentieuse relève que la communication de cet email non caviardé porterait atteinte au droit à la protection des données de cette personne tierce.
29. En conséquence, la Chambre Contentieuse constate que la défenderesse n’a pas manqué au dispositif de l’article 15.4 du RGPD.
30. La présente décision est une décision prima facie prise par la Chambre Contentieuse conformément à l’article 95 de la LCA sur la base de la plainte introduite par le plaignant, dans le cadre de la « procédure préalable à la décision de fond »6 et pas une décision sur le fond de la Chambre Contentieuse au sens de l’article 100 de la LCA.
31. Conformément à l’article 95, § 1er, 4° de la LCA et à l’article 58.2.a) du RGPD, la Chambre Contentieuse a le pouvoir d’avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du RGPD.
32. La Chambre Contentieuse considère, sur la base des faits susmentionnés, qu’il y a lieu de retenir que la défenderesse est susceptible d’avoir violé l’article 12.3 du RGPD, en raison de la réponse tardive à la demande d’exercice d’accès du plaignant, ce qui justifie, en l’espèce, justifie l’adoption d’un avertissement afin que la défenderesse veille, à l’avenir, à répondre aux demandes d’exercice de droits endéans les délais impartis par le RGPD.
33. La présente décision d’avertissement a pour objet de rappeler à la défenderesse, présumée responsable du traitement, quant à son obligation de respecter les dispositions précitées du RGPD, afin de lui permettre de se conformer, à l’avenir, à ces dispositions dans le cadre de futures demandes d’accès de personnes concernées.
34. Si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et estime pouvoir fournir des arguments factuels et/ou juridiques qui pourraient conduire à une nouvelle décision, elle peut demander un réexamen à la Chambre Contentieuse selon la procédure établie par les articles 98 juncto 99 de la LCA, connue sous le nom de « procédure quant au fond » ou « traitement de l’affaire sur le fond ». Cette demande doit être envoyée à l’adresse e-mail [email protected] dans le délai de 30 jours suivant la notification de la présente décision prima facie. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période susmentionnée.
35. En cas de poursuite du traitement de l’affaire sur le fond, en vertu des articles 98, 2° et 3° juncto l’article 99 de la LCA, la Chambre Contentieuse invitera les parties à introduire leurs conclusions et à joindre au dossier toutes les pièces qu’elles jugent utiles. Le cas échéant, la présente décision est définitivement suspendue.
36. Dans une optique de transparence, la Chambre Contentieuse souligne enfin qu’un traitement de l’affaire sur le fond peut conduire à l’imposition des mesures mentionnées à l’article 100 de la LCA7.
III. Publication de la décision
37. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des données.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, sous réserve de l’introduction d’une demande par la défenderesse d’un traitement sur le fond conformément aux articles 98 e.s. de la LCA, :
– en vertu de l’article 58.2.a) du RGPD et de l’article 95, § 1er, 4° de la LCA, d’avertir la défenderesse au sujet des futures demandes d’exercice du droit d’accès de personnes concernées, dont la réponse devra être transmise dans les délais impartis par le RGPD.
La Chambre Contentieuse rappelle que si la défenderesse n’est pas d’accord avec le contenu de la présente décision prima facie et estime qu’elle peut faire valoir des arguments factuels et/ou juridiques qui pourraient conduire à une autre décision, elle peut, d’une part, adresser à la Chambre Contentieuse une demande de traitement sur le fond de l’affaire via l’adresse e-mail [email protected], et ce dans le délai de 30 jours après la notification de la présente décision. Le cas échéant, l’exécution de la présente décision est suspendue pendant la période susmentionnée.
Et, d’autre part, la défenderesse peut introduire un recours contre cette décision conformément à l’article 108, § 1 de la LCA, dans un délai de 30 jours à compter de sa notification, auprès de la Cour des Marchés (cour d’appel de Bruxelles), avec l’Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d’une requête interlocutoire qui doit contenir les informations énumérées à l’article 1034ter8 du Code judiciaire. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l’article 1034quinquies du C. jud.9, ou via le système d’information e-Deposit du Ministère de la Justice (article 32ter du C. jud.).
(sé) Hielke HIJMANS
Directeur de la Chambre Contentieuse

Document PDF ECLI:BE:GBAPD:2026:DEC.20260427.1

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

✉ [email protected]

©  2017-2026 Service ICT – SPF Justice

Powered by PHP 8.5.0

Server Software Apache/2.4.66

== Fluctuat nec mergitur ==