ECLI:BE:GBAPD:2021:DEC.20210422.3

JUPORTAL Base de données publique de la jurisprudence belge

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

 
Autorité de protection des données

Décision du 22 avril 2021

No ECLI:

ECLI:BE:GBAPD:2021:DEC.20210422.3

No Rôle:

54/2021

Domaine juridique:

Droit civil

Date d’introduction:

2025-08-29

Consultations:

59 – dernière vue 2026-04-14 17:26

Fiche

LA CHAMBRE CONTENTIEUSE Décide – De prononcer à l'encontre de l'intervenante
volontaire une réprimande sur la base de l'article 100.1, 5° LCA.

Thésaurus UTU:

DROIT CIVIL – VIE PRIVÉE – Traitement données à caractère personnel – Autorité de protection des données (Commission de la protection de la vie privée)

Mots libres:

Plainte relative à une consultation illicite du Registre National dans
le contexte de l'attribution d'allocations familiales. (DOS-2019-06237)

Bases légales:

Loi – 03-12-2017 – 100.1.5° – 11
Lien ELI No pub 2017031916

Texte de la décision

Chambre Contentieuse
Décision quant au fond 54/2021 du 22 avril 2021
N° de dossier : DOS-2019-06237
Objet : Plainte relative à une consultation illicite du Registre National dans le contexte de l’attribution d’allocations familiales
La Chambre Contentieuse de l’Autorité de protection des données, constituée de Monsieur Hielke Hijmans, président, et de Messieurs Y. Poullet et C. Boeraeve, membres, reprenant l’affaire dans cette composition;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données (ci-après LCA);
Vu le Règlement d’ordre intérieur tel qu’approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : Mr X1, (ci-après « le plaignant ») ;
La défenderesse : Y1 , (ci-après « la défenderesse ») ;
En présence de : Y2 ASBL, (ci-après « l’intervenante volontaire »);
Ayant toutes deux pour conseils Maître Paul Van den Bulck et Maître Andrine Like, avocats au Barreau de Bruxelles, dont le cabinet est établi Rue des Colonies 56 boite 3 à 1000 Bruxelles.
1. Rétroactes de la procédure
Vu la requête en médiation déposée le 8 décembre 2019 par le plaignant auprès de l‘Autorité de protection des données (APD);
Vu l’échec de la tentative de médiation communiqué au plaignant le 20 février 2020 par le Service de Première Ligne (SPL) de l’APD ;
Vu l’accord donné par le plaignant le 20 février 2020 pour que sa requête soit transformée en plainte en application de l’article 62.2. LCA ;
Vu la décision du 9 mars 2020 du SPL déclarant la plainte recevable et la transmission de celle-ci à la Chambre Contentieuse;
Vu le courrier du 8 avril 2020 de la Chambre Contentieuse informant les parties de sa décision de considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98 LCA et leur communiquant un calendrier d’échange de conclusions. Dans ce courrier, la Chambre Contentieuse précisait notamment ce qui suit à l’adresse des parties :
Sans préjudice de tout argument que vous souhaiteriez développer, vous veillerez à éclairer la Chambre Contentieuse sur le traitement de données intervenu, sur le rôle des différents intervenants éventuels et leur qualité au regard de la règlementation de la protection des données ainsi que sur le fondement légal précis de la consultation litigieuse des données du plaignant. Vous veillerez également à expliciter les mesures mises en place destinées à garantir l’accès aux seules données justifiées par le traitement des dossiers et la traçabilité de ces accès.
Vous informerez également la Chambre Contentieuse de ce qu’il est concrètement entendu par les termes « consultation induite et non volontaire » utilisés dans les pièces jointes à la plainte au regard des faits d’espèce.
Vu les conclusions principales déposées le 22 mai 2020 par la défenderesse ainsi que par Y2 (l’intervenante volontaire) laquelle intervient volontairement à la cause par cette voie (voy. infra les points 30 et suivants) ;
Vu les arguments du plaignant du 9 juin 2020 ;
Vu les conclusions additionnelles et de synthèse de la défenderesse et de l’intervenante volontaire du 3 juillet 2020 ;
Vu l’invitation à l’audition adressée par la Chambre Contentieuse aux parties le 10 décembre 2020 ;
Vu l’audition lors de la séance de la Chambre Contentieuse du 19 janvier 2021 en présence du plaignant et de Maître A. Like, représentant à la fois la défenderesse et l’intervenante volontaire ;
Vu le courrier adressé par les conseils de la défenderesse et de l’intervenant volontaire le 26 janvier 2021 ;
Vu le procès-verbal d’audition et les observations formulées sur celui – ci par les parties lesquelles ont été jointes à ce procès-verbal.
2. Les faits et l’objet de la demande
2.1. Remarques préalables
1. Pour la bonne compréhension de sa décision et de l’ensemble des acteurs auxquels les pièces de procédure et les dossiers des parties font référence, la Chambre Contentieuse précise ce qui suit :
– FAMIFED est l’agence fédérale pour les allocations familiales. FAMIFED devait assurer jusqu’au 31 décembre 2019 la gestion des allocations familiales, en ce compris dans la Région de Bruxelles-Capitale.
– IRISCARE est, aux termes de la 6ème réforme de l’état, devenue, en lieu et place de FAMIFED, l’autorité de tutelle des caisses d’allocations familiales pour la Région de Bruxelles-Capitale.
IRISCARE est chargée de mettre en place et de gérer le système d’allocations familiales de la Région de Bruxelles-Capitale.
– Durant une période de transition, les deux structures ont coexisté afin que le relai de la mission légale puisse passer de FAMIFED aux nouvelles autorités régionales, dont, comme mentionnée, pour la Région de Bruxelles-Capitale, IRISCARE. Dans le cadre de la présente décision, IRISCARE et FAMIFED sont indistinctement dénommées « l’Autorité de tutelle ».
– Le plaignant inclut la Banque carrefour de la sécurité sociale (BCSS) dans les « intervenants » gravitant autour du traitement de données contesté indiquant que c’est la BCSS qui, à l’époque des faits, développe l’application TRIVIA. L’application TRIVIA permet aux caisses d’allocations familiales de consulter les dossiers disponibles d’acteurs intégrés, d’intégrer eux-mêmes des acteurs et de créer des dossiers et d’obtenir, à l’intervention de la BCSS, un accès aux diverses sources du réseau de la sécurité sociale.
2. La défenderesse est le centre de services partagé du groupe Y. Elle rend des services administratifs aux différentes entités du groupe Y. Elle assure à cet égard notamment le suivi relatif à la protection des données à caractère personnel de toutes les caisses d’allocations familiales du groupe. Elle dispose d’un délégué à la protection des données (DPO) ainsi que d’un « Corporate1 Compliance Officer » et « Information Security Officer ».
3. Y2, ici partie intervenante volontaire, a notamment pour but de payer les allocations familiales à ses affiliés qui ont des enfants.
4. Monsieur X2 est le fils du plaignant, affilié à Y2, intervenue volontairement à la cause (voy. infra points 30 et s.).
2.2. Les faits à l’origine du litige
5. En juillet 2019, l’intervenante volontaire a consulté les données du fils du plaignant dans le Registre national en particulier la donnée « composition de ménage » et son historique. Cette consultation a eu lieu afin de gérer le dossier d’allocations familiales du fils du plaignant, un de ses affiliés, et de déterminer le montant d’allocations familiales – en ce compris un éventuel supplément – qu’il serait en droit de recevoir à dater du 1er janvier 2020. Cette consultation s’est faite via l‘application TRIVIA, développée par la BCSS, mise à la disposition des caisses d’allocations familiales, dont l’intervenante volontaire, par l‘Autorité de tutelle. Cette consultation s’est faite sur la base du numéro de Registre national de l’affilié, Monsieur X2.
6. C’est cette consultation de l’historique de la composition du ménage de Monsieur X2 qui fait l’objet de la plainte du plaignant. En effet, lors de cette consultation, l’intervenante volontaire a eu accès à l’information selon laquelle le plaignant avait fait partie du ménage de son fils à une époque de sa vie. Le plaignant se plaint de ce que cette consultation de données à caractère personnel le concernant ne reposait sur aucune base de légitimité valable au sens de l’article 6 du RGPD (voy. titre 2.3 ; points 23 et s.).
1 Délibération 18/008 du 9 janvier 2018 portant sur la communication de données à caractère personnel par l’Agence fédérale pour les allocations familiales (Famifed) et diverses autres institutions de sécurité sociale au Ministère de la Communauté germanophone, dans le cadre du transfert de compétences pour donner suite à la sixième réforme de l’état – utilisation de l’application TRIVIA.
7. Cette recherche de l‘historique de la composition du ménage est appelée par l‘Autorité de tutelle « recherche P028 ». Elle est réalisée via l’application TRIVIA déjà mentionné e. Lors de cette recherche, l’historique de la composition du ménage de Monsieur X2 afficha le plaignant comme ayant fait partie de son ménage par le passé et ce, en qualité de chef de ménage.
8. Le 24 septembre 2019, l‘Autorité de tutelle reçut une demande d’information de la part du plaignant via le formulaire de contact de son site internet. Par cette demande d’information, le plaignant interrogeait l‘Autorité de tutelle quant à la consultation de ses données les 9 et 17 juillet 2019.
9. II s’en suivit un échange d’e-mails entre le plaignant et l’Autorité de tutelle. Cette dernière informa le plaignant de la nature de la recherche P028 qui avait mené à l’accès à certaines données le concernant et l’invita, le cas échéant, à se rapprocher de la caisse d’allocations familiales (soit de l’intervenante volontaire), en vue de s’enquérir davantage sur la raison de l’accès à ses données telles qu’elles apparaissaient dans l’historique de composition de ménage de son fils.
10. Le 7 octobre 2019, le plaignant adressa sa demande d’information au service de protection des données de l’intervenante volontaire via l’adresse «[…] ».
11. Le 10 octobre 2019, la défenderesse, laquelle assure comme mentionné ci-dessus au point 2 le suivi relatif à la protection des données à caractère personnel de toutes les caisses d’allocations familiales du groupe, accusa bonne réception et répondit une première fois à la demande d’information du plaignant.
12. Le 14 octobre 2019, la défenderesse répondit une seconde fois au plaignant. Cette réponse faisait suite à une demande d’accusé de réception du plaignant quant à sa demande d’information, lequel accusé de réception avait été envoyé par la défenderesse le 10 octobre 2019 (voy. point 11 ci-dessus).
13. Le 6 novembre 2019, le plaignant écrivit une nouvelle fois à la défenderesse. Le même jour, la défenderesse répondit une troisième fois au plaignant et confirma avoir répondu promptement les 10 et 14 octobre 2019 à sa demande du 7 octobre 2019.
14. Le 7 novembre 2019, le plaignant, s’adressant toujours à la défenderesse, développa ses craintes et souleva la question suivante:
« Que l’on vérifie son flux fiscal [lisez le flux fiscal de Monsieur X2] ne me pose personnellement aucun problème et cela me parait normal vu que son ménage est attributaire/allocataire d’allocations familiales.
MAIS, quelles sont donc les bases légales qui vous permettent de consulter mes propres données privées et flux fiscal ? »
15. Le 7 novembre 2019, la défenderesse répondit une quatrième fois au plaignant et confirma que le flux fiscal du plaignant n’avait pas été examiné et que seules les données d’identification du plaignant étaient apparues lors de la consultation de l’historique du ménage de son fils.
16. Le 12 novembre 2019, le plaignant confirma la réception du courrier recommandé de la défenderesse par lequel cette dernière apportait la preuve de l’envoi de ses e-mails des 10 et 14 octobre 2019.
17. Le 20 novembre 2019, la défenderesse informa le plaignant qu’une demande d’éclaircissement avait encore été demandée auprès de l’Autorité de tutelle quant à la consultation de ses données. Le DPO de la défenderesse revint le même jour (soit une cinquième fois) avec ledit éclaircissement de l‘Autorité de tutelle. Dans la réponse que la défenderesse transmit au plaignant, l‘Autorité de tutelle confirme qu’il apparaissait bien qu’il y avait eu un accès aux données d’identification du plaignant, celui- ci étant mentionné comme ayant fait partie du ménage de son fils et qu’il fallait comprendre que cette consultation était « induite et non volontaire » (en d’autres termes, qu’ il s’agissait d’un accès incident via l’historique de la composition de ménage du fils du plaignant).
18. Le jour même, après réception de cette réponse (voy. point 17 ci-dessus), le plaignant mit la défenderesse en demeure de justifier les fondements légaux de la consultation de ses données.
19. Le 27 novembre 2019, la défenderesse revint une sixième fois vers le plaignant en lui précisant que les dispositions de la Loi générale relative aux allocations familiales (ci-après « LGAF ») justifiaient la consultation de l’historique de la composition du ménage de Monsieur X2 (fils du plaignant) auprès du Registre national (i.e. les articles 51 et 54 LGAF). De manière littérale, elle indiquait, pour la bonne compréhension du plaignant, que la mission des caisses d’allocations familiales comprenait la vérification des droits aux allocations en ce compris la vérification de  » l’historique de la composition familiale pour laquelle les caisses ont le droit d’interroger le Registre national ».
20. Le 8 décembre 2019, le plaignant introduisit une requête auprès de l’APD en ces termes :
« J’ai constaté que (Y2- Bruxelles) [lisez l’intervenante volontaire] avait consulté mes données personnelles sans aucune raison valable à mes yeux étant donné que je suis pensionné, sans charge de famille depuis plus de 10 années et que je réside en Wallonie.
Après interrogations des responsables j’ai reçu une réponse qui ne me satisfait en aucune façon étant donné que l’historique de la composition familiale du ménage d’un de mes fils – dont le ménage bénéficie apparemment d’allocations familiales en Wallonie – n’a pas à déboucher (de manière induite et non volontaire peu importe car les références légales, sauf erreur de ma part, n’y font pas allusion) sur des interrogations de mes données privées qui ne sont nullement concernées.
II ne s’agit pas, à mes yeux, d’une procédure normale mais d’un dysfonctionnement (ou d’une interrogation pirate) que je ne peux accepter. »
21. Le 3 février 2020, la défenderesse répondit aux interrogations du SPL dans le cadre de la tentative de médiation menée par ce service de l’APD. En substance, la défenderesse répondit à l’APD ce qui avait déjà été répondu au plaignant par l’Autorité de tutelle, soit qu’une recherche P028 avait été effectuée et que la consultation était non volontaire dans son chef mais résultait de la consultation – nécessaire dans l’exercice de ses missions légales – de la consultation de l’historique de la composition de ménage du fils du plaignant.
22. Lors de la communication de ses conclusions le 9 juin 2020, le plaignant a dénoncé qu’une nouvelle consultation de ses données, toujours sans fondement légitime selon lui, avait eu lieu le 21 avril 2020. Interpellée le 3 juin à cet égard, la défenderesse a, le 15 juin 2020, indiqué au plaignant que cette consultation s’inscrivait dans le cadre de la gestion du présent dossier pendant devant l’APD.
La Chambre Contentieuse précise d’emblée qu’elle se prononcera également sur cette seconde consultation dont la légalité est mise en cause par le plaignant aux termes de ses conclusions dès lors que celle-ci est intimement liée aux faits dénoncés par le plaignant aux termes de son formulaire de plainte.2
2.3. L’objet de la plainte
23. Dans ces mêmes conclusions du 9 juin 2020, le plaignant précise l’objet de sa plainte et fait part de ce que son fils, Monsieur X2, n’est plus domicilié avec lui depuis 2006. La consultation de l’historique de la composition de ménage de ce dernier – même nécessaire à l’octroi d’allocations – doit selon lui être soumise à une limite dans le temps tenant compte (1) soit du jour où la personne dont la donnée « historique de la composition de ménage » est consultée est potentiellement attributaire/allocataire des allocations/supplément, (2) soit du jour de la naissance de l’enfant bénéficiaire. L’accès à l’historique de la « composition de ménage » depuis la naissance de celui dont l’historique est consulté – comme cela s’est produit en l’espèce – est sans pertinence et disproportionné au regard de la finalité poursuivie (l’octroi d’allocations familiales).
Cet accès constitue selon le plaignant une brèche de sécurité d’autant plus inacceptable :
– qu’elle émane d’instances publiques ;
– qu’elle touche potentiellement des millions de personnes (au-delà de lui-même, de son épouse et de toutes les personnes avec lesquelles son fils a, à un moment donné de sa vie, vécu sous le même toit) ;
– que les données utiles (soit la date/les dates qui ouvre(nt) le droit aux allocations familiales et à dater de laquelle/desquelles la consultation de l’historique de la composition de manage pourrait être pertinente) est/sont disponible(s) dans le Cadastre des allocations familiales ;
– que le système de la recherche « P028 » s’est substitué à un système antérieur qui permettait une recherche pertinente et ciblée. Le plaignant cite à cet égard le passage suivant extrait de la Fiche « Description fonctionnelle spécifique du message P028 » :
1.2.1.1. P028 Consultation historique composition de ménage Principe Le message P028 est utilisé pour demander les données relatives à l’historique de la composition du ménage au Registre national sur la base d’un numéro de Registre national. Ce flux pourra être étendu ultérieurement avec les données du registre de la BCSS.
Ce flux de consultation combine les anciens messages de consultation P036 et P038 dans un seul message. Contrairement au message de consultation P036, ce flux affiche l’historique complet, que la personne recherchée soit ou non chef de ménage. Il n’est dès lors plus nécessaire d’effectuer plusieurs consultations à cet effet. (…)
24. Enfin, toujours dans ses conclusions du 9 juin 2020, le plaignant formule une série de demandes à la Chambre Contentieuse, soit (page 11 de ses conclusions) :
– De condamner solidairement et indivisiblement la défenderesse, l’intervenante volontaire, l’Autorité de tutelle, le SPF Intérieur (Registre National), la Banque Carrefour de la sécurité sociale (BCSS), voire les éventuels auteurs indélicats responsables de l’accès et du traitement de ses données, conformément aux articles 221 à 230 de la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
– D’informer le Procureur du Roi des manquements constatés et d’informer le plaignant de cette démarche ;
– De s’assurer que les corrections nécessaires ont été réalisées pour remédier aux manquements dénoncés et ce sous peine d’astreinte ;
– D’obtenir la preuve que ses données fiscales n’ont pas été traitées dans le cadre de la consultation dénoncée ;
– D’obtenir les explications nécessaires quant aux consultations des 9 juillet 2019 et 21 avril 2020 par FAMIFED au Registre national ;
– D’obtenir l’identification et les coordonnées complètes de toutes les personnes qui ont eu accès à ses données personnelles et à défaut condamner la défenderesse, l’intervenante volontaire et les autres intervenants à des astreintes ;
– D’inviter les responsables au sens large du traitement illégal, voire les éventuels auteurs indélicats, à l’indemniser pour le préjudice matériel et moral subi.
2.4. Position de la défenderesse et de l’intervenante volontaire
25. La défenderesse et l’intervenante volontaire sollicitent quant à elles, à l’appui de leurs conclusions, que la Chambre Contentieuse déclare la plainte du plaignant, si recevable, non fondée, la consultation de la composition de ménage de Monsieur X2, fils du plaignant, étant de leur point de vue parfaitement légale et légitime. Elles demandent, en conséquence, de classer la plainte du plaignant sans suite. La défenderesse et l’intervenante volontaire ajoutent que si par impossible, l’APD devait considérer que dans les circonstances de l’espèce, l’accès à l’historique de la composition est illégal, il conviendrait qu’elle mette à la cause tant le Registre national que l’Autorité de tutelle dans la mesure où ce sont eux qui déterminent les données accessibles lors d’une recherche P028 (page 11 des conclusions additionnelles et de synthèse de la défenderesse et de l’intervenante volontaire).
3. L’audition du 19 janvier 2021
26. Lors de l’audition du 19 janvier 2021 – dont un procès-verbal a été établi – les parties ont exposé les arguments qu’elles avaient développés par leurs conclusions respectives.
27. Les éléments suivants ont particulièrement été mis en lumière par les parties :
– la qualité de responsable de traitement de l’intervenante volontaire ;
– le choix délibéré, selon le plaignant, de mettre en place une recherche qui emporte la consultation de données potentiellement non pertinentes et la gravité de la problématique au regard du nombre de personnes pouvant être affectées par ce manquement structurel ;
– l’absence de toute incidence juridique du caractère « induit » et « non volontaire » de l’accès aux données non pertinentes sur la qualification de traitement au sens de l’article 4.2. du RGPD ;
– la mise en évidence par la défenderesse et l’intervenant volontaire de l’obligation de recourir à l’application TRIVIA et l’impossibilité pour elles d’en modifier les paramètres pour consulter les seules données de l’historique relatives à une période de temps ciblée.
EN DROIT
A titre liminaire
✓ Quant à la qualité des parties
28. Tant aux termes de ses conclusions que de l’audition (voy. ci-dessus titre 3), l’intervenante volontaire se déclare responsable de traitement au sens de l’article 4.7. du RGPD au regard de la consultation litigieuse, consultation qu’elle qualifie par ailleurs d’incidente. La défenderesse est pour sa part qualifiée de sous-traitant de l’intervenante volontaire (page 10 des conclusions et page 11 des conclusions additionnelles et de synthèse de la défenderesse et de l’intervenante volontaire).
29. La Chambre Contentieuse en prend acte et ne voit, dans le cadre de son analyse propre eu égard aux éléments de faits qui lui ont été soumis et eu égard aux éléments de droit applicables, aucun motif de ne pas reconnaitre à l’intervenante volontaire et à la défenderesse ces qualités respectives.
S’agissant de l’intervenante volontaire plus particulièrement, elle définit en effet, au départ de sa mission propre, les finalités et les moyens des traitements de données qu’elle opère au sens de l’article 4.7 du RGPD qui définit le responsable de traitement.
✓ Quant à l’intervention volontaire
30. La Chambre Contentieuse prend acte de l’intervention volontaire de Y2 dans cette procédure. Cette intervention est le fruit de la décision de Y2 qui, volontairement, et pour les besoins de la cause, est intervenue à la procédure par la voie de conclusions (voy. titre 1).
31. La Chambre Contentieuse précise que ni la LCA ni le Règlement d’ordre intérieur de l’APD ne prévoient explicitement le mécanisme de l’intervention (volontaire) d’une partie qui n’aurait pas été mise en cause par le/la plaignant(e).
32. Néanmoins, dans l’exercice des compétences qui sont les siennes, il incombe à l’APD, et partant à la Chambre Contentieuse dans l’exercice des compétences qui lui sont dévolues, de faciliter l’exercice des droits reconnus aux personnes concernées par le RGPD, en ce compris celui de porter plainte (article 77 du RGPD – par ailleurs reconnu à l’article 8.3. de la Charte des droits fondamentaux comme participant de l’essence du droit à la protection des données). Dans cette perspective, l’introduction d’une plainte doit rester une démarche aisée pour les personnes concernées dont les données personnelles sont traitées et au regard du traitement desquelles elles estiment qu’il y a eu manquement aux règles de protection des données.
33. Comme elle a déjà eu l’occasion de le développer dans sa Décision 17/20203, les autorités de protection des données doivent à cet effet jouer un rôle actif à travers les missions et les pouvoirs qui leur sont dévolus en vertu des articles 57 et 58 du RGPD.
34. De la même manière que l’on ne peut attendre du plaignant qu’il identifie d’emblée, dès les termes de sa plainte, l’ensemble des griefs juridiques pertinents au regard des faits dénoncés4, de la même manière il ne peut être attendu de lui qu’il identifie de manière certaine le responsable de traitement concerné. Affirmer le contraire reviendrait à mettre gravement en péril le droit de plainte du plaignant. En effet, l’identification du responsable de traitement, même à l’appui de la définition prévue à l’article 4.7. du RGPD, est un processus qui peut s’avérer particulièrement complexe. Certes des lignes directrices détaillées ont, à plusieurs reprises déjà, été publiées par le Comité Européen de la Protection des Données (CEPD) et son prédécesseur le Groupe de l‘Article 29, à son sujet.5
Néanmoins, force est de constater que cette identification reste souvent épineuse. Elle nécessite parfois même le recours au Service d’inspection dans les cas les plus ardus.
35. A l’appui des considérations qui précèdent, afin de donner un effet utile au droit de porter plainte, et au travers de celui-ci, de contribuer à l’application effective du RGPD, la Chambre Contentieuse accepte donc naturellement cette intervention volontaire. Elle précise que, bien entendu, le débat contradictoire s’est noué avec cette dernière également. Dans ces circonstances, la Chambre Contentieuse est en mesure d’imposer des sanctions à l’intervenant volontaire, le cas échéant.
✓ Quant à la compétence de l’APD et de la Chambre Contentieuse
36. La Chambre Contentieuse précise ici d’emblée, au regard des mesures sollicitées par le plaignant (voy. point 24), qu’elle n’est en tout cas pas compétente pour accorder une quelconque indemnisation même en cas de manquements constatés. En effet, cette compétence n’est pas listée parmi les mesures correctrices et sanctions qu’elle peut décider en application des articles 58.2. du RGPD et 95 et 100 LCA.
4. Quant aux manquements au RGPD
37. La Chambre Contentieuse constate qu’il ressort de l’exposé des faits ci-dessus que le plaignant reproche à l’intervenante volontaire d’avoir accédé à des données à caractère personnel le concernant et ce, selon ses termes, sans fondement juridique valable.
38. La Chambre Contentieuse relève que les parties ne contestent pas que lors de la consultation de l’historique de la composition de ménage (Registre national) de Monsieur X2 en juillet 2019, l’intervenante volontaire a effectivement eu accès à l’information selon laquelle le plaignant avait, à une époque, fait partie du ménage de son fils en qualité de chef de ménage.
39. Le fait d’avoir accédé à cette information constitue un traitement de donnée à caractère personnel au sens de l’article 4.2 du RGPD6 indépendamment de la question de savoir si le responsable de traitement qui y a accédé – en l’espèce l’intervenante volontaire – avait l’intention de rechercher cette information ou si il y a eu accès de manière incidente, fortuite, et ce, à l’occasion de la recherche de données relatives à un personne distincte, en l’espèce, le fils du plaignant. Que l’intervenante volontaire ait eu l’intention ou non de traiter cette donnée à caractère personnel, qu’elle l’ait ou non ensuite utilisée pour prendre sa décision, tous ces éléments sont sans incidence sur la qualification de « traitement » au sens de l’article 4.2. du RGPD.
40. La Chambre Contentieuse rappelle que tout traitement de données à caractère personnel doit s’appuyer sur une des bases de licéité prévue à l’article 6 du RGPD.
41. L’article 3, alinéa 1, 9° de la Loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la Loi RN) prévoit que pour chaque personne inscrite au Registre national, la donnée « composition de ménage » est enregistrée et conservée de même que les modifications successives apportées à cette information ainsi que leur date de prise d’effet ; c’est l’historique (article 3 alinéa 2 de la Loi RN). L’arrêté royal du 8 janvier 2006 déterminant les types d’information associés aux informations visées à l’article 3, alinéa 1er, de la loi du 8 août 1983 organisant un Registre national des personnes physiques précise quant à lui en son article 1, 9° que sont associées à l’information « composition de ménage » les données suivantes : « personne de référence du ménage » d’une part et « membre du ménage » d’autre part.
42. En conséquence, la consultation de la donnée « composition de ménage » du Registre national du fils du plaignant peut, de facto, emporter la prise de connaissance de données à caractère personnel d’autres personnes que le fils lui-même, tels les membres de son ménage. Les données personnelles qui figurent dans la composition de ménage et son historique sont à la fois des données à caractère personnel relatives à celui dont le Registre national est consulté ET des données à caractère personnel relatives aux personnes qui sont reprises dans la composition et l’historique de son ménage. Il y aura donc traitement de données à caractère personnel de personnes tierces (distinctes de celle dont on consulte la donnée « composition de ménage », soit en l’espèce le fils du plaignant) dès lors que celles-ci font ou ont fait partie du ménage de la personne pour laquelle la donnée « composition de ménage » est consultée (comme ici le plaignant). Il n’en résulte cependant pas nécessairement une absence de base de licéité pour le traitement des données de ces personnes tierces tel le plaignant en l’espèce.
43. Pour autant qu’il soit valablement invoqué, le fondement juridique de la consultation de la donnée « composition du ménage » (et de son historique) de la personne concernée (en l’espèce le fils du plaignant) inclut la consultation des données reprises sous cette information, en ce compris donc les membres de son ménage, dont le plaignant. En l’espèce, la base de licéité à l’appui de laquelle la consultation de l’historique de la composition de ménage du fils du plaignant est opérée légitime potentiellement également l’accès – même induit comme le qualifient la défenderesse et l’intervenante volontaire – à la donnée relative au plaignant selon laquelle il a fait partie du ménage de son fils.
44. La Chambre Contentieuse rappelle qu’outre la base de licéité requise (article 6 du RGPD), les données personnelles doivent, conformément au principe de minimisation exprimé à l’article 5.1.c) du RGPD, être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (principe de minimisation).
45. Enfin, en application de l’article 24 du RGPD, il incombe au responsable de traitement de mettre en œuvre les mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer (comme l’impose l’article 5.2. du RGPD) que le traitement qu’il effectue est conforme au RGPD.
46. Il résulte de ce qui précède qu’il appartient à la Chambre Contentieuse de vérifier si la consultation (dont la licéité est contestée par le plaignant) – par l’intervenante volontaire en sa qualité de responsable de traitement – de la donnée « composition de ménage » du fils du plaignant, en ce compris l’historique complet de celle-ci, répondait en l’espèce aux conditions de traitement imposées par le RGPD.
4.1. Quant à la base de licéité et le respect du principe de minimisation
47. La Chambre Contentieuse relève que la défenderesse et l’intervenante volontaire s’appuient sur l’article 6.1.c) du RGPD pour légitimer le traitement de données contesté. L’article 6.1.c) autorise le traitement de données nécessaire au respect d’une obligation légale à laquelle le responsable de traitement est soumis.7
48. La Chambre Contentieuse rappelle comme elle l’a fait dans ses récentes décisions 37/2021 et 38/2021 que dans son arrêt Huber, la Cour de Justice de l’Union européenne (CJUE) a, au regard de cette condition de nécessité, spécifié qu’il s’agissait d’une notion autonome du droit communautaire qui doit recevoir une interprétation de nature à répondre pleinement à l’objet de la directive 95/46/CE d’application à l’époque où cet arrêt a été rendu. 8
49. Aux termes des conclusions9 qu’il a déposées dans cette affaire, l’avocat général explicite à cet égard que « le concept de nécessité a une longue histoire en droit communautaire et il est bien établi en tant que partie intégrante du critère de proportionnalité. Il signifie que l’autorité qui adopte une mesure qui porte atteinte à un droit fondamental en vue de réaliser un objectif justifié doit démontrer que cette mesure est la moins restrictive permettant d’atteindre cet objectif. Par ailleurs, si le traitement de données personnelles peut être susceptible d’enfreindre le droit fondamental au respect de la vie privée, l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CEDH) qui garantit le respect de la vie privée et familiale, devient lui aussi pertinent. Comme l’a Cour l’a énoncé dans l’arrêt Österreichischer Rundfunk e.a., si une mesure nationale est incompatible avec l’article 8 de la CEDH, cette mesure ne peut pas satisfaire à l’exigence de l’article 7, sous e), de la directive. L’article 8, paragraphe 2, de la CEDH prévoit qu’une ingérence dans la vie privée peut être justifiée si elle vise l’un des objectifs qui y sont énumérés et « dans une société démocratique, est nécessaire » à l’un de ces objectifs. La Cour européenne des droits de l’homme a jugé que la notion de « nécessité » implique qu’un « besoin social impérieux » soit en cause ».
50. Cette jurisprudence formulée certes au regard de l’article 7.e) de la directive 95/46/CE vaut pour toutes les bases de licéité qui retiennent cette condition de nécessité. Elle demeure aujourd’hui pertinente alors même que la directive 95/46 a été abrogée dès lors que cette condition de nécessité est maintenue aux termes de l’article 6.1 b) à f) du RGPD et donc à l’article 6.1.c) invoqué en l’espèce. L’article 6.1 du RGPD reprend en effet les termes de l’article 7 de la directive 95/46/CE dont elle est l’équivalent10.
51. Le Groupe de l’Article 29 a également fait référence à la jurisprudence de la Cour européenne des droits de l’homme (Cour eur. D.H.) pour cerner l’exigence de nécessité11 et conclut que l’adjectif « nécessaire » n’a ainsi pas la souplesse de termes tels que « admissible », « normal », « utile », « raisonnable » ou « opportun ».12
52. Plus précisément quant à la base de légitimité qui s’appuie sur l’obligation légale à laquelle serait tenu le responsable de traitement, le Comité européen de la protection des données (EDPB – CEPD) 13 a énoncé les conditions dans lesquelles cette base de licéité peut être appliquée:
– l’obligation doit être imposée par la législation;
– la législation doit remplir toutes les conditions requises pour rendre l’obligation valable et contraignante;
– la législation doit être conforme au droit applicable en matière de protection des données, notamment aux principes de nécessité, de proportionnalité et de limitation de la finalité;
– l’obligation légale elle-même doit être suffisamment claire à propos du traitement de données à caractère personnel qu’elle requiert;
– et le responsable du traitement ne devrait pas avoir de marge d’appréciation injustifiée quant à la façon de se conformer à l’obligation légale.
53. En l’espèce, la défenderesse et l’intervenante volontaire mettent en avant plusieurs dispositions légales qui, de leur point de vue, leur imposait de procéder au traitement litigieux.
54. La Chambre Contentieuse relève à cet égard ce qui suit :
– L’octroi du supplément social en complément aux allocations ordinaires est régi par la Loi générale relative aux allocations familiales (LGAF) du 19 décembre 1939 , en particulier les articles 51, 54 et 173quater. L’article 173 quater prévoit explicitement que les organismes d’allocations familiales et les services ministériels, chargés de l’exécution de cette loi, sont tenus de s’adresser au Registre national des personnes physiques pour obtenir les informations visées à l’article 3, alinéas 1er et 2, de la Loi du 8 août 1983 organisant un Registre national des personnes physiques . Parmi ces données figurent la composition de ménage et ses modifications successives (soit l’historique). Le recours à une autre source n’est autorisé que dans la mesure où les informations nécessaires ne peuvent pas être obtenues auprès du Registre national.
– La compétence en matière d’octroi des allocations familiales et du supplément social est régionalisée et le fils du plaignant était répertorié comme résidant en Région de Bruxelles-Capitale au moment de la consultation du Registre national dénoncée14. La Chambre Contentieuse relève à cet égard que l’article 9 de l’0rdonnance du 25 avril 2019 de la Région de Bruxelles-Capitale réglant l’octroi des prestations familiales15 précise que l’allocation familiale de base est majorée d’un supplément social dans certaines conditions, notamment lorsque les revenus annuels du ménage n’atteignent pas un certain seuil. En d’autres termes, l’octroi du supplément est conditionné par les revenus du ménage.
– S’agissant de l’octroi de ce supplément social, l’article 10 de l’Ordonnance du 4 avril 2019 prévoit que « le Collège réuni fixe les conditions selon lesquelles le paiement des suppléments sociaux est effectué provisionnellement, dans l’attente des données fiscales établissant les revenus annuels du ménage permettant la prise d’une décision définitive ». De ce fait, le Collège réuni de la Commission Communautaire Commune a fixé les conditions d’octroi des suppléments sociaux et de certains suppléments prévus dans la Loi générale relative aux allocations familiales dans un Arrêté du 24 octobre 2019.
– Conformément à cet Arrêté du 24 octobre 2019 précité, les mesures préparatoires que les caisses d’allocations familiales devaient prendre dès 2019 pour pouvoir établir, pour chaque ménage bruxellois, le montant correct des allocations familiales auxquelles il aurait droit à partir du 1er janvier 2020, ainsi que la procédure à suivre en vue de l’octroi des suppléments sociaux à partir de 2020, ont été arrêtés dans la Circulaire CO PF2 du 5 juillet 2019 relative à la procédure d’octroi provisionnel des suppléments sociaux en Région de Bruxelles-Capitale à partir du 1er janvier 2020,.
– La défenderesse et l’intervenante volontaire s’appuient sur cette Circulaire du 5 juillet 2019 relative à la procédure d’octroi provisionnel des suppléments sociaux en Région de Bruxelles-Capitale à partir du 1er janvier 2020, en particulier sur ses articles 2.2 et 7 pour légitimer leur consultation de l’historique de la composition de ménage du fils du plaignant.
– Cette circulaire prévoit que l’établissement du droit à un supplément en Région de Bruxelles-Capitale se fera en deux phases, à savoir:
Phase 1 : Une décision concernant le paiement provisionnel du supplément est prise en « temps réel » : autrement dit, il est accordé d’office à titre provisionnel si les conditions sont remplies.
Aussi, le supplément peut être accordé à titre provisionnel à la suite d’une demande du ménage accompagnée de pièces justificatives relatives aux revenus bruts actuels du ménage.
Phase 2 : Deux ans plus tard, les revenus imposables de tous les ménages sont vérifiés à l’aide du flux fiscal et l’établissement définitif du droit au supplément social est effectué sur la base des données fiscales mises à disposition par la source authentique.
– Quant à la notion de ménage retenue, la circulaire précise que « cette identification se fait selon la notion de ménage telle que décrite à l’article 2 de l’arrêté du 24 octobre 2019. Cet arrêté dispose en son article 1er qu’il faut entendre par:
« 1° membre du ménage cohabitant: toute personne n’étant ni parente, ni alliée jusqu’au troisième degré inclusivement, avec laquelle l’allocataire cohabite et forme un ménage de fait;
2° membres du ménage: l’allocataire et, le cas échéant, le conjoint avec lequel il cohabite et/ou tout autre membre du ménage cohabitant»
55. La Chambre Contentieuse en conclut qu’en d’autres termes, préalablement à l’octroi du supplément social adéquat à partir du 1er janvier 2020, il revenait aux caisses d’allocations familiales (dont l’intervenante volontaire), d’identifier, en application des différents textes précités, dès juillet 2019, les allocataires et leurs revenus, plus particulièrement ceux de leur ménage tel que cette notion est définie à l’article 2 de l’arrêté du 24 octobre 2019.
56. Cette vérification de la condition de revenus du ménage (et partant de qui en faisait partie) est, en l’occurrence, passée par une identification de la composition de ménage du fils du plaignant via la consultation du Registre national. Il n’est par ailleurs pas contesté que les caisses d’allocations familiales, dont l’intervenante volontaire, étaient dûment autorisées à consulter le Registre national.
57. La Chambre Contentieuse constate qu’il n’apparait pas clairement des textes légaux invoqués quels sont les revenus dont il convenait de tenir compte et partant, en fonction de la phase dans laquelle la consultation est intervenue, quelle était la date de la composition de ménage à prendre en considération (année civile en cours, retour en arrière de 2 ans par analogie avec le calcul définitif qui interviendra deux ans plus tard comme l’ont évoqué les défenderesses et l’intervenante volontaire lors de l’audition (voy. articles 2.1. et 2.2.de la circulaire du 5 juillet 2019) ?). Cette précision eut été précieuse, elle est par ailleurs exigée par le principe de clarté et de prévisibilité de la « loi », principe requis de longue date par la jurisprudence de la Cour européenne des droits de l’homme, ainsi que de la CJUE.16
58. La Chambre Contentieuse considère que tout au plus, cet historique de la donnée « composition de ménage » du fils du plaignant aurait pu être consulté en remontant jusqu’à la date ouvrant le droit aux allocations /supplément social à ces allocations et qu’en toute hypothèse, la consultation de l’intégralité de l’historique du fils du plaignant sans limite dans le temps était disproportionnée et non nécessaire au respect par l’intervenante volontaire de son obligation légale.
59. Or, comme le dénonce le plaignant, la « recherche P028 » qui a été effectuée emporte systématiquement la consultation de l’historique de la composition de ménage dans son intégralité, soit depuis la naissance de la personne dont le Registre national est consulté. L’accès à cet historique complet du fils du plaignant était donc disproportionné et les données consultées n’étaient pas pertinentes au regard de la finalité poursuivie, à savoir la détermination de la composition de ménage à un temps T dont il doit être tenu compte dans la cadre de l’octroi des allocations familiales et du supplément social.
60. Partant, la Chambre Contentieuse conclut que, même si elle invoque que l’application TRIVIA qu’elle devait obligatoirement utiliser ne permettait pas la consultation d’un historique limité dans le temps (voy. point 63), l’intervenante volontaire n’a pas opéré un traitement nécessaire à son obligation légale et ne peut donc invoquer l’article 6.1.c) comme base de licéité. La Chambre Contentieuse constate dès lors un manquement à l’article 6 du RGPD dans son chef, à défaut d’autre base de licéité valable et sans préjudice de l’obligation du responsable de traitement d’identifier une base de licéité et non plusieurs au gré des circonstances 17. La Chambre Contentieuse conclut par ailleurs également à un manquement à l’article 5.1.c) du RGPD, les données dont l’intervenante a pris connaissance a l’occasion de sa consultation illicite (à défaut de base de licéité pour la légitimer) étant dès lors également non pertinentes au regard de la finalité poursuivie.
61. Quant à la consultation intervenue le 21 avril 2020, la Chambre Contentieuse relève que la défenderesse et l’intervenante volontaire s’appuient sur leur intérêt légitime (article 6.1.f) du RGPD), la consultation étant justifiée selon elles par les besoins de la présente procédure. La Chambre Contentieuse rappelle à cet égard qu’elle a, par le passé déjà, considéré que la défense en justice est un intérêt légitime pouvant valablement être invoqué par les responsables de traitement 18 pour autant que les conditions cumulatives de nécessité du traitement pour la réalisation de l’intérêt légitime poursuivi et de proportionnalité (soit que les droits et libertés fondamentaux des personnes concernées ne prévalent pas sur l’intérêt poursuivi) soient réunies.
62. Sans remettre en cause le fait que la défense en justice peut effectivement constituer un intérêt légitime au sens de l’article 6.1.f) du RGPD, la Chambre Contentieuse n’en conclut pas moins, pour les mêmes motifs que ceux qui sous-tendent sa conclusion relative à la consultation initiale (voy. points 57-60), que cette consultation au cours de la procédure pendante devant l’APD était également illicite.
4.2. Quant au principe d’accountability
63. La Chambre Contentieuse prend acte de ce que l’intervenante volontaire déclare d’une part qu’elle est tenue d’utiliser l’application TRIVIA et d’autre part qu’il lui est impossible de cibler dans le temps sa demande de consultation de l’historique de la donnée « composition de ménage dans le Registre national. La Chambre Contentieuse n’y est pas insensible et renvoie sur ce point aux mesures correctrices qu’elle décide de prendre telles que détaillées aux points 69 et s. (titre 5).
64. Nonobstant ce dernier point, il n’en demeure pas moins qu’en sa qualité de responsable de traitement, l’intervenante volontaire ne pouvait s’appuyer sur l’article 6.1.c) du RGPD et ne disposait ainsi qu’il a été conclu aux points 60 et 62 ci-dessus d’aucune base de licéité valable pour accéder aux données du plaignant via la consultation de l’historique complet de la composition de ménage de son fils.
65. La Chambre Contentieuse conclut également à un manquement aux articles 24 et 5.2. du RGPD dans le chef de l’intervenante volontaire dès lorsqu’elle n’a pas été en mesure de mettre en place les mesures techniques destinées à mettre en œuvre le RGPD. Ici encore, la Chambre Contentieuse n’ignore pas l’absence de maîtrise de l’application par l’intervenante volontaire. Cette circonstance n’est toutefois pas de nature à supprimer tout manquement dans son chef compte tenu de sa qualité de responsable de traitement.
66. En effet, l’objectif du principe d’accountability, ou « principe de responsabilité » dans sa traduction française (article 5.2. du RGPD), est de responsabiliser les responsables de traitement – qu’il s’agisse d’entreprises privées ou d’autorités ou organismes publics -, et de permettre aux autorités de contrôle de la protection des données telles l’APD de vérifier l’efficacité des dispositions prises en l’appliquant. Les risques doivent être identifiés par la mise en place de plans d’actions et de procédures de contrôle et ces organisations doivent pouvoir prouver sans difficulté qu’elles ont procédé à une identification, une évaluation et un encadrement des risques en matière de protection de données personnelles au regard des traitement qu’elles opèrent. Ce principe serait largement mis à mal, voire vidé de toute substance s’il suffisait pour un responsable de traitement d’invoquer, une fois confronté à une plainte portée devant l’autorité de contrôle, le fait que l’application informatique utilisée – fût-ce son usage imposé par un tiers – ne lui permet pas de se conformer au RGPD.
67. En application de son obligation d’accountability et de documentation, l’intervenante volontaire aurait donc, au minimum, dû alerter les instances pertinentes quant à la situation de porte à faux dans laquelle l’utilisation contrainte de l’application TRIVIA la plaçait par rapport à ses obligations découlant du RGPD.
68. La Chambre Contentieuse n’ignore pas non plus le soin mis par la défenderesse à répondre aux questions du plaignant et les prises de contact avec l’Autorité de tutelle pour pouvoir expliquer au mieux la situation à ce dernier. Mais ici non plus, ces circonstances ne sont pas de nature à permettre à la Chambre Contentieuse de conclure à l’absence de manquement. La Chambre Contentieuse a également noté que l’intervenante s’engageait désormais à prendre contact avec l’Autorité de tutelle.
5. Quant aux mesures correctrices et sanctions
69. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de :
1° classer la plainte sans suite ;
2° ordonner le non-lieu ;
3° prononcer une suspension du prononcé ;
4° proposer une transaction ;
5° formuler des avertissements ou des réprimandes ;
6° ordonner de se conformer aux demandes de la personne concernée d’exercer ces droits;
7° ordonner que l’intéressé soit informé du problème de sécurité;
8° ordonner le gel, la limitation ou l’interdiction temporaire ou définitive du traitement;
9° ordonner une mise en conformité du traitement;
10° ordonner la rectification, la restriction ou l’effacement des données et la notification de celles-ci aux récipiendaires des données;
11° ordonner le retrait de l’agréation des organismes de certification;
12° donner des astreintes19;
13° donner des amendes administratives 20;
14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international;
15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier;
16° décider au cas par cas de publier ses décisions sur le site internet de l’Autorité de protection des données.
70. ll importe de contextualiser les manquements constatés par la Chambre Contentieuse en vue d’identifier les mesures correctrices et sanctions les plus adaptées.
71. Dans ce cadre, la Chambre Contentieuse tiendra compte de l’ensemble des circonstances de l’espèce et des éléments d’explication apportés par les parties. La Chambre Contentieuse tient à cet égard à préciser qu’il lui appartient souverainement en qualité d’autorité administrative indépendante – dans le respect des articles pertinents du RGPD et de la LCA – de déterminer la/les mesure(s) correctrice(s) et sanction(s) appropriée(s).21
72. Ainsi, il n’appartient pas au plaignant de solliciter de la Chambre Contentieuse quelle ordonne telle ou telle mesure correctrice ou sanction. Si, nonobstant ce qui précède, le/la plaignant(e) devait néanmoins demander à la Chambre Contentieuse qu’elle prononce l’une ou l’autre mesure et/ou sanction, il n’incombe pas à cette dernière de motiver pourquoi elle ne retiendrait pas l’une ou l’autre demande formulée par le/la plaignant(e). Ces considérations laissent intacte l’obligation pour la Chambre Contentieuse de motiver le choix des mesure(s) correctrice(s) et/ou sanction(s) auxquelles elle juge, (parmi la liste des mesures et sanctions mises à sa disposition par les articles 58 du RGPD et 95.1 et 100.1 de la LCA rappelées ci-dessus) approprié de condamner la partie mise en cause. La Chambre Contentieuse rappelle ici, comme elle l’a mentionné au point 36 ci-dessus, qu’elle n’est pas compétente pour accorder une quelconque indemnisation.
73. La Chambre Contentieuse a constaté un manquement aux articles 6, 5.1.c) ainsi qu’aux articles 24 et 5.2. du RGPD dans le chef de l’intervenante volontaire (points 60, 62 et 65).
74. Compte tenu de ces manquements, la Chambre Contentieuse adresse à l’intervenante volontaire une réprimande sur la base de l’article 100.1, 5° LCA22 laquelle constitue, à l’aune des faits et des manquements constatés, la sanction effective, proportionnée et dissuasive telle que requise par l’article 83 du RGPD qui s’impose. A cet égard, la Chambre Contentieuse tient à souligner qu’elle n’est pas en mesure d’adresser un avertissement à l’intervenante volontaire dès lors que cette mesure ne peut s’appliquer lorsqu’un manquement est constaté. L’avertissement s’applique uniquement lorsque les opérations de traitement envisagées sont susceptibles de violer les dispositions du RGPD.
75. La Chambre Contentieuse est d’avis qu’au-delà de la réprimande adressée à l’intervenante volontaire, il importe qu’une réponse adéquate soit rapidement trouvée à la problématique soulevée par la plainte et ce, afin de permettre une consultation limitée, respectueuse du RGPD, de l’historique de la donnée « composition de ménage » (ainsi que de l’historique d’autres données du Registre National le cas échéant). La Chambre Contentieuse renvoie à cet égard aux délibérations du Comité sectoriel du Registre national (CSRN) de l’ancienne Commission de la protection de la vie privée (CPVP) aux termes desquelles le CSRN accorde un accès à l’historique des données limité dans le temps en conformité avec l’article 4 § 1, 3° de la Loi Vie privée qui énonçait alors le principe de proportionnalité (aujourd’hui principe de minimisation libellé à l’article 5.1, c) du RGPD).23 La Chambre Contentieuse est également interpellée par le document intitulé « Fiche – Description fonctionnelle spécifique du message P028 » (en particulier le point 1.2.1.1.) mis en avant par le plaignant aux termes duquel il aurait été renoncé à utiliser une application plus respectueuse du principe de minimisation (voy. point 23).
76. Pour toutes ces raisons, la Chambre Contentieuse attirera l’attention du Comité de direction de l’APD sur cette problématique. Le cas échéant, les organes de l’APD pourraient, en application de leurs compétences respectives que leur attribue la LCA, décider de nouer un dialogue avec l’ensemble des instances concernées et/ou mener une enquête approfondie auprès d’elles sur la problématique ayant surgi à l’occasion de la plainte aboutissant à la présente décision.
77. La Chambre Contentieuse décide par ailleurs d’adresser une copie de la présente décision aux services du Registre national ainsi qu’à Famifed, à Iriscare et à la Banque carrefour de la sécurité sociale (BCSS) mentionnés par le plaignant aux termes de sa plainte.
6. Transparence
78. Compte tenu de l’importance de la transparence en ce qui concerne le processus décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l’APD moyennant la suppression des données d’identification directe des parties (soit la défenderesse, l’intervenante volontaire et le plaignant) et des personnes physiques citées. Par contre, la Chambre Contentieuse estime n’avoir d’autre possibilité, pour la bonne compréhension de la présente décision, que de nommément mentionner Famifed, Iriscare, la Banque-Carrefour de la sécurité sociale (BCSS) et les services du Registre National.
POUR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE
Décide
– De prononcer à l’encontre de l’intervenante volontaire une réprimande sur la base de l’article 100.1, 5° LCA.
En vertu de l’article 108.1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa notification, avec l’Autorité de protection des données en qualité de défenderesse.
(Sé) Hielke Hijmans
Président de la Chambre Contentieuse

Document PDF ECLI:BE:GBAPD:2021:DEC.20210422.3

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

✉ [email protected]

©  2017-2026 Service ICT – SPF Justice

Powered by PHP 8.5.0

Server Software Apache/2.4.66

== Fluctuat nec mergitur ==