ECLI:BE:GBAPD:2021:DEC.20210715.1

JUPORTAL Base de données publique de la jurisprudence belge

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

 
Autorité de protection des données

Décision du 15 juillet 2021

No ECLI:

ECLI:BE:GBAPD:2021:DEC.20210715.1

No Rôle:

79/2021

Domaine juridique:

Droit civil

Date d’introduction:

2025-08-12

Consultations:

61 — dernière vue 2026-04-14 13:25

Fiche

La Chambre Contentieuse de l'Autorité de protection des données
décide, après délibération : — de prononcer à l'encontre du
défendeur une réprimande, conformément à l'article 100, § 1
er, 5° de la LCA pour avoir violé les articles 12.3, 14 et 15 du RGPD.

Thésaurus UTU:

DROIT CIVIL — VIE PRIVÉE — Traitement données à caractère personnel — Autorité de protection des données (Commission de la protection de la vie privée)

Mots libres:

Plainte pour cause d'absence de suite suffisante donnée à une demande
d'accès en vertu de l'article 15 du RGPD. (DOS-2020-04991)

Bases légales:

Loi — 03-12-2017 — 100,§1,5° — 11
Lien ELI No pub 2017031916

Texte de la décision

Chambre Contentieuse
Décision quant au fond 79/2021 du 15 juillet 2021
Numéro de dossier : DOS-2020-04991
Objet : Plainte pour cause d’absence de suite suffisante donnée à une demande d’accès en vertu de l’article 15 du RGPD
La Chambre Contentieuse de l’Autorité de protection des données, constituée de Monsieur Hielke Hijmans, président, et de Messieurs Dirk Van Der Kelen et Jelle Stassijns ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après «RGPD» ;
Vu la loi du 3 décembre 2017 portant création de l’Autorité de protection des données, ci-après LCA ;
Vu le règlement d’ordre intérieur tel qu’approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
le plaignant : Monsieur X, ci-après «le plaignant» ; .
le défendeur : L’Union de consommateurs Test Achats SC, dont le siège est établi rue de Hollande 13, 1060 Bruxelles, ci-après «le défendeur».
I. Faits et procédure
1. Le 23 septembre 2020, le plaignant a porté plainte contre Test Achats auprès de l’Autorité de protection des données (ci-après l’APD). L’objet de la plainte porte sur l’absence de suite suffisante donnée au droit d’accès.
2. Le 28 octobre 2020, la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l’article 62, § 1er de la LCA.
3. Le 21 décembre 2020, la Chambre Contentieuse décide, en vertu de l’article 95, § 1er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond et informe tant le plaignant que le défendeur de cette décision. De même, les parties ont été informées des dispositions de l’article 98 de la LCA ainsi que des délais pour introduire leurs conclusions. La date limite pour la réception des conclusions en réponse du défendeur a été fixée au 1 er février 2021, celle pour les conclusions en réplique du plaignant au 22 février 2021 et celle pour les conclusions en réplique du défendeur au 15 mars 2021.
4. Par lettre du 24 décembre 2020, le défendeur a demandé une copie du dossier.
5. Le 28 janvier 2021, le défendeur a introduit des conclusions en réponse.
6. Le 22 février 2021, le plaignant a introduit des conclusions en réplique et a indiqué vouloir être entendu lors d’une audition en vertu de l’article 98, 2° de la LCA.
7. Le 15 mars 2021, le défendeur a introduit des conclusions en réplique.
8. Le 17 juin 2021, les parties sont entendues par la Chambre Contentieuse, conformément à l’article 53 du règlement d’ordre intérieur. Le 23 juin 2021, le procès-verbal de l’audition est soumis aux parties. Le 28 juin 2021, la Chambre Contentieuse reçoit du défendeur une réaction au procès-verbal.
9. Le plaignant indique dans sa plainte que le 8 juillet 2020, il a reçu du défendeur un courrier daté du 30 juin 2020 mentionnant qu’un abonnement avait été conclu entre le plaignant et le défendeur suite à une conversation téléphonique entre eux. Le courrier mentionnait également le numéro de compte bancaire de madame Z (la mère du plaignant) et confirmait qu’une domiciliation avait été accordée par le plaignant au défendeur afin de pouvoir percevoir le montant de l’abonnement.
Le plaignant a réagi à ce courrier par lettre du 15 juillet 2020, demandant au défendeur de lui fournir toutes les données à caractère personnel dont il disposait. Le plaignant demande dans la lettre comment son numéro de téléphone avait été obtenu, alors que ce numéro était repris sur la liste «ne m’appelez-plus». Le plaignant demandait également comment le défendeur était entré en possession du numéro de compte bancaire. Le plaignant indique également avoir posé ces questions via le formulaire de contact du site Internet du défendeur le jour de la réception de la lettre du défendeur, à savoir le 8 juillet 2020. Le plaignant n’a pas reçu de réponse.
10. Par courrier du 12 septembre 2020, le plaignant a reçu un avertissement du défendeur indiquant que le montant de l’abonnement ne pouvait pas être prélevé car la banque ne l’avait pas autorisé.
Il a été demandé d’acquitter le montant étant donné que des magazines avaient été envoyés au plaignant. En réaction à l’avertissement, le plaignant a renvoyé une lettre au défendeur indiquant qu’il n’était nullement question d’un contrat établi valablement et qu’en conséquence, aucun montant n’était dû au défendeur.
Conclusions en réponse du défendeur
11. Suite à la plainte, le défendeur a déposé des conclusions en réponse le 28 janvier 2021.
Le défendeur déclare que le 23 juin 2020, un contact téléphonique a été établi avec le numéro de téléphone du plaignant et que la mère du plaignant a répondu à cet appel, marquant son accord sur un abonnement d’essai à un magazine. Elle aurait également transmis à cet effet le numéro de compte du défendeur au collaborateur. Le 30 juin 2020, une lettre de confirmation a été envoyée au plaignant à ce sujet.
12. Le défendeur affirme que le message que le plaignant lui a envoyé le 8 juillet 2020 via son site Internet ne contenait pas d’adresse e-mail du plaignant. Dès lors, le message n’a pas pu être traité, selon le défendeur. Ensuite, le plaignant a envoyé une lettre recommandée au défendeur le 15 juillet 2020. Cette lettre mentionnait notamment ce qui suit :
«Madame, Monsieur,
Je me réfère à mon message du 08.07.2020 sur votre site Internet qui mentionne ce qui suit :
«Madame, Monsieur, j’ai reçu ce jour, le 08/07/20, une lettre datée du 30/6 concernant un prétendu contrat […] suite à un appel téléphonique qui n’a jamais eu lieu avec moi.
Veuillez me communiquer dans les 8 jours toutes les données que vous possédez à mon sujet et, le cas échéant, au sujet de l’adresse de mon domicile, cf. le RGPD. Comment avez-vous eu connaissance d’un numéro de compte bancaire ? Je n’autorise jamais de domiciliations.
Le numéro de téléphone fixe lié à mon domicile est repris sur la liste «ne m’appelez plus». Je vous déclare en défaut sur ce point. Ce message me coûte du temps et de l’argent. Vous devez me payer 150 euros, pour perte de temps de travail. Veuillez me le confirmer par retour de courrier, je vous ferai alors savoir comment régler cette somme.»
J’ai envoyé ce message via le formulaire de contact sur votre site Internet ; aucune adresse e-mail générale n’est prévue, permettant de suivre l’envoi, ni aucun e-mail de confirmation reprenant le contenu du message, sous toutes réserves.
Je constate qu’à ce jour, aucune suite n’a été donnée à ma demande dans le délai imparti. Les questions précitées restent d’actualité et j’attends votre prompte réaction avec communication de toutes les données que vous êtes tenus de me communiquer. («………………………………………»).
[Tous les passages cités dans la présente décision ont été traduits librement par le Secrétariat Général de l’Autorité de protection des données, en l’absence de traduction officielle].
13. Selon le défendeur, le courrier précité a été scanné et envoyé en interne au service Abonnements.
Ensuite, le courrier a été classé par erreur comme étant déjà traité et aucune suite n’y a été donnée.
Le 23 septembre 2020, le plaignant a de nouveau adressé une lettre recommandée au défendeur indiquant qu’il avait envoyé deux messages précédemment auxquels il n’avait reçu aucune réaction du défendeur. Après ce dernier courrier du plaignant, le défendeur a fait savoir qu’il effacerait toutes les données du plaignant et qu’il annulerait le montant dû pour l’abonnement.
14. Dans le premier moyen de défense du défendeur, ce dernier affirme qu’il n’était pas question d’un recours à l’article 15 du RGPD par le plaignant afin d’accéder à ses données à caractère personnel.
La lettre du plaignant n’a pas été transmise au service client ni à l’équipe vie privée étant donné qu’il n’avait pas été considéré comme une demande conformément à l’article 15 du RGPD. Selon le défendeur, on peut attendre d’une personne concernée qui souhaite exercer ses droits qu’elle indique clairement qu’elle exerce ses droits conformément à l’article 15 du RGPD. À cet effet, le plaignant aurait pu utiliser le modèle de lettre de l’APD. En outre, le plaignant n’a pas envoyé sa requête à une des adresses e-mail servant à traiter les questions de vie privée, conformément à la politique de confidentialité du défendeur. Il est mentionné que le défendeur accorde une grande importance à la protection de la vie privée et qu’il s’est dès lors organisé en ce sens. Le plaignant est par ailleurs avocat et n’est donc pas ignorant dans ce domaine ; il aurait donc dû citer l’article 15 du RGPD dans sa demande d’accès à ses données à caractère personnel. Pour ces motifs, le défendeur demande un non-lieu.
15. En ordre subsidiaire, le défendeur avance que si la Chambre Contentieuse estime que le demande émanant du plaignant concerne l’exercice du droit d’accès conformément à l’article 15 du RGPD, la demande a fait l’objet en interne d’une qualification erronée et n’a donc pas été traitée conformément aux articles 12 et 15 du RGPD. La lettre recommandée du plaignant du 15 juillet 2020 a été reçue au siège, selon le défendeur. Au moment de la réception du courrier, le télétravail était la règle en vertu des mesures corona. Selon la procédure, le courrier recommandé devait être scanné par le responsable et être envoyé au service concerné. La lettre a été identifiée par le responsable comme une plainte pour le service abonnements, et non comme une demande basée sur le RGPD.
La lettre a donc uniquement été envoyée au service abonnements. La deuxième lettre du plaignant du 23 septembre 2020 a également été envoyée par le responsable au même service. Ce service a traité la lettre et y a répondu. L’abonnement a été annulé. Le défendeur estime dès lors que le fait que les lettres du plaignant n’aient pas été envoyées à l’équipe vie privée a entraîné l’absence de réaction envers le plaignant. Le responsable du traitement des lettres entrantes a interprété la lettre comme une plainte à l’encontre de l’abonnement à l’essai et non comme une demande en vertu de l’article 15 du RGPD.
16. Le défendeur indique que suite à la lettre de l’APD indiquant qu’une plainte avait été déposée à son encontre, un e-mail a encore été envoyé au plaignant, à savoir le 16 janvier 2021. Dans cet e-mail, le défendeur a fait savoir que les données à caractère personnel du plaignant avaient été obtenues via U. À cet égard, on indique que le numéro de téléphone du plaignant n’était pas repris sur la liste «ne m’appelez plus» au moment de l’appel vers ce numéro. Selon le défendeur, le numéro de téléphone n’a été repris sur cette liste que le 25 septembre 2020. La conversation téléphonique que le défendeur affirme avoir eue avec la mère du plaignant a été enregistrée et peut au besoin être produite, mais uniquement à la mère, étant donné qu’il s’agit de ses données à caractère personnel. Les données à caractère personnel concernant le plaignant dont dispose le défendeur ont été jointes à l’e-mail en mentionnant également que le défendeur ne transmettait pas de données à caractère personnel à des tiers. Les données ont été obtenues par le défendeur à des fins de télémarketing, dans le respect des obligations de la liste «ne m’appelez plus». Pour le reste, les données n’auraient été utilisées que pour traiter l’enregistrement en tant que nouvel abonné, ainsi que pour permettre la gestion et le suivi de la relation et pour traiter des courriers en interne.
Enfin, l’e-mail mentionnait les droits qui reviennent au plaignant conformément au RGPD. Si la Chambre Contentieuse devait estimer qu’il était bien question d’une demande d’exercice des droits conformément à l’article 15 du RGPD, le défendeur demande de se limiter à formuler un avertissement ou une réprimande.
Conclusions en réplique du plaignant
17. Le 22 février 2021, le plaignant a déposé ses conclusions en réponse. Dans le premier moyen, le plaignant demande l’accès à toutes les informations que tant le défendeur que U possèdent à son égard et concernant son adresse. Le plaignant demande également l’enregistrement sonore ainsi que la retranscription de la conversation téléphonique lors de laquelle l’abonnement d’essai aurait été contracté avec sa mère. Selon le plaignant, malgré des demandes répétées d’accéder à ses données à caractère personnel, il n’a obtenu aucune réaction du défendeur sur une période de 7 mois. Le plaignant estime qu’il y a désorganisation de la part du défendeur. Le plaignant demande également de produire le mandat SEPA pour l’encaissement automatique.
18. Dans le deuxième moyen, le plaignant demande à l’APD d’interdire au défendeur de traiter des données à caractère personnel de tiers, jusqu’à ce que le défendeur soit en mesure de le faire de manière performante. Le plaignant demande également de publier la décision de la Chambre Contentieuse afin que le public soit informé de la manière dont les données à caractère personnel sont traitées au sein de l’organisation du défendeur, alors que le défendeur devrait justement servir Décision l’intérêt général. Le plaignant réclame un montant de 2500 euros pour dommage moral et un autre montant de 2500 euros pour l’échange de courrier avec le défendeur. Dans le troisième moyen, le plaignant demande à être entendu par la Chambre Contentieuse. Dans le quatrième moyen, le plaignant affirme que le défendeur ne pouvait pas prendre de mesures correctrices, étant donné qu’il ressort des conclusions en réponse que le défendeur n’a pas pris connaissance des réactions du plaignant. Le plaignant demande également le remboursement de 8 euros, montant qui a été débité d’un compte qui n’appartient pas au plaignant, selon ce dernier. Lors de l’audition, il a été établi que le numéro de compte appartient à la mère du plaignant. Le plaignant demande à l’APD d’infliger une amende de 25.000 euros au défendeur, de le réprimander et de publier la décision dans deux journaux nationaux au frais du défendeur.
Conclusions en réplique du défendeur
19. Dans les conclusions de synthèse, le défendeur reprend les arguments déjà avancés dans les conclusions. Par ailleurs, le défendeur souligne que, si la Chambre Contentieuse devait décider qu’il était bien question d’une demande conformément à l’article 15 du RGPD, cette demande a été classée erronément comme n’étant pas une demande d’exercice des droits de la personne concernée suite à une erreur humaine d’un collaborateur. Selon le défendeur, la pandémie de Covid a engendré une diminution du nombre de travailleurs présents, entraînant la disparition de certains mécanismes de contrôle. Si en temps normal un deuxième avis peut être demandé en cas de doute, cela n’a pas pu être possible en l’espèce, selon le défendeur.
20. Le défendeur souligne accorder beaucoup d’importance à la protection des données à caractère personnel et au respect de la législation y afférente. Le défendeur en veut pour preuve que lors de l’entrée en vigueur du RGPD, tous les membres du personnel ont reçu une formation relative au RGPD. Quelques collaborateurs du service client ont été spécifiquement formés pour répondre à des demandes formulées dans le cadre du RGPD. Un DPO a été désigné et une équipe vie privée composée de juristes a été créée afin de répondre correctement aux demandes complexes et aux plaintes. Selon le défendeur, une large majorité des demandes fait l’objet d’une réponse correcte et en temps utile. D’après le défendeur, la procédure interne de traitement du courrier a été revue de sorte que les courriers recommandés sont désormais aussi envoyés systématiquement au coordinateur du service client et au service juridique. Le défendeur déclare que pour tester la rapidité du traitement des lettres recommandées, quelques lettres de test ont été envoyées au siège ces dernières semaines par l’équipe vie privée.
21. Le défendeur demande dès lors à la Chambre Contentieuse de tenir compte des circonstances atténuantes suivantes :
«L’infraction a été commise suite à une erreur humaine et sans aucune intention délibérée ;
À présent, il a été accédé à la demande d’accès de la personne concernée ; Des efforts considérables ont été fournis pour évaluer la procédure en vigueur et pour l’améliorer, afin que de telles plaintes puissent être mieux évitées ; La procédure a été testée en pratique ; Suite aux mesures COVID19 imposées par les autorités, des procédures ont dû être revues très rapidement, d’où l’augmentation du risque d’erreurs humaines. «
22. Le défendeur réagit ensuite aux demandes du plaignant. Selon le défendeur, la demande du plaignant d’interdire au défendeur de traiter des données à caractère personnel ne relève pas de la compétence de la Chambre Contentieuse et doit être rejetée. Si la Chambre Contentieuse estime que cela relève toutefois de sa compétence, cette demande doit être rejetée vu son caractère excessif et vu que le défendeur a déjà démontré qu’il accordait de l’importance au respect des obligations découlant du RGPD et qu’il analysait aussi activement la politique. La demande du plaignant de publier le prononcé de la Chambre Contentieuse aux frais du défendeur dans deux journaux nationaux doit être rejetée car cette sanction ne relève pas de la compétence de la Chambre Contentieuse. À titre subsidiaire, le défendeur estime que la demande n’est pas fondée.
La demande du plaignant quant à une indemnisation des frais et à un dédommagement moral doit être rejetée car cette sanction ne relève pas de la compétence de la Chambre Contentieuse.
Le plaignant réclamait également le remboursement d’un montant que le défendeur se serait approprié indûment. Le défendeur réagit en indiquant que l’examen destiné à déterminer s’il est question d’un contrat ou mandat SEPA valable ne relève pas de la compétence de la Chambre Contentieuse. En outre, le défendeur se demande s’il y a un intérêt pour le plaignant à demander le remboursement d’un montant qui, comme il l’indique lui-même, a été débité d’un compte bancaire qui ne lui appartient pas. Enfin, le défendeur demande de rejeter la demande du plaignant d’être entendu. Les faits de ce dossier ne sont pas sujets à discussion et sont clairs, selon le défendeur.
En réaction au procès-verbal de l’audition, le défendeur souligne que les explications verbales données lors de l’audition sont en parfaite adéquation avec les conclusions de synthèse qu’il a introduites précédemment. Le défendeur a également répété qu’il accordait beaucoup d’importance à l’exercice des droits des personnes concernées et s’est également organisé en ce sens. Le défendeur a joint en annexe de sa réaction la retranscription de la conversation téléphonique entre la mère du plaignant et le défendeur et souligne qu’il en ressort que le numéro de compte bancaire a bien été communiqué lors de l’entretien téléphonique.
Le 1er juillet 2021, le plaignant a également réagi au procès-verbal. Le plaignant indique qu’il maintient ses demandes conformément aux conclusions introduites et à la défense menée. Le plaignant indique qu’il n’avait pas demandé uniquement d’obtenir la retranscription de la conversation téléphonique, mais aussi son enregistrement. Le plaignant souhaite encore consulter le mandat SEPA tel qu’il a été présenté à la banque par le défendeur.
II. Motivation
II.1. Ampleur de la procédure
23. Avant que la Chambre Contentieuse ne procède à l’évaluation concrète des moyens, elle estime utile de préciser certains points. Dans cette procédure, l’attention ne porte que sur ce que le plaignant a soulevé, c’est-à-dire le droit d’accès et les dispositions y afférentes, comme l’obligation des responsables du traitement de prendre les mesures utiles afin de respecter le RGPD.
La Chambre Contentieuse se limitera dès lors au traitement du contenu de la plainte et ne se prononcera pas quant au fait de savoir s’il y a une violation des principes du RGPD relatifs au marketing direct.
24. L’article 58 de la LCA dispose que toute personne peut déposer une plainte écrite, datée et signée auprès de l’APD. L’article 58 LCA doit être lu à la lumière de l’article 77 du RGPD qui octroie à toute personne concernée par un traitement de données le droit «d’introduire une réclamation» auprès d’une autorité de contrôle. Dans sa décision 30/2020 du 8 juillet 2020, la Chambre Contentieuse a reconnu que des personnes autres que des personnes concernées pouvaient introduire une plainte auprès de l’APD, à condition toutefois que le plaignant justifie d’un intérêt suffisant.
25. En l’occurrence, le plaignant dépose plainte suite à une lettre qu’il a reçue à son domicile au sujet d’un abonnement souscrit à son nom, mais avec mention du numéro de compte bancaire de sa mère. C’est cette lettre qui est à l’origine de la demande de droit d’accès du défendeur. Selon le défendeur, l’appel téléphonique a été pris par la mère du plaignant qui aurait accepté et aurait transmis le numéro de compte. Il est ainsi établi que la plainte porte sur des données à caractère personnel du plaignant.
26. L’objet du litige réside dans le fait que le plaignant n’a pas eu d’accès (en temps utile) à ses données à caractère personnel. L’origine du recours du plaignant au droit d’accès était– comme indiqué – la lettre qu’il a reçue et qui contenait ses données à caractère personnel. Le fait que ces lettres ont été envoyées, selon le défendeur, après que la mère du plaignant ait accepté la souscription à un abonnement qui a été confirmé par courrier n’enlève rien au fait qu’il est question du traitement de données à caractère personnel du plaignant. La Chambre Contentieuse constate dès lors qu’il est démontré que le défendeur a traité des données à caractère personnel se rapportant au plaignant.
Les conditions de l’article 77 du RGPD et de l’article 58 de la LCA sont ainsi remplies et il n’est pas nécessaire d’analyser plus avant dans quelle mesure le plaignant a un intérêt suffisant pour introduire la plainte.
II.2. Conclusions des parties et analyse de la Chambre Contentieuse
Concernant le droit d’accès (article 15 du RGPD)
27. Le plaignant affirme qu’il est question de violation de l’article 15 du RGPD. Le 30 juin 2020, le plaignant a reçu une lettre du défendeur confirmant qu’un abonnement à un magazine avait été souscrit entre le plaignant et le défendeur, suite à une conversation téléphonique entre eux. Lors de cette conversation, une domiciliation aurait été octroyée afin de percevoir le montant de l’abonnement. Le plaignant a ensuite réagi par lettre recommandée du 15 juillet 2020 au courrier en question du défendeur. Il demandait à ce dernier de lui fournir toutes les données à caractère personnel dont il disposait. Dans sa lettre du 15 juillet 2020, le plaignant a également indiqué qu’il avait aussi demandé à accéder à ses données à caractère personnel le 8 juillet 2020 via un formulaire de contact sur le site Internet du défendeur. Le plaignant a ensuite reçu le 12 septembre 2020 un avertissement du défendeur quant à l’impossibilité de percevoir le montant de l’abonnement. Le plaignant n’a pas obtenu de réaction à ses lettres et a ensuite déposé plainte à l’APD.
28. Le défendeur affirme que la première demande du plaignant via le formulaire de contact sur le site Internet ne contenait pas d’adresse e-mail correcte de sorte qu’aucun contact ne pouvait être établi avec le plaignant. D’après le défendeur, la deuxième lettre du plaignant a été classée par erreur comme étant déjà traitée et aucune réponse n’y a dès lors été donnée.
29. En ce qui concerne le premier moyen du défendeur qui avance qu’il n’était pas question d’un recours à l’article 15 du RGPD, la Chambre Contentieuse estime – contrairement à ce que prétend le défendeur – qu’on ne peut pas attendre d’une personne concernée qu’elle se réfère explicitement dans une demande d’accès à l’article en question du RGPD – en l’espèce l’article 15 du RGPD – qui est invoqué. Une telle lecture de l’article 15 du RGPD va à l’encontre de la lettre, de la nature et de l’intention de cet article, c’est-à-dire pouvoir accéder facilement et de manière accessible aux données à caractère personnel qui sont traitées au sujet de personnes concernées. L’article 12.1 du RGPD dispose en outre que le responsable du traitement fait le nécessaire pour que la personne concernée reçoive les informations relatives au traitement d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. À cet égard, il suffit que l’objet de la demande soit suffisamment clair, à savoir l’accès à des données à caractère personnel et/ou une copie de celles-ci.
30. Le considérant 63, qui donne davantage d’explications sur l’article 15 du RGPD, dispose en outre notamment ce qui suit : «Une personne concernée devrait avoir le droit d’accéder aux données à caractère personnel qui ont été collectées à son sujet et d’exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d’en vérifier la licéité.»
31. Se basant sur les pièces apportées par le plaignant dans la procédure, la Chambre Contentieuse constate que la demande d’accès était formulée suffisamment clairement, de sorte que le défendeur aurait raisonnablement pu savoir qu’il s’agissait d’une demande d’exercice du droit d’accès, comme défini à l’article 15 du RGPD. La Chambre Contentieuse souligne ce qui suit à cet égard. Dans son message du 8 juillet 2020, le plaignant demandait d’accéder à ses données à caractère personnel sous la mention «cf. le RGPD». L’absence de mention de la disposition pertinente n’est pas importante dans ce contexte. Le plaignant affirme en outre dans ses conclusions ne pas avoir obtenu un accès à toutes les données que le défendeur traite.
Le défendeur soutient que toutes les données ont bien été fournies.
32. Ensuite, la Chambre Contentieuse examine s’il est question en l’espèce d’une violation de l’article 15 du RGPD par le défendeur. Comme indiqué, le plaignant a envoyé un message le 8 juillet 2020 via le formulaire de contact sur le site Internet du défendeur suite à la lettre qu’il avait reçue de ce dernier. Le 15 juillet 2020, le plaignant envoie une lettre recommandée dans laquelle il rappelle le message en question.
33. Le défendeur indique dans ses conclusions que : «La lettre a été scannée en interne chez Test Achats par le département Customer Care. Le préposé n’a pas identifié l’abonné et a classé par erreur la lettre comme étant traitée. Aucune suite n’a donc été donnée à cette lettre.»
34. Le 23 septembre 2020, le plaignant reçoit un avertissement du défendeur concernant le montant de l’abonnement qui n’a pas pu être perçu automatiquement. Le même jour, le plaignant envoie une lettre recommandée au défendeur dans laquelle il formule son opposition à l’avertissement et indique avoir envoyé des courriers précédemment à ce dernier, ce à quoi il n’a pas eu de réaction.
Par ailleurs, le plaignant fait savoir qu’il introduira une plainte auprès de l’APD. En réaction à ce courrier, le plaignant reçoit une réaction le 17 octobre 2020, mentionnant qu’il sera mis fin à l’abonnement et que les frais seront annulés.
35. En vertu de l’article 15 juncto l’article 12.3 du RGPD, la réponse à une demande d’accès à des données à caractère personnel doit être donnée dans le mois de la réception de la demande.
Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. S’il est fait usage de la possibilité de prolongation, le responsable du traitement doit en informer la personne concernée dans le mois qui suit la demande d’accès. En l’occurrence, le défendeur n’a pas réagi à la demande dans le délai imparti, de sorte que la violation des articles 15 et 12.3 du RGPD est avérée.
La prise de mesures techniques et organisationnelles (article 24 du RGPD))
36. Le défendeur indique ensuite qu’en raison de la pandémie, le nombre de travailleurs présents a diminué, entraînant la disparition de certains mécanismes de contrôle. Si en temps normal un deuxième avis peut être demandé en cas de doute, cela n’a pas pu être possible en l’espèce, selon le défendeur.
37. La Chambre Contentieuse rappelle que l’article 24.1 de la LTD dispose que : «Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire.»
38. Selon l’article précité, le responsable du traitement doit prendre des mesures techniques et organisationnelles appropriées afin de garantir que l’on agira dans le respect du RGPD. La Chambre Contentieuse estime que des perturbations internes telles qu’un personnel en sous-effectif en raison de la pandémie, comme l’invoque le défendeur, ne peuvent pas engendrer l’impossibilité pour une personne concernée d’exercer ses droits. Le principe de responsabilité tel qu’établi à l’article 5.2 du RGPD implique que le responsable du traitement puisse démontrer qu’il satisfait aux obligations telles que décrites à l’article 24 du RGPD, dont l’obligation de prendre des mesures organisationnelles.
39. Le droit d’accès est une des exigences majeures du droit à la protection de la vie privée, il constitue la «porte d’entrée» qui permet l’exercice d’autres droits que le RGPD confère à la personne concernée, tel le droit à la rectification, le droit d’accès.1. Le droit d’accès est également repris à l’article 8.2 de la Charte des droits fondamentaux de l’Union européenne et constitue ainsi l’un des éléments centraux du droit fondamental à la protection des données. Le fait que le défendeur soit une organisation de consommateurs qui défend les intérêts des consommateurs représente pour la Chambre Contentieuse une raison supplémentaire pour laquelle le défendeur ne peut pas prendre trop à la légère ses responsabilités en vertu du RGPD. La Chambre Contentieuse estime qu’une telle organisation a un certain rôle d’exemple.
40. Le défendeur a indiqué dans ses conclusions avoir fourni des efforts en interne en vue d’évaluer et d’améliorer la procédure en vigueur, afin que de telles plaintes puissent être mieux évitées.
41. Le défendeur affirme que la procédure ci-dessus a été testée en pratique. La Chambre Contentieuse en prend acte.
Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (article 14 du RGPD)
42. L’article 14 du RGPD dispose que lorsque des données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit notamment les informations suivantes à la personne concernée : l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ; le cas échéant, les coordonnées du délégué à la protection des données ; les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ; les catégories de données à caractère personnel concernées ; le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ; le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale.
43. Les pièces apportées dans la procédure n’ont pas indiqué que le défendeur avait fourni les informations susmentionnées au plaignant. Le défendeur affirme en effet ce qui suit dans les conclusions en réplique introduites : «Ces données ont été obtenues via U et suite à la conversation téléphonique lors de laquelle l’abonnement a été souscrit. Le numéro de téléphone auquel vous avez été contacté n’était pas repris sur la liste «Ne m’appelez plus» au moment de l’appel.
Votre numéro n’a été enregistré sur cette liste que le 25/09/2020. Nous disposons d’une procédure stricte à cet égard, avec plusieurs contrôles afin de ne contacter aucun numéro repris sur cette liste.»
Et de poursuivre : «Un appel a été passé au numéro de téléphone précité afin de faire la promotion d’un abonnement à Test Achats. Une dame [nom X] a répondu, a accepté l’offre et a également transmis un numéro de compte bancaire pour la domiciliation.»
44. La Chambre Contentieuse en déduit que le défendeur disposait quoi qu’il en soit déjà du nom, de l’adresse et du numéro de téléphone. Le défendeur a composé le numéro de téléphone et d’après ses dires, la mère du plaignant a communiqué le numéro de compte bancaire. Le fait qu’un numéro de téléphone ne soit pas repris sur la liste ne m’appelez plus ne justifie en aucun cas de contacter des personnes concernées dans le cadre de marketing direct sans aucune base juridique.
Conformément à l’article 5.1 du RGPD, les données à caractère personnel doivent être traitées de manière transparente. Cette obligation de transparence existe également dans le chef de toutes les organisations qui échangent des données à caractère personnel. Il est de la responsabilité du responsable du traitement de prendre des «mesures appropriées» concernant la fourniture des informations requises comme l’origine des données à caractère personnel à des fins de transparence. Une enquête «due diligence» envers le revendeur des données à caractère personnel et l’exactitude des informations transmises quant aux données à caractère personnel est requise.
Le responsable du traitement doit toujours vérifier la provenance, la base juridique, les finalités et le délai pour un type de traitement, conformément à ses obligations en vertu du RGPD.
La responsabilité (article 5.2 du RGPD) du responsable du traitement implique que des informations de base sont fournies à la personne concernée, à savoir le plaignant, indiquant que le responsable du traitement lui-même traite les données conformément au RGPD et contrôle, avant la location d’un fichier d’adresses, si ces données sont traitées de manière licite par les journaux, les magazines ou les sociétés de vente par correspondance qui lui fournissent des fichiers d’adresses.
Le plaignant peut ainsi s’attendre à ce que le responsable du traitement fournisse des informations sur la manière dont ces journaux, ces magazines ou ces sociétés de vente par correspondance ont obtenu l’adresse du plaignant, ainsi que la base légale sur laquelle s’appuie le traitement de son adresse postale par ces journaux, ces magazines ou ces sociétés de vente par correspondance afin de démontrer que l’adresse postale du plaignant a été louée et traitée de manière licite par le responsable du traitement. Afin de garantir les droits du plaignant, le responsable du traitement doit également mettre à la disposition de celui-ci les coordonnées des journaux, des magazines ou des sociétés de vente par correspondance afin de permettre au plaignant d’exercer son droit d’accès à l’égard de ces journaux, magazines ou sociétés de vente par correspondance. 2
Conformément à l’article 14.3 b), le défendeur aurait dès lors dû informer le plaignant dans un délai raisonnable et, si les données étaient destinées à être utilisées afin de communiquer avec la personne concernée, comme c’était le cas en l’espèce, au plus tard au moment où le premier contact a été établi avec la personne concernée. Une violation de l’article 14 du RGPD peut dès lors être constatée.
Position d’exemple du défendeur
45. Le défendeur remplit le rôle de représentant des intérêts de consommateurs. Il formule lui-même sa mission comme suit : «Prendre à cœur les intérêts des consommateurs, chercher des solutions à leurs défis et les aider à faire valoir leurs droits.» Comme l’indique le défendeur, et c’est aussi de notoriété publique, il est dès lors considéré comme une organisation à laquelle les consommateurs s’adressent afin d’obtenir une assistance lorsqu’ils souhaitent exercer leurs droits en tant que consommateurs. La Chambre Contentieuse estime par conséquent que le défendeur doit viser la plus grande rigueur lorsque des personnes concernées souhaitent exercer leurs droits à l’égard du défendeur lui-même.
46. En annexe de sa réaction au procès-verbal, le défendeur a transmis une retranscription qui est selon lui celle de la conversation entre le collaborateur du défendeur et madame Z, la mère du plaignant. On peut déduire de la retranscription que le collaborateur lui propose un abonnement à l’essai.
Le collaborateur demande ensuite : «Je dois parcourir vos données si c’est possible. Je vois les données de votre mari, c’est possible, X ?»
«Peut-on l’envoyer à son nom ?»
Ce à quoi madame répond : «Oui ,vous pouvez essayer, faites ça, vous pouvez toujours essayer hein.»
Il ressort de la retranscription que madame indique à différents moments vouloir mettre fin à la conversation et être occupée à autre chose. C’est pour cette dernière raison qu’il est mis fin à la conversation et le collaborateur indique qu’il la recontactera. Lorsque madame Z reçoit le deuxième appel téléphonique, il lui est demandé de communiquer son numéro de compte bancaire.
Après avoir cherché sa carte de banque, elle communique le numéro de compte au collaborateur du défendeur. Après avoir transmis son numéro de compte bancaire, madame déclare vouloir mettre fin à la conversation et elle interrompt probablement la connexion, étant donné que le collaborateur du défendeur n’a plus de réaction à sa dernière question consistant à savoir si elle donne son accord sur les délais de résiliation en vigueur.
47. La Chambre Contentieuse déduit de la retranscription de la conversation téléphonique que madame Z ne se rendait pas bien compte de ce pourquoi elle avait transmis le numéro de compte bancaire ni ce à quoi elle consentait. Le collaborateur demande en outre à madame Z si l’abonnement à l’essai peut être mis au nom du plaignant. La Chambre Contentieuse indique au défendeur qu’il est ici question d’une méthode extrêmement préoccupante de la part du défendeur.
De cette manière, une personne pourrait donner son consentement pour quelqu’un d’autre. Cela ne respecte bien entendu pas les articles 6.1.a et 7 du RGPD, qui disposent que seule la personne concernée peut donner son consentement au traitement de ses données à caractère personnel.
Le responsable du traitement est en outre soumis au principe d’obligation de l’article 5.2 du RGPD et doit pouvoir démontrer le respect des principes en matière de traitement de données à caractère personnel, dont les principes de loyauté et de licéité du traitement.
Marketing direct
48. Le RGPD ne définit pas ce que l’on doit entendre par «traitement à des fins de prospection» ou «à des fins de marketing direct» selon la terminologie en anglais. Dans sa Recommandation 01/2020 du 17 janvier 2020 relative aux traitements de données à caractère personnel à des fins de marketing direct, l’APD indique que par «marketing direct», il convient d’entendre ce qui suit :
«Toute communication sous quelque forme que ce soit, sollicitée ou non sollicitée, émanant d’une organisation ou d’une personne et visant la promotion ou la vente de services, de produits (payants ou non), ainsi que de marques ou d’idées, adressée par une organisation ou une personne agissant dans un cadre commercial ou non commercial, qui s’adresse directement à une ou plusieurs personnes physiques dans un cadre privé ou professionnel et impliquant le traitement de données à caractère personnel.3
49. En l’occurrence, le défendeur indique avoir eu un contact téléphonique avec la mère du plaignant via le numéro de téléphone du plaignant dans le cadre d’une démarche de marketing, à savoir la vente de magazines. La Chambre Contentieuse rappelle que tout traitement de données à caractère personnel doit reposer sur une base juridique. Dès lors, un traitement de données à caractère personnel n’est permis que si celui-ci est basé sur une des six bases juridiques de l’article 6 du RGPD. La base juridique doit être établie préalablement au traitement. Cela a en effet des conséquences pour l’exercice effectif des droits des personnes concernées. Afin de pouvoir assurer ces garanties, les personnes concernées doivent être informées quant à la base juridique utilisée pour le traitement, conformément aux articles 13 et 14.1 c) du RGPD. Les pièces du dossier n’ont pas indiqué que le défendeur a respecté son obligation de responsable du traitement d’informer le plaignant préalablement au traitement de données conformément à l’article 14.1 du RGPD. Cette disposition exige de donner des informations concernant l’identité et les coordonnées du responsable du traitement, les coordonnées du délégué à la protection des données, les finalités de traitement, la base juridique, les catégories concernées de données à caractère personnel et au besoin le destinataire ou les catégories de destinataires des données à caractère personnel.
50. La Chambre Contentieuse rappelle encore que l’article 5.2 du RGPD dispose que les responsables du traitement veillent à ce que les données à caractère personnel soient traitées de manière licite, loyale et transparente au regard de la personne concernée (article 5.1 a). Le responsable du traitement a dès lors l’obligation de démontrer qu’il a respecté le principe de responsabilité.
Demandes accessoires du plaignant
51. Dans ses conclusions, le plaignant demande premièrement le retrait de l’autorisation du défendeur de traiter des données de tiers «(…) tant qu’il n’a pas été démontré que cela peut être organisé correctement et avec une réaction adéquate aux plaintes et aux demandes d’information.»
La Chambre Contentieuse n’est pas compétente pour se prononcer quant à une interdiction générale de traiter des données d’autres personnes que le plaignant.
52. Deuxièmement, le plaignant exige une indemnisation des frais ainsi qu’un dédommagement moral.
La Chambre Contentieuse ne dispose pas de la compétence d’octroyer un tel dédommagement.
53. Troisièmement, le plaignant demande le remboursement de la somme de huit euros qui aurait été indûment débitée de son compte. Cela ne relève toutefois pas de la compétence de la Chambre Contentieuse.
54. Quatrièmement, le plaignant souhaite que la décision de la Chambre Contentieuse soit publiée dans deux journaux nationaux. L’article 100, § 1, 16° donne à la Chambre Contentieuse la possibilité de statuer au cas par cas quant à la publication de la décision sur le site Internet de l’APD. Elle ne dispose toutefois pas de la compétence d’ordonner la publication dans les médias, comme le demande le plaignant.
III. Sanctions à infliger
55. Sur la base des éléments qui précèdent, la Chambre Contentieuse estime que :
— le défendeur n’a pas réagi en temps utile aux demandes du plaignant (du 8 juillet 2020 et du 15 juillet 2020) d’accéder à ses données à caractère personnel, ce qui constitue une violation des articles 15 et 12.3 du RGPD ;
— le défendeur a obtenu les données à caractère personnel du plaignant d’un tiers de sorte que le plaignant n’a pas été informé de la base juridique ni des finalités pour lesquelles ses données à caractère personnel ont été traitées, de sorte qu’une violation de l’article 14 du RGPD est avérée.
Pour ces raisons, la Chambre Contentieuse estime adéquat d’infliger une réprimande conformément à l’article 58.2 b) du RGPD et à l’article 100, § 1, 5° de la LCA. À cet égard, la Chambre Contentieuse tient compte de la circonstance aggravante suivante : le défendeur est une organisation qui défend les intérêts des consommateurs, ce qui implique un certain rôle d’exemple dans son chef.
Par contre, la Chambre Contentieuse a vérifié dans quelle mesure les infractions constatées présentaient un caractère structurel. Elle n’a pas pu l’établir. Le défendeur s’est par ailleurs déclaré disposé à améliorer les processus internes et a affirmé qu’il entreprendrait aussi les démarches nécessaires à cet effet.
56. La Chambre Contentieuse n’estime dès lors pas nécessaire d’infliger une amende administrative.
IV. Publication de la décision
57. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’APD. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification du plaignant soient directement communiquées. Vu la position du défendeur qui a un monopole en tant qu’organisation de consommateurs et le rôle d’exemple qui lui incombe, dès lors qu’il s’agit de la protection des droits de personnes, le nom du défendeur est publié. La particularité de l’affaire ne permet en outre pas une anonymisation, car le texte de la décision, même anonymisé, pourrait permettre de déduire qui est le défendeur en l’espèce.
58. Dans un arrêt rendu récemment, la Cour des marchés a reconnu l’importance de la transparence quant au processus décisionnel de la Chambre Contentieuse et a indiqué que la publication de décisions sur le site Internet de l’APD était justifiée dans le cadre de la transparence 4. La Cour des marchés a en outre estimé que l’anonymisation et la pseudonymisation pouvaient ne pas être appliquées dans certains cas. Selon la Cour des marchés, ce peut notamment être le cas lorsque l’identification du responsable du traitement constitue une question d’intérêt public.
PAR CES MOTIFS,
la Chambre Contentieuse de l’Autorité de protection des données décide, après délibération :
— de prononcer à l’encontre du défendeur une réprimande, conformément à l’article 100, § 1 er, 5° de la LCA pour avoir violé les articles 12.3, 14 et 15 du RGPD ;
En vertu de l’article 108, § 1er de la LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des marchés dans un délai de trente jours à compter de sa notification, avec l’Autorité de protection des données en qualité de défenderesse.
(sé.) Hielke Hijmans
Président de la Chambre Contentieuse

Document PDF ECLI:BE:GBAPD:2021:DEC.20210715.1

Publication(s) liée(s)

précédé par:

ECLI:BE:GBAPD:2021:AVIS.20210521.14

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

✉ [email protected]

©  2017-2026 Service ICT — SPF Justice

Powered by PHP 8.5.0

Server Software Apache/2.4.66

== Fluctuat nec mergitur ==