ECLI:BE:GBAPD:2021:DEC.20210604.1

JUPORTAL Base de données publique de la jurisprudence belge

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

 
Autorité de protection des données

Décision du 04 juin 2021

No ECLI:

ECLI:BE:GBAPD:2021:DEC.20210604.1

No Rôle:

67/2021

Domaine juridique:

Droit civil

Date d’introduction:

2025-08-12

Consultations:

61 – dernière vue 2026-04-14 17:40

Fiche

LA CHAMBRE CONTENTIEUSE Après en avoir délibéré, décide : – Qu'il
y a eu violation des articles 16 et 17 du RGPD combinée à l'article
12.3. du RGPD ; – Qu'il n'est pas nécessaire de prononcer l'une
des mesures prévues à l'article 100.1 LCA.

Thésaurus UTU:

DROIT CIVIL – VIE PRIVÉE – Traitement données à caractère personnel – Autorité de protection des données (Commission de la protection de la vie privée)

Mots libres:

Plainte relative à l'absence de suite donnée en temps utile à
une demande d'effacement par un établissement bancaire. (DOS-2019-01315)

Bases légales:

Loi – 03-12-2017 – 100,1° – 11
Lien ELI No pub 2017031916

Texte de la décision

Chambre Contentieuse Décision quant au fond 67/2021 du 4 juin 2021
N° de dossier : DOS-2019-01315
Objet : Plainte relative à l’absence de suite donnée en temps utile à une demande d’effacement par un établissement bancaire
La Chambre Contentieuse de l’Autorité de protection des données, constituée de Monsieur Hielke Hijmans, président ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après RGPD;
Vu la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données (ci-après LCA);
Vu le Règlement d’ordre intérieur tel qu’approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
La plaignante : Madame X,
La défenderesse : La S.A. Y ; ayant pour conseils Me T. Léonard et Me O. Guerguinov, avocats, dont le cabinet est établi à 1050 Bruxelles, avenue de la Couronne 224.
1. Rétroactes de procédure
Vu la plainte déposée le 9 octobre 2018 par la plaignante auprès de l’Autorité de protection des données (APD) ;
Vu décision de recevabilité du Service de Première Ligne (SPL) de l’APD du 12 mars 2019 ;
Vu la décision prise par la Chambre Contentieuse lors de sa séance du 2 avril 2019 de saisir l’inspecteur général sur la base des articles 63, 2° et 94, 1° LCA et la saisine en date du 4 avril 2019;
Vu le rapport et procès-verbal d’enquête de l’Inspecteur général transmis le 9 janvier 2020 à la Chambre contentieuse ;
Vu le courrier du 21 janvier 2020 de la Chambre Contentieuse informant les parties de sa décision de considérer le dossier comme étant prêt pour traitement au fond sur la base de l’article 98 LCA et leur communiquant un calendrier d’échange de conclusions ;
Vu le courrier de la plaignante du 1er février 2020 ;
Vu les conclusions de la défenderesse déposées par ses conseils et reçues le 19 février 2020.
2. Les faits et l’objet de la plainte
1. Le 9 juillet 2018, la plaignante introduit une demande d’opposition et d’effacement de certaines données la concernant auprès de la défenderesse (agence de (…)), se basant sur l’information fournie quant à l’exercice de ses droits aux termes de la « Déclaration vie privée » disponible sur le site Internet de la défenderesse.
2. Par un courrier du 23 juillet 2018, l’équipe chargée des questions de protection des données et de vie privée de la défenderesse lui répond avoir donné suite à sa demande d’opposition à l’utilisation de ses données à des fins de marketing et de profilage. La défenderesse informe par ailleurs la plaignante sur les données qu’elle traite la concernant et lui explique les raisons pour lesquelles elle ne peut effacer toutes les données la concernant, notamment celles en rapport avec les produits dont bénéficie la plaignante et ce, en ces termes :
« (…) Nous ne pouvons malheureusement pas satisfaire à votre demande de suppression de données. En effet, en ce qui concerne les produits clôturés, nous avons l’obligation légale de conserver certaines données personnelles après la résiliation d’un contrat lié à son produit particulier. Cette période de rétention peut varier selon les différents produits (par ex : les produits de crédit doivent être archivés jusqu’à 30 ans après la résiliation du contrat). Nous vous confirmons qu’à l’expiration du délai légal d’archivage, ces données sont supprimées automatiquement. Ce délai n’a pas encore été atteint pour vos produits clôturés.
En outre, vous avez encore des produits « ouverts » à la Banque. Dans le cadre de l’exécution de nos obligations contractuelles envers vous et l’accomplissement de nos obligations légales, certaines données doivent être inévitablement traitées sans quoi il nous est impossible de remplir notre mission ».
Quinze (15) pages d’annexes reprenant les numéros de compte, de cartes bancaires, numéros de contrat et autres données personnelles relatives à la plaignante sont communiquées à cette dernière en annexe de ce courrier.
Ce courrier informe également la plaignante de la possibilité d’exercer son droit de rectification auprès de son agence ainsi que de la possibilité de déposer une plainte auprès de l’Autorité de protection des données (APD).
3. Le 31 juillet 2018, la plaignante informe son agence de (…) de son souhait d’exercer son droit de rectification concernant deux catégories de données et partant :
– demande la correction de la mention relative à son activité professionnelle qui indique erronément qu’elle est employée ;
– s’étonne de la mention de différentes cartes bancaires dont elle dit n’avoir pas connaissance (…) et demande des explications complémentaires concernant celles-ci.
4. Le 29 août 2018, l’agence (…) de la défenderesse donne suite à la demande de la plaignante et lui annonce avoir introduit auprès du siège une demande de rectification quant à son activité professionnelle en vue d’indiquer la mention « retraité ». Elle lui donne également une explication concernant les cartes bancaires en cause.
5. Par courrier du 4 septembre 2018, toujours adressé à l’agence de ( …), la plaignante prend acte de la demande de correction de la mention relative à son activité professionnelle et demande la suppression de la mention des cartes de retrait d’extraits et l’indication de la mention « clôturée » au regard de la carte Mastercard.
6. Par courrier du 21 septembre 2018, l’équipe chargée des questions de protection des données et de vie privée de la défenderesse confirme l’exécution de la correction de la mention relative à l’activité professionnelle de la plaignante. La défenderesse précise que ce courrier ne contient aucune information relative aux cartes bancaires car ces mentions relèvent de la gestion des produits de la plaignante par l’agence et pas d’une demande de rectification directe des données personnelles de la plaignante traitée par l’équipe chargée des questions de protection des données et de vie privée.
7. Le 9 octobre 2018, soit très peu de temps après la réception du courrier dont question ci-dessus (35 jours après sa demande auprès de la défenderesse), la plaignante dépose plainte auprès de l’APD. L’interprétation de la défenderesse est à cet égard que, selon toute vraisemblance, la plaignante a, à tort selon la défenderesse, considéré que l’absence de toute indication relative à ses demandes au sujet des cartes bancaires devait être interprétée comme un refus de la défenderesse d’y donner suite. La défenderesse explique en conclusions qu’en réalité « il ne restait plus qu’à son agence qu’à introduire dans le système les modifications techniques liées aux cartes en question. Malheureusement, l’agence a oublié de procéder à ces modifications et n’ayant plus eu de contact sur ce point avec la plaignante depuis, n’a pu corriger cet oubli avant la demande d’information du service d’inspection du 8 novembre 2019 » (point 4 des conclusions de la défenderesse).
8. Aux termes de sa plainte, la plaignante relève qu’il n’a pas été donné suite à cette partie de sa demande d’effacement et demande à l’APD d’intervenir auprès de la défenderesse pour que « le nécessaire soit fait » et que cela lui soit notifié.
9. Quant à la défenderesse, elle sollicite par voie de conclusions que l’APD, au vu de la mise en conformité du traitement litigieux avec le RGPD et de l’absence totale de volonté de sa part d’entraver les droits de la plaignante, de ne prendre aucune sanction à son égard et subsidiairement, si une sanction devait être prononcée, d’en accorder la suspension du prononcé.
3. Le rapport d’inspection du 9 janvier 2020
10. Aux termes de son rapport d’inspection du 9 janvier 2020, l’inspecteur général fait les constats suivants :
Constatation 1 : il apparait qu’il n’a pas été donné suite au courrier de la plaignante du 4 septembre 2018 adressé à l’agence de (…) dans lequel la plaignante sollicitait explicitement l’effacement de cartes de banque commençant par […] n’étant plus en sa possession, et l’effacement ou la rectification du statut « ouvert » de son ancienne carte de crédit expirée, en contrariété avec les articles 12, 16 et 17 du RGPD.
Constatation 2 : à la suite du courrier du Service d’inspection, Y [lisez la défenderesse] a effacé les données concernant les cartes bancaires n’étant plus en la possession de la plaignante et corrigé le statut de la carte de crédit expirée de la plaignante.
11. La Chambre Contentieuse relève dès lors que l’intervention de l’Inspection a permis de répondre à la préoccupation de la plaignante et qu’il a, à cet instant, été satisfait de manière complète à sa demande d’effacement. La Chambre Contentieuse note par ailleurs que lors de la communication du rapport de l’inspection à la plaignante, cette dernière a dûment été informée des démarches menées par l’APD et des effets de celle-ci.
EN DROIT
12. Il incombe à la défenderesse, en sa qualité de responsable de traitement, de donner suite à l’exercice des droits des personnes concernées et ce dans le respect des conditions de l’article 12 du RGPD. La Chambre Contentieuse rappelle ici qu’aux termes de l’article 12.3. du RGPD, il incombe au responsable de traitement de fournir à la personne concernée (ici la plaignante) des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22 du RGPD (en ce compris donc une demande d’effacement comme en l’espèce basée sur l’article 17 du RGPD ou de rectification basée sur l’article 16 du RGPD) dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. L’article 12.3. du RGPD poursuit en ajoutant qu’au besoin, ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes.
13. La Chambre Contentieuse relève qu’aux termes de ses conclusions, la défenderesse ne conteste pas être restée, à la suite d’une erreur humaine, en défaut de satisfaire complètement à la demande d’effacement/rectification de la plaignante à laquelle elle présente ses excuses.
14. A l’appui des constats opérés par l’Inspecteur général aux termes de son rapport et au vu de ce qui précède, la Chambre Contentieuse conclut effectivement à un manquement à l’article 12.3 et aux articles 16 et 17 du RGPD dans le chef de la défenderesse.
15. Dans le cadre de son appréciation souveraine de la mesure correctrice et/ou de la sanction éventuelle appropriée aux faits d’espèce, la Chambre Contentieuse prend en considération l’ensemble des considérations qui suivent.
16. Il résulte des faits et des pièces déposées dans le cadre de ce dossier que les manquements de la défenderesse tel que retenus par la Chambre Contentieuse (point 14 ci-dessus) à l’appui du constat de l’inspection (point 10 ci-dessus) sont limités à l’absence de suite donnée à la demande finale de la plaignante (du 4 septembre 2018) de procéder à la modification des statuts de cartes bancaires qu’elle n’utilisait plus.
17. Les faits et les pièces produites par les parties démontrent qu’hormis ce volet de la demande d’effacement/rectification de la plaignante, la défenderesse a fait suite aux demandes d’information et de rectification antérieures de la plaignante dès juillet 2018 suivant en cela les procédures mises en place en son sein et informant la plaignante de manière adéquate et dans le délai prescrit par l’article 12.3. du RPD.
18. Quant au nombre de personnes concernées, la Chambre Contentieuse n’est en possession d’aucun élément qui lui permettrait de penser que les procédures mises en place par la défenderesse ne seraient pas de nature à permettre la satisfaction des droits des personnes concernées conformément au RGPD. Le cas de la plaignante semble jusqu’ici être un cas isolé.
19. La Chambre Contentieuse ne dispose d’aucun élément lui permettant de conclure qu’il s’agirait d’un manquement intentionnel.
20. Quant à la coopération avec l’APD, la Chambre Contentieuse relève, comme le rapport d’inspection déjà cité en fait le constat, qu’à la suite de l’intervention du service d’inspection, il a été immédiatement donné suite à la demande de la plaignante.
21. Enfin, la Chambre Contentieuse constate l’absence de dommage invoqué par la plaignante.
22. A l’appui de ce qui précède, la Chambre Contentieuse se limite à rappeler à la défenderesse le respect dû aux demandes d’exercice des droits des personnes concernées, en particulier l’article 17 du RGPD, et ce dans le respect des conditions posées par l’article 12 du RGPD sans que ce rappel ne doive être considéré comme l’une des sanctions ou mesures correctrices listées à l’article 100 § 1erLCA.
4. Transparence
23. Compte tenu de l’importance de la transparence en ce qui concerne le processus décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site Internet de l’APD moyennant la suppression des données d’identification directe des parties et des personnes citées, qu’elles soient physiques ou morales.
POUR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE
Après en avoir délibéré, décide :
– Qu’il y a eu violation des articles 16 et 17 du RGPD combinée à l’article 12.3. du RGPD ;
– Qu’il n’est pas nécessaire de prononcer l’une des mesures prévues à l’article 100.1 LCA.
En vertu de l’article 108.1 LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa notification, avec l’Autorité de protection des données en qualité de défenderesse.
(Sé). Hielke Hijmans
Président de la Chambre Contentieuse

Document PDF ECLI:BE:GBAPD:2021:DEC.20210604.1

Publication(s) liée(s)

précédé par:

ECLI:BE:GBAPD:2021:AVIS.20210520.2

Imprimer cette page
 

Taille d’impression

S
M
L
XL

 

Nouvelle recherche JUPORTAL
 

Fermer l’onglet

✉ [email protected]

©  2017-2026 Service ICT – SPF Justice

Powered by PHP 8.5.0

Server Software Apache/2.4.66

== Fluctuat nec mergitur ==