ECLI:BE:GBAPD:2024:DEC.20241219.1

Chambre Contentieuse Décision quant au fond 169/2024 du 19 décembre 2024 Numéro de dossier : DOS-2020-01234 Objet : Plainte relative à l’incapacité de donner suite à la demande d’accès du plaignant en raison de l’effacement des données à caractère personnel relatives à ce dernier La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Christophe Boeraeve et Dirk Van Der Kelen, membres; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X, ci-après « le plaignant » La défenderesse : Y, représentée par Maître Edwin JACOBS et Maître Jolien CLEMENS, ci-après « la défenderesse » I. Faits et procédure 1. Le 3 avril 2020, le plaignant introduit une plainte auprès de l’Autorité de protection des données contre la défenderesse. 2. L'objet de la plainte concerne une demande d’accès et une demande d’effacement, la première ayant été rendue impossible par la mise en œuvre de la seconde. 3. Les 26 et 27 février 2020, ainsi que les 6 et 9 mars 2020, le plaignant fait, auprès de la défenderesse, état d’appels téléphoniques non-sollicités reçus entre le mercredi 18 février 2020 et le lundi 9 mars 2020, et ce malgré le fait qu’il ait préalablement exercé son droit d’opposition en s’inscrivant sur une liste « Ne m’appelez plus ». Le plaignant identifie dans son courriel le numéro de téléphone appelant. Par ailleurs, le plaignant demande à la défenderesse (i) la manière par laquelle elle a pu se procurer des données à caractère personnel le concernant, ainsi que (ii) la suppression de celles-ci. Le plaignant précise qu’il doit être procédé à la réponse de sa première question avant de donner satisfaction à la seconde. Ces demandes ne reçoivent aucune suite. 4. Le 15 juillet 2020 la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 5. Le 6 août 2020, conformément à l’article 96, § 1er de la LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que la plainte et l’inventaire des pièces. 6. Le 14 septembre 2020, la défenderesse enregistre la demande d’effacement du plaignant après que le Service d’inspection soit entré en contact avec elle. Cette dernière prend alors connaissance de nombreux problèmes techniques concernant ses adresses électroniques, qui l’auraient empêchée de recevoir certains courriels à son adresse mail «adresse e-mail». Selon elle, ces problèmes proviennent de la migration de leurs anciennes boîtes mails vers leurs nouvelles, celle-ci s’étant faite dans le cadre de son changement de nom. 7. Le 30 septembre 2020, l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier et celui-ci est transmis par l’inspecteur général au Président de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA). Le rapport comporte des constatations relatives à l'objet de la plainte et conclut que : 1. La défenderesse a manqué au respect des articles 12.1, 12.2, 12.3, 12.4, 15, 17 et 21.3 du RGPD en ce qu’elle ne démontre pas avoir informé le plaignant d’une manière effective et transparente quant à son droit à l’effacement et d’avoir facilité l’exercice des droits des personnes concernées visés aux articles 15 à 22 du RGPD, en ce qu’elle ne démontre pas avoir respecté le droit d’accès du plaignant et, enfin, en ce qu’elle ne démontre pas avoir respecté le droit d’opposition du plaignant étendu que ce dernier a continué à percevoir des appels téléphoniques de la part de la défenderesse malgré l’usage de ce même droit. Le rapport comporte également des constatations qui dépassent l’objet de la plainte. Le Service d’Inspection constate, dans les grandes lignes, que : 2. La défenderesse a manqué au respect des articles 12.1, 13.1, 13.2, 14.1 et 14.2 du RGPD en ce que la politique de confidentialité présente sur son site Internet ne fournit pas toutes les informations requises au titre du principe de transparence étant entendu que les informations qui y sont inscrites sont erronées, incomplètes et/ou trop longues que pour être suffisamment claires pour les personnes concernées ; 3. La défenderesse a manqué au respect des articles 4, 11), 6.1, a), 7.1 et 7.3 du RGPD, en ce qu’elle n’a pas obtenu un consentement préalable à l’utilisation des cookies et qu’en outre elle n’a pas informé le plaignant quant à la possibilité de retirer son consentement ; 4. La défenderesse n’a pas manqué au respect de l’article 30.1 et 30.3 du RGPD en ce que « le registre des activités de traitement du RT qui a été fourni aux Service d’Inspection (pièce 15) répond aux exigences minimales précitées »2. Le rapport comporte en outre des considérations contextuelles supplémentaires, telles que suit : 5. Le traitement des données à caractère personnel s’opère à grande échelle au regard de la place importante qu’occupe la défenderesse dans son secteur économique ; 6. La nature des violations constatées est grave étant entendu que les constats énumérés précédemment portent considérablement préjudice aux objectifs inscrits à l’article 1.2 du RGPD, cela en contradiction des promesses en matière de protection de la vie privée tenues par la défenderesse. 8. Le 11 mai 2023 la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 9. À cette même date, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. 10. Les parties sont invitées à se défendre au regard des constats et griefs suivants retenus 3 par la Chambre Contentieuse : - Violation de l’article 12, paragraphes 1, 2, 3 et 4 et de l’article 15 du RGPD au motif que : la défenderesse ne démontre pas qu’elle a respecté le droit d’accès du plaignant, a donné une réponse motivée à sa demande conformément à l’article 12, paragraphes 3 et 4 du RGPD et a facilité l’exercice de ses droits, conformément à l’article 12, paragraphes 1, 2 et 3 du RGPD » ; - Violation présumée de l’article 31 du RGPD (coopération avec l’autorité de contrôle) au motif que : en faisant d’abord suite à la demande d’effacement du plaignant, la défenderesse a ipso facto privé ce dernier de son droit d’accès ; dans la mesure où la défenderesse a initié la demande d’effacement postérieurement à la prise de contact par le Service d’inspection de l’APD, la défenderesse semble avoir détruit des éléments de preuves, ce qui a pour effet, d’une part, de compromettre l’enquête préliminaire du Service d’inspection, d’autre part, d’empêcher une coopération avec l’autorité de contrôle. 11. Le 12 mai 2023, le plaignant accepte de recevoir toutes les communications relatives à l'affaire par voie électronique. 12. Le 15 mai 2023, la défenderesse accepte de recevoir toutes les communications relatives à l'affaire par voie électronique et manifeste son intention de recourir à la possibilité d'être entendue, ce conformément à l'article 98 de la LCA. 13. Le 25 mai 2023, la défenderesse conteste la langue de procédure choisie et demande une copie du dossier (art. 95, §2, 3° LCA). La défenderesse adresse un rappel concernant ceci le 13 juin 2023 par lequel elle demande en outre un prolongement des délais de conclusion de 5 semaines. La copie du dossier est transmise à la défenderesse le 4 juillet 2024. 14. Le 23 juin 2023, la Chambre Contentieuse reçoit les conclusions en réponse de la défenderesse en ce qui concerne les constatations relatives à l'objet de la plainte. Ces conclusions contiennent également la réaction de la défenderesse concernant les éléments de l’affaire allant au-delà de l'objet de la plainte. Étant entendu que la défenderesse a déposé des conclusions de synthèse, son argumentaire est repris au point 17 ci-après. 15. Le 27 juin 2023, la Chambre Contentieuse reçoit les conclusions en réplique de la part du plaignant. La Chambre Contentieuse note bien le fait que la défenderesse a indiqué dans ses conclusions de synthèse que le plaignant n’a pas remis de conclusions. Toutefois, dans un souci d’accessibilité, la Chambre Contentieuse laisse une large liberté aux plaignants dans leurs conclusions, celles-ci n’étant pas soumises aux conditions fixées par le Code judiciaire4. Partant, elle retient les observations faites à cette date par le plaignant en tant que conclusions. Celles-ci peuvent être résumées comme suit : - Le plaignant n’a jamais reçu de la part de la défenderesse une confirmation selon laquelle il aurait été procédé à l’effacement de ses données à caractère personnel (art. 17 RGPD) ; - La défenderesse a tort de faire porter la responsabilité des manquements allégués à ses sous-traitants, étant entendu qu’elle doit s’assurer, en tant que responsable de traitement, du respect de la réglementation en matière de protection des données à caractère personnel par ses sous-traitants notamment ; - Eu égard aux capacités techniques dont dispose la défenderesse, il n’est pas crédible pour cette dernière de se retrancher derrière des problèmes informatiques, d’autant que le plaignant a insisté, lors de chaque appel, pour que ses données soient effacées ; - Contrairement à ce qu’affirme la défenderesse, le plaignant a exercé son droit d’accès en plus de son droit à l’effacement – le plaignant ayant demandé à ce que la défenderesse accorde une suite au premier avant le second. 16. Le 4 juillet 2023, la Chambre Contentieuse répond à la défenderesse concernant la langue de procédure. La Chambre Contentieuse décide de maintenir le français comme langue de procédure, sans toutefois entraver la possibilité qui est celle de la défenderesse de pouvoir conclure, communiquer ou encore s’exprimer à l’audition en néerlandais. Par ailleurs, au regard du retard avec lequel la copie du dossier a été transmise à la défenderesse, la Chambre Contentieuse accepte de prolonger les échanges de conclusion de cinq semaines. Ainsi, la nouvelle date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 8 août 2023, celle pour les conclusions en réplique du plaignant au 29 août 2023 et enfin celle pour les conclusions en réplique de la défenderesse au 19 septembre 2023. 17. Le 19 septembre 2023, la Chambre Contentieuse reçoit les conclusions de synthèse de la part de la défenderesse. Elles peuvent être résumées comme suit : - En n’ayant pas présenté, dans sa lettre d’invitation à conclure du 11 mai 2023, toutes les constatations établies par le Service d’inspection et en y ayant présenté comme une constatation établie par le Service d’inspection une violation présumée de l’article 31 RGPD alors que cela ne ressort pas du rapport d’enquête, la défenderesse n’est pas en mesure de déterminer avec précision les éléments sur lesquels elle doit se défendre ; - L’Autorité de protection des données a porté atteinte au principe de coopération nationale (art. 52 de la LCA) ainsi qu’aux principes de prudence et de légalité en ne procédant pas à la vérification de l’existence d’une procédure pénale et/ou administrative en cours ; - La plainte devrait être classée sans suite étant entendu que la plainte concerne, pour l’essentiel, le droit d’opposition à un traitement de données à caractère personnel à des fins de marketing direct, dont le SPF Économie est le premier compétent, l’APD n’ayant qu’une compétence résiduelle. Ceci est davantage motivé par le fait que ceci constitue un motif de classement sans suite d’opportunité de l’APD, et que cela a été illustré dans diverses décisions de la Chambre Contentieuse. Par ailleurs, l’APD ne justifie pas la raison pour laquelle elle décide de ne pas classer sans suite la présente plainte ; - La Chambre Contentieuse doit intégralement écarter le rapport d’enquête en ce que le Service d’inspection ne fournit pas l’apparence d’impartialité dans son rapport d’enquête, constituant ainsi un manquement au principe de bonne administration (art. 41.2 de la Charte des droits fondamentaux de l’Union européenne, ci-après « la Charte ») ainsi qu’au principe de prudence ; - Au regard du nombre d’années qu’a pris l’APD pour traiter du dossier, il ne peut être que conclu au manquement au principe de diligence et au droit à une bonne administration (art. 41.2 de la Charte) ; - La défenderesse n’a pas enfreint l’article 12.3 du RGPD étant entendu que les problèmes informatiques qu’elle a rencontrés lors de la migration de ses anciennes adresses mail vers la nouvelle, couplé au contexte de la crise Covid-19, l’ont empêchée de recevoir les demandes du plaignant. Partant, elle considère que les dates des demandes d’exercice de droits du plaignant ne pourraient être considérées comme le point de départ du calcul du délai fixé par l’article 12.3, étant entendu que ces demandes ne sont pas parvenues à l’un de ses canaux de communication officiels. Elle soulève avoir pris connaissance des demandes susmentionnées que le 1er septembre 2020, et a procédé à l’effacement des données du plaignant le 15 septembre 2020. En tout état de cause, elle relève que les erreurs humaines et techniques peuvent survenir ; - Elle n’a pas enfreint l’article 17 du RGPD en ce qu’elle a effectivement effacé les données à caractère personnel du plaignant, et que le raison pour laquelle ce dernier n’a reçu aucune confirmation à cet égard est que l’exécution de sa demande d’effacement a précisément effacé son adresse mail, de sorte qu’il n’était plus possible de l’en informer ; - Il n’est pas possible de retenir une demande d’accès (art. 15 RGPD) de la part du plaignant, puisqu’il ressort des pièces du dossier et du formulaire de plainte du plaignante que la véritable demande de celui-ci consistait en l’effacement de ses données à caractère personnel ; - Elle respecte les articles 5.2 et 24, ainsi que l’article 25.1 du RGPD en ce qu’elle a mis en œuvre, concernant le droit d’opposition, la centralisation de la liste de tous les clients ayant exercé leur droit d’opposition sans pour autant s’être inscrits sur la liste « Ne m’appelez plus » (les deux listes étant supposées faire l’objet d’une fusion en vue de garantir au mieux l’effectivité du droit d’opposition) et un système interne n’autorisant pas les agents commerciaux à appeler des numéros de téléphone figurant sur les listes de prospects, et que, concernant le droit d’accès, elle fournit conformément à la loi un aperçu des données à caractère personnel traitées ainsi qu’une copie de ces mêmes données sur demande ; - Elle a agi dans le respect de l’article 31 du RGPD dès lors qu’elle a répondu aux questions que le Service d’inspection lui a posées, et qu’elle lui a communiqué les documents demandés « de manière complète, détaillée et transparente »5. En outre, elle n’a pas effacé les données à caractère personnel afin de détruire des preuves, mais afin de respecter la demande d’effacement de données du plaignant exercée le 26 février 2020 ; - Enfin, elle demande à ce que la décision ne soit pas publiée sur le site Internet de l’APD, ou qu’à tout le moins elle soit publiée sous une forme anonymisée. 18. Le 18 avril 2024, les parties sont informées du fait que l'audition aura lieu le 31 mai 2024. 19. Le 31 mai 2024, les parties sont entendues par la Chambre Contentieuse. 20. Le 12 juin 2024, le procès-verbal de l’audition est soumis aux parties. 21. La Chambre Contentieuse ne reçoit aucune remarque relative au procès-verbal. II. Motivation II.1. Procédure 22. Droits de la défense (art. 6 de la CEDH et art. 47, al. 2 de la Charte) et principe de bonne administration (art. 41 de la Charte) – La défenderesse affirme que l’APD a violé ses droits de la défense, trouvant leurs fondements dans l’article 6 de la CEDH et dans l’article 47, §2 de la Charte, ainsi que le principe de bonne administration visé à l’article 41 de la même Charte étant entendu que l’APD n’aurait pas rendu clairs les griefs contre lesquels elle était invitée à se défendre. La lettre du 11 mai 2023 par laquelle la Chambre Contentieuse a invité les parties à conclure présentait les constatations réalisées par le Service d’inspection dans le cadre de la présente affaire en les termes suivants : « Au regard des pièces du dossier, le Service d’inspection a constaté que la défenderesse a violé diverses dispositions du RGPD pour les motifs suivants : • Violation de l’article 12, paragraphes 1, 2, 3 et 4 et de l’article 15 du RGPD au motif que : la défenderesse ne démontre pas qu’elle a respecté le droit d’accès du plaignant, a donné une réponse motivée à sa demande conformément à l’article 12, paragraphes 3 et 4 du RGPD et a facilité l’exercice de ses droits, conformément à l’article 12, paragraphes 1, 2 et 3 du RGPD ; • Violation présumée de l’article 31 du RGPD (coopération avec l’autorité de contrôle) au motif que : en faisant d’abord suite à la demande d’effacement du plaignant, la défenderesse a ipso facto privé ce dernier de son droit d’accès ; dans la mesure où la défenderesse a initié la demande d’effacement postérieurement à la prise de contact par le Service d’inspection de l’APD, la défenderesse semble avoir détruit des éléments de preuves, ce qui a pour effet, d’une part, de compromettre l’enquête préliminaire du Service d’inspection, d’autre part, d’empêcher une coopération avec l’autorité de contrôle. » 23. La défenderesse relève que la première violation citée dans ladite lettre ne reprend que la première conclusion présente dans le rapport d’enquête (constituant, par ailleurs, la seule conclusion se situant dans le cadre de l’objet de la plainte). 24. En outre, elle déclare que la seconde violation, pourtant présentée comme une constatation issue du rapport d’enquête, ne figure nullement dans celui-ci. 25. Pour ces raisons, la défenderesse conclut ne pas savoir précisément les manquements contre lesquels il est attendu qu’elle se défende. 26. La Chambre Contentieuse reconnaît la présentation incomplète des violations constatées – ou non – par le Service d’inspection, et décide dès lors de restreindre l’examen de fond aux articles 12.1, 12.2, 12.4 et 15 du RPGD, à l’égard desquels la défenderesse a pu conclure dans le strict respect de ses droits de la défense. 27. La vérification de l’existence de procédures administratives et/ou pénales pendantes (art. 52 LCA et principes diligence et de légalité) – La défenderesse considère qu’il incombe à l’Autorité de protection des données de vérifier s’il existe ou non des procédures administratives et/ou pénales pendantes, ce qui en l’espèce n’aurait pas suffisamment été fait, notamment eu égard au courriel du 6 mars 2020 par lequel le plaignant partage son intention de déposer une plainte auprès du procureur du Roi. 28. D’une part, la défenderesse considère que l’adage « le criminel tient le civil en état » s’applique aux autorités administratives, telles l’APD, de sorte que cette dernière devrait suspendre sa procédure jusqu’au terme de la procédure pénale le cas échéant. Elle s’appuie à cet effet sur la jurisprudence de la Cour de cassation, du Conseil d’état et de la Cour des marchés. Elle cite en outre des décisions de la Chambre Contentieuse par laquelle cette dernière aurait reconnu l’application de l’adage précité dans le cadre de l’exercice de ses propres compétences. De plus, la défenderesse prétend qu’en ne vérifiant pas l’existence de procédure pénale en parallèle, l’APD manque au respect du principe de légalité en ce qu’elle ne respecte pas son devoir de coopération issu de l’article 52 de la LCA, qui dispose ce qui suit : « § 1er. L'Autorité de protection des données accomplit ses missions dans un esprit de dialogue et de concertation avec tous les acteurs publics et privés concernés par la politique de la protection des libertés et droits fondamentaux des personnes physiques à l'égard du traitement et du libre flux des données à caractère personnel ainsi que par la politique de la protection des consommateurs. L'Autorité de protection des données peut être assistée par ou agir à la demande d'autres pouvoirs publics chargés du respect d'autres législations. § 2. L'Autorité de protection des données peut procéder à une enquête ou une consultation publique large ou à une enquête ou consultation plus ciblée des représentants des secteurs concernés. ». 29. D’autre part, la défenderesse allègue que l’APD a manqué à son devoir de coopération et au principe de prudence en n’ayant pas vérifié si le plaignant, conformément à ce qu’il a déclaré, a effectivement déposé une plainte auprès du SPF Économie, et si, le cas échéant, une enquête a été ouverte au sein du SPF Économie. 30. La Chambre Contentieuse relève que l’article 77 permet à toute personne concernée d’introduire une plainte auprès de l’autorité de contrôle de son choix si elle considère que les droits dont elle bénéficie en vertu du RGPD ont été violés, et ce « Sans préjudice de tout recours administratif ou juridictionnel […] ». 31. L’article 79 du même Règlement permet à toute personne concernée d’introduire un recours auprès d’une juridiction si elle considère que les droits dont elle tire du RGPD ont été violés, et ce « Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77 […] ». 32. La Cour de Justice de l’Union européenne précise à cet égard que les recours prévus aux deux dispositions susmentionnées peuvent être exercés de manière concurrente et indépendante6. 33. Aussi, dans l'arrêt Schufa Holding AG, la Cour affirme que « la procédure de réclamation, qui ne s'apparente pas à celle d'une pétition, est conçue comme un mécanisme apte à sauvegarder de manière efficace les droits et les intérêts des personnes concernées. »7 La Cour souligne ainsi le caractère essentiel et autonome des recours prévus par le RGPD. 34. De plus, dans l'affaire Fashion ID, la Cour a rappelé que les autorités de contrôle doivent exercer leurs missions en toute indépendance8. Dans l'arrêt Wirtschaftsakademie Schleswig-Holstein la Cour avait déjà souligné auparavant que les autorités de contrôle doivent pouvoir exercer leurs pouvoirs d'intervention de manière effective et efficace 9. 35. Dans son arrêt Shrems II, la Cour dit que même l'existence d'une décision d’adéquation de la Commission européenne ne peut empêcher une autorité de contrôle d'examiner la plainte d'une personne concernée et de vérifier si le transfert de ses données à caractère personnel vers un pays tiers respecte les exigences posées par le RPGD 10. 36. Au regard de ce qui précède, il n’incombe pas à l’Autorité de protection des données de vérifier la potentielle existence de procédures parallèles. 37. Il revient dès lors aux parties de produire les preuves de l’existence d’une procédure parallèle en cours si elles l’estiment nécessaire. 38. La compétence résiduelle de l’APD en matière d’appels téléphoniques non souhaités et la politique de classement sans suite – La défenderesse considère que la présente plainte aurait dû – et doit encore – faire l’objet d’un classement sans suite au regard de l’article 100, §1, 1° de la LCA ainsi que de la politique de classement sans suite de la Chambre Contentieuse (critère B. 3). 39. Elle se fonde en effet sur le fait qu’en matière d’appels téléphoniques non souhaités, l’APD ne dispose que d’une compétence résiduelle – le SPF Économie étant le premier compétent en vertu de l’article VI.111 du Code de droit économique. De surcroît, la défenderesse relève notamment la décision de la Chambre Contentieuse du 24 février 2021 dans laquelle cette dernière a classé sans suite une plainte dont les faits seraient, selon la défenderesse, fort similaires à ceux de la présente affaire, et dans laquelle la compétence primaire du SPF Économie est reconnue « en matière de spam et d’appels téléphoniques non sollicités […]»11. 40. Par ailleurs, la défenderesse souligne que, tel qu’il ressort de la politique de classement sans suite de la Chambre Contentieuse, les plaintes faisant l’objet de procédures judiciaires ou administratives en cours ne s’inscrivent pas dans les priorités de cette dernière. En adoptant une décision divergeant de celles prises dans le cadre d’anciens dossiers similaires dans lesquels la Chambre Contentieuse a décidé de classer la plainte sans suite, la défenderesse avance que la Chambre Contentieuse se doit de justifier son choix dans la présente décision. 41. Enfin, le fait qu’aucun des griefs dirigés contre la défenderesse ne revête un impact sociétal et/ou personnel élevé, ainsi que le fait que les retards dans le traitement du présent dossier semblent montrer que la présente procédure n’est pas efficace, démontrent, selon la défenderesse, qu’il existe – encore – des motifs suffisants pour procéder au classement sans suite de la plainte. 42. Si la Chambre Contentieuse reconnaît que le SPF Économie dispose certes d’une compétence en matière d’appels téléphoniques ou de courriels non sollicités en vertu des articles VI.110 et s. du Code de droit économique, elle n’en exclut pas pour autant ses propres compétences en la matière. 43. En effet, en vertu de l’article 4, § 1er de la LCA, l’APD est responsable du contrôle du respect des principes fondamentaux de la protection des données, tels qu’affirmés par le RGPD et d’autres lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel. 44. Cette compétence découle directement de l'article 51 du RGPD, qui prévoit que chaque État membre doit disposer d'une ou plusieurs autorités publiques indépendantes chargées de surveiller l'application du règlement. 45. Dans sa décision 11/2022 (points 22 et suivants), la Chambre Contentieuse a établi que lorsqu'il s'agit d'un traitement de données à caractère personnel, la compétence de l'APD ne peut être limitée. 46. Par conséquent, dans le cas présent, l'APD conserve pleinement ses compétences pour traiter des aspects liés à la protection des données à caractère personnel, tels que l'effacement des données de la personne concernée ou le fait d'ordonner à un responsable de traitement de respecter le droit d'opposition d'une personne concernée. Ces compétences ne sont pas simplement complémentaires, mais sont exercées de manière indépendante et parallèle à celles du SPF Économie. 47. Par ailleurs, la Chambre Contentieuse relève que les présents faits, bien qu’étant initiés par des appels téléphoniques non sollicités, dépassent ce seul cadre dès lors que le plaignant a exercé son droit d’accès, pour lequel le plaignant allègue une absence de réponse. 48. De surcroît, la Chambre Contentieuse souligne que la politique de classement sans suite distingue plusieurs motifs de classement sans suite, lesquels se divisent entre ceux de nature technique et ceux de nature d’opportunité. Ces derniers, parmi lesquels figure le motif B.3 qui concerne la présente affaire, doivent faire l’objet d’une balance entre les critères généraux d’impact sociétal et/ou personnel élevé, et les critères d’efficience. Cet examen s’effectue au cas par cas, et peut donner des réponses variables malgré d’apparentes similarités entre différentes affaires. Ceci est d’autant plus vrai que dans le cadre de cette mise en balance, la Chambre Contentieuse est amenée à considérer les moyens qu’elle a à sa disposition pour traiter d’un dossier. 49. En tout état de cause, bien que la politique de classement sans suite s’est vue constituer sur les pratiques et le contexte matériel de la Chambre Contentieuse, traduisant dès lors une certaine réalité, et qu’elle a été publiée sur le site Internet de l’APD à des fins de transparence, elle ne revêt malgré tout aucun caractère contraignant. Dès lors, la Chambre Contentieuse ne devrait en aucune manière justifier le choix de ne pas classer une plainte sans suite. 50. Le droit à une bonne administration (art. 41.2 de la Charte et principe de prudence) – La défenderesse prétend que le rapport d’enquête rendu par le Service d’inspection fait preuve de partialité, ou en donne à tout le moins l’apparence, et qu’il a été réalisé avec négligence. 51. Elle rappelle en effet à titre liminaire que le principe d’impartialité s’impose non seulement à toute autorité administrative, mais également à ses membres, en ce compris les inspecteurs du Service d’inspection. 52. Ensuite, la défenderesse soutient que le Service d’inspection n’a pas vérifié l’existence de procédure parallèle en cours, qu’il n’a pas mené d’enquête à décharge, et qu’il a réalisé des déclarations subjectives et infondées dans son rapport d’enquête. 53. Enfin, la défenderesse déclare que le Service d’inspection a ignoré l’une des questions que lui a posées la Chambre Contentieuse concernant les preuves relatives aux appels téléphoniques que le plaignant aurait reçus, ainsi que sur la provenance de ces mêmes appels. Elle considère en effet que le Service d’inspection aurait dû, à tout le moins, contacter l’opérateur téléphonique du plaignant afin d’obtenir un relevé des appels téléphoniques que le plaignant a reçus, malgré que ce dernier ait dit au Service d’inspection ne pas pouvoir obtenir ce relevé lui-même. Cela démontre également, selon la défenderesse, que le Service d’inspection n’a pas mené son enquête à décharge. De surcroît, la défenderesse considère que la Chambre Contentieuse adopte un comportement contradictoire en ce qu’elle considère désormais avoir les éléments de preuve suffisants pour permettre de traiter cette affaire quant au fond, alors même qu’elle n'a pas reçu de réponse à l’une des questions qu’elle avait posées au Service d’inspection, ce qui, alors, démontrait clairement que la Chambre Contentieuse n’était pas en mesure de traiter la présente plainte quant au fond. 54. À cet égard, la Chambre Contentieuse souligne que les garanties procédurales doivent intégralement être respectées et s'il y avait eu un risque que la défenderesse ait été désavantagée par la manière dont le rapport d’enquête a été réalisé, ce désavantage a été tout à fait éliminé par la suite12, ce qui exclut toute violation des principes de bonne administration. Les éléments procéduraux soulevés par la défenderesse n’entraînent pas une violation des droits de la défense, car la défenderesse a eu l'opportunité d'avancer son argumentation dans son intégralité au moyen de ses conclusions et elle a en outre pu exercer pleinement son droit à la contradiction lors de l'audition de la Chambre Contentieuse. La défenderesse n’a donc subi aucun préjudice et ses droits de la défense ont dès lors été correctement respectés. 55. Il convient de rappeler que les décisions de la Chambre Contentieuse sont susceptibles de recours devant la Cour des marchés, conformément à l'article 108, § 2 de la LCA. Cette disposition prévoit que : « Un recours peut être introduit contre les décisions de la Chambre Contentieuse en vertu des articles 71 et 90 devant la Cour des marchés qui traite l’affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire ». 56. Ce mécanisme de recours assure un contrôle juridictionnel des décisions de l'APD 13. La Cour des marchés, en tant qu'autorité judiciaire, examine les décisions de l'APD dans le cadre de sa compétence de pleine juridiction, ce qui permet un examen approfondi tant sur le plan factuel que juridique. 57. Il est important de noter que ce système de recours contribue à garantir le respect des principes fondamentaux de bonne administration et des droits de la défense tout au long de la procédure, de la phase administrative initiale jusqu'à l'éventuelle phase judiciaire 58. Du reste, la Chambre Contentieuse fait remarquer que l’incertitude relative aux appels téléphoniques reçus par le plaignant n’est pas de nature à altérer l’examen des griefs examinés dans la présente décision. 59. Devoir de diligence et le droit à une bonne administration (article 41 de la Charte) – La défenderesse relève qu’alors que la plainte a été déposée le 3 avril 2020 et que le rapport d’enquête a été transmis à la Chambre Contentieuse le 30 septembre 2020, les parties ont été invitées à conclure que le 12 mai 2023. 60. Elle considère en effet que le fait, pour la Chambre Contentieuse, d’avoir été inactive près de trois ans durant constitue une violation flagrante au principe général de droit du délai raisonnable, et, par conséquent, au devoir de diligence. 61. Ensuite, le SPL n’aurait pas dû, selon la défenderesse, déclarer la plainte recevable étant entendu qu’elle ne disposait pas, toujours selon elle, de suffisamment de preuves. 62. Enfin, la défenderesse souligne que la copie du dossier administratif lui a été transmise plus d’un mois après qu’elle en ait fait la demande, et ce malgré deux courriels envoyés à cet effet. 63. La Chambre Contentieuse rappelle qu’en raison de ses ressources limitées elle doit traiter les plaintes qu’elle reçoit de manière efficace. Cette efficacité à laquelle s’attache la Chambre Contentieuse la guide dans le traitement de ses plaintes et peut engendrer des délais de traitement plus ou moins longs. En tout état de cause, le délai de traitement de la présente affaire ne vicie pas l’affaire et n’altère pas l’examen des manquements allégués. 64. Concernant le SPL, la Chambre Contentieuse rappelle qu’au moment des faits la LCA prévoyait que l’examen de la plainte se limitait à la langue dans laquelle celle-là est rédigée, de la présence d’une signature et d’une date, de la présence d’un « exposé des faits et les indications nécessaires pour identifier le traitement sur lequel elle porte » et qu’elle « relève de la compétence de l’Autorité de protection des données ». 65. Enfin, concernant le délai avec lequel la copie du dossier a été transmise à la défenderesse, la Chambre Contentieuse relève qu’elle a accordé de nouveaux délais d’échanges de conclusion, conformément à la demande que la défenderesse avait soumise. II.2. Quant au manquement relatif aux articles 12.1, 12.2, 12.4 et 15 du RGPD II.2.1. Quant aux modalités des droits de la personne concernée a) Position des parties et du SI 66. Aux termes de son rapport d’enquête, le SI conclut que la défenderesse n’a pas informé le plaignant de manière effective et transparente quant à son droit à l’effacement. Le SI considère en effet les réponses de la défenderesse comme étant vagues, ne permettant ainsi pas au plaignant d’avoir une vue claire sur le traitement de ses données à caractère personnel. Le SI mentionne à cet égard qu’à la suite de l’un des courriels par lesquels le plaignant a fait exercice de son droit à l’effacement, la défenderesse a répondu que les données en question pouvaient être conservées pour une durée maximale de 10 ans, sans pour autant indiquer le moment précis de leur effacement. 67. En outre, le SI considère que la défenderesse ne démontre pas avoir répondu aux demandes du plaignant de manière motivée au sens des articles 12.3 et 12.4 du RGPD. 68. La défenderesse rappelle les circonstances particulières dans lesquelles le plaignant a exercé son droit à l’effacement. Au moment où le plaignant a fait exercice de son droit, le nom de Y a changé. Pour cette raison, la défenderesse a créé une nouvelle adresse électronique pour son DPO, sans toutefois supprimer l’ancienne. Ces deux adresses ont ainsi existé conjointement jusque début 2020. Toutefois, déclare la défenderesse, alors qu’il était initialement prévu que tous les courriels contenus dans l’ancienne adresse électronique migrent vers la nouvelle, un problème technique est survenu. De cette manière, moins de courriels que prévus ont été portés à la connaissance de la défenderesse. Le contexte dans lequel tout ceci a été réalisé, à savoir la pandémie provoquée par le Covid-19, n’a pas alerté la défenderesse quant au faible nombre de courriels qu’elle recevait alors. 69. Par ailleurs, la défenderesse ajoute que selon les lignes directrices du CEPD, le calcul du délai visé à l’article 12.3 RGPD démarre au moment où une demande visée aux articles 15 à 22 du RGPD atteint les canaux officiels d’un responsable de traitement. Or, la défenderesse fait remarquer qu’en raison du problème technique survenu lors de l’intégration de la boîte de réception de l’ancienne adresse électronique, les demandes du plaignant ne lui sont jamais parvenues. Elle relève enfin qu’elle a pris connaissance de ces dernières que le 1er septembre 2020. b) Appréciation de la Chambre Contentieuse 70. Les quatre premiers paragraphes de l’article 12 du RGPD disposent ce qui suit : « 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. 2. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l'article 11, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée. 3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. »14. 71. La Chambre Contentieuse constate que la défenderesse se prévaut d’avoir effacé les données à caractère personnel du plaignant – initialement demandé le 26 février 2020 – et de l’en avoir informé par le biais d’un courriel du 18 septembre 2020. 72. À cet égard, la Chambre Contentieuse rejoint le SI en ce que la réponse de la défenderesse du 18 septembre 2020 n’est pas suffisamment transparente au sens de l’article 12.1 du RGPD. La réponse mentionne en effet un délai de conservation maximal de 10 ans, conformément à la loi. Il n’est ainsi pas possible sur cette base de déterminer avec davantage de précision le moment exact lors duquel les données seront supprimées. Par ailleurs, la réponse fait usage du conditionnel et de termes abstraits, tels que suit : « Par « informations non-essentielles », nous entendons toutes les données qui peuvent être supprimées à moins que vous ne soyez plus client chez nous. […] ». Toutefois, cet e-mail n’ayant pas été envoyé au plaignant, il n’y a pas lieu de retenir de manquement à l’article 12.1 du RGPD. 73. Concernant le délai avec lequel la défenderesse a traité de la demande d’effacement du plaignant, la Chambre Contentieuse relève qu’il ne convient pas d’examiner ce grief en raison de la présentation incomplète qu’elle en a faite dans la lettre invitant les parties à conclure (voy. point 26). 74. Ensuite, la Chambre Contentieuse relève que la défenderesse a supprimé les données à caractère personnel du plaignant avant de donner satisfaction au droit exercé en vertu de l’article 15 du RGPD. 75. De fait, la défenderesse n’a pas facilité l’exercice des droits du plaignant conformément à l’article 12.2 du RGPD dès lors qu’elle a rendu impossible l’exercice du droit d’accès. 76. En outre, la Chambre Contentieuse constate que la défenderesse n’a pas informé le plaignant des motifs de son inaction à la demande d’accès qu’il a pourtant formulée telle qu’elle aurait dû le faire en vertu de l’article 12.4 du RGPD. 77. Par voie de conséquence, la Chambre Contentieuse constate que la défenderesse a violé les dispositions suivantes : article 12.2 du RGPD en ayant rendu impossible l’exercice du droit d’accès du plaignant, et l’article 12.4 du même Règlement en n’ayant pas informé le plaignant des motifs de son inaction dans le délai prescrit dans la disposition précitée. II.2.2. Quant au droit d’accès a. Position des parties et du SI 78. Aux termes de son rapport d’enquête, le SI conclut que la défenderesse a méconnu l’article 15 du RGPD étant entendu que cet article prévoit ni exception ni limitation au droit d’accès dans les cas où les données demandées ont été effacées conformément à l’article 17 du même Règlement. 79. La défenderesse, à l’inverse, soutient que la demande réelle du plaignant consistait en l’effacement de ses données, et appuie cette position par l’absence de mention de la demande d’accès du plaignant dans le formulaire de plainte. Partant, la défenderesse conclut qu’en effaçant les données du plaignant, elle a respecté la demande véritable du plaignant. 80. Le plaignant conteste l’argumentaire de la défenderesse, et affirme que sa demande ne se limitait pas à l’effacement de ses données. Il s’appuie, à cet égard, sur plusieurs courriels par lesquels il a fait exercice de son droit d’accès. Il relève par ailleurs que certains de ces courriels figurent dans l’inventaire des pièces de la défenderesse et que certains sont reproduits dans les conclusions de la défenderesse. Il précise qu’il ressort des conclusions de la défenderesse qu’il avait spécifiquement demandé à ce que cette dernière donne satisfaction à sa demande d’accès avant de procéder à l’effacement de ses données. b. Appréciation de la Chambre Contentieuse Décision quant au fond 169/2024 — 18/23 81. Il ressort des pièces du dossier que le plaignant a fait exercice de son droit d’accès le 26 février 2020, et qu’il a fait des rappels le 27 février 2020 et le 6 mars 2020, tout en précisant expressément à ce qu’il soit donné suite à sa demande d’accès avant celle d’effacement – le plaignant ayant réaffirmé dans ses conclusions en réplique sa volonté d’accéder aux données listées à l’article 15.1 du RGPD. 82. La Chambre Contentieuse rappelle que le droit d’accès a trois composantes. Premièrement, aux termes de l’article 15.1 du RPGD, la personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées. Deuxièmement, lorsqu’il y a traitement de données à caractère personnel, la personne concernée a le droit d’obtenir l’accès auxdites données à caractère personnel ainsi qu’à une série d’informations listées à l’article 15.1. a) – h). Troisièmement, aux termes de l’article 15.3 du RGPD, la personne concernée a en outre le droit d’obtenir une copie des données à caractère personnel qui font l’objet du traitement. Enfin, l’article 15.4 dispose que le droit d’obtenir une copie visé au paragraphe 3 du même article ne peut porter atteinte aux droits et libertés d’autrui. 83. Outre l’article 15.4 du RGPD, l’article 12.5 du RGPD prévoit, comme limitation, que le responsable de traitement peut refuser de donner suite à l’une des demandes visées aux articles 15 à 22 du RGPD ou à en exiger une contrepartie financière raisonnable lorsque la demande est manifestement infondée ou excessive. En ce cas, le responsable de traitement est tenu de démontrer le caractère manifestement infondé ou excessif de la demande. L’article 23 du RGPD prévoit la possibilité pour le législateur national de déroger aux droits prévus aux articles 15 à 22. 84. La Chambre Contentieuse relève que la défenderesse n’a invoqué aucune des limitations susmentionnées. 85. L’exécution du droit d’effacement du plaignant ne saurait être alors retenue comme une exception au droit d’accès du plaignant. 86. Par conséquent, la Chambre Contentieuse constate que la défenderesse a violé l’article 15 du RGPD. II.3. Quant au manquement relatif à l’article 17 du RGPD et ses modalités II.3.1. La position des parties et du SI 87. Aux termes du rapport d’enquête, le SI conclut que la défenderesse n’a pas informé le plaignant telle qu’elle aurait dû le faire. Il relève en effet que bien que la défenderesse se prévaut d’avoir envoyé un e-mail de confirmation de l’effacement des données du plaignant, il n’aperçoit pas l’adresse électronique du plaignant parmi les destinataires de l’e-mail en question. 88. La défenderesse répond avoir pris connaissance de la demande d’effacement du plaignant que le 1er septembre 2020. Le 15 septembre 2020, elle a envoyé un courriel au plaignant concernant la suite accordée à la demande d’effacement. Toutefois, ce courriel a été envoyé en langue néerlandaise. Le plaignant, ne comprenant pas la langue, a demandé à ce qu’il lui soit répondu en français. Le 18 septembre 2020, la défenderesse a alors envoyé le même courriel mais cette fois-ci en langue française. Toutefois, l’adresse électronique du plaignant ne figurait pas parmi les destinataires du courriel étant entendu qu’elle a été effacée, conformément à l’article 17 du RGPD. 89. Quant au fait d’avoir envoyé son premier courriel au plaignant en néerlandais, la défenderesse explique avoir eu la conviction que le plaignant était néerlandophone étant entendu que le Service d’inspection a toujours communiqué avec elle en néerlandais. II.3.2. L’appréciation de la Chambre Contentieuse 90. Telle qu’elle l’a exposé au point 26, la Chambre Contentieuse décide de ne pas examiner en profondeur ce grief étant entendu qu’il ne figure pas dans la lettre invitant les parties à conclure. 91. La Chambre Contentieuse rappelle toutefois, telle qu’elle l’a fait au point 70, que le responsable de traitement doit informer la personne concernée des mesures prises à la suite d’une demande formulée en vertu des articles 15 à 22 du RGPD, et ce dans un délai d’un mois au plus tard – sauf exceptions. Si le responsable de traitement venait à refuser d’exécuter une demande formulée en vertu des articles 15 à 22 du RGPD, il devrait alors informer la personne concernée des motifs de ce refus, et ce également dans un délai d’un mois au plus tard. 92. Le plaignant a exercé son droit à l’effacement pour la première fois le 26 février 2020. La défenderesse a effacé les données à caractère personnel du plaignant au mois de septembre 2020. Toutefois, elle n’a pu en informer le plaignant en langue française (mais l’a fait en langue néerlandaise). 93. La Chambre Contentieuse constate que l’adresse électronique du plaignant ne figurait pas parmi les destinataires du courriel par lequel la défenderesse informait de la suite accordée à la demande d’effacement du plaignant. À cet égard, il doit être souligné que la défenderesse, en adressant son premier courriel au plaignant en néerlandais n’a commis aucune faute. En l’absence d’indication quant à l’appartenance linguistique du plaignant, et eu égard au fait que le SI a toujours communiqué avec la défenderesse en néerlandais, il ne pouvait raisonnablement pas être attendu de la part de la défenderesse d’adresser son courriel au plaignant dans une autre langue que le néerlandais. 94. Toutefois, la Chambre Contentieuse considère qu’après que le plaignant ait répondu ne pas comprendre le néerlandais, il incombait à la défenderesse de renvoyer au plaignant un courriel en français concernant la suite accordée à la demande d’effacement. Le RGPD ne prévoit en effet aucune exception au respect de l’article 12.3 au motif qu’un responsable de traitement aurait satisfait à une demande d’effacement. Puisque la défenderesse a reçu le courriel du plaignant l’informant ne pas comprendre le néerlandais, elle disposait alors de l’adresse électronique du plaignant. Partant, elle aurait dû s’organiser de sorte à respecter l’obligation qui lui incombait en vertu de l’article 12.3 avant d’effacer les données à caractère personnel du plaignant. II.4. Quant au manquement relatif à l’article 31 du RGPD II.4.1. La position des parties et du SI 95. La défenderesse indique ne pas avoir manqué à l’article 31 du RGPD. Elle relève en premier lieu l’absence de définition du terme « coopération » inclus dans la disposition susmentionné, que ce soit dans le RGPD ou la LCA. En l’absence de telle définition, la défenderesse se repose à tout le moins sur la doctrine définissant cette coopération comme une obligation pour un responsable de traitement et/ou un sous-traitant de se conformer aux demandes d’une autorité de contrôle, celles-ci pouvant consister en la fourniture d’informations ou l’accès à des locaux, des systèmes informations et/ou à sa documentation. 96. À cet égard, la défenderesse relève avoir constamment répondu aux questions qui lui ont été posées par le Service d’inspection, et même à avoir indiqué rester à la disposition de ce dernier pour toute question ultérieure. 97. Par ailleurs, la défenderesse expose qu’il ne pourrait nullement lui être attribuée une quelconque intention malicieuse dans l’effacement des données du plaignant. Tout d’abord, elle déclare qu’aucun élément du dossier ne permet de constater qu’elle a détruit des preuves. Si elle admet certes avoir effacé les données du plaignant dans le cours de la présente procédure, cela n’a pour autant pas été fait dans l’intention de détruire de preuves. Elle déclare avoir réalisé cet effacement de bonne foi, afin de respecter les droits du plaignant, tout en relevant que cela a été réalisé sous une certaine pression dès lors qu’une enquête était menée à son égard. Enfin, et tel que cela a été exposé ci-dessus, de telles accusations sont infondées dès lors que la défenderesse s’est montrée ouverte à l’octroi de réponses supplémentaires. II.4.2. L’appréciation de la Chambre Contentieuse 98. Telle qu’elle l’a exposé au point 26, la Chambre Contentieuse décide de ne pas examiner ce grief en raison de la présentation incomplète qu’elle en a faite dans la lettre invitant les parties à conclure. 99. Cependant, la Chambre Contentieuse rappelle simplement qu’en vertu de l’article 31 du RGPD « Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l’autorité de contrôle, à la demande de celle-ci, dans l’exécution de ses missions. ». 100. Bien que le RGPD ne définisse pas précisément ce qu’il doit être entendu par le terme coopération, la Chambre Contentieuse a tout de même déjà eu l’occasion de décider que le fait, entre autres, de ne pas « se conformer à l’exercice des droits de la plaignante et d’informer la Chambre Contentieuse du suivi donné à cette décision »15 , de ne pas « faire valoir d’arguments à l’encontre de l’injonction qui lui avait été donnée comme le lui permet l’article 99 LCA »16 et de ne pas réagir à un courriel de la Chambre Contentieuse l’informant du montant de l’amende administrative envisagée constituent une attitude traduisant « un manque de considération et de coopération manifestes contraires à ce qu’il est attendu d’un responsable de traitement, notamment en l’application de l’article 31 du RGPD. »17. Plus récemment, la Chambre Contentieuse a également décidé que le fait pour un responsable de traitement de ne pas répondre à des courriers – physiques ou électroniques – du SP l’invitant à une procédure en médiation constitue un manquement à l’article 31 du RGPD18. 101. Ainsi, la Chambre Contentieuse considère – sans que cela ne puisse être considérée comme une quelconque prise de position de sa part concernant les présents faits – que le fait, pour un responsable de traitement, d’effacer sciemment des données à caractère personnel en vue d’affecter négativement l’investigation du SI est contraire au principe de coopération établi à l’article 31 du RGPD. III. Mesures correctrices et sanctions 102. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements et des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d’exercer ses droits ; 7° ordonner que l’intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l’interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l’effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l’agréation des organismes de certification, 12° ordonner des astreintes ; 13° ordonner des amendes administratives ; 14° ordonner la suspension des flux transfrontaliers de données vers un autre Etat ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l’informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l’Autorité de protection des données. 103. La Chambre Contentieuse décide en l’espèce de prononcer une réprimande pour la violation des articles 12.2, 12.4 et 15 du RGPD. Le caractère ancien des faits et surtout le fait que la défenderesse ait mis en place diverses procédures afin de permettre de mieux répondre aux demandes des personnes concernées justifient de ne pas adopter de sanction plus grave, telle que l’imposition d’une amende administrative. IV. Publication de la décision 104. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site internet de l’Autorité de protection des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l’Autorité de protection des données décide, après délibération : - En vertu de l’article 100.1.5° de la LCA, d’adresser une réprimande à la défenderesse pour la violation des articles12.2, 12.4 et 15 du RGPD ; - En vertu de l’article 100.1.1° de la LCA de classer sans suite le reste des griefs. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire19. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.20, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (sé). Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2024:DEC.20241219.1