ECLI:BE:GBAPD:2025:DEC.20250418.2

Chambre Contentieuse Décision 70/2025 du 18 avril 2025 Numéro de dossier : DOS-2022-02223. Objet : Enquête auprès d’élèves mineurs au sujet de la consommation de substances, des jeux d'argent et des jeux vidéo dans le cadre de l’élaboration d'une politique de santé à l’école La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke Hijmans, président, et de Messieurs Dirk Van der Kelen et Jelle Stassijns, membres ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après le "RGPD" ; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après la "LCA") ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X, ci-après "le plaignant" Le défendeur : Les établissements d’enseignement Y, ci-après "le défendeur" I. Faits et procédure 1. Le 18 mai 2022, le plaignant introduit une plainte auprès de l'Autorité de protection des données contre le défendeur. 2. L’objet de la plainte concerne l’enquête en ligne via Smartschool auprès d’élèves mineurs concernant la consommation de drogue et d’alcool, les jeux vidéo et les jeux d’argent afin de développer une politique de santé à l’école. Le plaignant avance qu’il n’y aurait pas de traitement de données anonymes de sorte que le principe de minimisation des données serait violé. Il affirme en outre que les données de sa fille sont traitées en dépit de l’exigence de consentement libre et éclairé, ce qui est d’autant plus important vu que l’enquête implique le traitement d’informations sur l’état de santé de sa fille, pour lequel le consentement explicite est requis. 3. Le 31 mai 2022, la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 4. Le 2 février 2023, la Chambre Contentieuse décide, sur la base de l'article 95, § 1 er, 1° et de l'article 98 de la LCA, que le dossier peut être traité sur le fond et informe les parties concernées des dispositions telles qu'énoncées à l'article 95, § 2 et à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite pour la réception des conclusions en réponse du défendeur a ainsi été fixée au 16 mars 2023, celle pour les conclusions en réplique du plaignant au 6 avril 2023 et celle pour les conclusions en réplique du défendeur au 16 mars 2023. 5. Le 3 février 2023, le plaignant manifeste le souhait de recourir à la possibilité d’être entendu, conformément à l'article 98 de la LCA. 6. Le 15 février 2023, le défendeur demande une copie du dossier (article 95, § 2, 3° de la LCA), qui lui est transmise le 15 février 2023, et il accepte de recevoir toutes les communications concernant l’affaire par voie électronique. 7. Le 16 mars 2023, la Chambre Contentieuse reçoit les conclusions en réponse de la part du défendeur. Il y est argumenté, pour l’essentiel, que le défendeur n’intervient pas en tant que responsable du traitement, qu’il s’agit de données anonymes auxquelles, selon le défendeur, le RGPD ne s’applique pas et que le principe de minimisation des données est respecté. Le défendeur affirme également que l’article 8 du RGPD (Conditions applicables au consentement des enfants en ce qui concerne les services de la société de l'information) n'est pas d’application. 8. Le 3 avril 2023, la Chambre Contentieuse reçoit les conclusions en réplique de la part du plaignant. Le plaignant confirme l’affirmation du défendeur selon laquelle les élèves ne devaient pas utiliser la plateforme Smartschool pour compléter l’enquête. En résumé, le plaignant affirme que le défendeur est le responsable du traitement pour toutes les données des élèves et il conteste le fait que ces données seraient anonymes. Selon le plaignant, un problème se pose également au niveau des mesures techniques et organisationnelles afin de garantir la sécurité des données des élèves. En ce qui concerne le fondement juridique, le plaignant affirme qu'il doit s'agir du consentement et que celui-ci doit être éclairé, clair et univoque. 9. Le 27 avril 2023, la Chambre Contentieuse reçoit les conclusions en réplique du défendeur reprenant le point de vue tel qu'exposé dans les conclusions en réponse. 10. Le 24 juin 2024, les parties sont informées du fait que l'audition aura lieu le 5 juillet 2024. 11. Le 5 juillet 2024, les parties sont entendues par la Chambre Contentieuse. 12. Le 8 juillet 2024, le procès-verbal de l’audition est soumis aux parties. 13. La Chambre Contentieuse n'a pas reçu de remarques de la part des parties au sujet du procès-verbal. Le 8 juillet 2024, le plaignant transmet encore à la Chambre Contentieuse et au défendeur le manuel relatif à l’organisation du Centre d’expertise Z – enquête auprès des élèves qui prévoit la possibilité de compléter l’enquête chez soi, ce qu’il avait évoqué lors de l’audition. II. Motivation a) Responsable du traitement et traitement de données 14. Le plaignant a déposé plainte contre le défendeur, une école que sa fille de 13 ans fréquente en tant qu’élève. Par ailleurs, le plaignant indique dans la plainte qu’il a également envoyé ses remarques quant à l’utilisation du consentement au réseau d’enseignement et à l’ASBL qui détient le pouvoir organisateur. 15. Le défendeur affirme ne pas avoir la qualité de responsable du traitement, mais affirme que le Centre d’expertise Z intervient en tant que responsable du traitement pour l’enquête auprès des élèves. 16. La Chambre Contentieuse constate que le Code de l’Enseignement secondaire 1 sert de point de départ pour déterminer l’instance à qui la qualité de responsable du traitement doit être attribuée. Il s’agit en particulier de l’article 123/22 2 de ce Code qui dispose que l’école est tenue d’élaborer une politique d’encadrement des élèves adaptée aux besoins de la population scolaire et au contexte dans lequel l'école se trouve. Comme l’indique le défendeur, le Ministère flamand de l’Enseignement et de la Formation fournit aux écoles des outils de référence pour l’élaboration d’une politique d’encadrement des élèves ainsi que pour l’élaboration d'une politique en matière d’alcool et de drogues à l’école 3. 17. La finalité visée est donc établie à l’article 123/22 en question du Code de l’Enseignement secondaire, à savoir l’élaboration d’une politique d’encadrement des élèves adaptée aux besoins des élèves et au contexte de l'école. Cette disposition du Code confie expressément la réalisation de cette finalité à l’école. Cela signifie que l’élaboration d'une politique en matière d’alcool et de drogues à l’école est une tâche confiée à l’école dans le cadre de l’élaboration d’une politique d’encadrement des élèves. Sur la base de cette disposition du Code, cette finalité doit dès lors être qualifiée de propre à l’école, étant donné que l’école est désignée explicitement dans cette disposition comme instance qui définit la finalité ‘élaboration d’une politique d’encadrement des élèves’, incluant une politique concernant l’alcool et les drogues. La finalité du traitement est donc établie dans le Code. L’école peut être qualifiée de responsable du traitement, étant donné que celle-ci est désignée par la loi pour réaliser cette finalité, cette mission publique4. 18. Par ailleurs, l’article 123/22 du Code définit également les moyens que l’école doit mettre en oeuvre pour atteindre l’objectif fixé. Ces moyens sont : premièrement l’association de partenaires pertinents à l'élaboration et à l'évaluation de la politique d'encadrement des élèves et deuxièmement, la recherche d’un soutien extérieur auprès du service d'encadrement pédagogique, éventuellement en collaboration avec un service externe pour ce qui est du soutien scolaire. 19. Il en résulte que tant la finalité que les moyens sont définis légalement et sont attribués à l’école qui intervient en tant que telle comme responsable du traitement au sens de l’article 4, 7) du RGPD5. 20. En effet, pour réaliser la finalité envisagée, le Code dispose que l’école associe à cet effet des partenaires pertinents et recourt à un service externe pour le soutien. Comme le souligne le défendeur, le service externe Centre d’expertise Z est recommandé par le Ministère flamand de l’Enseignement et de la Formation. Il en résulte que l’école n’a aucunement l’obligation de faire réaliser l’enquête auprès des élèves ainsi que le traitement de données y afférent par le service externe Centre d’expertise Z. L’école a donc la liberté de recourir ou non au Centre d’expertise Z. Cela est confirmé à l’article 1er du contrat conclu entre le défendeur d’une part et le Centre d’expertise Z d’autre part, qui prévoit que l’école participe librement à l’enquête auprès des élèves. Cela implique que l’école détermine non seulement la finalité consistant à encadrer les élèves, qui doit être réalisée par l’école et est donc entièrement propre à l’école, mais aussi les moyens à cet effet. C’est en effet l’école qui détermine la manière dont les données à caractère personnel de ses élèves seront traitées pour atteindre cette finalité et qui décide à cet effet de recourir à un partenaire externe, en l’espèce le Centre d’expertise Z, qui réalisera ce traitement à sa demande. 21. L’école a donc la responsabilité de veiller au traitement des données à caractère personnel de ses élèves conformément au RGPD, en particulier lorsque l’école décide de faire exécuter le traitement de données par le Centre d’expertise Z et que ces données peuvent potentiellement donner lieu, comme en l’espèce, au traitement d’informations sensibles. Dans ce cadre, un contrat a dès lors été conclu entre le défendeur d’une part et le Centre d’expertise Z d’autre part. Il en ressort que le Centre d’expertise Z peut traiter les données qui ont été obtenues via l’enquête auprès des élèves après en avoir reçu la mission de la part de l’école en tant que responsable du traitement. Le Centre d’expertise Z peut donc être considéré comme le sous-traitant au sens de l’article 4, 8° du RGPD. 22. Conformément à l’article 123/22 du Code, il est dès lors tout à fait cohérent avec la désignation de l’école en tant que responsable du traitement que l’on indique dans la relation réciproque entre le défendeur et le Centre d’expertise Z 6 que le défendeur se charge lui-même du respect du fondement juridique sur lequel l’enquête auprès des élèves est basée, impliquant que le défendeur doive demander lui-même le consentement des élèves âgés de plus de 13 ans, ou des parents ou du tuteur pour les élèves de moins de 13 ans. L’école doit également respecter elle-même l’exigence d’information préalable. Par ailleurs, il est également stipulé dans la relation réciproque entre les parties que personne, pas même le ou les enseignants, ne regarde les réponses ou l’écran des élèves lors de l’enquête, ni physiquement, ni par l’intermédiaire d’un monitoring informatique. Il est précisé que le questionnaire concerne des données sensibles et personnelles concernant la santé et que l’élève doit pouvoir répondre sincèrement, dans le respect de la vie privée. On ajoute dans le document concerné que le non-respect de la législation en vigueur à cet égard peut avoir des conséquences juridiques pour l’école. La Chambre Contentieuse constate que les parties reconnaissent ainsi que l’école intervient en tant que responsable du traitement, étant donné que l’école se charge du respect des dispositions applicables du RGPD, et que les conséquences juridiques pouvant découler du non-respect des principes et garanties requis en matière de traitement de données doivent être imputées à l’école et donc pas au Centre d’expertise Z qui n’a pas la qualité de responsable du traitement ou de responsable conjoint du traitement. 23. En tant que responsable du traitement, le défendeur est lui-même chargé de la licéité du traitement de données. À cet effet, il demande lui-même le consentement des personnes concernées afin de disposer d’un fondement juridique valable pour le traitement (art. 6 du RGPD). Étant donné qu’il s’agit souvent aussi de données à caractère personnel particulières concernant la santé, il convient également de respecter l’article 9 du RGPD. Le défendeur a aussi la responsabilité de fournir les informations essentielles aux personnes concernées (art. 13 du RGPD) concernant le traitement de données (à savoir la collecte d’informations concernant la consommation de substances, les jeux d'argent et les jeux vidéo ; uniquement à des fins scientifiques ; détermination du délai de conservation, pas d’accès aux données à caractère personnel en raison de l’impossibilité de réidentifier les élèves tant dans le chef de l’école que du Centre d’expertise Z). 24. Il ressort de l’ensemble de ces éléments factuels que le défendeur détermine incontestablement les moyens essentiels du traitement de données. Le défendeur argumente qu’il se contente de suivre la méthode de travail du Centre d’expertise Z pour permettre aux élèves de participer à l'enquête afin de pouvoir affirmer que les moyens essentiels ne sont pas déterminés par lui-même, mais par le Centre d’expertise Z. Le défendeur fait valoir que le Centre d’expertise Z détermine les questions qui sont posées, les personnes qui peuvent traiter les réponses, les écoles qui peuvent participer, la manière dont l'enquête est réalisée, les rapports qui sont établis, et que le Centre d'expertise Z a également décidé de proposer l'enquête aux élèves sous forme numérique et non plus sur papier. 25. Le rôle du Centre d’expertise Z se limite à déterminer des moyens non essentiels. 7 La Chambre Contentieuse constate qu’en ce qui concerne la préparation et la réalisation proprement dite de l’enquête, le rôle du Centre d’expertise Z se limite à fournir à l’école les instruments nécessaires tels qu’un modèle de document que l’école doit adapter en ce qui concerne le consentement des personnes concernées, ainsi qu’un manuel concernant l’organisation pratique de l’enquête avec une vidéo et une fiche explicatives tant pour les enseignants que pour les élèves. Il s’agit uniquement d’aspects pratiques concernant l’enquête auprès des élèves que le Centre d’expertise Z met à disposition en tant que partenaire de soutien externe eu égard à son expertise dans l’organisation de telles enquêtes. Le choix d'une enquête numérique plutôt que sur papier fait également partie de ces moyens non essentiels. En ce qui concerne le questionnaire fourni par le Centre d'expertise Z à l'école pour mener l'enquête auprès des élèves, la Chambre Contentieuse note qu'il constitue la concrétisation de la finalité visée par l'école telle que définie à l'article 123/22 du Code. Ce questionnaire doit dès lors simplement être considéré comme la concrétisation de la catégorie de données à caractère personnel à traiter définie par l’école, qui est nécessaire en vue d’établir une politique en matière d’alcool et de drogues à l’école, bien qu'il ait été élaboré sur la base des connaissances et de l'expérience du Centre d'expertise Z en la matière. 26. En choisissant de faire appel au Centre d’expertise Z en tant que partenaire externe qui apporte son soutien pour l'enquête auprès des élèves, le défendeur a choisi de faire traiter les données des élèves par le Centre d'expertise Z, les données des questionnaires remplis étant conservées, après la collecte, sur un serveur externe, dans une base de données agrégées. 27. Le contrat conclu entre le défendeur et le Centre d'expertise Z dispose que ce dernier traite les données collectées par l'école et qu'il est le seul à avoir accès aux données dans une base de données anonymisée. Il est également précisé que personne, pas même le Centre d'expertise Z, ne peut relier les résultats individuels à une personne déterminée. En outre, personne, à l'exception du Centre d'expertise Z, ne peut relier les données scolaires à l'école, car chaque école reçoit un code unique que seul le Centre d'expertise Z connaît. L’école reçoit du Centre d’expertise Z un rapport avec les résultats anonymes de l’école, ce qui aide celle-ci à comprendre l'environnement des élèves qui la fréquentent afin de planifier une offre préventive sur mesure en fonction de ces résultats. Cela constitue pour le défendeur une raison suffisante pour affirmer qu'il n'y a pas de traitement de données à caractère personnel dans son chef. 28. À cet égard, la Chambre Contentieuse rappelle qu’il n’est pas nécessaire que le responsable du traitement ait effectivement accès aux données qui sont traitées. Celui qui sous-traite une activité de traitement et exerce une influence déterminante sur la finalité et les moyens du traitement doit être considéré comme responsable du traitement, même s’il n'a jamais effectivement accès aux données 8. La Cour de justice de l’Union européenne l’a confirmé dans l’arrêt IAB Europe.9 Le rapport anonyme sur la base du traitement de données agrégées réalisé par le Centre d’expertise Z à l’aide des informations collectées via l’enquête auprès des élèves n'enlève dès lors rien au fait que le défendeur intervient bel et bien en tant que responsable du traitement. 29. La Chambre Contentieuse souligne qu’il est établi que l’enquête auprès des élèves implique, au moment où elle est réalisée, un traitement de données à caractère personnel, dans la mesure où l'école collecte, par l’intermédiaire des questions posées, des informations fournies par les élèves. Le fait que le défendeur ait recours à la méthode selon laquelle une fois connecté via le code de connexion unique attribué, l’élève doive modifier ses données de connexion en ce sens qu’un nouveau mot de passe doit être choisi, tout en conservant toutefois le nom d’utilisateur, n’y change rien. Chaque élève participant fournit initialement, par le biais des réponses aux questions posées, des informations le concernant. La Chambre Contentieuse estime que l'ensemble des réponses est normalement à ce point spécifique et propre à une personne déterminée qu'il permet l'identification de cette personne. En outre, le contrat conclu entre le défendeur et le Centre d'expertise Z stipule qu'un code unique est généré pour chaque élève, qui lui permet de se connecter à l'ordinateur de l'école ou à son propre ordinateur, GSM ou à sa propre tablette. Le contrat stipule également que pour les élèves qui ne disposent pas de leur propre GSM, l'école doit prévoir la possibilité de remplir le questionnaire dans le local informatique. Afin de faciliter la création des codes de connexion, l'école doit fournir au Centre d'expertise Z une liste Excel reprenant le prénom et le code de classe de tous les élèves. Ces éléments n'indiquent pas qu'il s'agit de données anonymes au sens de l'article 4.1 du RGPD 10 et du considérant 26 du RGPD11. En revanche, on peut uniquement mentionner que le défendeur a déclaré lors de l’audition que l'enquête avait été effectuée à l'école et que les élèves qui n'étaient pas présents à l'école pendant le créneau horaire prévu n'y avaient pas participé. Le défendeur ajoute à cela que l'école dispose d'une seule connexion Internet avec une seule adresse IP, de sorte qu'il n'est pas possible d'identifier une personne unique sur la base de l'adresse IP utilisée pour remplir l'enquête. L’affirmation selon laquelle les élèves ne pouvaient participer qu'à partir de l'école via une seule adresse IP n'a toutefois pas été étayée par le défendeur. 30. La Chambre Contentieuse fait remarquer que le défendeur ne démontre en aucune manière que l'anonymat des données traitées est garanti. Le défendeur indique dans ses conclusions que, dans la mesure où l'enquête émanait du Centre d'expertise Z et où celui-ci avait clairement indiqué que cette enquête était totalement anonyme et que personne ne pouvait déduire, ni à partir des données, ni à partir des résultats, qui avait fourni quelles informations, le défendeur a décidé d'y participer. À cet égard, la Chambre Contentieuse souligne que l'article 5.2 du RGPD 12 prévoit une obligation de responsabilité de la part du responsable du traitement, en l'occurrence le défendeur, comme exposé ci dessus. La Chambre Contentieuse estime que si le défendeur a jugé qu’un traitement anonyme des données par le Centre d'expertise Z était suffisant pour atteindre la finalité visée, il aurait dû s'assurer que les données des élèves seraient bien traitées de manière anonyme par le Centre d'expertise Z et que les moyens techniques et organisationnels nécessaires à cet effet étaient mis en œuvre par le Centre d’expertise Z. 31. Étant donné que le défendeur indique dans ses moyens de défense qu'il n'a pas agi en tant que responsable du traitement, la Chambre Contentieuse se doit de constater que le défendeur n'a pas procédé à cette vérification au regard de l'article 5.1 e) et f) du RGPD, juncto les articles 24.1 et 28.1 du RGPD13. En l'absence de pièces dans le dossier concernant la mesure dans laquelle les mesures techniques et organisationnelles nécessaires ont été prévues ou non, la Chambre Contentieuse se limite à cette remarque. Il en va de même pour le contrôle au regard de l'article 5.1 c) du RGPD. Bien que le défendeur indique qu'une enquête anonyme suffit pour atteindre la finalité visée, en l'absence de pièces étayant l'anonymat des élèves concernés, il n'est pas possible de vérifier si le principe de minimisation des données a été respecté (article 5.1 c) du RGPD). En effet, sur la base des pièces présentes dans le dossier, il n'apparaît pas clairement si une combinaison du contenu des réponses aux questions peut ou non conduire à la réidentification d'un élève. On ne sait pas non plus clairement de quelle manière l'anonymat des élèves est garanti si une liste Excel contenant le prénom et le code de classe de tous les élèves doit être fournie par le défendeur au Centre d'expertise Z et qu'un code unique est généré, permettant à l'élève de se connecter via l'ordinateur de l'école ou son propre ordinateur, GSM ou sa propre tablette. 32. La Chambre Contentieuse conclut que, bien que le défendeur, en tant que responsable du traitement, puisse faire appel au Centre d'expertise Z pour obtenir un soutien de fond, cela ne fait pas du Centre d'expertise Z un responsable du traitement, conjointement avec le défendeur14. b) Licéité du traitement 33. L'élaboration d'une politique en matière d'encadrement des élèves est une obligation imposée à l'école, qui trouve son fondement dans l'article 123/22 du Code de l'enseignement secondaire. L'encadrement des élèves est défini à l'article 3, 17°/1/1 du Code de l'enseignement secondaire15 comme un ensemble de mesures préventives et d'encadrement. L'encadrement des élèves se situe dans quatre domaines : la carrière scolaire, l'apprentissage et l'étude, le fonctionnement psychique et social et les soins de santé préventifs. Les mesures partent toujours d'une approche intégrée et holistique pour les quatre domaines d'encadrement et ce, à partir d'un continuum d'encadrement renforcé. 34. Le défendeur indique avoir décidé de manière autonome que cette collecte de données devrait être effectuée au moyen d'une enquête anonyme, afin d'adapter la politique aux besoins de la population scolaire. Là encore, le défendeur estime que le traitement des données concerne une enquête anonyme et que le RGPD n'est donc pas applicable, de sorte qu'aucune demande de consentement n'est nécessaire, ni même aucun fondement de licéité. À cet égard, le défendeur renvoie au considérant 26 du RGPD relatif au traitement des données anonymes. 35. Comme déjà exposé ci-dessus, le défendeur ne démontre pas, sur la base de pièces, que l'enquête auprès des élèves a été réalisée de manière anonyme dès la collecte des données. Le défendeur, en tant que responsable du traitement, a l’obligation, en vertu de l’article 123/22 du Code de l’Enseignement secondaire, d’élaborer une politique d’encadrement des élèves. Cela n'implique pas en soi l'obligation pour le défendeur de soumettre les élèves à une enquête, ni l'obligation pour les élèves de participer à cette enquête. Il n'empêche toutefois que l'élaboration d'une politique en matière d'alcool et de drogues à l'école, faisant partie de l’encadrement des élèves, doit être considérée comme une tâche d'intérêt général incombant à l'école. Sur cette base, l'enquête auprès des élèves peut être organisée. Il va en effet de soi que la prévention de la consommation d'alcool et de drogues constitue un élément important de l'encadrement des élèves et s'inscrit, à ce titre, dans les besoins de la population scolaire tels que mentionnés à l'article 123/22 du Code. La Chambre Contentieuse constate que le défendeur peut invoquer la mission d'intérêt général qui lui incombe (article 6.1 e) du RGPD)16 qui est ancrée dans une norme légale conformément à l'article 6.3 du RGPD. Le fondement juridique sur lequel le défendeur doit se baser pour l’enquête auprès des élèves est donc l'article 6.1 e) du RGPD, de sorte que le défendeur est ainsi autorisé à traiter les données collectées ou à les faire traiter par un sous-traitant tel que le Centre d’expertise Z. 36. Comme indiqué ci-dessus, l'article 9 du RGPD relatif aux données à caractère personnel particulières est également important. En effet, le contenu du questionnaire porte sur la consommation par l'élève concerné de substances (tabac, alcool, cannabis, autres drogues illégales, …) et sur ses activités (jeux vidéo et jeux d'argent), ainsi que sur la mesure dans laquelle les élèves sont en contact avec ces substances dans leur propre environnement. Les réponses à ces questions permettent de se faire une idée de l'état de santé de la personne concernée et d'évaluer dans quelle mesure elle mène ou non une vie saine. Il est donc établi que des données à caractère personnel sont traitées au sens de l'article 9 du RGPD et qu'une exception à l'interdiction de traitement de ces données à caractère personnel doit donc s'appliquer. 37. Le fait que le défendeur procède à une enquête auprès des élèves dans le cadre de sa mission d'intérêt général n'exclut pas que la participation des élèves soit facultative et que la collecte de données, faisant partie de l’ensemble de traitement de données plus large que celui qu’implique l’enquête auprès des élèves après la collecte des données à caractère personnel des élèves, soit fondée sur le consentement explicite (article 9.2 a) RGPD). Ce consentement explicite est requis compte tenu du fait que l'enquête permet de collecter des informations sur l'état de santé des élèves, y compris, en l'espèce, celui de la fille du plaignant. Le défendeur, en tant que responsable du traitement, ne peut traiter les données à caractère personnel des élèves que si le consentement explicite a été donné à cette fin. En effet, aucune des autres exceptions à l'interdiction de traitement de ces données à caractère personnel n'est applicable. 38. La Chambre Contentieuse précise à cet égard qu’en ce qui concerne les élèves de moins de 18 ans, ce consentement explicite doit être donné par les parents ou le tuteur, en tant que représentants légaux. Le défendeur indique dans les conclusions que si le consentement était le fondement juridique valable, il aurait été suffisant que le responsable du traitement puisse demander le consentement à la personne concernée elle-même, en l’occurrence la fille du plaignant, étant donné qu’elle avait déjà 13 ans au moment des faits. La Chambre Contentieuse précise à ce sujet que la limite d’âge de 13 ans n’est valable qu’en ce qui concerne l’application de l’article 8 du RGPD et de l’article 7 de la loi du 30 juillet 2018, pris en exécution de l’article 8.1, paragraphe 2 du RGPD17. Tant le plaignant que le défendeur s’accordent à dire que l’article 8 du RGPD n’est pas d’application. La Chambre Contentieuse adhère à ce point de vue, étant donné que l’on a expliqué dans la défense des parties que seule la lettre d’information concernant l’enquête auprès des élèves a été envoyée via Smartschool, tandis que l’enquête en tant que telle n’a pas été réalisée via Smartschool. Dès lors, il n’est aucunement question d’une quelconque offre d’un service de la société de l'information, ce qui constitue une condition d’application essentielle pour l’article 8 du RGPD. Étant donné que l’article 9.2 a) du RGPD s’applique, il convient d’appliquer la règle générale (article 488 du Code civil 18) selon laquelle, pour les mineurs, y compris donc les élèves de moins de 18 ans, le consentement des parents ou du tuteur est requis pour le traitement de données concernant la santé. 39. Étant donné que le défendeur n’a pas adopté la qualité de responsable du traitement et n’a donc pas vérifié le fondement juridique sur lequel se basent l’enquête auprès des élèves et le traitement de données y afférent des élèves participants, la Chambre Contentieuse constate qu'une violation du principe de licéité de l'article 5.1a) du RGPD, ainsi que de l’article 6.1.e) du RGPD et de l'article 9.2.a) du RGPD a été commise. lll. Quant aux mesures correctrices et aux sanctions 40. Il appartient à la Chambre Contentieuse de déterminer la sanction la plus appropriée pour la violation des articles 5.1 a), 6.1 e) et 9.2 a) du RGPD, et ce sur la base des options dont elle dispose en vertu de l'article 100, § 1er de la LCA. 41. À cet égard, la Chambre Contentieuse tient compte dans une grande mesure de l'ambiguïté qui régnait dans la relation réciproque entre le défendeur et le Centre d'expertise Z, plus précisément en ce qui concerne la question de la désignation du responsable du traitement. Étant donné que la présente décision de la Chambre Contentieuse clarifie les choses à ce sujet, cela permet au défendeur de s'adapter et d'assurer la transparence nécessaire quant au fondement juridique correct, à savoir l'article 6.1 e) du RGPD, afin d'éviter que des imprécisions subsistent encore à cet égard, et l'article 9.2 a) du RGPD, en ce qui concerne le traitement de données concernant la santé. IV. Publication de la décision 42. Vu l'importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l'Autorité de protection des données. Toutefois, il n'est pas nécessaire à cette fin que les données d'identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération de formuler une réprimande à l'encontre du défendeur, en vertu de l'article 100, § 1er, 5° de Ia LCA, pour la violation des articles 5.1.a), de l’article 6.1.e) et de l’article 9.2.a) du RGPD. En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l’objet d’un recours auprès de la Cour des marchés (Cour d’appel de Bruxelles) dans un délai de trente jours à compter de sa notification, avec l'Autorité de protection des données en qualité de partie défenderesse. Un tel recours peut être introduit au moyen d'une requête contradictoire qui doit comporter les mentions énumérées à l'article 1034ter du Code judiciaire19. La requête contradictoire doit être déposée au greffe de la Cour des marchés, conformément à l'article 1034quinquies du Code judiciaire20, ou via le système informatique e-Deposit de la Justice (article 32ter du Code judiciaire). (sé.) Hielke Hijmans Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250418.2 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250827.1