ECLI:BE:GBAPD:2025:DEC.20250326.2

Chambre Contentieuse Décision quant au fond 62/2025 du 26 mars 2025 Numéro de dossier : DOS-2020-01328 Objet : Plainte concernant la publication de données à caractère personnel de jubilaires dans une brochure à l’occasion d’un jubilé organisé par la ville La Chambre Contentieuse de l'Autorité de protection des données, composée de Monsieur Hielke HIJMANS, président, siégeant seul ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après "RGPD" ; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après "LCA"1 ; Vu le règlement d'ordre intérieur, tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : La plaignante : X, ci-après "la plaignante" ; La défenderesse : la Ville Y, ci-après "la défenderesse" I. Faits et procédure 1. Le 13 mars 2020, la plaignante introduit une plainte auprès de l'Autorité de protection des données contre la défenderesse. 2. L'objet de la plainte concerne le traitement illicite présumé des nom et prénom de la plaignante par la défenderesse. La défenderesse est la Ville Y. Celle-ci envoie un courrier à tous ses habitants ayant 50 ans en 2020 afin de les inviter à une fête qu’elle organise traditionnellement tous les ans. L’invitation par courrier est accompagnée d’une brochure dans laquelle sont publiés les nom et prénom de tous les jubilaires. Au total, il s’agit de la publication de 620 noms, incluant celui de la plaignante. La plaignante avance que tous les jubilaires ayant reçu ce courrier peuvent ainsi prendre connaissance de ses nom, prénom et âge ainsi que de la ville où elle réside et qu’il s’agit là d’une violation de sa vie privée. 3. Le 16 mars 2020, la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 4. Le 23 avril 2020, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 5. Le 23 avril 2020, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. 6. La date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 25 mai 2020, celle pour les conclusions en réplique de la plaignante au 8 juin 2020 et celle pour les conclusions en réplique de la défenderesse au 22 juin 2020. Vu que la plaignante n’a pu prendre connaissance des conclusions en réponse de la défenderesse que le 24 juin 2020, la date limite pour la réception des conclusions en réplique de la plaignante a été prolongée jusqu’au 23 juillet 2020 et celle pour les conclusions en réplique de la défenderesse jusqu’au 13 août 2020. 7. Le 20 mai 2020, la Chambre Contentieuse reçoit les conclusions en réponse de la part de la défenderesse. Elle y expose tout d’abord une chronologie des faits qui se sont produits avant l’introduction de la plainte auprès de l’Autorité de protection des données. Elle avance que l’administration communale elle-même a reçu deux plaintes concernant la publication des noms dans la brochure. Suite à cela, le délégué à la protection des données de la défenderesse a décidé de signaler l’incident le 9 mars 2020 auprès de la Vlaamse Toezichtcommissie (commission de contrôle flamande) en tant que fuite de données 2. La défenderesse explique ensuite que le traitement des noms et adresses des jubilaires en vue de l’envoi des invitations s’inscrit dans le cadre d’une politique spécifique des groupes cibles de l’administration communale, qui a été décidée sur la base de sa propre autonomie. Pour l’envoi des invitations, la défenderesse a consulté les registres de la population, ce qu’elle a été autorisée à faire par le Collège des bourgmestre et échevins de la ville le 21 janvier 20203. La défenderesse invoque donc explicitement l’article 6.1.e) du RGPD pour justifier le traitement. Enfin, la défenderesse admet que la publication des noms des jubilaires dans la brochure, et ainsi ipso facto également de leur âge, a eu lieu sans base juridique valable. Elle qualifie elle-même ce traitement d’illicite et donc de violation du RGPD. 8. Le 7 juillet 2020, la Chambre Contentieuse reçoit les conclusions en réplique de la part de la plaignante La plaignante affirme, à titre d’exemple, qu’en combinant la brochure avec le nom de famille de la deuxième personne qui avait introduit une plainte auprès de la défenderesse concernant la publication, comme cela ressort des pièces 4, elle a pu facilement retrouver le domicile précis et le numéro de téléphone de cette personne. 9. La Chambre Contentieuse ne reçoit pas d’autres conclusions de la part de la défenderesse. II. Motivation II.1. Quant à la licéité des traitements 10. La Chambre Contentieuse rappelle qu'en vertu de l'article 5.1.a) du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente. Plus précisément, la Chambre Contentieuse attire l'attention sur la concrétisation du principe de licéité repris à l’article 6.1 du RGPD, qui prescrit que tout traitement de données à caractère personnel doit reposer sur une base juridique. Cela signifie qu'un responsable du traitement ne peut pas entamer ou poursuivre un traitement sans invoquer l'une des six conditions énumérées à l'article 6.1 du RGPD. La Chambre Contentieuse souligne à cet égard que chaque traitement distinct requiert une base juridique distincte. II.1.1. Consultation des registres de la population 11. La Chambre Contentieuse constate que la défenderesse invoque explicitement l’article 6.1.e) du RGPD pour consulter les registres de la population et contrôler les noms, âges et adresses de ses habitants dans le but d’inviter des jubilaires à une fête qu’elle organise. 12. La Chambre Contentieuse rappelle qu’un responsable du traitement qui invoque l'article 6.1.e) du RGPD doit pouvoir démontrer que le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont il est investi. Dans ce cadre, la Chambre Contentieuse fait remarquer que la mission d’intérêt public ou l’autorité publique doit avoir été confiée au responsable du traitement par une norme5. 13. À cet effet, la défenderesse attire l’attention sur l’article 5 de l’arrêté royal du 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers6 qui établit que la consultation du registre de la population par les services communaux et les services dépendant du centre public d'aide sociale est autorisée à ‘des fins de gestion interne’. La Chambre Contentieuse estime que cet article peut en effet servir de base juridique en vertu du droit national, tel que visé à l’article 6.3 du RGPD, mais constate que le contenu de la notion de ‘fins internes’ n’est toutefois pas défini de manière précise. 14. La Commission de la protection de la vie privée (CPVP), prédécesseur en droit de l’Autorité de protection des données, a expliqué par le passé que la consultation des registres de la population devait toujours s’effectuer sous le couvert d’une décision de l’administration communale, comme un collège des bourgmestre et échevins 7. L’autorisation de consulter le registre de la population doit toujours avoir lieu en vue de réaliser des ‘fins internes’, ce qui implique qu’il doit s’agir de finalités qui s’inscrivent dans le cadre de la compétence de la commune en vertu de sa mission en tant qu’administration publique. La circulaire ministérielle du 1er juillet 2011 concernant la consultation des registres de population à des fins de gestion interne8 ajoute à cela qu’il peut aussi bien s’agir de compétences attribuées que d’initiatives que la commune prend sur la base de son autonomie. La défenderesse fait valoir que la consultation du registre de la population s’inscrivait en l’espèce dans le cadre de la politique spécifique des groupes cibles de l’administration communale, qui avait été décidée sur la base de sa propre autonomie. 15. La Chambre Contentieuse constate que le 21 janvier 2020, le Collège des bourgmestre et échevins de la ville a en effet autorisé l’administration communale à consulter le registre de la population afin d’inviter dans ce cas les jubilaires 9. La Chambre Contentieuse conclut que les données qui ont été consultées par la défenderesse ont exclusivement été utilisées pour l’invitation des habitants âgés de 50 ans à une réception à l’administration communale, comme cela est établi dans la décision du collège. Par conséquent, la Chambre Contentieuse estime que la défenderesse pouvait licitement invoquer l’article 6.1.e) du RGPD. Elle estime que la consultation du registre de la population était nécessaire pour la réalisation de la finalité interne de la défenderesse et considère que les fins internes énumérées dans la décision susmentionnée du collège peuvent être perçues comme pertinentes pour concrétiser l’intérêt général local, le bien-être des citoyens et l’implication maximale des habitants dans la politique communale. II.1.2. Publication des noms dans la brochure d’invitation 16. Il ressort des pièces présentées par la plaignante que les nom et prénom de tous les jubilaires ont été publiés dans une brochure jointe par l’administration communale à l’invitation. Au total, il s’agit de la publication de 620 noms, incluant celui de la plaignante. La Chambre Contentieuse constate que la défenderesse a ainsi non seulement publié les noms des personnes concernées mais ipso facto également leur âge (50 ans) et leur domicile (Ville Y). 17. La Chambre Contentieuse rappelle à nouveau que conformément au principe de licéité de l’article 6.1 du RGPD, tout traitement de données à caractère personnel doit reposer sur une base juridique. 18. En l’occurrence, la Chambre Contentieuse fait remarquer que la publication des nom et prénom des personnes concernées constitue un traitement distinct, pour lequel une base juridique distincte est requise. La défenderesse admet elle-même explicitement que la publication des noms dans la brochure a eu lieu sans base juridique valable. La Chambre Contentieuse conclut dès lors que ce traitement est illicite et constate qu’une violation de l’article 6.1 du RGPD a été commise. III. Mesures 19. La Chambre Contentieuse souligne qu’un grand laps de temps s’est écoulé entre le dépôt des dernières conclusions dans le présent dossier et la prise de la présente décision. La Chambre Contentieuse souhaite explicitement présenter ses excuses auprès des parties concernées. 20. La Chambre Contentieuse prend en compte ce laps de temps lors de la détermination de la mesure appropriée dans le présent dossier - sans que ce laps de temps puisse en soi constituer une raison de n’imposer aucune sanction. 21. La Chambre Contentieuse considère également que la défenderesse a bien coopéré au cours de la procédure et a reconnu son erreur. 22. Étant donné que la violation est établie et n’est pas contestée, la Chambre Contentieuse formule à l’encontre de la défenderesse une réprimande au sens de l’article 100, § 1 er, 5° de la LCA en ce qui concerne la publication des noms des quinquagénaires concernés dans la brochure litigieuse. IV. Publication de la décision 23. Vu l'importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l'Autorité de protection des données. Toutefois, il n'est pas nécessaire à cette fin que les données d'identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération : - De formuler une réprimande à l'encontre de la défenderesse en application de de l'article 100, §1er, 5° de la LCA pour la violation de l’article 6.1 du RGPD. En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l’objet d’un recours peut être introduit auprès de la Cour des Marchés (Cour d'appel de Bruxelles) dans un délai de trente jours à compter de sa notification, avec l'Autorité de protection des données en qualité de défenderesse. Un tel recours peut être introduit au moyen d'une requête contradictoire qui doit comporter les mentions énumérées à l'article 1034ter du Code judiciaire10. La requête contradictoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du Code judiciaire11, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du Code judiciaire). (sé). Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250326.2 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250811.1