ECLI:BE:GBAPD:2025:DEC.20250314.2

Chambre Contentieuse Décision quant au fond 53/2025 du 14 mars 2025 Numéro de dossier : DOS-2019-04744 Objet : le traitement de données à caractère personnel par un sauna érotique La Chambre Contentieuse de l'Autorité de protection des données (ci-après ‘l’APD’), composée de Monsieur Hielke HIJMANS, président, et de Messieurs Jelle Stassijns et Frank De Smet, membres ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après "RGPD" ; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après "LCA"1 ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : la plaignante : X, représentée par Me Davina Claus, ci-après "la plaignante"; la défenderesse : Y, représentée par Me Henk de Kesel, ci-après "la défenderesse". I. Faits et procédure 1. L’objet de la plainte concernait l’installation de deux caméras de surveillance qui filmaient la voie publique. En dehors du cadre de la plainte, la présente décision, prise après enquête du Service d’Inspection, concerne également le traitement de données à caractère personnel par la défenderesse sur son site Internet, vu ses activités en tant que sauna érotique. 2. Le 14 octobre 2019, la plaignante a introduit une plainte auprès de l’Autorité de protection des données contre la défenderesse. Les caméras de la défenderesse seraient orientées vers la voie publique, il n’y aurait provisoirement pas de pictogramme signalant l’existence d’une surveillance par caméra, aucune donnée du responsable du traitement n’était complétée sur le pictogramme présent précédemment et la plaignante n’a jamais été consultée concernant l’installation des caméras. La plaignante a dès lors demandé que les caméras soient retirées. 3. La plainte comportait un e-mail de l'agent de quartier avec les informations suivantes : • Les caméras ont été demandées et installées conformément à la législation et ont été correctement enregistrées auprès de la police. • Les caméras n’étaient pas orientées vers les maisons voisines mais bien vers "le trottoir et la voie publique le long de la rue [rue de la plaignante] et vers le trottoir au coin de la rue [rue de la plaignante] et de la rue [rue]”. • Un pictogramme mentionnant l’adresse et le numéro de téléphone du responsable était bien apposé. 4. Le 29 octobre 2019, la plainte a été déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte a été transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 5. Le 8 novembre 2019, la Chambre Contentieuse a décidé de demander une enquête au Service d'Inspection, en vertu des articles 63, 2° et 94, 1° de la LCA. Conformément à l’article 96, § 1er de la LCA, la demande de la Chambre Contentieuse de procéder à une enquête a été transmise au Service d’Inspection, de même que la plainte et l’inventaire des pièces. 6. Le 6 mars 2020, l’enquête du Service d’Inspection a été clôturée, le rapport a été joint au dossier et celui-ci a été transmis par l’inspecteur général au président de la Chambre Contentieuse (article 91, § 1er et § 2 de la LCA). Le rapport comportait des constatations relatives à l'objet de la plainte et concluait que : 1. Y était le responsable du traitement pour le traitement de données à caractère personnel réalisé au moyen des caméras installées ; 2. il y avait une violation de l’article 8 de la Loi caméras 2 et de l’article 1er de l’Arrêté caméras3, vu l’absence d’un pictogramme qui devrait signaler l’existence d’une surveillance par caméra ; 3. il y avait une violation des articles 7.2° et 8.1° de l’Arrêté caméras, vu que les finalités du traitement et la base légale du traitement n’étaient pas clairement définies. Le rapport comportait en outre des constatations qui dépassaient l’objet de la plainte. Le Service d’Inspection a constaté, dans les grandes lignes, que : 1. il y avait une violation des articles 12, 13 et 14 du RGPD, vu que la déclaration de confidentialité n’était pas suffisamment transparente et compréhensible et était incomplète ; 2. il y avait une violation des articles 30.4 et 31 du RGPD, vu qu’aucun registre des activités de traitement n’a été soumis au Service d’Inspection et qu’aucune réponse motivée n’a été fournie quant à la question de savoir si un délégué à la protection des données avait ou non été désigné. 7. Le 2 juin 2020, les parties concernées ont été informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles ont également été informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La portée de l’affaire a été établie sur la base des violations présumées suivantes : • violation possible de dispositions de la Loi caméras • violation possible des articles 12, 13, 14, 20 et 31 du RGPD. La date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 3 juillet 2020, celle pour les conclusions en réplique de la plaignante au 17 juillet 2020 et enfin celle pour les conclusions en réplique de la défenderesse au 31 juillet 2020. 8. Le 29 juin 2020, les délais pour introduire les conclusions ont été prolongés à la demande de la défenderesse. La date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 17 juillet 2020, celle pour les conclusions en réplique de la plaignante au 7 août 2020 et enfin celle pour les conclusions en réplique de la défenderesse au 28 août 2020. 9. Le 15 juillet 2020, la Chambre Contentieuse a reçu les conclusions en réponse de la défenderesse concernant les violations présumées dans le cadre de la plainte et les violations présumées en dehors du cadre de la plainte. 10. Le 6 août 2020, la Chambre Contentieuse a reçu les conclusions en réplique de la plaignante. 11. Le 28 août 2020, la Chambre Contentieuse a reçu les conclusions de synthèse de la défenderesse concernant les violations présumées dans le cadre de la plainte. 12. Le 31 août 2020, la plaignante a sollicité un délai supplémentaire pour introduire ses conclusions Le 9 septembre 2020, la défenderesse s’est opposée à l’octroi d’un délai supplémentaire pour introduire des conclusions. Le même jour, la plaignante a ajouté une nouvelle pièce dans son recueil de pièces. Le 14 septembre 2020, la Chambre Contentieuse a refusé d’accorder à la plaignante un délai supplémentaire pour introduire des conclusions et a renvoyé à l’audition qui aurait encore lieu. 13. Le 22 octobre 2020, les parties ont été informées du fait que l'audition aurait lieu le 30 novembre 2020. 14. Le 30 novembre 2020, les parties ont été entendues par la Chambre Contentieuse. 15. Le 6 décembre 2020, le procès-verbal de l’audition a été soumis aux parties. Le même jour, les parties ont été invitées à remettre d’autres conclusions concernant : • la base de licéité pour le traitement de données à caractère personnel par les caméras de surveillance, • leur point de vue sur l’applicabilité de l’interdiction de traitement de l’article 9.1 du RGPD et d’éventuelles exceptions à cette interdiction de traitement de l’article 9.2 du RGPD, • les mesures qui ont été prises pour traiter les données à caractère personnel dans le livre d'or conformément aux articles 5 et 6 du RGPD. La date limite pour la réception des conclusions en réponse supplémentaires de la défenderesse a été fixée au 22 décembre 2020, celle pour les conclusions en réplique de la plaignante au 29 décembre 2020 et enfin celle pour les conclusions en réplique de la défenderesse au 5 janvier 2021. 16. Le 22 décembre 2020, la Chambre Contentieuse a reçu les conclusions en réponse supplémentaires de la défenderesse. 17. Le 5 janvier 2021, la Chambre Contentieuse reçoit les conclusions en réplique supplémentaires de la plaignante. 18. Le 13 janvier 2021, la défenderesse a fait savoir qu’elle ne souhaitait plus introduire de conclusions en réplique supplémentaires. II. Motivation II.1. Description du traitement 19. La plainte initiale concernait le traitement d’images de deux caméras de surveillance installées sur la façade extérieure de l’immeuble de la défenderesse dans le but "d’éviter d’autres dégâts à notre immeuble et aux propriétés publiques”4. Ces deux caméras ont été correctement demandées et déclarées auprès de la police locale. Lors de l’audition, il s’est avéré qu’une troisième caméra était installée dans le sas d’accès de l’immeuble, dirigée sur l’entrée de l’immeuble. 20. Un sauna érotique était exploité dans l’immeuble. Le site Internet du sauna érotique comportait une déclaration de confidentialité ainsi qu’un livre d’or. II.2. La plainte et les violations présumées 21. L’article 58 de la LCA dispose : "Toute personne peut déposer une plainte ou une requête écrite, datée et signée auprès de l'Autorité de protection des données. [...]". Conformément à l'article 60 de la LCA, une plainte est recevable lorsqu’elle : a. est rédigée dans l'une des langues nationales ; b. contient un exposé des faits et les indications nécessaires pour identifier le traitement sur lequel elle porte ; c. relève de la compétence de l'Autorité de protection des données. 22. La Chambre Contentieuse a déjà émis les considérations suivantes dans une précédente décision : "Bien que le RGPD considère la ‘plainte’ du point de vue de la personne concernée, en imposant des obligations aux autorités de contrôle lorsqu'une personne introduit une plainte (voir les articles 57, 1.f) et 77 du RGPD), le RGPD n'empêche pas que le droit national donne la possibilité à d'autres personnes que les personnes concernées d'introduire une plainte auprès de l'autorité de contrôle nationale. La possibilité d'une telle saisine correspond d'ailleurs aux missions confiées par le RGPD aux autorités de contrôle. À cet égard et de façon générale, chaque autorité de contrôle : veille au contrôle de l'application du RGPD et au respect de celui-ci (article 57.1.a) du RGPD) et s'acquitte de toute autre mission relative à la protection des données à caractère personnel (article 57.1.v) du RGPD)."5 23. En résumé, la LCA n'exclut pas qu'une autre personne que la personne concernée ou la personne mandatée par celle-ci, au sens de l'article 80 du RGPD tel que développé à l’article 220 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, puisse introduire une plainte auprès de l'APD. 24. Plus précisément, la Chambre Contentieuse estime que l'article 58 de la LCA donne à toute personne la possibilité d'introduire une plainte, à condition qu'elle y ait un intérêt suffisant. 25. La Chambre Contentieuse constate que la plaignante réside dans l’immeuble à côté du sauna érotique et doit donc passer quotidiennement devant les caméras de surveillance 6. La plaignante attire également spécifiquement l’attention sur les violations de la vie privée qu’elle subit à cet égard. La Chambre Contentieuse estime que la plaignante démontre un intérêt suffisant pour introduire une plainte contre le traitement des images des caméras. 26. Dans ses conclusions, la défenderesse souligne les antécédents de la plainte et l’apport ou non de nouveaux éléments après cette procédure, ainsi que la relation qui s’est dégradée entre elle et la plaignante. Selon la Chambre Contentieuse, aucune de ces deux considérations ne limite la plaignante dans son droit d’introduire une plainte contre un traitement illicite présumé de données à caractère personnel pour lequel elle peut démontrer un intérêt. 27. En dehors du cadre de la plainte, il n’est pas exclu qu’une plainte donne lieu à un contrôle plus intégral et plus substantiel par le Service d’Inspection, comme l’a également confirmé la Cour des marchés7 . En l’espèce, le Service d’Inspection a aussi constaté de potentielles violations de l’obligation de transparence des articles 12, 13 et 14 du RGPD et de l’obligation de coopérer dans la présentation du registre des activités de traitement à l’autorité de contrôle, reprise aux articles 30.4 et 31 du RGPD. 28. Enfin, la Chambre Contentieuse a constaté lors de l’audition que des éléments faisaient défaut pour prendre une décision motivée. En tenant compte du droit à la défense, les parties se sont vu accorder un délai supplémentaire pour remettre leurs conclusions afin d’expliquer leur point de vue concernant • la base légale du traitement des images des caméras, • une éventuelle exception à l’interdiction de principe de traiter des données issues des catégories particulières de données à caractère personnel et • les mesures prises afin de garantir que le traitement de données à caractère personnel dans le livre d’or soit conforme aux articles 5 et 6 du RGPD. II.3. Détermination du responsable du traitement 29. Conformément à l’article 4.7) du RGPD, il y a lieu de considérer comme le responsable du traitement : "la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement." 30. La Cour de justice a, à plusieurs reprises, interprété la notion de "responsable du traitement" de manière large dans sa jurisprudence 8 afin d'assurer une protection efficace et complète des personnes concernées. 31. Conformément aux Lignes directrices 07/2020 de l’EDPB, la qualité du (des) responsable(s) du traitement concerné(s) doit être concrètement évaluée 9. Toujours selon ces mêmes lignes directrices, les notions "les finalités" et "les moyens" doivent être examinées ensemble de manière indissociable et il convient à cet égard d’établir qui détermine le ‘pourquoi’ (les finalités) et le ‘comment’ (les moyens) du traitement10. 32. Le Service d’Inspection a constaté sur la base des données figurant dans la Banque-Carrefour des Entreprises que la défenderesse était le responsable du traitement des images des caméras de l’immeuble. Lors de l’audition, il est apparu que la défenderesse se considérait elle-même comme le responsable du traitement des images des caméras. 33. Toutefois, la défenderesse n’exploite pas elle-même le sauna érotique. Pour cette activité, elle loue l’immeuble aux véritables exploitants. Concernant le site Internet et le livre d’or, la défenderesse estime dès lors que les exploitants du sauna érotique doivent être considérés comme les responsables du traitement. Dans les conclusions après l’audition, au cours de laquelle des questions supplémentaires ont été posées concernant le traitement des données à caractère personnel via le livre d’or, la défenderesse explique que dans la déclaration de confidentialité, il est précisé que [C.S.], en l’espèce l’exploitant du sauna érotique, est le ‘sous-traitant des données’ pour les données à caractère personnel liées au site Internet et au livre d’or. 34. Quant aux images des caméras, la Chambre Contentieuse constate que la défenderesse a déterminé les finalités et les moyens du traitement des images des caméras, établit les contacts avec la firme chargée de l’installation et a également décidé de débrancher les caméras, par le biais de la firme d’installation. 35. Concernant les données à caractère personnel traitées via le site Internet, la Chambre Contentieuse constate que : • la défenderesse affirme dans son courrier au Service d’Inspection qu’elle est également gérante du sauna : "Je vous écris en tant que gérante du sauna [...] concernant la plainte en annexe”11 [NdT : tous les passages cités dans le présent document ont été traduits librement par le Service traduction de l’Autorité de protection des données, en l’absence de traduction officielle], après quoi la défenderesse répond aux questions relatives au site Internet et à la déclaration de confidentialité sur le site Internet ; • dans la Banque-Carrefour des Entreprises, l’activité principale de la défenderesse consiste en : ‘Saunas, solariums, thermes, etc.’ ; 12 • le conseil de la défenderesse assume toute la défense de la défenderesse, y compris la défense contre les violations présumées sur le site Internet et dans la déclaration de confidentialité du sauna érotique, sans la moindre réserve ; • lors de l’audition, la défenderesse fait savoir que les exploitants "sont tous les deux des salariés de la société"13. 36. Vu ce qui précède, la Chambre Contentieuse estime que la défenderesse est également responsable du traitement pour les données qui sont traitées sur le site Internet du sauna érotique, y compris dans la déclaration de confidentialité et le livre d’or. II.4. Concernant le traitement des images des caméras 37. Filmer la voie publique au moyen de caméras de surveillance qui enregistrent des images est un sujet très sensible. Sur la base des constatations du Service d’Inspection, il s’agit d’une violation historique de dispositions de la Loi caméras. À la fin de l’audition, la défenderesse avait toutefois signalé à la Chambre Contentieuse son intention de désactiver les caméras "mettant ainsi un terme à toute la problématique"14. Dans les conclusions après l’audition, la défenderesse est revenue sur cette intention et a confirmé que les caméras avaient été désactivées. La défenderesse l’a prouvé au moyen d’un certificat de l’installateur en date du 8 décembre 2020. Les caméras ont été débranchées et le câblage a été coupé. Le disque dur du système d’enregistrement a été retiré et détruit. 38. Sur la base de ces mesures, conformément à l’article 100, § 1 er, 2° de la LCA, la Chambre Contentieuse ordonne le non-lieu concernant le traitement des images des caméras. Vu ce non-lieu, la Chambre Contentieuse n’abordera plus la licéité du traitement des images des caméras. 39. L’article 4, § 1er de la LCA prévoit : "L'Autorité de protection des données est responsable du contrôle du respect des principes fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel." Au moment où les caméras sont débranchées, elles ne traitent plus de données à caractère personnel et l’APD cesse d’être compétente. La Chambre Contentieuse n’est pas compétente pour ordonner le retrait des caméras débranchées, comme la plaignante l’exige dans ses conclusions, vu que les caméras dont il est question ne traitent plus de données à caractère personnel. II.5. Concernant le registre des activités de traitement 40. Le Service d’Inspection avait constaté que le responsable du traitement ne pouvait lui soumettre que le registre des activités de traitement des images et pas le registre des activités de traitement tel que défini à l’article 30 du RGPD. Pour cette raison, le Service d’Inspection constate une violation des articles 30 et 31 du RGPD. 41. La défenderesse a indiqué un malentendu concernant le registre des activités de traitement et a précisé que ce malentendu était survenu du fait qu'elle était convaincue qu’aucune donnée à caractère personnel n’était traitée. 42. La Chambre Contentieuse constate que la défenderesse tient deux discours. D’une part, elle est convaincue qu’elle ne traite aucune donnée à caractère personnel et ne peut ou ne doit pas avoir de registre des activités de traitement, d’autre part, elle précise dans la déclaration de confidentialité que le nom (de préférence un alias ou un diminutif), la commune et l’adresse e-mail des personnes concernées sont traités pour que ces dernières puissent être contactées par e-mail et compléter le livre d’or en ligne. Le livre d’or lui-même peut aussi contenir des données pouvant conduire à l’identification d’un client du sauna érotique. 43. La Chambre Contentieuse estime que la défenderesse n’a pas tenu de registre des activités de traitement et a ainsi commis une violation de l’article 30 du RGPD. II.6. Concernant la déclaration de confidentialité sur le site Internet de la défenderesse 44. Dans son enquête en dehors du cadre de la plainte, le Service d’Inspection avait évalué la déclaration de confidentialité sur le site Internet de la défenderesse le 13 novembre 2019. Après son intervention, le Service d’Inspection a constaté que la déclaration de confidentialité avait été adaptée par la défenderesse. Le 27 février 2020, le Service d’Inspection a évalué cette nouvelle déclaration de confidentialité. 45. Le rapport d'inspection a établi d’une part que la déclaration de confidentialité n’était pas transparente et compréhensible, vu que plusieurs termes n’étaient pas expliqués et qu’il était avancé que seuls le responsable de la section clients et le gérant avaient accès au livre d’or, alors que ce livre d’or est accessible publiquement sur le site Internet. D’autre part, des informations obligatoires en vertu de l’article 13 ou 14 du RGPD faisaient défaut, notamment concernant l’identité du responsable du traitement, les délais de conservation des données à caractère personnel, les finalités du traitement, la base juridique du traitement et les droits des personnes concernées. 46. La défenderesse a souligné la discrétion allant de pair avec la nature de ses activités et dès lors le traitement limité de données à caractère personnel. En outre, la déclaration de confidentialité a à nouveau été adaptée le 12 juin 2020. Avec cette nouvelle adaptation, la défenderesse a pensé qu’elle avait remédié aux manquements mentionnés dans le rapport d’inspection. 47. La Chambre Contentieuse constate que la déclaration de confidentialité du 12 juin 2020 reprend l’identité du responsable du traitement (ou de son représentant), les délais de conservation et les droits de la personne concernée. La manière dont une personne concernée peut exercer ses droits était également expliquée. La Chambre Contentieuse ne retrouve toutefois aucune mention de la base juridique sur laquelle se fonde le traitement des données à caractère personnel. 48. La Chambre Contentieuse estime dès lors que la défenderesse a commis une violation de l’article 13.1.c) du RGPD en raison de l’absence, dans la déclaration de confidentialité, des bases juridiques du traitement de données à caractère personnel par la défenderesse. II.7. Concernant le livre d’or sur le site Internet de la défenderesse 49. Dans ses conclusions de synthèse, la défenderesse a mentionné l’existence d’un livre d’or sur le site Internet de son sauna érotique. Lors de l’audition, la défenderesse a affirmé qu’il n’était pas possible de réagir dans le livre d’or. Le but de la défenderesse était de traiter le moins de données à caractère personnel possible. Dans ses conclusions après l’audition, la défenderesse a parcouru les mesures prises en ce sens concernant le livre d’or. Les clients sont encouragés à utiliser un alias et à ne pas reprendre des données d’identité dans leur message. Lorsque cela se produit quand même, la défenderesse peut intervenir en ne publiant pas le message ou en le supprimant immédiatement. 50. La Chambre Contentieuse constate que le site Internet comportait un livre d’or dans lequel les clients du sauna érotique pouvaient laisser des messages. Vu la nature des activités de la défenderesse, les données à caractère personnel à cet égard sont des données relatives au comportement ou à l’orientation sexuel(le) d’une personne, comme le précise le président de la Chambre Contentieuse lors de l’audition, en parlant d’éventuelles images de caméras de clients. Après l’intervention du Service d’Inspection, l’adresse e-mail du client qui postait un message était supprimée ; après l’audition, le site Internet insistait sur l’utilisation d’un alias et sur le fait d’éviter les données à caractère personnel. La consultation du livre d’or public apprend à la Chambre Contentieuse que ce sont généralement des prénoms, initiales ou alias qui sont utilisés, dans de nombreux cas en combinaison avec la commune et éventuellement avec des remarques personnelles qui peuvent conduire au client en question. 51. Après l’audition, la Chambre Contentieuse avait demandé des conclusions supplémentaires concernant ce livre d’or, plus particulièrement sur la garantie que ce livre d’or respectait les principes des articles 5 et 6 du RGPD. La réponse limitée de la défenderesse ne contenait pas la moindre indication d’une base juridique pour ce traitement, ni d’un motif d’exception à l’interdiction de traitement de l’article 9.1 du RGPD. L’article 5.2 du RGPD établit toutefois clairement que la défenderesse, en tant que responsable du traitement, doit pouvoir démontrer le respect de l’article 5.1, en l’occurrence la licéité du traitement de l’article 5.1.a) du RGPD., La Chambre Contentieuse estime que la défenderesse a commis une violation des articles 5.1.a), 6.1 et 9.2 juncto l’article 5.2 du RGPD. III. Mesures correctrices et sanctions 52. Aux termes de l’article 100, § 1er de la LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements et des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agréation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; 14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. 53. Concernant le traitement de données à caractère personnel au moyen des caméras de surveillance, la Chambre Contentieuse ordonne le non-lieu étant donné que suite aux mesures prises par le responsable du traitement, l’objet de la plainte n’existe plus. 54. Il appartient à la Chambre Contentieuse de décider de la sanction la plus adéquate au regard des violations des articles 5.1.a), 6.1 et 9.2, juncto l’article 5.2, de l’article 13.1.c) et de l’article 30 du RGPD et de l’ensemble des circonstances du cas d’espèce. 55. La Chambre Contentieuse est sensible au fait que la défenderesse a déjà apporté des améliorations à sa politique en matière de protection des données en cours de procédure, que la défenderesse tente activement de minimiser le traitement de données à caractère personnel et que la présente décision s’est fait attendre quatre ans. 56. Dans ces circonstances, la Chambre Contentieuse avertit la défenderesse, en vertu de l’article 100, § 1er, 5° de la LCA, que : • vu ses activités, elle ne peut traiter licitement des données à caractère personnel que sur la base d’un fondement juridique de l’article 6.1 du RGPD conjointement avec un motif d’exception de l’article 9.2 du RGPD et elle doit pouvoir le démontrer conformément à l’article 5.2 du RGPD, • la base juridique des traitements doit être claire pour la personne concernée dont elle traite des données à caractère personnel conformément à l’article 13.1.c) du RGPD, Décision quant au fond 53/2025 — 13/15 • elle doit à tout moment tenir un registre des activités de traitement complet et pouvoir le présenter à l’APD conformément à l’article 30 du RGPD. IV. Publication de la décision 57. Vu l'importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l'Autorité de protection des données. Toutefois, il n'est pas nécessaire à cette fin que les données d'identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération: - en vertu de l'article 100, § 1er ,2° de la LCA, d’ordonner le non-lieu concernant le traitement de données à caractère personnel provenant des caméras de surveillance, vu que suite aux mesures prises par le responsable du traitement, l'objet de la plainte n'existe plus ; - en vertu de l'article 100,1er , 5° de la LCA, d'avertir la défenderesse que: • vu ses activités, elle ne peut traiter licitement des données que sur la base d'un fondement juridique de l'article 6.1 du RGPD conjointement avec un motif d'exception de l'article 9.2 du RGPD et elle doit pouvoir le démontrer conformément à l'article 5.2 du RGPD, • la base juridique des traitements doit être claire pour la personne concernée dont elle traite des données à caractère personnel conformément à L'article 131.c) du RGPD, • elle doit à tout moment tenir un registre des activités de traitement complet et pouvoir le présenter à IAPD conformèrent à l'article 30 du RGPD. Conformément à l'article 108, § I de la LCA, un recours contre cette décision peut être introduit,dan s un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire gui doit contenir les Informations énumérées à l'article 1034ter du Code judiciaire15. La requête interlocutoire doit être déposée au greffe de la Cour des marchés conformément à l'article 1034quinquies du Code judiciaire16, ou via le système informatique e-Deposit de la Justice (article 32ter du Code judiciaire). (sé.) Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250314.2 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250708.1