ECLI:BE:GBAPD:2025:DEC.20250320.1

Chambre Contentieuse Décision quant au fond 55/2025 du 20 mars 2025 Numéro de dossier : DOS-2023-03049 Objet : Plainte contre l’Office des étrangers (SPF Intérieur – IBZ) en raison du traitement illicite des données notamment judiciaires du plaignant, de leur collecte irrégulière et ainsi que de l’absence de réponse à une demande d’accès La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Christophe Boeraeve et Yves Poullet, membres; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X, représenté par Maître Agathe DE BROUWER, ci-après « le plaignant » Le défendeur : Service Public Fédéral Intérieur – direction générale de l’Office des étrangers, dont le siège social est établi à Boulevard Pachéco, 44 – 1000 Bruxelles, inscrit sous le numéro d'entreprise 0308.356.862, représenté par Maître Elisabeth DERRIKS, ci-après « le défendeur » I. Faits et procédure 1. Le 3 octobre 2023, le plaignant introduit une plainte auprès de l’Autorité de protection des données contre le défendeur. 2. L'objet de la plainte concerne le traitement de données à caractère personnel – en ce compris judiciaires – du plaignant. 3. Le plaignant, de nationalité étrangère, est détenu dans une prison en raison de faits infractionnels qu’il a commis, lesquels lui ont valu d’être condamné à une peine de prison. 4. Le 26 avril 2023, l’Office des étrangers adopte une décision de fin de séjour à l’encontre du plaignant en raison des faits susmentionnés. Celle-ci se fonde en partie sur la circulaire ministérielle n° 1815bis du 27 novembre 2017 relative aux détenus étrangers – non publiée. L’avocate du plaignant a introduit un recours concernant ladite décision auprès du Conseil du contentieux des étrangers, lequel recours est actuellement pendant. 5. Le 4 juillet 2023, l’avocate du plaignant effectue une demande d’information auprès de l’APD. L’avocate souhaite en effet obtenir des clarifications à l’égard de la licéité des consultations des données pénitentiaires des détenus qu’opère l’Office des étrangers. À ce titre, elle fait remarquer que la loi du 5 mai 2019 portant dispositions diverses en matière d’informatisation de la Justice, de modernisation du statut des juges consulaires et relativement à la banque des actes notariés (ci-après « la loi du 5 mai 2019 ») crée, en son article 3, une banque de données informatisée appelée « Sidis Suite »2. L’avocate précise que l’article 7, § 1er de ladite loi octroie un droit de lecture aux données stockées dans « Sidis Suite » à l’Office des étrangers. Toutefois, ajoute l’avocate, le deuxième paragraphe du même article indique ce qui suit : « Le Roi détermine, après avis de l'autorité de contrôle compétente, l'étendue et les modalités de ce droit de lecture et précise par autorité, organe ou service pour quelles fins spécifiques les données peuvent être utilisées. ». L’avocate relève que cet arrêté royal n’a pas encore été adopté. En outre, l’avocate fait référence à la circulaire ministérielle n° 1815bis réglant la situation des étrangers détenus qui, selon les contacts qu’elle aurait eus avec l’Office des étrangers, constituerait la base sur laquelle ce dernier s’appuie pour accéder aux données pénitentiaires des détenus. 6. Le 1er août 2023, le Service de Première Ligne (ci-après « SPL ») répond ne pas disposer d’informations sur le sujet, et recommande à l’avocate d’introduire une requête en médiation ou une plainte auprès de l’APD. 7. Le 18 août 2023, l’avocate du plaignant adresse les constats susmentionnés à l’attention du délégué à la protection des données (ci-après « DPO ») de l’Office des étrangers. Cela est resté sans réponse. 8. Le 3 octobre 2023, l’avocate du plaignant introduit une plainte au nom et pour le compte de ce dernier. 9. Le 9 février 2024 la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 10. Le 21 mars 2024 la Chambre Contentieuse décide, en vertu de l’article 95, § 1er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 11. À la même date, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite pour la réception des conclusions en réponse du défendeur a été fixée au 3 mai 2024, celle pour les conclusions en réplique du plaignant au 27 mai 2024 et celle pour les conclusions en duplique du défendeur au 18 juin 2024. 12. Le 22 mars 2024, le plaignant et le défendeur acceptent de recevoir toutes les communications relatives à l'affaire par voie électronique. Le plaignant sollicite par le même courriel une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 8 avril 2024. 13. Le 26 avril 2024, la Chambre Contentieuse reçoit les conclusions en réponse de la part du défendeur. Elles peuvent être résumées comme suit : • Il déclare que le traitement de données à caractère qu’il a réalisé en l’espèce est conforme aux articles 5.1.a), 6.1 et 10 du RGPD. Il s’appuie à cet égard sur des dispositions législatives issues de la loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers (ci-après « la loi du 15 décembre 1980 »), en particulier sur son article 74/8, § 1er, alinéa 23 qui prévoit un devoir d’échange d’informations entre les autorités pénitentiaires et l’Office des étrangers concernant des prévenus ou condamnés étrangers en séjour irrégulier. Le défendeur mentionne également la circulaire ministérielle n° 1815bis du 27 novembre 2017, qui précise l’obligation d’échange d’informations susmentionnée, en permettant notamment à l’accompagnateur de migration de l’Office des étrangers d’accéder au dossier d’écrou de la personne concernée. En toute hypothèse, il relève que l’article 7, § 2 de la loi 5 mai 2019 n’est pas en cause étant entendu que la collecte des données ne s’effectue pas via la banque de données Sidis Suite ; • Il déclare que le traitement de données à caractère personnel qu’il a réalisé en l’espèce est conforme aux articles 5.1.a), 12.1 et 14 du RGPD. Il mentionne l’article 62, § 1er de la loi du 15 décembre 1980 qui accorde la possibilité à toute personne à l’égard de laquelle il est envisagé de mettre fin au séjour ou de procéder au retrait du séjour d’être entendue et de communiquer tous les éléments pertinents par écrit. Le défendeur conclut qu’il en ressort une collecte de données à caractère personnel, dont la personne concernée est informée ; • Il ne formule aucune remarque quant au grief relatif à l’absence de réponse à la demande d’accès du plaignant. 14. Le 27 mai 2024, la Chambre Contentieuse reçoit les conclusions en réplique de la part du plaignant. Elles peuvent être résumées comme suit : • Le défendeur a méconnu les articles 5.1.a), 6.1 et 10 du RGPD en ce que le traitement mis en cause ne se fonde sur aucune base légale. Le plaignant considère que le traitement dans le cas présent ne peut se fonder sur l’article 74/8, § 1er, alinéa 2 de la loi du 15 décembre 1980 tel qu’invoqué par le défendeur étant entendu que cette disposition s’applique aux détenus en séjour irrégulier. Or, le plaignant relève qu’il se trouvait en séjour régulier. Concernant la circulaire ministérielle n° 1815bis, le plaignant expose qu’elle ne pourrait pas non plus constituer une base de licéité au sens de l’article 6.1.c) et e) étant entendu qu’elle ne peut être considérée comme étant une source légale formelle au sens de l’article 22 de la Constitution ; • Le défendeur a méconnu les articles 5.1.a), 12.1 et 14 du RGPD en ce que bien qu’il ait reçu un formulaire « Droit d’être entendu », dans lequel il a partagé des données à caractère personnel, celui-ci ne portait pour autant pas sur les données qui ont été traitées dans le cadre de la procédure précédant l’adoption de la décision de retrait de titre de séjour du 26 avril 2023. En outre, le plaignant relève que lorsqu’il a reçu le courriel lui communiquant le formulaire « Droit d’être entendu », aucune information relative aux données auxquelles aurait accès l’Office des étrangers, ni l’étendue de cet accès ou encore les finalités poursuivies n’étaient mentionnées, de sorte que le plaignant n’a ainsi pas pu déterminer les éléments pris en compte dans le cadre de l’adoption de la décision de l’Office des étrangers, notamment celles relatives à ses antécédents disciplinaires ; • Le défendeur a méconnu les articles 12.3 et 15.1 du RGPD en ce qu’il n’a pas donné suite à l’exercice du droit d’accès du plaignant. 15. Le défendeur n’a pas déposé de conclusions en duplique. 16. Le 18 décembre 2024, les parties sont informées du fait que l'audition aura lieu le 23 janvier 2025. 17. Le 23 janvier 2025, les parties sont entendues par la Chambre Contentieuse. 18. Le 18 février 2025, le procès-verbal de l’audition est soumis aux parties. 19. La Chambre Contentieuse ne reçoit des parties aucune remarque relative au procès-verbal de l’audition, hormis une rectification formelle qui a été prise en compte. II. Motivation II.1. Quant au manquement allégué aux articles 5.1.a), 6.1 et 10 du RGPD II.1.1. Considérations liminaires 20. L’article 5.1.a) du RGPD expose que les traitements de données à caractère personnel doivent être réalisés de « manière licite, loyale et transparente »4. 21. L’article 6 du RGPD expose, en son premier paragraphe, six bases de licéité distinctes. L’on y considère en particulier que le traitement est licite si celui-ci « est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. »5. Celle-ci est la base de licéité dont se prévaut le défendeur à propos du traitement mis en cause dans la présente affaire. 22. La mobilisation de cette base de licéité présuppose la réunion des deux conditions suivantes : - Le responsable de traitement doit, conformément à l’article 6.3.b) du RGPD lu à la lumière des considérants 41 et 45 du même Règlement, être investi de l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique en vertu d’une base légale, que ce soit en droit de l’Union européenne ou en droit de l’État membre ; - Les finalités de traitement doivent être nécessaires à l’exécution de la mission d’intérêt public ou de l’exercice de l’autorité publique. 23. De surcroît, il ressort de la jurisprudence de la Cour de justice de l’Union européenne que l’article 6.3 du RGPD6, lu en combinaison du considérant 45 de celui-ci, exige que « le fondement du traitement visé à l’article 6, paragraphe 1, sous e), de ce règlement est défini par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis. En outre, le droit de l’Union ou le droit des États membres doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi. »7 La Chambre Contentieuse précise que le traitement de données à caractère se fondant sur l’article 6.1.e) du RGPD doit être régi par une réglementation suffisamment claire et précise, de sorte que le traitement soit prévisible pour les personnes concernées 8. L’exigence de prévisibilité implique que certains éléments essentiels du traitement en question soient inscrits dans une norme légale formelle9 au sens de l’article 22 de la Constitution, dont en particulier mais non uniquement la finalité du traitement. 24. Au regard de la condition de nécessité, la Cour de justice de l’Union européenne (CJUE) a, dans son arrêt Huber, spécifié « [qu’]eu égard à l’objectif consistant à assurer un niveau de protection équivalent dans tous les états membres, la notion de nécessité telle qu’elle résulte de l’article 7, sous e)10, de la directive 95/46, qui vise à délimiter précisément une des hypothèses dans lesquelles le traitement de données à caractère personnel est licite, ne saurait avoir un contenu variable en fonction des États membres. Partant, il s’agit d’une notion autonome du droit communautaire qui doit recevoir une interprétation de nature à répondre pleinement à l’objet de cette directive tel que défini à l’article 1er, paragraphe 1, de celle-ci »11. 25. Aux termes de conclusions12 qu’il a déposées dans cette affaire, l’avocat général explicite à cet égard que « le concept de nécessité a une longue histoire en droit communautaire et il est bien établi en tant que partie intégrante du critère de proportionnalité. Il signifie que l’autorité qui adopte une mesure qui porte atteinte à un droit fondamental en vue de réaliser un objectif justifié doit démontrer que cette mesure est la moins restrictive permettant d’atteindre cet objectif. Par ailleurs, si le traitement de données personnelles peut être susceptible d’enfreindre le droit fondamental au respect de la vie privée, l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CEDH) qui garantit le respect de la vie privée et familiale, devient lui aussi pertinent. Comme l’a Cour l’a énoncé dans l’arrêt Österreichischer Rundfunk e.a., si une mesure nationale est incompatible avec l’article 8 de la CEDH, cette mesure ne peut pas satisfaire à l’exigence de l’article 7, sous e), de la directive. L’article 8, paragraphe 2, de la CEDH prévoit qu’une ingérence dans la vie privée peut être justifiée si elle vise l’un des objectifs qui y sont énumérés et « dans une société démocratique, est nécessaire » à l’un de ces objectifs. La Cour européenne des droits de l’homme a jugé que la notion de « nécessité » implique qu’un « besoin social impérieux » soit en cause ». 26. Le Groupe de l’Article 29, en faisant référence à la jurisprudence de la Cour européenne des droits de l’homme, conclut que l’adjectif « nécessaire » ne revêt pas la même souplesse de termes tels que « admissible », « normal », « utile », « raisonnable » ou « opportun »13. 27. L’article 10 du RGPD prévoit en outre que « Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique. »14. II.1.2. Application pratique 28. Le défendeur se réfère à la mission de police qui lui est investie en vertu des articles 44bis, §§ 2 et 415, et 45, §§ 1er et 216 de la loi du 15 décembre 1980 sur l’accès au territoire, le séjour, l’établissement et l’éloignement des étrangers, et qui l’appelle à la sauvegarde de l’ordre public et de la sécurité nationale, laquelle mission implique également le traitement de données à caractère personnel, sans que cela ne soit défini précisément dans ces dispositions. 29. Il cite en outre l’article 74/8, § 1er, alinéa 2 de la loi du 15 décembre 1980 17 qui prévoit une obligation d’échange d’informations entre les autorités pénitentiaires et l’Office des étrangers concernant les prévenus ou condamnés de nationalité étrangère se trouvant en séjour irrégulier en Belgique. 30. Le défendeur ajoute que cette obligation d’échange d’informations a été précisée dans la circulaire ministérielle n° 1815bis. Dans cette circulaire sont notamment définies les modalités pratiques avec lesquelles l’accompagnateur de migration de l’Office des étrangers peut accéder au dossier d’écrou de la personne concernée. Il convient d’ajouter que la circulaire ministérielle n° 1815bis ne distingue pas l’étranger en séjour régulier de celui se trouvant en séjour irrégulier, étendant ainsi le champ d’application de l’article 74/8, § 1er, alinéa 2 de la loi du 15 décembre 1980. 31. La Chambre Contentieuse relève en premier lieu qu’il convient de lire les articles 44bis, §§ 2 et 4, et 45, §§ 1er et 2 de la loi du 15 décembre 1980 à la lumière de l’article 74/8, § 1er, alinéa 2 de la même loi. En effet, à la lecture de ces dispositions, il ressort que l’article 74/8, § 1er, alinéa 2 de la loi du 15 décembre 1980 est plus spécifique que les articles 44bis, §§ 2 et 4, et 45, §§ 1er et 2 de la loi du 15 décembre 1980 étant entendu qu’il prévoit un devoir d’échange d’informations entre les autorités pénitentiaires et l’Office des étrangers, tandis que les articles 44bis, §§ 2 et 4 et 45, §§ 1er et 2 de la loi du 15 décembre 1980 se limitent, en ce qui concerne le traitement des données à caractère personnel, qu’à des considérations générales. Or, il doit être remarqué que l’article 74/8, § 1er, alinéa 2 de la loi du 15 décembre 1980 ne vise que les seuls prévenus ou condamnés étrangers en séjour irrégulier. Toutefois, au moment du traitement litigieux, le plaignant se trouvait en séjour régulier de sorte qu’il n’entrait pas dans le champ d’application de cette disposition. 32. Dès lors, la question qui se pose dans le cas de l’espèce porte sur l’articulation entre les articles 44bis, §§ 2 et 4, et 45, §§ 1er et 2 de la loi du 15 décembre 1980, et l’article 74/8, § 1er, alinéa 2 de la même loi, et, plus précisément, sur le fait de savoir si l’article 74/8, § 1er, alinéa 2 doit être interprété comme constituant un obstacle au fait que l’Office des étrangers puisse se fonder sur les articles 44bis, §§ 2 et 4 et 45, §§ 1er et 2 pour accéder au dossier d’écrou de prévenus ou condamnés étrangers en séjour régulier, tel le plaignant au moment des faits litigieux. La Chambre Contentieuse considère qu’une réponse négative est en effet le résultat de la rédaction de l’article 74/8, § 1er, alinéa 2. 33. La Chambre Contentieuse comprend à la lecture combinée des dispositions légales qu’en prévoyant l’obligation d’échange d’informations entre les autorités pénitentiaires et l’Office des étrangers spécifiquement par l’article 74/8, § 1er, alinéa 2 de la loi du 15 décembre 1980, dont la portée est explicitement limitée aux seuls prévenus ou condamnés étrangers en séjour irrégulier, le législateur belge considère a contrario que les traitements de données à caractère personnel relatifs au dossier d’écrou de prévenus ou condamnés étrangers en séjour régulier ne peuvent se fonder sur les articles 44bis, §§ 2 et 4, et 45, §§ 1er et 2, de la loi du 15 décembre 1980. 34. Ces dernières dispositions énoncent en effet que l’Office des étrangers peut adopter une décision de fin de séjour, que cette décision doit se prendre sur le fondement exclusif du comportement de la personne concernée, et que l’Office des étrangers ne peut pas se fonder uniquement sur l’existence de condamnations pénales antérieures. Si l’Office des étrangers est dès lors amené à devoir traiter de données à caractère personnel afin d’assurer sa mission d’intérêt public, toutefois, il ne saurait être déduit d’une norme générale qu’elle puisse déployer les mêmes effets juridiques que ceux prévus par une norme plus spécifique, et ce à l’égard de personnes qui ne sont pas même visées par cette dernière (generalia specialibus non derogant). Si la volonté du législateur était que l’obligation d’échange d’informations entre les autorités pénitentiaires et l’Office des étrangers s’étende non seulement aux prévenus ou condamnés étrangers en séjour irrégulier, mais également aux prévenus ou condamnés étrangers en séjour régulier, alors il n’aurait pas procédé à cette distinction en l’article 74/8, § 1 er, alinéa 2 de la loi du 15 décembre 1980. Si cette dernière prévoit qu’une telle obligation d’échange d’informations ne peut porter que sur les prévenus ou condamnés étrangers en séjour irrégulier, alors il faut comprendre par une lecture a contrario de cette disposition que le législateur n’entendait pas que cette obligation d’échange d’informations puisse également concerner les prévenus ou condamnés étrangers en séjour régulier. Aussi, les articles 44bis, §§ 2 et 4, et 45, §§ 1er et 2 de la loi du 15 décembre 1980 ne peuvent être reconnus comme des fondements valables au sens de l’article 6.1.e) du RGPD pour le traitement mis en cause. 35. Enfin, concernant la Circulaire ministérielle n° 1815bis, il y a lieu de relever en premier lieu que les circulaires ministérielles occupent la plus faible position au sein de la hiérarchie des normes. De surcroît, les circulaires ministérielles ne sont pas destinées à modifier les règles de droit et ne sont pas contraignantes. En règle générale, ces textes énoncent « de simples règles de conduite, des renseignements ou des explications concernant, notamment, la législation ou la réglementation existante, voire lorsqu’elle propose une interprétation non contraignante de celles-ci. »18. 36. Cependant, ceci n’a que peu de conséquence dans le cas de l’espèce. 37. En effet, tel que cela a été rappelé au point 23, lorsqu’un traitement de données à caractère personnel se fonde sur l’article 6.1.e) du RGPD, ce traitement doit reposer sur une loi formelle entendue au sens de l’article 22 de la Constitution, et doit comprendre certains éléments essentiels dudit traitement, dont au moins la finalité poursuivie. Les éléments non essentiels du traitement peuvent figurer dans un arrêté royal pourvu que le législateur ait spécifiquement délégué cette tâche au pouvoir exécutif. À cet égard, il est utile de mentionner qu’il ressort de la jurisprudence de la Cour constitutionnelle que la Constitution ne prohibe effectivement pas que le législateur délègue au pouvoir exécutif le soin d’agencer certains principes arrêtés par la loi. Toutefois, cette délégation ne peut se limiter qu’à la mise en œuvre des éléments ressortant de la loi, et ne peut dès lors en combler les imprécisions19. 38. Dans le cas de l’espèce, la circulaire ministérielle n° 1815bis n’est pas une loi formelle ; elle ne peut être considérée comme un acte réglementaire. On ajoute qu’elle n’a pas été publiée et peut difficilement être opposée à des justiciables. 39. Partant, il ne saurait être reconnu qu’une mission d’intérêt public impliquant la consultation du dossier d’écrou d’étrangers en situation de séjour régulier puisse ressortir de la circulaire ministérielle n° 1815bis d’une manière qui serait conforme à l’article 22 de la Constitution et de l’article 6.1.e) du RGPD lu à la lumière des articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne. 40. Par voie de conclusion, la Chambre Contentieuse déclare qu’en consultant le dossier pénitentiaire (ou d’écrou) du plaignant dans son établissement pénitentiaire sans base de licéité valable, le défendeur a méconnu le respect des articles 5.1.a), 6.1 et 10 du RPGD. II.1.3. L’utilisation de la base de données « Sidis Suite » 41. Les dossiers d’écrou des personnes de nationalité étrangère sont disponibles à la fois en version physique auprès du greffe de la prison dans laquelle la personne concernée est détenue, mais également en version digitalisée au sein de la banque de données « Sidis Suite ». Dans le cas de l’espèce, le défendeur a consulté le dossier d’écrou du plaignant uniquement en version physique, et c’est sur la base de cette prémisse que la Chambre Contentieuse s’est livrée à l’examen juridique sous le point II.1.2. de la présente décision. Lors de l’audition, le défendeur a déclaré qu’il était dans les pratiques de l’Office des étrangers de consulter le dossier d’écrou de personnes concernées tant dans sa version physique que dans sa version digitalisée. De plus, le défendeur a précisé que le dossier accessible par l’intermédiaire de Sidis Suite est similaire à celui accessible par le biais du greffe de la prison, à la différence près que dans cette banque de données il n’est pas possible d’accéder aux informations relatives aux antécédents disciplinaires de la personne concernée. Par conséquent, il apparaît important à la Chambre Contentieuse d’également adresser quelques observations à l’égard de la consultation du dossier d’écrou par l’intermédiaire de Sidis Suite. 42. L’article 3, alinéa 1er de la loi du 5 mai 2019 définit Sidis Suite comme « une banque de données informatisée […] dans laquelle sont traitées les données nécessaires à l’exercice adéquat des missions légales de l’administration pénitentiaire […] ». 43. L’article 7, § 1er, 7° de la loi du 5 mai 2019 20 octroie un droit de lecture des données traitées dans Sidis Suite à l’Office des étrangers. Le second paragraphe du même article prévoit que « Le Roi détermine, après avis de l'autorité de contrôle compétente, l'étendue et les modalités de ce droit de lecture et précise par autorité, organe ou service pour quelles fins spécifiques les données peuvent être utilisées. ». 44. L’arrêté royal censé organiser l’étendue et les modalités de ce droit de lecture pour l’Office des étrangers n’a toujours pas été adopté à ce jour. Un projet de cet arrêté royal n’a pas encore été soumis à l’avis de l’APD. 45. Par ailleurs, la Chambre Contentieuse fait remarquer que bien que Sidis Suite traite et collecte toute une série de données à caractère personnel, dont les dossiers d’écrou de prévenus ou condamnés étrangers, sans distinction de la régularité de leur séjour, la loi du 5 mai 2019 n’expose pas précisément l’étendue du droit de lecture à ces mêmes données pour les autorités publiques qui se voit attribuer ce droit. 46. En effet, l’article 7, § 1er de la loi du 5 mai 2019 indique que les autorités publiques bénéficiant d’un droit de lecture doivent pouvoir accéder aux données nécessaires à l’accomplissement de leurs missions légales. Du reste, le législateur a délégué au Roi la tâche de circonscrire l’étendue de ce droit de lecture. 47. Les arrêtés royaux se trouvant à un niveau inférieur à celui des lois21 dans la hiérarchie des normes, ils ne peuvent contredire la volonté du législateur. En ce sens, la Chambre Contentieuse se réfère au point 37 de la présente décision. 48. La Chambre Contentieuse a déterminé qu’il ne ressortait pas de la volonté du législateur que l’Office des étrangers puisse consulter le dossier d’écrou des prévenus ou condamnés étrangers en séjour régulier. La Chambre Contentieuse se réfère à cet égard aux points 28 à 40 de la présente décision. 49. Un traitement de données à caractère personnel effectué supposément sur la base de l’article 6.1.e), mais qui ne reposerait pas sur une base légale ou qui reposerait sur une base légale inappropriée (voy. en ce sens les points 20 à 26 de la présente décision), est de fait illicite au sens du RGPD. II.2. Quant au manquement allégué aux articles 5.1.a), 12.1 et 14 du RGPD 50. L’article 5.1.a) du RGPD expose que les traitements de données à caractère personnel doivent être réalisés de « manière licite, loyale et transparente »22. 51. L’article 12.1 du RGPD dispose que « Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. […] ». 52. L’article 14 du RGPD prévoit que lorsque le responsable de traitement collecte de manière indirecte les données à caractère personnel de la personne concernée, il doit alors en informer cette dernière dans un délai d’un mois après l’obtention de ces données, à moins qu’il n’y ait une communication réalisée avec la personne concernée sur la base des données collectées ou qu’il n’y ait une communication de ces mêmes données à un autre destinataire, dans quels cas le délai d’un mois établi par l’article 14.3.a) peut être réduit. Les informations à fournir à la personne concernée sont listées aux points a) à f) de l’article 14.1 23 du RGPD, et, si elles sont nécessaires à la garantie d’un traitement équitable et transparent, aux points a) à g) de l’article 14.224 du même Règlement. 53. Le droit à l’information constitue avec le droit d’accès les deux faces d’un même principe : le principe de transparence. Si le droit d’accès en constitue le volet actif, en ce qu’il nécessite une action de la part de la personne concernée, le droit à l’information en constitue à l’inverse le volet passif étant entendu que les informations pertinentes devant être communiquées à la personne concernée ne nécessite aucune démarche de cette dernière, le responsable de traitement ayant en effet une obligation positive d’agir en ce sens. 54. La Chambre Contentieuse ajoute que la transparence est un principe fondamental du droit à la protection des données à caractère personnel. Il permet aux personnes concernées non seulement de prendre connaissance des traitements de leurs données à caractère personnel, mais aussi, par là-même, de pouvoir exercer un contrôle à leur égard – celui-ci pouvant mener à la prise de certaines actions par la personne concernée le cas échéant. 55. Cela est concrétisé, par exemple, à l’article 21.1 du RGPD qui dispose que « La personne concernée a le droit de s’opposer à tout moment pour des raisons tenant à sa situation particulière, à un traitement de données à caractère personnel le concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. »25. Pour garantir l’effectivité du droit d’opposition, la personne concernée doit alors nécessairement être informée de l’existence même du traitement de ses données à caractère personnel et des informations qui y sont liées. 56. C’est par ailleurs précisément pour cette raison que le législateur européen a, dans le RGPD, affuté l’obligation d’informer les personnes concernées des traitements faits de leurs données à caractère personnel en lui apposant des qualités qui n’étaient pas présentes sous la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données telles que la concision, la transparence, la compréhensibilité et l’accessibilité aisée26. 57. L’article 62, § 1er de la loi du 15 décembre 1980 prévoit que : « §1er Lorsqu'il est envisagé de mettre fin au séjour ou de retirer le séjour d'un étranger qui est autorisé ou admis à séjourner plus de trois mois sur le territoire du Royaume ou qui a le droit d'y séjourner plus de trois mois, l'intéressé en est informé par écrit et la possibilité lui est offerte de faire valoir les éléments pertinents qui sont de nature à empêcher ou à influencer la prise de décision. L'intéressé dispose d'un délai de quinze jours, à partir de la réception de l'écrit visé à l'alinéa 1er, pour transmettre les éléments pertinents par écrit. Ce délai peut être réduit ou prolongé si cela s'avère utile ou nécessaire à la prise de décision, compte tenu des circonstances propres au cas d'espèce. L'obligation prévue l'alinéa 1er ne s'applique pas dans les cas suivants: 1° si des motifs intéressant la sûreté de l'Etat s'y opposent; 2° si les circonstances particulières, propres au cas d'espèce, s'y opposent ou l'empêchent, en raison de leur nature ou de leur gravité; 3° l'intéressé est injoignable. » 58. Dans le cas de l’espèce, le défendeur se prévaut d’avoir dûment collecté les données à caractère personnel du plaignant auprès de ce dernier et d’avoir correctement informé ce dernier à cet égard par le biais du formulaire « Droit d’être entendu ». Tel que cela a été exposé au point ci-dessus, l’article 62, § 1er de la loi du 15 décembre 1980 prévoit en effet que l’étranger à propos duquel il est envisagé de mettre fin ou de retirer le séjour dispose d’un certain délai afin de faire valoir les éléments qu’il juge pertinents par écrit. 59. Cependant, ceci est sans rapport aucun avec la consultation du dossier d’écrou, qui constitue une collecte indirecte des données à caractère personnel du plaignant et sur laquelle les parties ont été invitées à conclure. Le fait que le défendeur ait réalisé une collecte directe des données du plaignant en vertu de l’article 62, § 1er de la loi du 15 décembre 1980 n’est pas mis en cause dans la présente affaire. 60. Concernant la consultation du dossier d’écrou, le défendeur soulève qu’elle « vise à garantir le respect du droit d’être entendu dans le chef de la personne concernée et à son identification »27 sans établir en quoi cela satisferait aux obligations qui lui incombent en vertu des articles 5.1.a), 12.1 et 14 du RGPD. 61. Aussi, le défendeur déclare dans ses conclusions que la personne concernée est informée du traitement et de ses finalités par le biais de la visite de l’agent accompagnateur de migration. La Chambre Contentieuse rappelle que l’article 12.1 du RGPD prévoit que les informations visées notamment à l’article 14 du RGPD soient fournies par écrit, ou par voie orale lorsque la personne concernée en a spécifiquement fait la demande. Toutefois, le défendeur n’apporte de preuve ni pour l’un ni pour l’autre. 62. Enfin, le défendeur a relevé lors l’audition qu’il a transmis une fiche d’informations au plaignant, laquelle comprend des informations relatives aux différentes procédures qui peuvent être mises en œuvre à la suite d’une condamnation pénale. Le défendeur a communiqué un exemplaire de cette fiche d’informations à la Chambre Contentieuse en complément de ses conclusions en réponse, mais précise ne pas être en mesure de démontrer l’avoir effectivement transmise au plaignant étant entendu l’absence de formalisation de cette remise dans la pratique actuelle. Ceci encore n'est pas pertinent au regard des faits et de la violation présumée des articles 5.1.a), 12.1 et 14 du RGPD sur lesquels les parties étaient invitées à conclure. Il n’est pas mis en cause dans cette affaire le fait que le défendeur ait ou non valablement informé le plaignant des procédures qui pourraient être mises en œuvre à la suite de la condamnation pénale du plaignant – ce qui, de toute évidence, n’entre pas dans le champ de compétences de la Chambre Contentieuse. 63. La Chambre Contentieuse considère qu’à la lumière des éléments exposés ci-avant, le défendeur a manqué au respect des articles 5.1.a), 12.1 et 14 du RGPD en ce qu’il ne parvient pas à démontrer avoir communiqué les informations pertinentes relatives à la collecte indirecte des données à caractère personnel du plaignant, c’est-à-dire celles relatives à la consultation du dossier d’écrou du plaignant. La Chambre Contentieuse tient également compte du fait qu’au mois de juin 2020, le DPO du défendeur avait recommandé à ce dernier de mettre en place une documentation de nature à permettre aux personnes se trouvant dans une situation comparable à celle du plaignant de contacter le DPO et de pouvoir exercer les droits dont elles bénéficient en vertu du RGPD, mais que malgré tout cette recommandation n’a pas été suivie. 64. La Chambre Contentieuse souligne encore que le RGPD est entré en vigueur le 24 mai 2016. Il incombait dès lors aux autorités publiques de mettre en place toutes les mesures techniques et organisationnelles nécessaires au respect de toutes les dispositions du RGPD dans l’accomplissement des missions d’intérêt public qui leur sont régulièrement dévolues. Elles ne peuvent pas se faire l’économie d’examiner et exercer leurs pratiques à l’aune du RGPD, et, plus généralement, du droit fondamental que constitue le droit à la protection des données à caractère personnel. Les autorités publiques ont un devoir d’exemplarité. II.3. Quant au manquement allégué aux articles 12.3 et 15.1 du RGPD 65. Il ressort des pièces du dossier que le plaignant a exercé son droit d’accès en date du 18 août 2023, et que le défendeur n’y a pas réagi au moins jusqu’au moment de l’introduction de la plainte28. Dans ses conclusions, le défendeur a indiqué n’avoir aucune observation à formuler à cet égard. 66. Le droit d’accès a trois composantes. Premièrement, aux termes de l’article 15.1 du RPGD, la personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées. Deuxièmement, lorsqu’il y a traitement de données à caractère personnel, la personne concernée a le droit d’obtenir l’accès auxdites données à caractère personnel ainsi qu’à une série d’informations listées à l’article 15.1. a) – h). Troisièmement, aux termes de l’article 15.3 du RGPD, la personne concernée a en outre le droit d’obtenir une copie des données à caractère personnel qui font l’objet du traitement. 67. L’article 12 du RGPD relatif aux modalités d’exercice de leurs droits par les personnes concernées prévoit en son troisième paragraphe que le responsable du traitement fournisse des informations sur les mesures prises à la suite de la demande émise par la personne concernée, et cela au plus tard dans un délai d’un mois à compter de la demande, à moins qu’une demande de prolongation motivée ne soit effectuée. 68. La Chambre Contentieuse rappelle que le droit d’accès constitue une exigence du droit à la protection des données à caractère personnel, puisqu’il constitue « la porte d’entrée » à l’exercice des autres droits conférés par le RGPD à la personne concernée 29. 69. Dans le cas de l’espèce, la violation des articles 12.3 et 15 du RGPD est avérée, étant entendu que, tel que cela a été décrit au point 65 de la présente décision, le défendeur n’a pas fait suite à la demande d’accès du plaignant dans le délai prévu par l’article 12.3 du RGPD. 70. Par voie de conclusion, la Chambre Contentieuse constate que le défendeur a manqué au respect des articles 12.3 et 15 du RGPD. 71. Par ailleurs, la Chambre Contentieuse estime qu’il est important de souligner les circonstances du cas d’espèce. En effet, il convient de relever que le plaignant a formulé sa demande auprès du DPO du défendeur. Lors de l’audition, le DPO a fait valoir que la demande du plaignant n’a été portée à sa connaissance que lors du 21 mars 2024, c’est-à-dire lorsque le défendeur a été informé de l’existence de la plainte. Le DPO a précisé lors de l’audition que la demande du plaignant a bien été reçue par le défendeur, mais que celle-ci ne lui a pas été transmise en raison d’une erreur en interne. III. Sanctions et mesures correctrices 72. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements et des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agréation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; 14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. 73. En synthèse, le défendeur a manqué : au respect des articles 5.1.a), 6.1 et 10 du RGPD (violation 1) ; au respect des articles 5.1.a), 12.1 et 14 du RGPD (violation 2), et ; au respect des articles 12.3 et 15 du RGPD (violation 3). 74. En ce qui concerne la violation 1, la Chambre Contentieuse constate l’illicéité du traitement mis en cause, à savoir la consultation du dossier d’écrou d’une personne de nationalité étrangère se trouvant en séjour régulier sur le territoire du Royaume belge. Il ne ressort de la loi aucun fondement qui conférerait une base licite au traitement mis en cause. Dès lors, la Chambre Contentieuse inflige une réprimande au défendeur. 75. En ce qui concerne la violation 2, la Chambre Contentieuse adresse également une réprimande à l’égard du défendeur pour la violation des articles 5.1.a), 12 et 14 du RGPD et l’ordonne à se mettre en conformité avec le RGPD, c’est-à-dire, au minimum : a. à publier la circulaire ministérielle n° 1815bis et à veiller à une information sur son contenu auprès des justiciables concernés ; b. à prendre des mesures techniques et organisationnelles de manière : (i) d’une part, à prévenir la possibilité qu’un accompagnateur de migration puisse, comme dans le cas de l’espèce, consulter et collecter plus de données qu’il ne le peut au greffe de la prison, cela impliquant l’adoption et la distribution aux agents de l’Office des étrangers de documents visant à délimiter les données qu’en particulier les accompagnateurs de migration ont le droit de consulter et collecter dans ce cadre, et ; (ii) d’autre part, que, comme l’exigent les articles 5.1.a), 12 et 14 du RGPD, les prévenus ou condamnés étrangers soient informés de la collecte indirecte de leurs données qui est opérée lorsque l’Office des étrangers consulte leurs dossiers d’écrou. c. que soit systématiquement impliqué le DPO sur l’écriture des documents visés ci-avant. 76. Les éléments présentés ci-avant ne constituent qu’un minimum de mesures que le défendeur doit adopter, et peuvent être complétés d’autres mesures encore. 77. Le défendeur dispose d’un délai de trois mois afin de se mettre en conformité. Le délai court à partir du jour où il reçoit le courrier recommandé le notifiant de la présente décision ou le jour de l’expiration du délai lors duquel le défendeur est, le cas échéant, amené à récupérer ledit courrier recommandé au bureau de poste. 78. En ce qui concerne la violation 3, la Chambre Contentieuse adresse une réprimande à l’égard du défendeur pour la violation des articles 12.3 et 15 du RGPD. IV. Publication de la décision 79. Vu l'importance de la transparence concernant le processus décisionnel et les décisions de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l'Autorité de protection des données. 80. En l'espèce, la Chambre Contentieuse décide de publier la présente décision avec identification du défendeur. Ceci poursuit plusieurs objectifs 81. En premier lieu, la publication avec identification du défendeur poursuit un objectif d'intérêt général dès lors que la présente décision aborde les traitements de données à caractère personnel réalisés à l'échelle nationale, et impliquant des données sensibles, puisque judiciaires, ceux-ci étant opérés par l'un des corps d'un service public fédéral. 82. L'identification du défendeur est par ailleurs nécessaire à la bonne compréhension de la décision et donc à la matérialisation de l'objectif de transparence poursuivi par la politique de publication des décisions de la Chambre Contentieuse. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération: - En vertu de l'article 100,§ 1er, 5° de la LCA, de formuler une réprimande au défendeur en raison de la violation des articles 5.1.a), 6.1 et 10 du RGPD ; - En vertu de l'article 100, § 1er, 5° et 9° de la LCA, de formuler une réprimande ainsi qu'un ordre de mise en conformité au défendeur en raison de la violation des articles 5.1.a), 12 et 14 du RGPD. Le défendeur dispose d'un délai de trois mois afin de se mettre en conformité ; - D’ordonner au défendeur d'informer par e-mail l'Autorité de protection des données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans le mème délai, via l'adresse e-mail ligitationchamber@apd-gba.be ; - En vertu de l'article 100, § 1er, 5° de la LCA, de formuler une réprimande au défendeur pour la violation des articles 12.3 et 15 du RGPD. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire30. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.31, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (Sé). Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250320.1 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250710.2 ECLI:BE:GBAPD:2025:AVIS.20250710.3