ECLI:BE:GBAPD:2025:DEC.20250423.1

Chambre Contentieuse Décision quant au fond 74/2025 du 23 avril 2025 Numéro de dossier : DOS-2022-04482 Objet : Plainte relative à l’exigence d’une capture photographique de la carte d’identité pour la remise d’un envoi recommandé par Bpost La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Romain Robert en Dirk Van Der Kelen, membres; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA »)1 ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X, ci-après « le plaignant », La défenderesse : BPOST SA, Boulevard Anspach 1, Boite 1, 1000 Bruxelles, dont le numéro d’entreprise est le BE.214.596.464, représenté par me Heidi Waem et me Simon Verschaeve, ci-après « la défenderesse ». I. Faits et procédure 1. L'objet de la plainte concerne la capture photographique des cartes d’identité des destinataires d’envois recommandés (ci-après, « pratique de distribution des envois recommandés »). 2. Le 28 octobre 2022, le plaignant, pour réceptionner une lettre recommandée qui lui était destinée, se voit contraint d’être sujet à la pratique de distribution des envois recommandés de la défenderesse. Le plaignant refuse et propose néanmoins de montrer sa carte d’identité sans pour autant en accepter la capture. L’agent postal réitère, suite à un appel avec son responsable, que la capture photographique est nécessaire pour la délivrance de l’envoi recommandé. A la suite de cette altercation, le plaignant introduit une plainte auprès de l’Autorité de protection des données (ci-après, « APD ») à l’encontre de la défenderesse. 3. Le 24 novembre 2022, le Service de Première Ligne (ci-après, « SPL ») informe le plaignant de la bonne réception de sa plainte par l’APD et l’invite à introduire une demande d’exercice de droit auprès du DPO de la défenderesse. 4. Le 30 novembre 2022, le plaignant indique avoir introduit une demande auprès de la défenderesse au moyen du formulaire en ligne mis à disposition, ce qui l’a conduit à transmettre son adresse privée ainsi qu’une copie de sa carte d’identité (ci-après, « pratique du formulaire »). Il sollicite, en conséquence, l’ajout à sa plainte d’un grief tiré de la non-conformité dudit formulaire aux exigences de l’article 5.1.c) du RGPD. 5. Le 7 décembre 2022, la plainte est déclarée recevable par le SPL sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62.§ 1er de la LCA. 6. Le 17 mai 2023, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 7. Le 26 juin 2023, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, §2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. Les griefs constatés par la Chambre Contentieuse porte sur des violations présumées des articles suivants : - Violation présumée de l’article 5.1.(a) lu conjointement avec l’article 6 du RGPD ; et de l’article 5.1.(c) du RGPD au motif que la défenderesse demande au plaignant de prendre une photo de sa carte d’identité pour assurer la délivrance de la lettre recommandée ; - Violation présumée de l’article 5.1.(c) du RGPD au motif que le formulaire de plainte de la défenderesse exige une quantité excessive de données qui dépassent ce qui est nécessaire pour gérer une plainte spécifique concernant la protection des données ; - Violation présumée de l’article 12 et 13 du RGPD au motif que la défenderesse n’est pas en mesure de fournir la déclaration de confidentialité ou toute information concernant le traitement des données personnelles ; - Violation présumée de l’article 5.2 lu conjointement avec les articles 24 et 25 du RGPD au motif que la défenderesse n’est pas en mesure de démontrer sa conformité avec les principes de protection des données énoncés dans le RGPD. Plus précisément, il semble manquer des politiques, des procédures et des mesures techniques et organisationnelles appropriées qui sont nécessaire pour garantir la protection des données à caractère personnelle. Pour les constatations relatives à l’objet de la plainte, la date limite pour la réception des conclusions en réponse de la défenderesse, après leur demande d’extension par cette dernière, a été fixée au 6 septembre 2023, celle pour les conclusions en réplique du plaignant au 28 septembre 2023 et enfin celle pour les conclusions en réplique de la défenderesse au 20 octobre 2023. 8. Le 6 septembre 2023 et le 20 octobre 2023, la Chambre Contentieuse reçoit les conclusions en réponse et en réplique de la défenderesse qui souligne que l’anonymat du plaignant complique la réponse aux griefs ci-dessus. La défenderesse souhaite être entendue. 9. Le 24 mai 2024, le plaignant exprime vouloir garder son anonymat pour le motif que sa plainte porte sur la pratique de distribution des envois recommandés de la défenderesse de capture photographique des cartes d’identité des destinataires d’envois recommandés et non sur son cas spécifique. 10. Le 4 juin 2024, afin de respecter les droits de la défense, la Chambre Contentieuse communique les motifs précités à la défenderesse et lui donne l’opportunité d’y répondre pour le 24 juin 2024, ce que la défenderesse fait. 11. Le 24 juillet 2024, le plaignant soulève ne pas avoir reçu les conclusions en réponse et de synthèse de la défenderesse et n’avoir pas eu la possibilité d’y répondre dans les délais prescrit par la lettre du 26 juin 2024. 12. Le 14 aout 2024, la Chambre Contentieuse, dans le respect des droits de la défense, juge nécessaire de rouvrir les débats pour permettre au plaignant de répondre aux conclusions de la défenderesse et à cette dernière d’y répliquer. 13. Pour les constatations relatives à l’objet de la plainte, la date limite pour la réception des conclusions en réponse du plaignant a été fixée au mercredi 11 septembre 2024, celle pour la réception des conclusions additionnelles de synthèse de la défenderesse au mercredi 9 octobre 2024. 14. Le 9 septembre 2024, la Chambre Contentieuse reçoit les conclusions en réponse du plaignant en ce qui concerne les constatations relatives à l'objet de la plainte. 15. Le 9 octobre 2024, la Chambre Contentieuse reçoit les conclusions additionnelles de synthèse de la défenderesse. 16. Le 9 décembre 2024, les parties sont informées du fait que l'audition aura lieu le 21 janvier 2025. 17. Le 21 janvier 2025, les parties sont entendues par la Chambre Contentieuse. 18. Le 29 janvier 2025, le procès-verbal de l’audition est soumis aux parties. 19. Le 11 février 2025, la Chambre Contentieuse reçoit quelques remarques relatives au procès-verbal. II. Motivation .II.1. Sur la procédure 20. La défenderesse considère que la procédure a violé les principes de bonne administration et ses droits de la défense. - Premièrement, la défenderesse fait valoir que la Chambre Contentieuse ne peut pas agir contre une « pratique générale », telle que la pratique de distribution des envois recommandés, par le biais d’une actio popularis. En outre, elle soutient que l’anonymat du plaignant ne lui a pas permis de se défendre de manière appropriée et que la Chambre Contentieuse a manqué à son obligation de motivation en ne le justifiant pas. Enfin, elle met en cause la formulation vague des griefs, en particulier des deux derniers. - Deuxièmement, l’absence de suivi approfondi de cette affaire avec le plaignant par le SPL, sur justification de l’anonymat de ce dernier, ainsi qu’une analyse erronée des critères impact du traitement et de l’efficience de l’intervention par la Chambre Contentieuse constitue une violation du principe d’économie ; - Troisièmement, la défenderesse soulève que dans sa décision 102/2021 2, la Chambre Contentieuse avait jugé infondé une plainte dénonçant la conformité du traitement litigieux au regard des articles 5.1.a) et 6.1 ; juncto l’article 5.1.c du RGPD. En outre, dans sa décision 38/20é, la Chambre Contentieuse avait jugé le formulaire de contact de la défenderesse conforme au prescrit de l’article 5.1.c) du RGPD. Elle estime qu’une nouvelle décision sur ces points serait contraire au principe du ne bis in idem ; - Quatrièmement, la défenderesse explique que la Chambre Contentieuse n’est pas compétente pour remettre en cause le processus d’identification des destinataires d’envoi recommandés, dès lors qu’il est prescrit par l’article 9 de l’Arrêté royal du 24 avril 2024. En outre, elle souligne que cet article est cité comme exemple de disposition légale exigeant une copie de la carte d’identité sur le site de l’APD 4 et qu’une décision à l’encontre de cette position manquerait au principe de sécurité juridique et du raisonnable; - Cinquièmement, la plainte du cas d’espèce aurait dû faire l’objet d’un classement sans suite. Aucun des neufs critères généraux d’impact sociétal et/ou personnel élevé de la Politique de classement sans suite de l’APD n’est applicable au cas d’espèce. De plus, le traitement visé par la plainte est un traitement à petite échelle, ne concernant qu’une personne, et ne traite pas de données personnelles sensibles. Dès lors, la poursuite de cette affaire sur le fond porte atteinte aux principes du raisonnable et au devoir d’économie ainsi qu’aux principes de sécurité juridique et de légitime confiance. 21. Pour ces raisons, la défenderesse considère que la Chambre Contentieuse devrait classer l’affaire sans suite. .II.1.1. Les droits de la défense a. L’objet de la plainte et l’anonymat du plaignant 22. La Chambre Contentieuse renvoie à l’arrêt de la Cour de cassation du 7 octobre 2021 5, dont le paragraphe 3 indique « […] qu’une personne concernée a le droit d’introduire une réclamation auprès de l’autorité de protection des données contre un traitement dont elle estime qu’il viole les droits que lui confère la [loi du 30 juillet 2018] 6, tel que le droit à un traitement minimal de ses données à caractère personnel, conformément à l’article 5, paragraphe 1, point c), de la [loi du 30 juillet 2018], afin qu’elle puisse bénéficier d’une prestation ou d’un service. C’est également le cas lorsque les données des personnes concernées n’ont pas été traitées elles-mêmes, mais qu’elles sont l’objet d’un traitement ». 23. En l’espèce, le plaignant a été privé d’accès au service de la défenderesse pour avoir refusé de se soumettre à sa pratique de distribution des envois recommandés. Il en conteste la légalité, bien qu’il n’en ait pas subi le traitement, en fondant sa plainte sur le traitement auquel il aurait été exposé s’il avait consenti. 24. La Chambre contentieuse considère que la plainte ne constitue pas une actio popularis, dès lors que le plaignant justifie d’un intérêt personnel et direct, consistant à ne plus être exposé à cette pratique de distribution des envois recommandés de la défenderesse. 25. De cette analyse résulte que l’argument relatif à une atteinte aux droits de la défense en raison de l’anonymat du plaignant doit être écarté. La présente affaire porte sur la légalité de cette pratique mise en œuvre par la défenderesse, indépendamment des circonstances propres au plaignant, dont l’identité n’est dès lors pas déterminante. 26. Par ailleurs, le plaignant ne cherche pas à obtenir réparation d’un préjudice, mais exprime uniquement sa volonté de ne plus être soumis, à l’avenir, au traitement contesté. La plainte porte ainsi sur la conformité de cette pratique de distribution des envois recommandés en tant que telle aux exigences du RGPD. 27. En soutient à ce qui est précédemment établi, la Chambre Contentieuse rappelle que l’anonymat du plaignant est garanti tout au long de la procédure par l’article 95, §2 de la LCA auquel se réfère l’article 98 de la même loi. 28. Lorsqu’un plaignant porte plainte de manière anonyme, conformément au prescrit des articles susmentionnés, il est présumé que la communication de l’identité du plaignant à la défenderesse présente un risque sérieux de conséquences préjudiciables, conformément à l’article 47 du ROI. 29. Par ailleurs, la Chambre Contentieuse réitère, comme indiqué au point 25, que l’identification du plaignant n’est, en l’espèce, pas déterminante pour délimiter les traitements sur lesquels la défenderesse doit s’expliquer. 30. L’interprétation du ROI et de la LCA argumentée par la défenderesse doit être écartée en ce qu’elle entraverait l’exercice du droit à un recours juridictionnel effectif prévu aux articles 79.1 du RGPD et 47 de la Charte des droits fondamentaux de l’Union européenne, tel qu’interprété par l’arrêt précité de la Cour de cassation. 31. La Chambre Contentieuse souligne que les arguments exposés ci-dessus ont été portés à la connaissance des parties, quoique plus brièvement, dans sa lettre du 4 juin 2024. Elle rejette en conséquence les allégations de la défenderesse quant à un manque de motivation. 32. La Chambre Contentieuse en conclut que l’objet de la plainte est légitime et que l’anonymat du plaignant est justifié. Elle rejette par conséquent les prétendues violations des droits de la défense tel que soulevé par la défenderesse. b. La formulation des griefs 33. La Chambre Contentieuse estime nécessaire de rappeler que sa lettre d’invitation à conclure, du 26 juin 2023, reprend le contenu de la plainte, les violations présumées au RGPD et le formulaire de plainte tel que soumis par le plaignant 7. Les griefs soulevés, repris au point 7 de la présente décision, doivent être examinés à la lumière de cette lettre, en ce compris des éléments contextuels qui s’y trouvent. 34. En l’occurrence, la Chambre Contentieuse considère que ces griefs sont formulés avec une clarté suffisante pour permettre à la défenderesse de comprendre les circonstances de la plainte qui ont conduits la Chambre Contentieuse à présumer des violations aux dispositions spécifiques du RGPD qui y sont visées. 35. A cet effet, la Chambre Contentieuse renvoie aux conclusions de la défenderesse qui répondent de manière détaillées aux points soulevés par les griefs susmentionnés. 36. La Chambre Contentieuse rejette, par conséquent, l’argument selon lequel la prétendue formulation vague des griefs aurait violé les droits de la défense. .II.1.2. La recevabilité de la plainte et son traitement sur le fond 37. La Chambre Contentieuse considère les arguments relatifs à la recevabilité de la plainte et son traitement sur le fond comme non fondé pour deux raisons. 38. En premier lieu, la Chambre Contentieuse soulève que la Cour des marchés, dans son arrêt 2022/AR/428, soulignait que « l’examen de la recevabilité des plaintes est attribué […] au seul service de première ligne de l’APD.» 9 et « il ressort de la lecture [des articles 94, 95 et 100 de la LCA] que le législateur n’a pas prévu, pour la Chambre Contentieuse, la possibilité de prendre une décision quant à la recevabilité de la plainte dont elle a été saisie […]» 10. 39. En l’espèce, le SPL a décidé que la plainte était recevable. Il n’appartient donc pas à la Chambre Contentieuse de revenir sur cette décision. De plus, cette décision n’entraine que peu de conséquence pour la défenderesse, dès lors que les motifs invoqués peuvent être analysés par la Chambre Contentieuse par le biais de sa Politique de classement sans suite. 40. A ce propos, la Chambre Contentieuse rappelle que la suite qu’elle décide de donner à un dossier ressort de son pouvoir discrétionnaire. Elle rappelle donc que la Politique de classement sans suite de l’APD ne fournit qu’une orientation aux parties mais ne la contraint, en aucun cas, au suivi qu’elle donne au dossier devant elle conformément aux articles 94, 95 et 108 de la LCA, ni ne confère aux parties un droit opposable à la Chambre Contentieuse en matière de classement sans suite de leurs dossiers.11 41. Il n’existe en outre aucun cas d’obligation de motivation négative, de sorte que la Chambre Contentieuse n’est pas tenue de motiver pourquoi elle n’aurait pas eu recours aux autres possibilités prévues à l’article 95, §1er de la LCA. 42. En deuxième lieu, la Chambre Contentieuse estime que le traitement du cas d’espèce remplit les critères d’opportunités de la Politique de classement sans suite, que la défenderesse tente en vain de soulever à son encontre. 43. Durant l’audition, la défenderesse confirme traiter une moyenne de 120 000 envois recommandés par jour12. Par conséquent, la défenderesse dispose théoriquement de 45.000.000 de photos de carte d’identité disponibles en permanence pour consultation dans un fichier. A ceci vient s’ajouter que la défenderesse est consciente de sa taille et de son importance sur le marché belge, invoquant ceci comme facteur atténuant dans sa défense au deuxième grief13. 44. Dès lors, le nombre de personnes impactées par ce traitement, la quantité de données collectées et conservées, et la sensibilité des données se trouvant sur la carte d’identité démontre que le traitement du cas d’espèce présente un impact sociétal et personnel élevé. 45. La Chambre Contentieuse estime nécessaire de rappeler qu’elle n’est pas tenue de justifier en quoi l’intervention de l’APD est raisonnable, économe et prudente. Toutefois, dans un souci d’exhaustivité, la Chambre Contentieuse considère que sur la base de a. l’impact sociétal élevé de la pratique de distribution des recommandés, b. l’étendue du litige tel que déterminé par le biais du pouvoir discrétionnaire de la Chambre Contentieuse dans l’invitation à soumettre des conclusions et, c. la capacité juridique de la Chambre Contentieuse à contrôler et, le cas échéant, adapter ce traitement, il n’y a aucune raison de douter que l’intervention de l’APD ait été raisonnable, économe et prudente et que les droits de la défense ont été respectés. .II.1.3. Le principe du ne bis in idem 46. Dans son arrêt du 22 mars 202214, la CJUE explique que « la condition « idem » requiert que les fait matériels soient identiques. En revanche, le principe ne bis in idem n’a pas vocation à s’appliquer lorsque les faits en cause sont non pas identiques, mais seulement similaires. En effet, l’identité des faits matériels s’entend comme un ensemble de circonstances concrètes découlant d’évènements qui sont, en substance, les mêmes, en ce qu’ils impliquent le même auteur et sont indissociablement liés entre eux dans le temps et dans l’espace. » 47. S’agissant de la décision 102/2021, la Chambre Contentieuse constate que les faits impliquent le même auteur que dans la présente affaire i.e., la défenderesse, mais qu’ils ne sont pas indissociablement liés entre eux dans le temps, ni dans l’espace. Ces derniers prennent place à un an d’écart, ne concernent pas le même plaignant, et ont par conséquent pris place dans des lieux différents. Dès lors, la Chambre Contentieuse fait valoir que les faits entre la présente affaire et ceux de la décision 102/2021 sont similaires mais pas identiques. 48. S’agissant de la décision 38/2023, la Chambre Contentieuse relève que le formulaire de contact jugé ne demandait pas de copie de la carte d’identité 15, contrairement à celui remis en cause dans la présente affaire. L’identité de fait, requise par le principe du ne bis in idem, n’est donc ici non plus, pas satisfaite. 49. Dès lors que la condition d’« idem », constitutive du principe du ne bis in idem, n’est pas remplie en l’espèce, la Chambre contentieuse considère que ce principe ne trouve pas à s’appliquer. 50. Toutefois, et conformément au principe de sécurité juridique et de légitime confiance, la Chambre Contentieuse précise que le contenu des décisions susmentionnées fera partie de l’évaluation des griefs de la présente affaire. .II.1.4. La compétence de la Chambre Contentieuse 51. La Chambre Contentieuse rappelle que, conformément à l’article 57.1.f) du RGPD, l’APD a l’obligation de traiter les réclamations des personnes concernées et de décider de leur suivi conformément à l’article 95, §1 de la LCA. En traitant la plainte du cas d’espèce, elle exerce donc ses compétences d’organe du contentieux administratif de l’APD, en vertu de l’article 32 de la LCA. 52. S’agissant de l’objet du premier grief, la Chambre Contentieuse souligne que son analyse ne consiste qu’en l’évaluation des traitements de données en cause au regard des dispositions du RGPD et de la loi du 30 juillet 2018 16. 53. En outre, la Chambre Contentieuse ne se considère pas liée par la publication sur le site web de l’APD, qui est de nature générale et strictement informative et ne repose pas sur les faits de la présente affaire et les arguments des parties. 54. En conclusion, la Chambre Contentieuse est compétente pour juger de la présente affaire. .II.2. 1er grief : Conformité de la pratique de distribution des envois recommandés au regard des articles 5.1.a) et 6 du RGPD ; et de l’article 5.1.c) du RGPD 55. Premièrement, la défenderesse soutient que sa pratique de distribution des envois recommandés est prescrite par l’article 9, §1 de l’Arrêté royal du 14 mars 2022, qui en constitue la base juridique. 56. Deuxièmement, la défenderesse ajoute qu’elle accepte d’autres preuves d’identité prévues à cet article, pour autant qu’elles remplissent les conditions légales de l’article 9, §2 de l’Arrêté royal du 14 mars 2022. En outre, la formulation de l’article 9, §1 susmentionné lui offre la possibilité de choisir le moyen de preuve qu’elle juge utile. En conséquence, elle estime impossible d’affirmer que le traitement ait été effectué en violation du principe de minimisation des données. 57. La Chambre Contentieuse précise qu’elle évaluera, en premier lieu, si la défenderesse fonde valablement cette pratique sur l’article 9, §1 de l’Arrêté royal du 14 mars 2022, conformément aux articles 5.1.a) et 6.1.c) du RGPD. En deuxième lieu, elle évaluera la conformité de ce traitement au principe de minimisation des données de l’article 5.1.c) du RGPD. .II.2.1. Le fondement de la pratique de distribution des envois recommandés sur une base juridique valable 58. Le fondement d’un traitement sur l’article 6.1.c) du RGPD est soumis à deux conditions: une base juridique claire et précise dans le droit de l’Union ou dans le droit belge 17, et la nécessité du traitement pour la réalisation de cette obligation légale. 59. La Chambre Contentieuse constate que l’article 9, §1 de l’Arrêté royal du 14 mars 2022 circonscrit la pratique de distribution des envois recommandés de la défenderesse de manière claire, précise et prévisible tel qu’entendu par l’article 6.3 du RGPD. La disposition légale sur laquelle la défenderesse fonde cette pratique est donc valable18. 60. Quant à la nécessité de cette pratique, la Chambre Contentieuse note que l’article 9, § 1 de l’Arrêté royal du 14 mars 2022 requiert de la défenderesse une preuve de vérification de l’identité des destinataires d’envois recommandés à travers la capture photographique, manuscrite ou électronique d’un titre d’identité. Un titre d’identité est définit comme « tout document qui permet de s’assurer de l’identité d’une personne […] qui émane d’une autorité administrative […] [et] mentionne le nom et le prénom du titulaire et est pourvu d’une photo ou son titulaire est reconnaissable.19 » 61. La Chambre Contentieuse relève que la carte d’identité est citée comme exemple de titre d’identité dont la capture photographique permet de prouver la vérification de l’identité du destinataire d’envois recommandés. 62. Dès lors, la pratique de distribution des envois recommandés de la défenderesse est prescrite par l’article 9, §1 de l’Arrêté royal du 14 mars 2022 et en satisfait les obligations. 63. En conclusion, la Chambre Contentieuse considère que la défenderesse fonde valablement cette pratique sur l’article 9, §1 de l’Arrêté royal du 14 mars 2022, conformément aux articles 5.1.a) et 6.1.c) du RGPD20. .II.2.2. La minimisation des données dans le traitement induit par l’article 9, §1 de l’Arrêté royal du 14 mars 2022 64. Le principe de minimisation des données – article 5.1.c) du RGPD - requiert le traitement des données nécessaires à la réalisation de la finalité identifiée et la garantie que ce traitement ne peut être effectué par d’autres moyens moins intrusifs 21. 65. A ce propos, la Chambre Contentieuse relève qu’un agent postal ne dispose que des données figurant sur l’envoi recommandé (nom, prénom, adresse) pour procéder à la vérification de l’identité du destinataire. Or, une carte d’identité contient davantage de données : date de naissance, lieu de naissance, sexe, nationalité, numéro de carte, période de validité, et numéro de registre national pour les cartes émises après le 14 janvier 2020. Il convient donc de souligner que les agents postaux ne disposent d’aucune base de référence permettant de vérifier l’exactitude de l’ensemble des données collectées sur la carte d’identité22. 66. Par ailleurs, la Chambre Contentieuse relève que lors de l’audition, la défenderesse a indiqué proposer une alternative aux personnes concernées refusant la capture photographique de leur carte d’identité. Cette alternative consiste en l’inscription manuscrite du numéro de carte sur l’avis de passage, signé par le destinataire, puis photographié par l’agent postal. 67. Cette alternative démontre que la vérification d’identité ne nécessite pas l’ensemble des données figurant sur la carte d’identité. 68. La Chambre Contentieuse considère par conséquent que la finalité décrite à l’article 9, §1 de l’Arrêté royal du 14 mars 2022 ne nécessite pas la collecte de toutes les données contenues sur une carte d’identité. 69. En conclusion, la Chambre Contentieuse considère que le traitement prescrit par l’article 9, §1 de l’Arrêté royal du 14 mars 2022 induit une collecte excessive de données, violant ainsi le principe de minimisation des données de l’article 5.1.c) du RGPD 23. 70. En conséquence et conformément à la primauté du droit de l’Union et à l’arrêt de la Cour des marchés 2024/AR/169024, ce traitement spécifique doit être écarté ou résolu à l’aide de mesures techniques et organisationnelles adéquates. .II.3. 2ème grief : Conformité de la pratique du formulaire de contact au regard de l’article 5.1.c) du RGPD 71. La défenderesse avance que la facilitation des droits des personnes concernées est une procédure complexe requérant un ajustement réfléchi, tenant en compte les obligations du RGPD, ainsi que son importance et sa taille sur le marché belge. A cette fin, elle défend la demande d’un titre d’identité (carte d’identité, permis de conduire, ou passeport) afin de vérifier suffisamment l’identité du demandeur et garantir la confidentialité des données à caractère personnel en sa possession. La défenderesse souligne qu’elle ne requiert que le recto de la pièce d’identité et que les personnes concernées sont libres de flouter le numéro de carte et la photo. 72. A cet égard, la Chambre Contentieuse soulève que le formulaire de contact jugé dans la décision 38/2023 demandait les informations nécessaires afin que la défenderesse puisse donner suite à une demande de personne concernée, sans requérir de copie de titre d’identité25. 73. Cependant la Chambre Contentieuse remarque que la seule justification invoquée pour la demande additionnelle d’une copie de titre d’identité réside dans les mesures identifiées au point 71 de la présente décision. 74. Or, la Chambre Contentieuse relève que cette demande additionnelle implique, à tout le moins, le traitement des données à caractère personnel suivante : le nom, le prénom, la signature, le lieu et la date de naissance26. 75. En outre, la Chambre Contentieuse constate que cette vérification d’identité pourrait être réalisée uniquement par le biais du nom, prénom et date de naissance de la personne concernée, en analogie à son raisonnement du point 65 de la présente décision. 76. Il s’ensuit que la demande d’une copie d’un titre d’identité dans le formulaire de contact de la défenderesse induit une collecte de données qui ne sont ni pertinentes, ni nécessaires à la vérification de l’identité des demandeurs. 77. Dès lors, la Chambre Contentieuse estime que la défenderesse viole l’article 5.1.c) du RGPD, faute d’avoir suffisamment évalué le principe de minimisation des données en ajoutant la demande d’une copie d’un titre d’identité à son formulaire de contact 27. .II.4. 3ème grief : Conformité des informations communiquées en vertu des articles 12 et 13 du RGPD 78. La défenderesse avance fournir les informations requises par les articles 12 et 13 du RGPD par le biais des canaux suivants : - Lors de la livraison d’un envoi recommandé qui ne peut être remis au destinataire, l’agent postal laisse un avis de passage sur lequel se trouve un lien renvoyant à la politique de confidentialité du site Web de la défenderesse qui contient les informations requises par les articles précités ; - Lors de la livraison d’un envoi recommandé, le Mobi fournit un lien vers une courte déclaration de confidentialité qui peut être montrée au destinataire ; et - Une politique de confidentialité se trouve en bas de page de son site web et contient des chapitres dédiés aux traitements effectués lors de la livraison des envois recommandés, qui énumèrent les catégories de données collectées traitées, détaillent leur période de conservation, les finalités poursuivies, et mentionnent explicitement l’Arrêté royal du 14 mars 2022 comme base juridique. 79. La Chambre Contentieuse rappelle que, conformément à l’article 12.1 du RGPD, les responsables du traitement sont tenus de fournir à la personne concernée les informations visées aux articles 13 et 14 du RGPD de manière concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en prenant les mesures appropriées à cet effet. 80. En l’espèce, la Chambre Contentieuse constate que les informations relatives au traitement du cas d’espèce sont aisément accessibles au vu des modes de communication énumérés au point 78 de la présente décision. Il en ressort que les personnes concernées venant à interagir avec la défenderesse sont en mesure d’être redirigées facilement vers la politique de confidentialité de cette dernière, tel qu’entendu par l’article 12.1 du RGPD. 81. Dès lors, la Chambre Contentieuse n’observe pas de manquements aux articles 12 et 13 du RGPD en l’espèce. .II.5. 4ème grief : Du principe de responsabilité et de la protection des données par design et par défaut (articles. 5.2, juncto 24 et 25 du RGPD) 82. La défenderesse défend appliquer des procédures conformes au RGPD, notamment pour l’identification des destinataires d’envois recommandés, en accord avec l’Arrêté royal du 14 mars 2022. Ces mesures comprennent : - Des mesures techniques : i) la capture de la carte d’identité par un dispositif sécurisé qui, ii) n’est consultable que par l’agent l’ayant effectuée, iii) est conservée pendant 13 mois de manière sécurisée et cryptée, et iv) est supprimée automatiquement une fois ce délai dépassé. - Des mesures organisationnelles : i) la possibilité de présenter un autre titre d’identité que la carte d’identité, ii) la formation régulière de ses employés quant à la procédure à suivre ; iii) la formation obligatoire de trois jours pour les nouveaux employés durant laquelle la procédure de vérification d’identité est détaillée. 83. Conformément à l’article 5.2 du RGPD, lu en lien avec les articles 24 et 25, le responsable du traitement est tenu de démontrer la conformité de ses traitements aux exigences du RGPD et/ou la mise en œuvre de mesures techniques et organisationnelles, dès la conception ou par défaut, destinées à atténuer les risques liés auxdits traitements. 84. En l’occurrence, les mesures détaillées par la défenderesse garantissent la sécurité et la confidentialité des données collectées dans le cadre de l’obligation légale de l’article 9, §1 de l’Arrêté royal du 14 mars 2022. 85. La Chambre Contentieuse constate toutefois que les traitements induits par cette obligation légale violent le prescrit de l’article 5.1.c) du RGPD, tel que détaillé aux points 68 et 69 de la présente décision. Ce constat ne saurait suffire, à lui seul, à établir une violation de l’article 5.2 du RGPD, lu en combinaison avec les articles 24 et 25, en l’absence d’éléments concrets démontrant une carence dans la mise en œuvre des obligations qui en découlent. 86. En conséquence, la Chambre Contentieuse ne conclut pas à une violation de l’article 5.2 du RGPD, interprété conjointement avec les articles 24 et 25. 87. Toutefois, au vu de la violation de l’article 5.1.c) du RGPD analysée au Titre II.2 de la présente décision, la Chambre Contentieuse estime justifié de formuler un avertissement à l’encontre de la défenderesse afin que, pour l’avenir, elle soit en mesure de démontrer la mise en œuvre effective de mesures techniques et organisationnelles appropriées, de nature à assurer la conformité des traitements à l’articles 5.1.c) du RGPD. III. Mesures correctrices 88. Aux termes de l’article 100 LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements ou des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agrégation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données 89. Sur base des pièces du dossier et à l’issue de son analyse, la Chambre Contentieuse conclut : a. À une violation de l’article 5.1.c) du RGPD en ce que la défenderesse collecte des données des titres d’identité à travers son formulaire de contact, qui ne sont pas pertinentes ni nécessaire à la finalité poursuivie, comme précisé au Titre II.3. ; b. A une violation de l’article 5.1.c) du RGPD, en ce que les traitements induits par l’article 9, §1 de l’Arrêté royal du 14 mars 2022 collecte des données qui ne sont pas pertinentes ni nécessaires à la satisfaction de cette obligation légale, comme précisé au Titre II.2. ; c. A l’absence de violation des articles 12 et 13 du RGPD, tel que précisé au Titre II.4. ; et d. A l’absence de violation de l’article 5.2, tel qu’interprété par les articles 24 et 25 du RGPD, tel que précisé au Titre II.5. 90. En raison de la violation du point 89.a), la Chambre Contentieuse ordonne à la défenderesse de rendre la collecte de données des titres d’identité à travers sa pratique du formulaire conforme au prescrit de l’article 5.1.c) du RGPD. 91. En raison de la violation du point 89.b), la Chambre Contentieuse formule un avertissement à l’encontre de la défenderesse sur base de l’article 100, 5° de la LCA afin que dans le futur, cette dernière soit en mesure de démontrer la minimalisation des données collectées par sa pratique de distribution des envois recommandés. IV. Publication de la décision 92. Vu l’importance de la transparence concernant le processus décisionnel et des décisions de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des données, en supprimant les données d’identification directe des parties, à l’exception de la défenderesse. 93. La Chambre Contentieuse considère que cette identification est nécessaire pour l’information du public et pour une bonne compréhension de sa décision. Compte tenu des références juridiques citées à l’appui de son raisonnement et, par conséquent, de la réidentification inévitable de la défenderesse, la mention de Bpost ne peut être omise 28. PAR CES MOTIFS, La Chambre Contentieuse de l’Autorité de protection des données décide, après délibération : - En vertu de l’article 100, 9° d’ordonner à la défenderesse de se rendre conforme au prescrit de l’article 5.1.c) du RGPD ses traitements induits par sa pratique du formulaire ; - En vertu de l’article 100, 5° de la LCA, de formuler un avertissement envers la défenderesse afin qu’elle soit en mesure de démontrer l’appréciation du principe de minimalisation des données dans sa pratique de distribution des envois recommandés ; - D’ordonner à la défenderesse d’informer par e-mail l’Autorité de protection des données (Chambre Contentieuse) de la suite qui est donnée à cette décision, dans un délai de 30 jours, via l’adresse e-mail ligitationchamber@apd-gba.be. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire29. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.30, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (sé) Hielke HUMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250423.1 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250901.1 ECLI:BE:GBAPD:2025:AVIS.20250901.2