ECLI:BE:GBAPD:2025:DEC.20250206.1

Chambre Contentieuse Décision 21/2025 du 6 février 2025 Numéro de dossier : DOS-2024-05409 Objet : Plainte relative à la légitimité d’un transfert de données et la gestion de demandes d’exercice de droit. La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke HIJMANS, président, siégeant seul ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après « LCA » ; Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, ci-après « LTD » ; Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X, ci-après « le plaignant » ; La défenderesse : Y1, ci-après « la défenderesse 1 » ; Y2, ci-après « la défenderesse 2 ». I. Faits et procédure 1. La plainte concerne le manque d’intérêt légitime à transférer des données à caractère personnel pour réaliser une enquête de satisfaction. 2. Le 12 septembre 2024, le plaignant dépose plainte auprès de l’Autorité de protection des données. 3. Cette plainte fait suite à un précédent dossier de l’APD concernant des demandes d’exercice des droits de rectification et d’opposition du plaignant qui furent traitées positivement en médiation. 4. Il ressort des pièces du dossier que la défenderesse 2 effectue des enquêtes de satisfaction pour le compte de la défenderesse 1 sur base des informations que cette dernière lui transmet. 5. Le 4 mars 2024, le DPO de la défenderesse 2 répond à la demande d’accès du plaignant en détaillant les données reçues par la défenderesse 1, la finalité du traitement, les catégories de personnes concernées, la durée de conservation et les droits des personnes concernées. 6. Le 6 mars 2024, le plaignant transfère cette communication à l’APD et confirme sa plainte relative au manque d’intérêt légitime de la défenderesse 1. 7. Le 8 mars 2024, le DPO de la défenderesse 2 revient sur la demande d’accès du plaignant en précisant qu’une erreur manuelle s’est produite dans le tableau énumérant les catégories de données de la communication précédente. De plus, la défenderesse 2 apparait répondre aux questions que le plaignant a posé en réponse à la communication précédente. 8. Le 9 mars 2024, le plaignant transfère cette communication à l’APD et confirme sa plainte relative au manque d’intérêt légitime de la défenderesse 1. 9. Le 11 mars 2024, le plaignant exerce son droit d’accès auprès de la défenderesse 1 en posant des questions visant à préciser les informations transmises par la défenderesse 2. 10. Le 20 mars 2024, la défenderesse 1 répond à la demande d’exercice de droit d’accès du plaignant et précise que seul les données nécessaires à la réalisation d’une étude sont transmises, conformément au point 5.2.3. de sa déclaration générale en matière de respect de la vie privée. 11. Le 10 décembre 2024, le Service de Première Ligne de l’Autorité de protection des données déclare la plainte recevable sur la base des articles 58 et 60 de la LCA, et transmet celle-ci à la Chambre Contentieuse conformément à l’article 62, § 1er de la LCA. II. Motivation 12. Sur la base des faits décrits dans le dossier de plainte tels que résumés ci-dessus, et sur la base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95, § 1er de la LCA, la Chambre Contentieuse décide de la suite à donner au dossier ; en l’occurrence, la Chambre Contentieuse décide de procéder au classement sans suite de la plainte, conformément à l’article 95, § 1er, 3° de la LCA, pour les raisons exposées ci-après. 13. En matière de classement sans suite, la Chambre Contentieuse est tenue de motiver sa décision par étape1 et de: - prononcer un classement sans suite technique si le dossier ne contient pas ou pas suffisamment d’élément susceptible d’aboutir à une sanction ou s’il comporte un obstacle technique l’empêchant de rendre une décision; - ou prononcer un classement sans suite d’opportunité, si malgré la présence d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du dossier ne lui semble pas opportune compte tenu des priorités de l’Autorité de protection des données telle que spécifiées et illustrées dans la Politique de classement sans suite de la Chambre Contentieuse 2. 14. En cas de classement sans suite fondé sur plusieurs motifs de classement sans suite, ces derniers (respectivement, classement sans suite technique et classement sans suite d’opportunité) doivent être traitées par ordre d’importance3. 15. En l’occurrence, la Chambre Contentieuse décide de procéder à un classement sans suite de la plainte pour le motif que la plainte est manifestement non fondée (critère A.2). La décision de la Chambre Contentieuse repose plus précisément sur une raison pour laquelle elle considère qu'il est inopportun de poursuivre le suivi du dossier, et décide en conséquence de ne pas procéder, entre autres, à un examen de l’affaire quant au fond. 16. La Chambre Contentieuse constate que la plainte est manifestement non fondée au sens de l’article 57.4 du RGPD ; et décide de classer la plainte sans suite pour motif technique (critère A.2.)4. 17. En l’espèce, le transfert des données à la défenderesse 2 est prévu par le point 5.2.3 de la déclaration générale en matière de respect de la vie privée de la défenderesse à laquelle le plaignant consent au début d’une relation contractuelle avec celle-ci. Dès lors, les faits indiquent que la défenderesse justifierait ce transfert par le consentement recueilli en vertu de l’article 6.1.a) du RGPD. 18. Dès lors, ce transfert peut être considéré comme légitime, sous réserve du respect des obligations découlant de l’article 28 du RGPD concernant la sous-traitance. 19. Cependant, la Chambre Contentieuse relève que les données transférées au présumé sous- traitant de la défenderesse incluent le sexe de la personne concernée. Or, la Chambre Contentieuse constate qu’aucun élément dans les pièces du dossier ne permet de justifier la nécessité de traiter cette information dans le cadre de la réalisation d’une enquête de satisfaction. Bien que le manque de justification ne permette pas de conclure définitivement à une potentielle violation du principe de minimisation des données, il pourrait, à première vue, soulever un risque potentiel au regard des exigences du RGPD 5. 20. Bien que ce manque de justification ne permette pas de conclure définitivement à une potentielle violation du principe de minimisation des données, il pourrait, à première vue, soulever un risque potentiel au regard des exigences du RGPD, comme rappelé par la CJUE dans son arrêt Mousse. Néanmoins et au vu de l’analyse des paragraphes précédents, la plainte est manifestement non fondée et est classée sans suite pour motif technique. 21. En outre, le plaignant exerce son droit d’opposition, lequel a été mis en œuvre en médiation dans sa plainte précédente. La demande de droit d’accès du plaignant a également été répondue de manière satisfaisante et dans les délais impartis du RGPD. 22. A la lumière de ces éléments, la Chambre Contentieuse constate que la plainte ne présente ni preuves tangibles, ni indices évidents démontrant une atteinte au RGPD ou aux lois sur la protection des données à caractère personnel par la défenderesse. En l’absence de telles preuves, il ressort de manière évidente que la Chambre Contentieuse ne peut conclure à une violation, ce qui conduit à considérer la plainte comme manifestement non fondée et à la classer sans suite pour motif technique. III. Publication et communication de la décision 23. Compte tenu de l'importance de la transparence en ce qui concerne le processus décisionnel et les décisions de la Chambre Contentieuse, cette décision sera publiée sur le site internet de l'Autorité de protection des données. Il n’est toutefois pas nécessaire à cette fin que les données d’identification des parties soient directement communiquées. 24. Conformément à sa politique de classement sans suite, la Chambre Contentieuse communiquera la décision à la dédenderesse6. En effet, la Chambre Contentieuse a décidé de communiquer es décisions de classement sans suite aux défenderesses par défaut. La Chambre Contentieuse s’abstient toutefois d’une telle communication lorsque le plaignant a demandé l’anonymat vis-à-vis de la défenderesse et lorsque la communication de la décision à la défenderesse, même pseudonymisée, risque de permettre sa réidentification7. Ceci n’est pas le cas dans la présente affaire. PAR CES MOTIFS, La Chambre Contentieuse de l’Autorité de protection des données décide, après délibération, de classer la présente plainte sans suite en application de l’article 95,§1er,3° de la LCA. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (Cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire8. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.9, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). Pour lui permettre d’envisager toute autre voie d’action possible, la Chambre Contentieuse renvoie le plaignant aux explications fournies dans sa politique de classement sans suite 10. (sé). Hielke HIJMAN Président de la Chambre Contentieuse Document PDF ECLI:BE:GBAPD:2025:DEC.20250206.1 Publication(s) liée(s) suivi par: ECLI:BE:GBAPD:2025:AVIS.20250409.1 ECLI:BE:GBAPD:2025:AVIS.20250409.5