Beslissing ten gronde nr. 102/2026

1/105 Chambre Contentieuse Décision quant au fond 102/2026 du 12 mai 2026 Un recours a été introduit contre cette décision auprès de la Cour des Marchés. Numéro de dossier : DOS-2020-01829 Objet : Enregistrements et écoutes d’appels dans un but d’évaluation de la qualité et de formation Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après « LCA »1 ; Vu la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, ci-après « LTD » ; Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20192 ; Vu les pièces du dossier, en ce compris les conclusions en réponse et de synthèse des parties qui ont régulièrement été échangées, ainsi que le formulaire de sanction et la réaction de la défenderesse à ce dernier ; et Entendu la défenderesse lors de l’audition du 5 décembre 2025 ; La Chambre Contentieuse de l'Autorité de protection des données (« APD ») a pris la décision suivante concernant : Le plaignant : X, domicilié(

1. e)à […], ci-après « le plaignant »3, sous couvert d’anonymat ; Les modifications apportées à la LCA par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (« Loi du 25 Décembre 2023 ») sont entrées en vigueur le 1er juin 2024 et sont uniquement d’application pour les plaintes, les dossiers de médiation, les requêtes, les inspections et les procédures devant la Chambre contentieuse initiés à partir de cette date. Les dossiers initiés comme en l’espèce avant le 1 er juin 2024 restent soumis aux dispositions de la LCA telle qu'elle existait avant cette date (https://www.autoriteprotectiondonnees.be/publications/loiorganique-de-l-apd.pdf). 1 Le nouveau règlement d’ordre intérieur (« ROI ») de l’APD consécutif aux modifications apportées à la LCA par la Loi du 25 Décembre 2023 est entré en vigueur le 1er juin 2024 et est uniquement d’application pour les plaintes, les dossiers de médiation, les requêtes, les inspections et les procédures devant la Chambre contentieuse initiés à partir de cette date. 2 Pour préserver l’anonymat de la partie plaignante, cette dernière sera appelée « plaignant » dans cette décision. Cette appellation « plaignant » est cependant neutre et n’est pas utilisée pour référer au genre du plaignant. 3 Décision quant au fond 102/2026 — 2/105 La défenderesse : Société Wallonne des Eaux, dont le siège social est établi Rue de la Concorde, 41 à 4800 Verviers, inscrite sous le numéro d'entreprise 0230.132.005, ciaprès la « défenderesse » ou la « SWDE », représentée par Maître Fanny Coton, avocat dont le cabinet est établi […] et Maître Jean-François Henrotte, avocat dont le cabinet est établi au […]. I. Faits et procédure I.1. Antécédents de la procédure 1. La plainte porte sur des enregistrements et écoutes d’appels téléphoniques par la défenderesse en tant que responsable de traitement et ce, à des fins de contrôle de qualité du service et de formation du personnel. 2. Le 16 avril 2020, le plaignant a introduit une plainte auprès de l’APD contre la défenderesse. Etant collaborateur au sein de la SWDE, le plaignant a sollicité dans le formulaire de plainte la protection de son identité à l’égard de la défenderesse. La Chambre Contentieuse en a pris acte et, vu la nature de la plainte, a considéré qu’elle est en mesure de poursuivre l’examen de la plainte sans qu’il ne soit nécessaire que l’identité du plaignant ne soit communiquée à la défenderesse. 3. Aux termes de sa plainte, le plaignant indiquait que ces enregistrements seraient systématiques et concernaient tant des appels entrants que sortants. En particulier, le plaignant dénonçait que (
2. i)il n’avait pas été suffisamment informé quant au traitement de ses données à caractère personnel (ci-après « données personnelles » pour alléger le texte de la décision) dans le cadre de ces enregistrements, (
3. ii)les « fiches employés »4 auraient été transmises à une société située en dehors de la Belgique (à savoir Z) et (iii) il avait accès à ces enregistrements, qui seraient dès lors selon le plaignant stockés sur des serveurs non sécurisés de la défenderesse. 4. Le 29 avril 2020, la plainte est déclarée recevable par le Service de Première Ligne (« SPL ») sur la base des articles 58 et 60 de la LCA et est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 5. Le 28 mai 2020, la Chambre Contentieuse décide de demander une enquête au Service d'Inspection, en vertu des articles 63, 2° et 94, 1° de la LCA. 6. Le même jour, conformément à l’article 96, § 1er de la LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que la plainte et l’inventaire des pièces. A savoir, la fiche reprenant l’évaluation de la qualité des appels émis par le personnel de la SWDE sur la base d’une grille de cotation. 4 Décision quant au fond 102/2026 — 3/105 7. Suite à la demande du Service d’Inspection, le plaignant a confirmé son souhait que son identité ne soit pas communiquée à la défenderesse compte tenu de l’existence d’un motif sérieux que la communication de son identité à la défenderesse ne conduise à des conséquences préjudiciables pour lui (en l’espèce, la crainte de la perte de son emploi, étant encore employé par la défenderesse). 8. Le 12 août 2024, l’enquête du Service d’Inspection est clôturée, le rapport d’enquête du Service d’Inspection (« Rapport d’Enquête ») est joint au dossier et celui-ci est transmis par l’Inspecteur Général au Directeur de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA). Au regard des pièces du dossier, le Service d’Inspection a constaté plusieurs violations potentielles de diverses dispositions du RGPD, de la LTD ainsi que de la loi du 13 juin 2005 sur les communications électroniques (« LCE »)5 dans le chef de la SWDE, en sa qualité de responsable du traitement. 9. Le 27 novembre 2024, sur la base du Rapport d’Enquête, la Chambre Contentieuse décide, en vertu des articles 95, § 1er, 1° et 98 de la LCA, que le dossier peut être traité sur le fond et a adressé aux parties une invitation à conclure sur les manquements présumés à la législation sur la protection des données (« Invitation à Conclure »). 10. Deux des manquements repris dans la plainte ont été considérés comme non établis par le Service d’Inspection lors de l’enquête et ont été directement écartés par la Chambre Contentieuse6 au moment de l’Invitation à Conclure. 11. Les motifs suivants ont été repris dans le Rapport d’Enquête et retenus en tant que violations présumées par la Chambre Contentieuse dans l’Invitation à Conclure: A. En ce qui concerne les constatations relatives à l'objet de la plainte (art. 92, 1° de la LCA ; partie B du Rapport d'Enquête) ▪ En ce qui concerne les enregistrements « tests », violation des articles 5.1
4. a)et 6.1 du RGPD ainsi que des articles 124, 125 et 128 de la LCE, en ce que les enregistrements « tests » ne tombent pas dans le champ d’application des exceptions à l’article 124 de la LCE prévues aux articles 125 et 128 de la LCE permettant à la défenderesse de prendre connaissance de conversations auxquelles elle n’est pas partie. En conséquence, la Loi du 13 juin 2005 relative aux communications électroniques, M.B., 20 juin 2005. En particulier, au regard des constatations reprises dans l’objet de la plainte, le Service d’Inspection n’avait pas constaté de violations des dispositions du RGPD suivantes: ▪ Article 44 du RGPD, en ce que le Service d’Inspection a conclu en une absence de transferts de données vers des pays tiers au vu des pièces du dossier, qui indiquent que […] (en tant que sous-traitant de Z) est une société basée au (…) dont les serveurs sont basés en (…) (cfr. constatation 3 du Rapport d’Enquête) ; et ▪ Article 5.1.f du RGPD, lu conjointement avec l’article 32.1 du RGPD, en ce que le Service d’Inspection considère son intervention à cet égard comme ni appropriée ni nécessaire en vue de contrôler la violation du principe de confidentialité, en l’absence de documents probants (cfr. constatation 5 du Rapport d’Enquête). Compte tenu de son pouvoir d’appréciation propre et des constatations reprises dans le Rapport d’Enquête, la Chambre Contentieuse s’était ralliée à l’avis du Service d’Inspection et avait déjà décidé en conséquence d’écarter les deux éléments ci-dessus du périmètre des manquements présumés sur lesquelles elle s’est prononcée dans le cadre du présent dossier. 5 6 Décision quant au fond 102/2026 — 4/105 défenderesse ne disposait pas de base légale pour procéder à ces enregistrements tests (cfr. constatation 1 du Rapport d’Enquête) ; et ▪ Violation des articles 5 .1 a), 12.1 et 13 du RGPD, ainsi que de l’article 128 de la LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en raison du nonrespect du principe de loyauté et de transparence vis-à-vis des employés de la défenderesse dont les appels ont fait l’objet d’enregistrements et/ou d’écoutes, en ce que (cfr. constatations 4 et 6 du Rapport d’Enquête) : o les informations communiquées par la défenderesse à ses employés ne reprennent pas tout le contenu de l’information qui aurait dû leur être communiqué en application de l’article 13 du RGPD et de l’article 10/1 §2 de la LTD, notamment les modalités du contrôle, la base juridique du traitement, les destinataires de leurs données personnelles, la durée de conservation de ces données ainsi que du caractère obligatoire ou non de communiquer ces données personnelles à la défenderesse ; et o la multiplicité des supports sur lesquels l’information relative aux traitements litigieux était mise à disposition des employés lors de la mise en place du projet ne permet pas de satisfaire à l’exigence de transparence en vertu du RGPD, en ce que notamment, cette information n’était pas suffisamment aisément accessible et compréhensible. B. En ce qui concerne les constatations qui dépassent l'objet de la plainte (art. 72 de la LCA ; partie C du Rapport d'Enquête) ▪ En ce qui concerne les enregistrements après la phase de test, violation des articles 5.1
5. a)et 6.1 du RGPD en ce que la défenderesse: o s’est incorrectement basée sur la base légale de l’exercice d’une mission d’intérêt public (art. 6.1
6. e)du RGPD) pour procéder aux enregistrements, alors que ceux-ci n’étaient pas nécessaires à l’exercice de la mission de la défenderesse ; o ne disposait pas de base légale pour procéder aux enregistrements des employés des back offices, ne pouvant se reposer sur ses intérêts légitimes pour justifier les traitements litigieux ; et o a, par conséquent, failli à son obligation de licéité du traitement (cfr. constatation 7 du Rapport d’Enquête) ; ▪ Violation de l’article 124 de la LCE, lu conjointement avec les articles 125 et 128 de la LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022) et de l’article 13 du RGPD pour les enregistrements et écoutes relatifs aux employés des back offices en ce que ces enregistrements et écoutes ne satisfont pas aux conditions permettant la Décision quant au fond 102/2026 — 5/105 surveillance par l’employeur des moyens de communication mis à disposition des employés par la défenderesse (cfr. constatation 8 du Rapport d’Enquête) ; ▪ Violation des articles 5.2 et 24 du RGPD, en raison du non-respect du principe de responsabilité, en ce que la défenderesse n’a pas pu démontrer que l’ensemble de ses employés concernés ont été informés des traitements en conformité avec les articles 5
7. a)et 13 du RGPD ainsi que les articles 128 de la LCE et l’article 10/1 §2 de la LTD (cfr. constatation 6 du Rapport d’Enquête) ; ▪ Violation des articles 5 .1 a), 12.1, 12.2, 12.6, 13 et 38.4 du RGPD, ainsi que de l’article 128 de la LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en raison du non-respect des principes de loyauté et de transparence vis-à-vis des externes à la SWDE dont les appels ont fait l’objet d’enregistrements et/ou d’écoutes, en ce que : (cfr. constatation 6 du Rapport d’Enquête) o la façon dont sont fournies les informations relatives aux traitements de données personnelles ne permet pas de satisfaire à l’exigence de transparence et de loyauté en vertu du RGPD, en ce que notamment, l’information n’était pas complète, suffisamment transparente, compréhensible et aisément accessible, pour notamment les raisons suivantes : ▪ les informations communiquées par la défenderesse aux appelants ne reprennent pas tout le contenu de l’information qui aurait dû leur être communiqué en application de l’article 13 du RGPD et des articles 10/1 §2 de la LTD, notamment leurs droits et de la durée de conservation de ces enregistrements ; ▪ l’information dite de « premier niveau » fournie via un enregistrement automatique lorsque l’appelant contacte la SWDE ne reprenait pas les informations essentielles quant au traitement, en ce compris comment avoir accès aux informations complètes sur le traitement de ses données personnelles ; ▪ l’information fournie aux appelants via la politique de protection de la vie privée de la SWDE disponible sur son site web7 (« Politique Vie Privée Clients ») n’était pas suffisamment détaillée et/ou était ambiguë et vague, notamment en ce qui concerne les bases juridiques du traitement et les potentiels transferts internationaux de données ; et ▪ la Politique Vie Privée Clients contient une disposition qui impose aux personnes concernées de régulièrement la consulter afin d’être informés 7 Via le lien https://www.swde.be/fr/politique-de-protection-de-la-vie-privee Décision quant au fond 102/2026 — 6/105 des diverses mises à jour sans les informer spécifiquement des mises à jour éventuelles, ce document ne reprenant par ailleurs que la date de dernière mise à jour et non pas d’historique des versions et/ou changements ; o les modalités d’exercice des droits par les personnes concernées est indûment limité par la défenderesse en ce que : ▪ la Politique Vie Privée Clients requiert de contacter le service commercial avant de contacter le délégué à la protection des données (« DPO ») et ne peut que contacter le DPO que dans le cas où la réponse du service commercial n’est pas satisfaisante, alors que l’article 38.4 du RGPD prévoit que le DPO devrait pouvoir être contacté directement ; ▪ la Politique Vie Privée Clients ne reprend pas les coordonnées du service commercial, alors qu’il s’agit du service désigné pour l’exercice de leurs droits par les personnes concernées ; ▪ la procédure d’exercice de droits exige systématiquement une copie de la carte d’identité, alors le RGPD prévoit qu’un responsable de traitement ne peut exiger de preuve d’identité que lorsqu’il y a des « doutes raisonnables » quant à l’identité de la personne concernée ; ▪ Violation des articles 5.1
8. a)et 5.1
9. c)du RGPD (principes de loyauté et de minimisation des données), lus conjointement avec l’article 25 du RGPD (principe de protection des données dès la conception et protection des données par défaut), en raison de la nonapplication des règles relatives aux contrôles par les chefs d’équipe et du fait qu’elles n’étaient pas bien connues et établies, démontré notamment par l’absence de preuves de communication de ces règles aux chefs d’équipe (cfr. constatation 9 du Rapport d’Enquête) ; ▪ Violation de l’article 5.1
10. e)du RGPD (principe de limitation de la conversation des données), lu conjointement avec l’article 25 du RGPD (principe de protection des données dès la conception et protection des données par défaut) ainsi que les articles 128 de la LCE (remplacé par l’article 10/1 §2 de la LTD à partir du 10 janvier 2022), en raison de la conservation des enregistrements au-delà des délais de conservation annoncés et de l’absence de mesures appropriées permettant de s’assurer de l’effacement des enregistrements dans les délais fixés (cfr. constatation 10 du Rapport d’Enquête) ; ▪ Violation des articles 21.1 et 12.2 du RGPD, lu conjointement avec l’article 24 du RGPD, en raison de l’absence de mesures appropriées en vue de faciliter l’exercice par les Décision quant au fond 102/2026 — 7/105 personnes concernées de leur droit de s’opposer à l’enregistrement des conversations (cfr. constatation 11 du Rapport d’Enquête) ; ▪ Violation de l’article 28.3 du RGPD en raison de l’absence de contrat ou autre acte juridique conclu entre la défenderesse et son sous-traitant Z et reprenant l’ensemble des obligations devant être imposés au sous-traitant par le responsable de traitement (cfr. constatation 12 du Rapport d’Enquête) ; ▪ Violation de l’article 33 par. 1 et 5 du RGPD pour les raisons suivantes : (
11. i)absence de notification à l’APD de la violation de données personnelles liées aux enregistrements involontaires liés à la mauvaise configuration du systèmes tels détectés par la défenderesse le 15 décembre 2022 (« Incidents ») et (
12. ii)absence de documentation de ces Incidents dans le registre des violations de données, les points (
13. i)et (
14. ii)faisant suite à l’analyse de la défenderesse qui a choisi de ne pas qualifier ces Incidents en tant que « violations de données personnelles » au sens de l’article 4.12) du RGPD (cfr. constatation 15 du Rapport d’Enquête) ; ▪ Violation de l’article 35 par. 1, 7 et 11 du RGPD, pour les raisons suivantes : (
15. i)la défenderesse n’a pas effectué d’analyse d’impact relative à la protection des données (ci-après « AIPD ») pour les traitements de données personnelles dans le cadre des enregistrements et écoutes téléphoniques à des fins d’évaluation de la qualité et de formation (« AIPD Ecoutes Téléphoniques ») avant le début des opérations de traitement, (
16. ii)l’AIPD Ecoutes Téléphoniques ensuite réalisée n’analyse pas ou analyse de façon non suffisamment détaillée ou incorrecte les critères repris à l’article 35.7 du RGPD et (iii) la défenderesse n’a pas tenu son AIPD Ecoutes Téléphoniques à jour (cfr. constatation 13 du Rapport d’Enquête) ; et ▪ Violation de l’article 35 du RGPD en raison de l’absence d’une AIPD qui répond aux exigences du RGPD pour les traitements de données personnelles dans le cadre de l’utilisation de systèmes de vidéosurveillance, notamment en termes d’évaluation des risques et d’évaluation de la nécessité et proportionnalité du traitement (cfr. constatation 14 du Rapport d’Enquête). 12. A la lecture du Rapport d’Enquête et en vertu de son pouvoir d’appréciation propre, la Chambre Contentieuse a également indiqué dans l’Invitation à Conclure souhaiter entendre la défenderesse quant aux violations présumées des dispositions du RGPD suivantes, qui ressortent du Rapport d’Enquête mais n’ont pas été spécifiquement relevées comme des infractions présumées distinctes par le Service d’Inspection : ▪ Violation des articles 5.1
17. a)et 6.1
18. a)du RGPD ainsi que de l’article 128 de la LCE (remplacé par l’article 10/1 §2 de la LTD), lus conjointement avec les articles 4.11), 7.1 et 7.3 du RGPD en ce que la défenderesse n’a pas obtenu un consentement valide des Décision quant au fond 102/2026 — 8/105 appelants avant de procéder à l’enregistrement des appels, et a par conséquent failli à l’obligation de licéité du traitement (cfr. constatations 1, 7 et 11 du Rapport d’Enquête) ; ▪ Violation de l’article 5.1
19. c)du RGPD (principes de minimisation des données), lu conjointement avec l’article 25 du RGPD (principe de protection des données dès la conception et protection des données par défaut), suite aux enregistrements involontaires liés à la mauvaise configuration du système tels que détectés par la défenderesse le 15 décembre 2022 (cfr. constatation 15 du Rapport d’Enquête) ; et ▪ Violation des articles 38.1 et 39.
20. c)du RGPD, en ce qu’il apparait du dossier que (
21. i)le DPO semble ne pas avoir été associé d'une manière appropriée et en temps utile, à une question sensible de protection des données telle que celle en cause et (
22. ii)le DPO n’a pas été impliqué dans la préparation d’une AIPD avant le début des traitements litigieux (cfr. constatation 13 du Rapport d’Enquête). 13. La Chambre Contentieuse a également invité la défenderesse dans l’Invitation à Conclure à fournir ses observations éventuelles en particulier quant à la partie D du Rapport d’Enquête portant sur les « Considérations supplémentaires pour la Chambre Contentieuse en vue de l’analyse de la gravité de l’infraction ainsi que de l’application adéquate du RGPD ». 14. Le 5 décembre 2025, la défenderesse a été entendue par la Chambre Contentieuse. Le plaignant, également invité à l’audition, a été dûment informé que la Chambre Contentieuse ne pouvait garantir son anonymat s’il souhaitait participer à l’audience. Il a confirmé le 9 octobre 2025 qu'il ne renonçait pas à son anonymat et qu'il ne participerait donc pas à l’audition. 15. Le 17 décembre 2025, le procès-verbal de l’audition (« PV ») est soumis à la défenderesse pour observations. Les observations communiquées à cet effet le 31 décembre 2025 ont prises en compte lors de la délibération et, le cas échéant, reprises dans la motivation de la présente décision. Une copie du PV est également communiquée au plaignant. 16. Le 30 mars 2026, la Chambre Contentieuse fait connaître à la défenderesse son intention de procéder à l'imposition de deux amendes administratives distinctes ainsi que le montant de celles-ci, afin de donner à la défenderesse l'occasion de se défendre avant que la sanction puisse être revue avant d’être effectivement infligée. 17. Le 20 avril 2026, la Chambre Contentieuse reçoit la réaction de la défenderesse concernant l'intention d'infliger deux amendes administratives et le montant de celles-ci, réaction qu’elle a dûment prise en compte lorsqu’elle a décidé du montant final des amendes. Décision quant au fond 102/2026 — 9/105 I.2. Faits pertinents pour le litige et contexte de la plainte I.2.1. Présentation de la défenderesse 18. La SWDE est une entreprise publique autonome belge spécialisée dans la gestion et la fourniture d’eau potable. Elle gère actuellement 67% des raccordements en eau en Région Wallonne. En vertu des articles D.352 et D.353 du Code Wallon de l’Eau, elle a pour objet : - la production et distribution d'eau ; - la protection des ressources aquifères ; - la réalisation de toute opération relative au cycle de l'eau ; et - l’accomplissement des missions confiées par décret dans le secteur de l’eau. 19. Elle est donc un acteur incontournable dans le secteur de la distribution d’eau en Wallonie, comptant 1,1 million de clients et assurant l’alimentation en eau de 2,5 millions de personnes en Wallonie8. Pour exécuter ses missions, elle peut compter sur l’équivalent temps plein d’environ 1300 collaborateurs9. 20. Dans ce cadre, la défenderesse se doit d’offrir un service clientèle capable de répondre efficacement aux questions de ses clients, et notamment les questions relatives à la facturation, aux demandes d’intervention technique, aux relevés de compteurs ou d’un nouveau raccordement, ou encore d’accompagnement en cas de toute difficulté rencontrée par les citoyens. Elle dispose donc à ce titre d’un numéro général qui permet de contacter son “call center” établi au sein du service commercial. 21. Les demandes dites « de première ligne » sont traitées par le « Front Office ». Il s’agit concrètement des demandes qui peuvent être immédiatement réglées par l’agent, et ce, en cinq minutes environ (p.ex. questions relatives aux factures, à l’état de paiement (solde du compte), à l’activation de la domiciliation, à l’activation de la dématérialisation, aux emménagements/déménagements, aux relevés d’index, aux plans d’apurement, à la modification des montants ou du cycle de facturation, etc.). 22. Pour les demandes qui s’avèrent plus complexes (notamment si estimées à plus de 5 minutes de traitement) et certaines questions spécifiques qui ne sont pas traitées par le Front Office de par leur nature (p.ex. si litige en cours ou si la demande nécessite une enquête administrative), les appels sont respectivement soit transférés par le Front Office soit traités directement par l’un des « Back Offices ». Ces derniers sont distingués en fonction de la zone dont les agents de Voyez à ce titre le rapport annuel de la SWDE pour l’année 2024, accessible via https://www.swde.be/sites/default/files/202506/SWDE Rapport%20%20Faits%20%26%20Chiffres%202024 BAT.pdf 8 9 Idem. Décision quant au fond 102/2026 — 10/105 ces Back Offices relèvent: le Back Office central (ou « Service Contentieux »), le Back Office zone Est et le Back Office zone Ouest. I.2.2. Enregistrement des appels 23. Dans le cadre d’un projet d’amélioration de ses services, la défenderesse a envisagé de procéder aux enregistrements des conversations entrantes des Front Office (à partir de novembre 2018) et Back Offices (à partir de mars 2020), afin d’évaluer la qualité des réponses apportées aux citoyens par les agents, coacher les agents et, in fine, améliorer ses services. 24. La défenderesse a indiqué que les enregistrements des appels entrants en vue de contrôler et améliorer la qualité des services avaient été mis en place au sein du Front Office, du Back Office zone Est et du Back Office zone Ouest. En revanche, la défenderesse a indiqué ne jamais avoir mis en place d’enregistrement des appels en vue de contrôler la qualité du service au sein du Service Contentieux. 25. Toutefois, la défenderesse avait envisagé de mettre également en place les enregistrements au sein du Service Contentieux. Le 6 mars 2020, un email envoyé aux collaborateurs du Service Contentieux par leur supérieur leur a communiqué la grille qualité écoute et écrit qui serait utilisée afin d’évaluer la qualité des écrits et de leurs appels téléphoniques. C’est par ailleurs suite à cet email que l’un des collaborateurs du Service Contentieux a porté plainte à l’APD pour (notamment) dénoncer l’enregistrement des collaborateurs. 26. Dans ce cadre, la défenderesse a indiqué au Service d’Inspection que seuls trois enregistrements “tests” auraient été réalisés au sein du Service Contentieux entre octobre et novembre 2020 afin de permettre au superviseur de ce service de comprendre le fonctionnement de la plateforme d’enregistrement et de s’y familiariser. Après avoir procédé à ces trois enregistrements, la défenderesse a déclaré s’être aperçue sur la base de ces trois conversations que les collaborateurs exécutaient leurs missions de manière qualitative. Elle a donc considéré qu’il n’était pas nécessaire de poursuivre le contrôle de la qualité des appels dès lors que le personnel du Service Contentieux apparaissait manifestement comme particulièrement expérimenté. En conséquence, la défenderesse a décidé de ne pas mettre en place d’enregistrements plus généralisés des appels reçus par le Service Contentieux. 27. L’abandon des enregistrements des collaborateurs du Service Contentieux aurait été communiquée de façon verbale aux collaborateurs y travaillant, mais aucune preuve écrite de cette communication (permettant notamment de la dater et d’en attester le contenu) n’a pu être produite par la défenderesse. Lors de l’audition, la défenderesse a confirmé l’absence de preuve écrite à cet égard, qui a précisé que ce type d’annonces a vocation à être partagé lors des réunions d’équipe hebdomadaires de la SWDE, et non pas communiqué par email. Décision quant au fond 102/2026 — 11/105 I.2.3. Enquête du Service d’Inspection 28. Après avoir confirmé que le plaignant disposait d’un intérêt à agir, le Service d’Inspection a mené une enquête qui a eu pour but de, notamment, contrôler si le projet (de traitement de données), à savoir les enregistrements et contrôle des appels téléphoniques effectués au sein du Service Contentieux était conforme à la réglementation applicable à la protection des données personnelles. 29. A cet égard, il a contrôlé spécifiquement les aspects suivants, sur la base des griefs invoqués par le plaignant dans le cadre de sa plainte : (
23. i)la licéité du projet, (
24. ii)le respect des règles relatives aux transferts internationaux de données personnelles vers le sous-traitant et (iii) le respect des principes de confidentialité, d’intégrité et de sécurité des données personnelles. 30. Conformément à l’article 72 de la LCA, le Service d’Inspection a également effectué une enquête intégrale et un contrôle substantiel de la conformité à la réglementation applicable (notamment et en particulier sur les différents aspects des enregistrements et écoutes des appels téléphoniques effectués au sein du Front Office et des Back Offices). 31. A cet égard, le Rapport d’Enquête reprend une série de constatations de manquements présumés au RGPD, sur lesquels la défenderesse et le plaignant ont eu l’occasion de réagir après avoir reçu l’Invitation à Conclure. II. Examen de la légalité de la plainte et de la procédure II.1.1. Non-communication de certaines pièces 32. La défenderesse soutient que la procédure serait illégale au motif que le dossier administratif ne contient pas les annexes à l’email envoyé par le plaignant à l’APD (à savoir, la plainte qui a fondé les constats de manquements du Service d’Inspection et de la Chambre Contentieuse ainsi que les annexes à cette plainte). 33. Tout d’abord, la Chambre Contentieuse note que le formulaire de plainte (anonymisé) du 16 avril 2020 a été communiqué à la défenderesse et ses conseils en même temps que l’Invitation à Conclure le 27 novembre 2024. Cette première affirmation de la défenderesse selon laquelle elle n’aurait pas reçu la plainte est donc sans fondement. Seule l’absence des autres annexes sera donc discutée ci-après. 34. La défenderesse dénonce donc l’absence des annexes à la plainte qui ont fondé la procédure du Service d’Inspection. Selon elle, ce dernier aurait dûment tenu compte des annexes à la plainte, qui fondent la saisine de la Chambre Contentieuse et du Service d’Inspection, et en l’absence des pièces en question, le dossier serait lacunaire en ce qu’il ne lui permettrait pas de prendre connaissance des informations portées à l’attention du Service d’Inspection. Décision quant au fond 102/2026 — 12/105 35. L’affirmation de la défenderesse selon laquelle elle n’aurait pas été informée de l’absence de certaines pièces est également sans fondement. En effet, l’Invitation à Conclure reprend le passage suivant (la Chambre Contentieuse souligne) : « Vous trouverez en annexe le Rapport d'Enquête, ainsi que l'inventaire anonymisé des pièces du dossier. Compte tenu de la demande d’anonymat formulée par le plaignant, le formulaire de plainte ainsi que certaines pièces révélant l’identité du plaignant ne vous sont pas communiqués à ce stade (voy. à cet égard les pp. 360-361 du Rapport d’Enquête, qui précise notamment les pièces révélant l’identité de la personne concernée). Une version anonymisée de ceux-ci peut être préparée à votre demande (voy. point 2 ci-dessous). » Le 27 novembre 2024, les conseils de la défenderesse ont répondu en ces termes : « Par ce courrier, la SWDE demande également à accéder au dossier de pièces (et notamment au rapport d’enquête) et, d’en recevoir copie électronique et informe Votre autorité de sa volonté de déposer des conclusions écrites selon les délais prévus dans votre courrier, mais également d’être entendue lors d’une audition fixée aux termes des échanges écrits. » Après avoir reçu accès au dossier de pièces, la défenderesse n’a plus émis aucune demande quant aux pièces et n’a pas demandé à avoir accès à une version anonymisée des pièces. 36. La Chambre Contentieuse estime dès lors mal venu de demander que cette dernière accorde l’illégalité des poursuites car des pièces n’auraient pas été communiquées dès lors que la défenderesse a été informée de la possibilité de demander une version anonymisée des pièces non communiquées et n’en a pas fait la demande. Certaines pièces ont par ailleurs été anonymisées d’initiative par la Chambre Contentieuse afin que la défenderesse dispose d’un dossier le plus complet possible (et notamment le formulaire de plainte, au contraire de ce qu’elle avait annoncé dans l’Invitation à Conclure). Si la défenderesse estimait encore à ce moment que des pièces manquaient, elle avait été invitée à émettre une demande spécifique pour obtenir une version anonymisée des pièces manquantes, ce qu’elle a négligé de faire. La Chambre Contentieuse n’avait dès lors pas à motiver pourquoi elle ne fournissait pas les annexes alors qu’aucune contestation ou demande de documents anonymisés n’a été soulevée à cet égard par la défenderesse suite à la réception de l’Invitation à Conclure. 37. L’article 95 § 2, 2° de la LCA prévoit explicitement pour la Chambre Contentieuse la possibilité de ne pas communiquer à la défenderesse des pièces permettant de connaître l'identité du plaignant. Ce faisant, la LCA elle-même reconnait qu’une procédure n’est pas d’office entachée d’illégalité dans le cas où toutes les pièces du dossier ne seraient pas communiquées à la défenderesse. Le simple fait qu’un dossier soit traité sous couvert de l’anonymat du plaignant et que toutes les pièces ne soient pas communiquées sur cette base n’est dès lors pas un motif Décision quant au fond 102/2026 — 13/105 suffisant pour que la procédure soit entachée d’illégalité. Il est nécessaire de démontrer un grief spécifique à cet égard, ce qui n’est pas le cas en l’espèce. 38. En effet, à titre surabondant, en ce qui concerne le grief lié à l’absence de communication de ces pièces, la Chambre Contentieuse note que la défenderesse a, dans le cadre de la pièce 1 (qu’elle reproduit dans ses conclusions), accès aux informations suivantes quant au contenu des pièces jointes au formulaire de plainte : (
25. i)« le formulaire de plainte signé avec mon eID n’ayant pas d’imprimante ainsi que les pièces utiles à celles-ci, échanges avec le DPO entre autres et screen du stockage des enregistrements pris à ce jour » et (
26. ii)aux types de pièces jointes ainsi que leur titre (p.ex. demande d’informations.msg, screenshot.jpg). Sur la base de ces informations, il apparait évident que 12 des pièces jointes non produites renvoyaient à ces échanges (bilatéraux entre le plaignant et le DPO, et permettant donc de directement identifier le plaignant, d’autant plus que le DPO a lui-même été fortement impliqué lors de l’enquête du Service d’Inspection) avec le DPO et aux captures d’écran du stockage des enregistrements. En particulier, aucun de ces éléments n’a par ailleurs été repris dans le Rapport d’Enquête dans la mesure où ils n’étaient pas nécessaires au dossier et n’ont dès lors pas servi à établir des constatations de manquement. 39. S’agissant des autres pièces pour lesquelles l’absence est dénoncée par la défenderesse, la Chambre Contentieuse note que : a. L’email « Grille qualité Z », envoyé par une employée de la défenderesse, est reproduit tel quel dans le Rapport d’Enquête. Il s’agit du seul document qui a permis d’établir un constat de violation du RGPD par le Service d’Inspection. Il a été communiqué en étant reproduit dans le Rapport d’Enquête, de façon à ne pas porter atteinte aux droits de la défense de la défenderesse et de ne pas identifier directement le/la collaborateur/rice qui l’avait reçu. La Chambre Contentieuse note également que le contenu de cet email n’a par ailleurs jamais été remis en question par la défenderesse ; b. Le pdf « Grilles qualité écoute » est une annexe de cet email reproduit dans le Rapport d’Enquête. Il n’était pas nécessaire pour le traitement de la plainte, dès lors qu’il ne reprenait que les critères d’évaluation. Par ailleurs, s’agissant d’un email envoyé par la défenderesse, son contenu n’aurait de toute façon pas été de nature à la surprendre. Il lui aurait par ailleurs suffi de demander l’email complet à la supérieure hiérarchique l’ayant envoyé (identifiée dans la capture d’écran reprise dans le Rapport d’Enquête) ; c. L’email « Validation de l’email » est l’invitation personnelle au plaignant à créer son compte Z, ce qui l’identifiait donc directement. Par ailleurs, cet email n’apportait rien au dossier en termes de preuves dès lors que le plaignant avait démontré avoir reçu un email l’informant des enregistrements (qui, lui, a été reproduit dans le Rapport d’Enquête). La défenderesse n’a pas ailleurs jamais contesté que les employés du Service Contentieux avaient bien reçu une invitation à créer un compte Z. Décision quant au fond 102/2026 — 14/105 40. La défenderesse ne démontre donc pas en quoi la non-communication des pièces couvertes par la demande d’anonymat lui ont causé un quelconque grief, car l’email « Grille Qualité Z » qui fonde la plainte et indique au plaignant qu’il sera effectivement enregistré est reproduit dans le Rapport d’Enquête. Il s’agit par ailleurs d’un email dont la véracité et l’existence n’ont jamais été contestées par la défenderesse. Les autres pièces ne sont que des éléments accessoires à la plainte et n’ont par ailleurs pas été repris dans le Rapport d’Enquête car ils n’étaient ni utiles ni nécessaires à son traitement et ont encore moins permis d’établir des constatations de violations. 41. En outre, de manière à mettre en contexte et relativiser l’affirmation de la défenderesse quant à l’absence des annexes à la plainte pour justifier une atteinte au principe du contradictoire et au droit à un procès équitable, la Chambre Contentieuse note également (
27. i)l’existence d’un Rapport d’Enquête reprenant 362 pages ainsi que plus de 250 pièces, ainsi que (
28. ii)de la production par la défenderesse d’un jeu de conclusions de synthèse de 174 pages à l’appui de sa défense. 42. Sur la base de ce qui précède, la Chambre Contentieuse constate donc qu’il n’y a pas violation de l’article 47 du ROI et/ou d’atteinte au droit à un procès équitable. II.1.2. Intérêt du plaignant 43. Deuxièmement, la défenderesse soutient également que la plainte est irrecevable à défaut d’intérêt du plaignant, dès lors que ses données n’ont pas été traitées dans le cadre des enregistrements des collaborateurs du Service Contentieux qu’il dénonce dans sa plainte. Selon la défenderesse, le plaignant aurait donc porté plainte pour des tiers, et sa plainte aurait dû être classée sans suite pour défaut d’intérêt propre à la plainte. 44. La Chambre Contentieuse constate tout d’abord qu’elle n’a pas compétence pour se prononcer sur la recevabilité d’une plainte, qui est une compétence réservée au SPL en vertu des articles 60 et suivants de la LCA. A cet égard, l’intérêt à agir n’est pas une condition de recevabilité de la plainte en vertu de l’article 60 alinéa 2 de l’ancienne LCA. A cet égard, la plainte était donc bien « recevable ». 45. La Chambre Contentieuse a cependant examiné l’intérêt à agir du plaignant dans le cadre de ce dossier, non pas en tant que condition de recevabilité de la plainte mais dans le cadre de l’application de l’article 58 de la LCA, qui doit s’interpréter comme nécessitant un intérêt à agir dans le cadre d’une plainte. Décision quant au fond 102/2026 — 15/105 46. La condition d’intérêt à agir est également spécifiquement explicitée dans la Politique de classement sans suite de la Chambre Contentieuse10 (« Politique CSS »), dans son paragraphe A.5 (p. 7 et suivantes) : « La Chambre Contentieuse ne pourra traiter votre plainte qu’à condition que vous soyez une « personne concernée » ou que vous ayez un « intérêt suffisant » pour porter plainte. Il incombera à la Chambre Contentieuse d’examiner ce critère de nature juridiquement complexe, en fonction des règles d’interprétation spécifiques qu’elle a développés à ce sujet. […] L’[APD] accepte également des plaintes introduites par une organisation ou personne qui n’est pas « personne concernée » au sens du RGPD, à condition que le plaignant démontre un « intérêt » suffisant au sens de l’article 58 de la [LCA]. […]Ainsi par exemple, la Chambre Contentieuse a décidé qu’une organisation a intérêt à porter plainte en tant qu’employeur concernant des pratiques non-conformes au RGPD et qui se rapportent au personnel dont elle est en charge. […] Si vous n’êtes pas une personne concernée par le traitement, ne démontrez pas un intérêt à agir au nom de la personne concernée, ou n’avez pas dûment mandaté un organisme pour agir en votre nom selon les conditions applicables, la Chambre Contentieuse devra classer votre plainte sans suite (impossibilité de traiter la plainte). » (la Chambre Contentieuse souligne) 47. La Chambre Contentieuse ne peut donc traiter la plainte que si le plaignant démontre qu’il dispose d’un intérêt suffisant à agir. 48. Lors de l’enquête, la défenderesse a en effet indiqué ne jamais avoir mis en place d’enregistrement des appels en vue de contrôler la qualité du service au Service Contentieux. Toutefois, elle a admis lors de l’enquête qu’en mars 2020, il était envisagé que le Service Contentieux fasse également l’objet d’enregistrements. Cette déclaration de la défenderesse est corroborée par la communication envoyée aux membres du Service Contentieux le 6 mars 2020. Les termes utilisés dans l’email en question ne laissaient aucun doute sur l’imminence d’enregistrements des employés du Service Contentieux par la défenderesse (p.ex. « Vous trouverez en pièce jointe les grilles qualité qui seront utilisées afin d’évaluer la qualité de vos écrits et appels téléphoniques », « j’omettrai de coter ce point »). 49. De même, le Service d’inspection constate que le 23 janvier 2020, un compte a été créé pour l’ensemble des membres du Service Contentieux dans l’outil Z. Il est à noter que l’outil Z est par ailleurs uniquement utilisé par la défenderesse en vue de réaliser le contrôle de la qualité des APD (Chambre Contentieuse), « Politique de classement sans suite de la Chambre contentieuse », 18 juin 2021, disponible sur https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambrecontentieuse.pdf 10 Décision quant au fond 102/2026 — 16/105 services fournis par les membres du personnel. Ceci reconfirme l’intention de la défenderesse d’enregistrer les appels des collaborateurs du Service Contentieux. 50. L’article 77.1 du RGPD est libellé comme suit (la Chambre Contentieuse souligne) : « 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. » 51. Dès lors, bien que l’enquête n’ait pas permis de démontrer que le plaignant aurait fait l’objet d’enregistrements d’appels le concernant, la Chambre Contentieuse constate que le plaignant a porté plainte car il considérait qu’un traitement (envisagé) de données le concernant constituait une violation du RGPD (le RGPD ne précisant pas si ce traitement doit être effectif ou s’il peut juste être potentiel ou futur). Le plaignant disposait donc un intérêt suffisant pour porter plainte à l’encontre de la défenderesse contre le projet d’enregistrement et de contrôle des appels au sein du Service Contentieux dès lors qu’il avait été communiqué au plaignant qu’il serait enregistré. 52. La Chambre Contentieuse tient à noter qu’en vertu de l’article 58.2
29. a)du RGPD, une autorité de contrôle dispose du pouvoir d'adopter certaines mesures correctrices, y compris “avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du [RGPD]”. Dès lors que le RGPD prévoit une possibilité de prendre des mesures correctrices à l’encontre d’un responsable de traitement pour des traitements envisagés, potentiels ou futurs, déclarer une plainte nonrecevable au simple motif que les traitements annoncés n’aient pas (encore) eu lieu serait contraire à la lettre et à l’esprit du RGPD11. 53. La référence à l’arrêt de la Cour des marchés du 19 février 202012, qui selon la défenderesse indiquerait que « puisque les données du plaignant n’avaient pas été traitées dans le cadre du traitement litigieux, l’APD ne démontrait pas qu'il y avait eu violation effective de données à caractère personnel du plaignant” est non avenue pour deux raisons : a. dans l’affaire qui a donné lieu à cet arrêt, la personne concernée était (en tant que cliente) en mesure de simplement refuser le traitement de ses données de carte d’identité, avec pour (seule) conséquence qu’elle ne pouvait plus participer au programme de fidélité offert par le responsable de traitement. Dans le cadre de ce dossier, le plaignant a été notifié d’un traitement qui lui était imposé par son employeur, sans possibilité de refuser 11 Cour des marchés, 12 novembre 2025, RG. 2025/AR/879, points 85 et suivants. 12 Cour des marchés, 19 février 2020, RG. 2019/AR/1600. Décision quant au fond 102/2026 — 17/105 les enregistrements. La Chambre Contentieuse estime que la possibilité de pouvoir éviter le traitement sans conséquence négative est cruciale pour son appréciation de l’existence d’un intérêt à agir. b. bien que non applicable au cas d’espèce pour la raison ci-dessus, la Chambre Contentieuse note également que cet arrêt a par ailleurs été cassé par un arrêt de la Cour de cassation du 7 octobre 202113, qui a indiqué qu’une personne concernée a le droit d'introduire une réclamation auprès de l’APD contre une pratique de traitement dont elle estime qu'elle porte atteinte à ses droits du chef du Règlement général sur la protection des données, même lorsque les données à caractère personnel de la personne concernée elles-mêmes n'ont pas été traitées, mais qu'elle n'a pas obtenu l'avantage ou le service parce qu'elle a refusé de donner son consentement au traitement. Cet arrêt confirme la position de l’APD prise au point ci-dessus selon laquelle l’appréciation de la possibilité de pouvoir éviter ou non le traitement sans conséquence négative est inhérente à l’appréciation de l’existence d’un intérêt à agir. 54. Sur cette base, la Chambre Contentieuse confirme donc que le plaignant disposait bien d’un intérêt à agir (personnel) pour déposer plainte, et que la plainte n’aurait donc pas dû être classée sans suite pour absence d’un tel intérêt au sens de l’article 58 de la LCA. II.1.3. Compétence de l’APD par rapport à la LCE 55. Dernièrement, la défenderesse soutient également que la plainte est « irrecevable » en ce qu’elle ne relève pas de la compétence de l’APD. La Chambre Contentieuse renvoie à ses explications au point 44 ci-dessus en ce qui concerne la recevabilité de la plainte, qui relève de la compétence du SPL. 56. La Chambre Contentieuse note que préalablement au 10 janvier 2022 (où ces articles ont été abrogés et remplacés par les articles 10/1 et 10/2 de la LCA), les articles 124, 125 et 128 de la LCE étaient d’application. Avant cette date, l’Institut belge des services postaux et des télécommunications (ci-après « IBPT ») était l’autorité compétente pour le contrôle de la LCE conformément à l’article 14, §1, 3°,
30. a)de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges16 (ci-après « Loi IBPT »). 57. Comme la Chambre Contentieuse l’a rappelé dans une décision quant au fond 12/2019 du 17 décembre 201914, la Chambre Contentieuse mais également les autres services de l’APD dont le Service d’Inspection, sont compétents pour se prononcer, dans le cadre de leurs rôles respectifs, « dans des affaires concernant le traitement de données à caractère personnel, en 13 Cass., 7 octobre 2021, C.20.0323.N, disponible sur https://juportal.be/content/ECLI:BE:CASS:2021:ARR.20211007.1N.4/NL Chambre Contentieuse, décision quant au fond 12/2019 du 17 décembre 2019. Le document est accessible en cliquant sur le lien suivant : https://autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-12-2019.pdf. 14 Décision quant au fond 102/2026 — 18/105 vertu de l’article 4, §1 de la [LCA], de l’article 55 du RGPD et dans le respect de l’article 8 de la Charte des droits fondamentaux de l’Union européenne ». 58. La Chambre Contentieuse précisait également que la compétence de l’IBPT pour contrôler la LCE ne porte pas préjudice à la compétence générale de l’APD concernant les traitements de données personnelles. Ainsi l’APD est donc compétente pour contrôler, notamment mais pas exclusivement, les exigences des principes relatifs au traitement des données personnelles tels que l’obligation de licéité, de transparence, de confidentialité ou encore de minimisation des données. 59. L’article 4 de la LCA prévoit que : « L'Autorité de protection des données est responsable du contrôle du respect des principes fondamentaux de la protection des données à caractère personnel, dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel. » (l’APD souligne). Il ressort des travaux préparatoires de la LCA que : « Le Conseil d’État cite à juste titre que la Commission de la protection de la vie privée a, selon la loi sur la vie privée, une compétence matérielle plus étendue que celle attribuée à l’Autorité de protection des données sur base du Règlement 2016/679. Quelle que soit la future loi-cadre remplaçant la loi sur la vie privée, se pose la question de la relation de l’Autorité de protection des données à cette dimension matérielle additionnelle, non seulement par rapport à la loi sur la vie privée mais également en ce qui concerne les autres législations en vertu desquelles d’autres tâches reviendraient à l’autorité qui supervise la législation contenant des dispositions relatives au traitement des données à caractère personnel. Pour répondre à cela, le projet de loi clarifie le mandat de l’Autorité de protection des données en indiquant qu’elle est responsable du contrôle du respect des principes fondamentaux de la protection des données personnelles dans le cadre de cette loi et des autres législations qui contiennent des dispositions relatives au traitement des données à caractère personnel »15 (l’APD souligne). 60. Il en ressort qu’il est souhaitable que la compétence matérielle de l’APD soit plus large que le simple contrôle du respect du RGPD. En d’autres termes, l’APD doit également pouvoir se prononcer sur des dispositions relatives au traitement de données personnelles dans d’autres législations que le RGPD. 61. Notamment, l’article 124 de la LCE doit être lu à la lumière de l’article 5, paragraphe 1) de la directive 2002/5816 (ci-après « Directive e-Privacy ») qui dispose que : « […] [les États membres] interdisent à toute autre personne que les utilisateurs d'écouter, d'intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre 15 Doc. Parl., 2016-2017, n° 54-2648/001, p. 9. Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (ci-après « Directive e-Privacy »). La directive est accessible en cliquant sur le lien suivant : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex%3A32002L0058. 16 Décision quant au fond 102/2026 — 19/105 moyen d'interception ou de surveillance, sans le consentement des utilisateurs concernés sauf lorsque cette personne y est légalement autorisée, conformément à l'article 15, paragraphe 1. […] ». Comme indiqué à l’article 2, paragraphe
31. f)de la Directive e-Privacy, la notion de consentement « correspond au "consentement de la personne concernée" figurant dans la directive 95/46/CE». La directive 95/46 ayant maintenant été abrogée et remplacée par le RGPD, il convient de comprendre les références à la directive 95/46 à des références au RGPD. 62. Comme l’indique l’article 1er de la LCE, la LCE transpose partiellement la Directive e-Privacy. L’APD était donc compétente pour contrôler si l’exigence de consentement inscrit à l’article 124 de la LCE est conforme aux exigences du consentement au sens du RGPD. 63. Par ailleurs, et dans la mesure où les articles 125 et 128 de la LCE prévoient plusieurs exceptions à l’obligation d’obtenir le consentement des utilisateurs des communications et des services de communications électroniques, la Chambre Contentieuse considère qu’elle est également compétente pour contrôler le respect de ces dispositions17. 64. Une telle compétence qui dépasse le cadre strict du RGPD a par ailleurs été confirmée par la Cour des marchés dans l’arrêt 2023/AR/723 du 14 juin 2023. Dans une affaire où les faits infractionnels prédataient du transfert des articles concernés de la LCE vers la LTD, la Cour des marchés a ainsi jugé que la compétence générale de l’APD telle que définie dans l’article 4 de la LCA implique que l’APD n’est pas que compétente pour contrôler le respect du RGPD et les lois générales relatives à la protection des données. Au contraire, la Cour des marchés a confirmé que le contrôle de l’APD pouvait se porter également sur d’autres lois et règlements plus spécifiques, comme par exemple la transposition en droit national de la Directive ePrivacy. 65. Dès lors, la Chambre Contentieuse est compétente pour se prononcer sur les questions liées à l’application des articles 124, 125 et 128 de la LCE. III. A titre liminaire – Cadre juridique applicable aux enregistrements et écoutes téléphoniques à des fins de qualité du service 66. Dans le cadre des enregistrements et écoutes téléphoniques sur le lieu de travail en cause dans ce dossier, plusieurs types de dispositions relatives à la protection de la vie privée s’appliquent simultanément, à savoir (
32. i)les dispositions protégeant le secret des communications électroniques et (
33. ii)les dispositions protégeant de manière générale les données personnelles. 67. En particulier, les règles relatives au secret des communications électroniques viennent parfois préciser certaines dispositions du RGPD (notamment en précisant l’information à communiquer aux personnes enregistrées) et parfois limiter la possibilité de s’appuyer sur certaines dispositions du RGPD (par exemple en limitant les bases juridiques disponibles pour 17 APD (Chambre Contentieuse), Décision quant au fond 38/2023 du 27 mars 2023 (points 27-57). Décision quant au fond 102/2026 — 20/105 le responsable de traitement). Les règles du RGPD doivent donc s’interpréter à l’aune des dispositions relatives à la confidentialité des communications électroniques, rappelées cidessous. III.1. Principe de confidentialité des communications 68. L'article 124 de la LCE, qui pose le principe de la confidentialité de ces communications18, dispose que : « S'il n'y est pas autorisé par toutes les personnes directement ou indirectement concernées, nul ne peut : 1° prendre intentionnellement connaissance de l'existence d'une information de toute nature transmise par voie de communication électronique et qui ne lui est pas destinée personnellement; 2° identifier intentionnellement les personnes concernées par la transmission de l'information et son contenu; 3° sans préjudice de l'application des articles 122 et 123 prendre connaissance intentionnellement de données en matière de communications électroniques et relatives à une autre personne; 4° modifier, supprimer, révéler, stocker ou faire un usage quelconque de l'information, de l'identification ou des données obtenues intentionnellement ou non. » (la Chambre Contentieuse souligne) 69. En vertu de cet article, il est donc interdit à toute personne d’enregistrer une communication électronique qui ne lui est pas destinée personnellement, sauf si elle y est autorisée par toutes les personnes directement ou indirectement concernées. 70. La première question pertinente dans ce cadre est celle de la définition de la personne « directement ou indirectement concernée » par la communication électronique. Il est en effet légitime de se demander si un employeur n’est pas lui-même partie à ces communications, les appels étant destinés à l’entreprise et non au travailleur lui-même (et a fortiori à un travailleur en particulier). A cet égard, la Cour de cassation a, dans un arrêt du 20 mai 2019, précisé que l'article 124 de la LCE impose à l'employeur d'obtenir de son employé l'autorisation de consulter les courriels qui ne lui ont pas été remis personnellement. Le seul fait qu’il s’agisse d’un courrier à caractère professionnel ne permet pas à l’employeur de se passer de cette autorisation19 : « l’arrêt se fonde sur des courriels échangés entre le demandeur et un sieur F., dont il relève qu’ils « ont été adressés et reçus à partir de matériel appartenant à [la défenderesse], mis à 18 Cette interdiction est également reprise dans l’article 314bis du Code pénal. 19 Cass., 20 mai 2019, n°S..17.0089.F. Décision quant au fond 102/2026 — 21/105 la disposition [du demandeur] et destiné à un usage professionnel », que « [leur] contenu […] est purement professionnel » et « qu’ils ne contiennent pas d’information de nature privée». En considérant qu’« il est sans intérêt de savoir si […] [le demandeur] a ou non donné son accord pour que [la défenderesse] accède à ses courriels » dès lors que, « s’agissant de courriels sans rapport avec [sa] vie privée, la prise de connaissance de [ceux-ci] ne peut enfreindre […] l’article 124 de la loi du 13 juin 2005 », l’arrêt viole cette disposition légale. » 71. Il ressort de cet arrêt qu’un employeur ne peut être considéré comme une personne concernée directement ou indirectement par les communications électroniques des membres de son personnel, même si (
34. i)cette communication intervient dans le cadre des fonctions de ce membre du personnel, (
35. ii)que la communication n’a pas un caractère privé et (iii) que les communications sont effectuées à partir d’équipements mis à disposition par l’employeur. 72. En conséquence, les communications électroniques des employés restent confidentielles par rapport à leur employeur. L’employeur doit donc être en mesure de s’appuyer sur une exception à la LCE pour pouvoir enregistrer et prendre connaissance des conversations téléphoniques de ses employés. 73. A cet égard, la Cour Européenne des Droits de l’Homme (« CEDH ») a reconnu, dans le cadre de son arrêt « Barbulescu »20, qu’il n’est pas exclu que les employeurs puissent surveiller les communications de ses employés, pour autant qu’un juste équilibre entre les intérêts de l’employeur et le droit à la vie privée et le secret de la correspondance des employés. En particulier, pour conclure en l’espèce à une violation du droit à la vie privée de M. Barbulescu, la CEDH a examiné : a. si ce dernier avait été préalablement averti par son employeur de la possibilité que ses communications étaient surveillées, ainsi que de la nature, de l’étendue de cette surveillance et du degré d’intrusion dans sa vie privée et sa correspondance ; b. quelles raisons spécifiques avaient justifié la mise en place des mesures de surveillance, si l’employeur aurait pu faire usage de mesures moins intrusives pour la vie privée et la correspondance du requérant et si l’accès au contenu des communications était possible à son insu. Pour la CEDH, les éléments clés pour apprécier la conformité d’une mesure de surveillance sont donc (
36. i)l’information correcte des employés enregistrés ainsi que (
37. ii)la nécessité et la proportionnalité de la surveillance. A cet égard, tant l’obligation d’information que les obligations de proportionnalité des traitements sont également reprises en tant qu’exigences dans le RGPD (et dans une certaine mesure, également dans la LCE). 20 CEDH, 5 septembre 2027, Barbuslescu c. Roumanie, N°61496/08. Décision quant au fond 102/2026 — 22/105 III.2. Exceptions au principe de confidentialité pour l’enregistrement d’appels à des fins de qualité et d’amélioration du service par un opérateur comme la défenderesse21 III.2.1. Le consentement 74. En application de l’article 124 de la LCE, le consentement apparait comme la première exception à l’interdiction faite à un employeur d’enregistrer les conversations téléphoniques de ses employés. Selon le considérant 27 de la Directive e-Privacy, le consentement doit cependant s’entendre au sens du RGPD22, ce qui limite la possibilité pour l’employeur de s’appuyer sur ce consentement par rapport à ses employés. 75. En effet, en ce qui concerne la licéité des traitements vis-à-vis des collaborateurs de la défenderesse, la Chambre Contentieuse tient à noter que l’exception relative à l’obtention du consentement des employés enregistrés n’a pas vocation à s’appliquer dans le cas d’espèce, ce qui impose dès lors à l’employeur de s’appuyer sur d’autres exceptions à l’article 124 de la LCE. En effet, s’agissant d’employés, le consentement (qui doit être entendu comme le consentement « RGPD » au sens de la Directive e-Privacy) obtenu par l’employeur pour réaliser les traitements en cause n’est pas reconnu comme « libre » au sens du RGPD. 76. En effet, pour être valide sous le RGPD, le consentement doit notamment être « libre », ce qui n’est généralement pas le cas dans le cadre des relations employeur/employé. Le CEPD précise à cet égard dans ses lignes directrices relatives au consentement23 (« Lignes Directrices Consentement ») que : « Un déséquilibre des rapports de force peut également avoir lieu dans le cadre des relations de travail. Au vu de la dépendance résultant de la relation employeur/employé, il est peu probable que la personne concernée soit en mesure de refuser de donner son consentement à son employeur concernant le traitement de ses données sans craindre ou encourir des conséquences négatives suite à ce refus. Il est ainsi peu probable qu’un employé soit en mesure de répondre librement à une demande de consentement de la part de son employeur visant à activer des systèmes de surveillance, tels que des caméras de surveillance, sur le lieu de travail, ou à remplir des formulaires d’évaluation, sans se sentir obligé de consentir. Aussi [le CEPD] considère-t-il problématique que les employeurs traitent les données à caractère personnel de leurs employés actuels ou potentiels en se fondant sur leur consentement, dès lors qu’il est peu probable que celui-ci soit donné librement. Pour la majorité de ces traitements de données au travail, la base juridique ne A cet égard, voir la Recommandation 08/2012 du 2 mai 2012 de la Commission de la Protection de la Vie Privée relative au contrôle de l'employeur quant à l'utilisation des outils de communication électronique sur le lieu de travail (CO-AR-2010-002), disponible sur https://www.autoriteprotectiondonnees.be/publications/recommandation-n-08-2012.pdf 21 Le texte de la Directive e-Privacy fait explicitement référence à la directive 95/46, qui a été abrogée et remplacée par le RGPD. A cet égard, l’article 94.2 du RGPD prévoit que « les références faites à la directive abrogée s'entendent comme faites au présent règlement ». 22 CEPD, Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679, 4 mai 2020, disponibles sur https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fr.pdf 23 Décision quant au fond 102/2026 — 23/105 peut et ne devrait pas être le consentement des employés [article 6, paragraphe 1, point a)] en raison de la nature de la relation employeur/employé. » (la Chambre Contentieuse souligne) 77. Il en résulte qu’un consentement demandé à un collaborateur dans le cadre d’enregistrements à des fins d’évaluation ne serait de toute façon pas considéré comme valable au regard du RGPD, et donc de la LCE car le consentement selon la LCE doit s’entendre au sens du RGPD. 78. De telles limitations ne s’imposent cependant pas lorsque le consentement est demandé aux appelants, dans la mesure où ceux-ci peuvent le refuser sans aucune conséquence négative pour eux dans le cadre des enregistrements en question. III.2.2. L’autorisation légale et le bon fonctionnement du réseau 79. Outre le consentement des personnes concernées, le principe d’interdiction d’enregistrer les communications téléphoniques admet toutefois d’autres exceptions, dont deux exceptions pertinentes sont listées dans l’article 125 § 1er de la LCE: « Les dispositions de l'article 124 de la présente loi et les articles 259bis et 314bis du Code pénal ne sont pas applicables : 1° lorsque la loi permet ou impose l'accomplissement des actes visés; 2° lorsque les actes visés sont accomplis dans le but exclusif de vérifier le bon fonctionnement du réseau et d'assurer la bonne exécution d'un service de communications électroniques;[…] » (la Chambre Contentieuse souligne) 80. L’article 125 de la LCE prévoit donc une deuxième et une troisième exceptions au principe d’interdiction de l’enregistrement des communications électroniques : (
38. i)une exception que la Chambre Contentieuse qualifie de « Exception Autorisation Légale » en vertu du 1° (« lorsque la loi permet ou impose l'accomplissement des actes visés ») et (
39. ii)une exception technique que la Chambre Contentieuse qualifie de « Exception Fonctionnement Réseau » en vertu du 2° (« vérifier le bon fonctionnement du réseau et d'assurer la bonne exécution d'un service de communications électroniques »). 81. En ce qui concerne des enregistrements d’appels entrants vers un call center (éventuellement transférés vers un autre service), la Chambre Contentieuse considère que l’Exception de l’Autorisation Légale est de nature à s’appliquer en ce qui concerne l’enregistrement des collaborateurs de la défenderesse (mais pas les appelants). 82. En effet, les dispositions de la loi du 3 juillet 1978 relative aux contrats de travail (« Loi Contrats de Travail ») constituent une base légale suffisante à cet effet, le travail d'un travailleur étant exécuté dans le cadre d'un contrat de travail ou dans une situation similaire sous une autorité (en vertu d’un statut). Cette autorité implique la possibilité de diriger et de surveiller le Décision quant au fond 102/2026 — 24/105 travailleur (articles 2, 3, 4 et 5 de la Loi Contrats de Travail). C'est dans le cadre de cette compétence de direction et de surveillance que s'inscrit le droit de contrôle de l'employeur. 83. L'article 16 de la Loi Contrats de Travail dispose que « l'employeur et le travailleur se doivent le respect et des égards mutuels et qu'ils sont tenus d'assurer et d'observer le respect des convenances et des bonnes mœurs pendant l'exécution du contrat ». 84. L'article 17 de la Loi Contrats de Travail prévoit en outre que "le travailleur a l'obligation : 1° d'exécuter son travail avec soin, probité et conscience, au temps, au lieu et dans les conditions convenus ; 2° d'agir conformément aux ordres et aux instructions qui lui sont donnés par l'employeur, ses mandataires ou ses préposés, en vue de l'exécution du contrat ; (…)". 85. Chaque employeur a donc une mission légale générale en matière de contrôle et de surveillance de son personnel, et a donc le droit d'exercer une autorité pour poser certains actes de contrôle, pour autant que ceux-ci se déroulent conformément à la gestion habituelle normale de l'entreprise (en tant qu'employeur raisonnable et prudent) et conformément à d'autres dispositions pertinentes applicables. 86. Les enregistrements téléphoniques n’étant pas systématiques, concernant uniquement les appels entrants vers le numéro général de la défenderesse et s’inscrivant dans le cadre de la gestion habituelle d’une entreprise (vérification ponctuelle de la qualité du service fourni aux appelants), la Chambre Contentieuse considère donc qu’en ce qui concerne ses propres collaborateurs (et non les appelants pour qui il est nécessaire d’identifier une autre exception applicable), la défenderesse peut se baser sur l’Exception de l’Autorisation Légale qui lui permet de vérifier le bon accomplissement des missions de ses collaborateurs sans atteinte disproportionnée à leur vie privée. 87. En effet, vu la nature des enregistrements, la Chambre Contentieuse considère qu’il n’y a pas (de risque) d’intrusion dans le droit à la vie privée des collaborateurs, notamment car (
40. i)il ne s’agissait que appels entrants uniquement via le numéro général du call center 087/87.87.87 et non via la ligne directe du collaborateur (à la différence par ex. d’un accès global aux emails du collaborateur ou p.ex. d’un enregistrement aléatoire de conversations vers la ligne directe du collaborateur que celles-ci soient internes entre collègues ou non) et car (
41. ii)les collaborateurs avaient été suffisamment informés des modalités d’enregistrement (le nombre d’enregistrements étant par ailleurs très limité par rapport nombre d’appels effectivement passés par les collaborateurs). III.2.3. Les call-centers 88. L’article 128 de la LCE (applicable jusqu’au 10 janvier 2022) prévoyait quant à lui que: Décision quant au fond 102/2026 — 25/105 « […] Par dérogation aux articles 259bis et 314bis du Code pénal, la prise de connaissance et l'enregistrement de communications électroniques et des données de trafic, qui visent uniquement à contrôler la qualité du service dans les call centers sont autorisés, à condition que les personnes qui travaillent dans le call center soient informées au préalable et, sans préjudice de l'application de la loi du 8 décembre 1992 relative à la protection de la vie privée, de la possibilité de prise de connaissance et d'enregistrement, du but précis de cette opération et de la durée de conservation de la communication et des données enregistrées. Ces données peuvent être conservées maximum un mois. » (la Chambre Contentieuse souligne) 89. Cette disposition est maintenant reprise à l’article 10/1 de la LTD. Le législateur a en effet choisi de transférer l’article 128 de la LCE vers la LTD en raison de sa portée plus large que celle des autres dispositions de la LCE qui contiennent principalement des obligations à charge des opérateurs de télécommunications, l’article 128 s’appliquant au contraire à d’autres acteurs24. 90. L’article 10/1 §2 de la LTD (applicable à partir du 10 janvier 2022) dispose que: « § 2. En application de l'article 125, § 1er, 1°, de la loi du 13 juin 2005 relative aux communications électroniques et sans préjudice de l'application du règlement et de cette loi, la prise de connaissance et l'enregistrement de communications électroniques et des données de trafic, qui visent uniquement à contrôler la qualité du service dans les call centers sont autorisés, à condition que les personnes qui travaillent dans le call center soient informées au préalable de la possibilité de prise de connaissance et d'enregistrement, du but précis de cette opération et de la durée de conservation de la communication et des données enregistrées. Ces données peuvent être conservées maximum un mois. » (la Chambre Contentieuse souligne) 91. En vertu des articles 128 de la LCE (et de l’article 10/1 de la LTD à partir du 10 janvier 2022), le législateur a donc prévu une quatrième et une cinquième exceptions au principe de confidentialité des communications électroniques qui permettent aux entreprises : i. d’enregistrer les communications relatives à des transactions commerciales licites pour conserver la preuve de ces transactions (par exemple, enregistrements des conversations dans le cadre du phone banking), en vertu du § 1er de ces articles (« Exception Preuve Commerciale »); et ii. de contrôler la qualité du service dans le cadre d’une activité de "call-center", en vertu du § 2 de ces articles (« Exception Call Center »). 92. En ce qui concerne l’Exception Preuve Commerciale et son champ d’application, considérant le but des enregistrements (en résumé, tester l’outil et/ou vérifier la qualité du service fourni par 24 Doc. Parl., doc. 55-2256/001, https://www.lachambre.be/FLWB/PDF/55/2256/55K2256001.pdf p. 110. Décision quant au fond 102/2026 — 26/105 le collaborateur), la Chambre Contentieuse constate que l’Exception Preuve Commerciale ne s’applique pas ici. Elle n’a d’ailleurs pas été invoquée ni lors de l’enquête ni lors de la procédure au fond devant la Chambre Contentieuse. 93. Pour invoquer l’Exception Call Center, l’entreprise qui effectue les enregistrements doit pouvoir démontrer que les conditions d’application de cette exception sont remplies : i. effectuer des enregistrements et accéder au contenu d’une communication électronique (champ d’application matériel) ; ii. uniquement dans le but de contrôler la qualité du service (finalité) ; et iii. l’enregistrement est uniquement permis en ce qui concerne (
42. i)les collaborateurs qui travaillent effectivement dans un call center et (
43. ii)les personnes qui appellent ou sont appelées par les collaborateurs du call center (champ d’application personnel). 94. D’autres conditions sont également applicables pour rester dans le champ d’application de l’Exception Call Center : i. les personnes qui travaillent dans le call center doivent être informées de l’enregistrement préalablement à l’enregistrement (
44. i)de la possibilité de prise de connaissance et d'enregistrement, (
45. i)du but précis de cette opération et (iii) de la durée de conservation de la communication et des données enregistrées ii. les enregistrements ainsi collectés peuvent être conservés au maximum 1 mois. IV. Motivation IV.1. A titre liminaire – Applicabilité du RGPD 95. La législation « générale » relative à la protection des données trouve également à s’appliquer aux enregistrements téléphoniques à des fins de qualité et d’amélioration du service, en en particulier : i. le RGPD, règlement européen directement applicable dans les Etats Membres de l’Union européenne ; et ii. la LTD, qui précise et complète les dispositions du RGPD sur certains points. 96. Bien que ces règles ne s’appliquent pas spécifiquement aux enregistrements et écoutes téléphoniques sur le lieu de travail, elles contiennent des règles générales qui s’appliquent lorsque des données personnelles sont traitées. 97. Une « donnée personnelle » est définie à l’article 4, 1) du RGPD (tel qu’intégré dans l’article 5 de la LTD qui prévoit que les définitions du RGPD sont également d’application pour Décision quant au fond 102/2026 — 27/105 l’interprétation de la LTD) : « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». Non seulement les enregistrements sonores sont en tant que tels des données personnelles relatives aux employés et aux appelants, mais ils contiennent en plus des données personnelles principalement relatives aux appelants (p. ex. nom, prénom, données de contact y compris l’adresse, informations financières et de facturation, etc.) et dans une moindre mesure relatives aux employés (p.ex., prénom, informations professionnelles, données de contact professionnelles, etc.). 98. Les enregistrements et écoutes téléphoniques constituent quant à eux des « traitements » au sens de l’article 4, 2) du RGPD (tel qu’intégré dans l’article 5 de la LTD), qui définit ces traitements comme « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ». 99. En ce qu’elle traite des données personnelles, la défenderesse agit donc en qualité de responsable de traitement, à savoir, en vertu de l’article 4, 7) du RGPD (tel qu’intégré dans l’article 5 de la LTD) : « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ». La défenderesse a en effet défini les finalités du traitement (le « pourquoi ? », à savoir contrôler la qualité des appels par le personnel et assurer leur formation) et les moyens du traitement (le « comment ? », à savoir enregistrer et écouter certains appels et les évaluer sur la base d’une grille qualité écoute). 100. En conséquence, la défenderesse, en tant que responsable du traitement, est soumise aux dispositions du RGPD et de la LTD dans le cadre des enregistrements et écoutes litigieux. Ces points ne sont pas remis en question par la défenderesse dans ses conclusions. Décision quant au fond 102/2026 — 28/105 IV.2. Obligation de licéité du traitement IV.2.1. Nécessité d’une base légale distincte sous le RGPD 101. En ce qui concerne le traitement de données personnelles qui ne relèvent pas d’une catégorie spéciale en vertu de l’article 9 du RGPD, le principe de licéité, loyauté et transparence doit en principe être lu conjointement avec l’article 6 du RGPD qui liste de façon exhaustive les bases juridiques pouvant justifier un traitement de données personnelles. Sur cette base, il convient donc d’identifier les bases légales permettant les traitements. 102. La Cour de justice de l’Union européenne (« CJUE ») a eu l’occasion de se prononcer sur l’interaction entre les dispositions issues de la Directive e-Privacy et le RGPD dans son arrêt C654/23 du 13 novembre 2025 (« Arrêt Inteligo Media »). 103. Dans cette affaire, la CJUE a d’abord confirmé que pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus à l’article 6.1 du RGPD, qui prévoit une liste exhaustive et limitative des cas dans lesquels il peut être considéré comme étant licite (§ 65). 104. La CJUE a cependant poursuivi en expliquant que « selon les termes explicites de l’article 95 du RGPD, ce règlement n’impose pas d’obligations supplémentaires aux personnes physiques ou morales quant au traitement dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications dans l’Union en ce qui concerne les aspects pour lesquels elles sont soumises à des obligations spécifiques ayant le même objectif énoncées dans la [Directive e-Privacy] » (§ 66 – la Chambre Contentieuse souligne). Elle a également ajouté que « le considérant 173 dudit règlement précise, de manière analogue, que ce dernier devrait s’appliquer à tous les aspects de la protection des libertés et droits fondamentaux à l’égard du traitement des données à caractère personnel qui ne sont pas soumis à des obligations spécifiques ayant le même objectif énoncées dans la directive 2002/58, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques » (§ 67 – la Chambre Contentieuse souligne). 105. Sur cette base, la CJUE a déterminé que l’article 13, paragraphe 2 de la Directive e-Privacy « régit de manière exhaustive les conditions et les finalités du traitement ainsi que les droits de la personne concernée et il soumet le responsable de traitement à des « obligations spécifiques », au sens de l’article 95 du RGPD. Par conséquent, la licéité d’un traitement de données à caractère personnel effectué dans le cadre d’une communication relevant du champ d’application de cet article 13, paragraphe 2, peut être établie sur la base de cette disposition, sans qu’il soit nécessaire de l’apprécier au regard des conditions prévues à l’article 6, paragraphe 1, sous
46. a)à f), du RGPD » (§ 68 – la Chambre Contentieuse souligne). Décision quant au fond 102/2026 — 29/105 106. A cet égard, la Chambre Contentieuse note que l’article 5 de la Directive e-Privacy25, implémenté en droit belge dans les articles 124, 125 et 128 LCE (l’article 128 LCE ayant été déplacé vers la LTD, via les nouveaux articles 10/1 et 10/2), prévoit également les conditions et les finalités certains types de traitement ainsi que les droits de la personne concernée et soumet donc le responsable de traitement à des « obligations spécifiques » au sens de l’article 95 du RGPD dans certaines circonstances. 107. Afin de déterminer si le RGPD s’applique en plus de la LCE, il y a eu lieu de déterminer la portée de l’article 5 de la Directive e-Privacy par rapport à sa transposition en droit belge. A cet égard, la LCE reprend le principe de confidentialité des communications, et deux exceptions qui pourraient être applicables à un enregistrement d’appels commerciaux : (
47. i)le consentement des parties à la communication repris à l’article 5.1 de la Directive e-Privacy (dans l’article 124 LCE) et (
48. ii)l’Exception Preuve Commerciale repris à l’article 5.2 de la Directive e-Privacy (dans l’article 128 LCE), l’article 15.1 de la Directive e-Privacy étant réservé à des traitements de données dans le cadre de la sécurité nationale. 108. Toutes les autres exceptions reprises dans la LCE (notamment l’Exception Fonctionnement Réseau et l’Exception Call Center) ne peuvent donc pas être considérées comme « ayant le même objectif » que des dispositions issues de la Directive e-Privacy au regard de l’article 95 du RGPD. A cet égard, elles permettent donc uniquement de ne pas interdire le traitement (dans le sens où ce dernier n’est pas « illégal » car contraire à la loi) mais pas de fournir une base de licéité pour le traitement (dans le sens où l’applicabilité d’une des exceptions non-issues de la Directive e-Privacy rendra le traitement « légal » au regard de la loi belge, mais pas « licite » au sens du RGPD). 109. Dans les paragraphes qui suivent, la Chambre Contentieuse a donc d’abord vérifié l’applicabilité des exceptions issues de la Directive e-Privacy, qui rendent superflue (le cas échéant) la nécessité d’également identifier une base légale sous le RGPD. Article 5 Directive e-Privacy : « 1. Les États membres garantissent, par la législation nationale, la confidentialité des communications effectuées au moyen d'un réseau public de communications et de services de communications électroniques accessibles au public, ainsi que la confidentialité des données relatives au trafic y afférentes. En particulier, ils interdisent à toute autre personne que les utilisateurs d'écouter, d'intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d'interception ou de surveillance, sans le consentement des utilisateurs concernés sauf lorsque cette personne y est légalement autorisée, conformément à l'article 15, paragraphe 1. Le présent paragraphe n'empêche pas le stockage technique nécessaire à l'acheminement d'une communication, sans préjudice du principe de confidentialité ». 25 Article 15.1 Directive e-Privacy : « 1. Les États membres peuvent adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus aux articles 5 et 6, à l'article 8, paragraphes 1, 2, 3 et 4, et à l'article 9 de la présente directive lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder la sécurité nationale — c'est-à-dire la sûreté de l'État — la défense et la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non autorisées du système de communications électroniques, comme le prévoit l'article 13, paragraphe 1, de la directive 95/46/CE. À cette fin, les États membres peuvent, entre autres, adopter des mesures législatives prévoyant la conservation de données pendant une durée limitée lorsque cela est justifié par un des motifs énoncés dans le présent paragraphe. Toutes les mesures visées dans le présent paragraphe sont prises dans le respect des principes généraux du droit communautaire, y compris ceux visés à l'article 6, paragraphes 1 et 2, du traité sur l'Union européenne. » (la Chambre Contentieuse souligne) Décision quant au fond 102/2026 — 30/105 110. En parallèle, la Chambre Contentieuse a également analysé la base de licéité pour chaque service appelé (Service Contentieux, Front Office et Back Offices hors Service Contentieux), d’une part par rapport aux employés enregistrés dans ce service et ensuite en ce qui concerne les appelants, pour les raisons que la Chambre Contentieuse exposera ci-après. 111. Aussi, la licéité du traitement « enregistrement » ne peut qu’être établie si ce traitement est licite tant dans le chef de l’appelant que du collaborateur appelé. En effet, l’enregistrement de l’appelant et du collaborateur font partie d’un seul même traitement « enregistrement ». Pour cette raison, si la défenderesse ne dispose pas de base de licéité pour une seule des catégories de personnes concernées (collaborateurs ou appelants), étant donné que l’enregistrement de l’appelant est inextricable de l’enregistrement du collaborateur (et vice versa), la licéité de l’ensemble du traitement sera viciée. IV.2.2. Licéité des enregistrements tests au sein du Service Contentieux 112. La défenderesse a indiqué au Service d’Inspection avoir effectué trois tests techniques afin de tester le bon fonctionnement de la plateforme permettant l’enregistrement et pour montrer au superviseur du Service Contentieux comment il fallait démarrer et arrêter un enregistrement. 113.La défenderesse a précisé que ces tests ont consisté pour le superviseur du Service Contentieux non pas à enregistrer des « conversations réelles ni d’évaluer la conversation, mais uniquement de faire démarrer l’enregistrement puis de l’arrêter ». C’est après la réalisation de ces tests que la SWDE a décidé de ne pas enregistrer et écouter les appels téléphoniques reçus par le Service Contentieux, ces trois appels ayant démontré que le personnel de ce service était particulièrement expérimenté et qu’il n’était pas nécessaire de vérifier la qualité de leurs prestations téléphoniques. 114.A cet égard, la Chambre Contentieuse a relevé une violation présumée des articles 5.1
49. a)et 6.1
50. a)du RGPD ainsi que des articles 124, 125 et 128 de la LCE, lus conjointement avec les articles 4.11), 7.1 et 7.3 du RGPD en ce que la défenderesse n’a pas obtenu un consentement valide des appelants avant de procéder à l’enregistrement des appels, et a par conséquent failli à l’obligation de licéité du traitement. 115.Concernant spécifiquement la personne appelant le call-center de la défenderesse possiblement enregistré, le Service d’inspection a noté qu’au moment où les trois enregistrements ‘tests’ ont été réalisés, les personnes appelant le service commercial étaient informées de la possibilité d’enregistrer la conversation. Avant la mise en place du logiciel Y le 25 octobre 2022 qui a permis aux appelants de s’opposer à l’enregistrement en appuyant sur un bouton avant que l’appel ne soit transmis au collaborateur , le message reçu était le suivant : « Dans le cadre de l’amélioration de nos services, cet appel peut être enregistré ». Selon la Décision quant au fond 102/2026 — 31/105 défenderesse, l’appelant pouvait s’opposer à l’enregistrement en le mentionnant directement au collaborateur qui rappelait alors ladite personne. 116.L’article 4.11) du RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement » (la Chambre Contentieuse souligne). 117. En l’espèce, une simple information « Dans le cadre de l’amélioration de nos services, cet appel peut être enregistré » n’est pas suffisante pour consister en une demande de consentement, dès lors que cette pratique implique une démarche proactive de l’appelant pour signaler son refus d’être enregistré. De plus, un appelant qui ne sait pas qu’il est possible de refuser l’enregistrement pourrait accepter l’enregistrement, craignant de ne pas pouvoir accès au service et de ne pas pouvoir poser sa question concernant un service essentiel (à savoir, l’accès à l’eau). Le simple fait que l’appelant soit resté au téléphone dans ce contexte, en particulier au vu du message communiqué et de l’absence d’une quelconque information quant à la possibilité de refuser l’enregistrement, n’implique donc pas qu’il ait donné un consentement valable au sens du RGPD. 118. En l’absence de consentement valable des appelants, il y a donc lieu de vérifier (
51. i)si les enregistrements peuvent être rendus légaux sous la base d’une autre exception au principe de confidentialité des communications électroniques contenu dans la LCE et ensuite, dans le cas où une exception a pu être identifiée, (
52. ii)si une autre base légale sous le RGPD peut s’appliquer en l’espèce. 119.Selon la défenderesse, la finalité de ces trois enregistrements test était de vérifier le bon fonctionnement de l’outil technique et de former les chefs de service et les superviseurs à leur utilisation. Cependant, la défenderesse indique également dans ses conclusions que « la réalisation de ces enregistrements tests était cependant nécessaire pour permettre à la SWDE d’affirmer que la qualité des services fournis par les agents du Service Contentieux était suffisante […]. La SWDE n’aurait pas pu se rendre compte de la qualité des réponses données par les agents du Service Contentieux sans procéder à ces écoutes tests ». 120. La Chambre Contentieuse note ici l’incohérence des propos de la défenderesse : (
53. i)soit les enregistrements étaient en effet de simples tests pour vérifier le fonctionnement de l’outil et la défenderesse n’a pas pu en tirer une quelconque conclusion sur la nécessité de poursuivre les enregistrements (
54. ii)soit l’employé a effectivement été évalué et c’est sur base de l’analyse de ces trois conversations (et donc d’une évaluation positive) qu’il a été décidé de ne pas procéder aux enregistrements de façon globale. Aussi, ces tests étaient donc suffisamment longs pour permettre à la défenderesse de pouvoir juger de la qualité des réponses apportées par le membre du personnel concerné, et dépassaient donc le cadre nécessaire du simple test de bon fonctionnement de l’outil. Décision quant au fond 102/2026 — 32/105 121. Cette double finalité dépasse le cadre de l’Exception Fonctionnement Réseau, car ces tests ont permis à la défenderesse de pouvoir juger de la qualité des réponses apportées par le membre du personnel concerné, et dépassent donc le cadre nécessaire du simple test de bon fonctionnement de l’outil, qui n’inclut pas la vérification de la qualité du service. 122. Dès lors que les enregistrements ont effectivement été écoutés et que les compétences des employés du Service Contentieux écoutés ont été jugées suffisantes pour ne pas poursuivre les enregistrements, le fait qu’aucune évaluation n’ait été effectivement créée dans l’outil Z n’est pas pertinente, dès lors qu’il y a bien eu une certaine forme d’évaluation sur la base des traitements. 123. L’Exception Fonctionnement Réseau n’étant pas applicable aux enregistrements tests, il y a donc lieu d’examiner si ces enregistrements peuvent être rendus légaux sur la base de l’Exception Call Center, en particulier car selon la défenderesse, les membres du Service Contentieux doivent également être considérés comme faisant partie du « call center » de la SWDE. 124. Le dictionnaire américain Merriam-Webster définit le call center de la façon suivante: « an office equipped to handle a large volume of telephone calls for an organization (such as a retailer, bank, or marketing firm) especially for taking orders or for providing customer service. » (traduction libre: un bureau équipé pour gérer un volume important d’appels téléphonique pour une organisation (tel qu’un détaillant, une banque, ou une entreprise de publication) notamment pour prendre les commandes et pour fournir des services aux consommateurs). 125. Le dictionnaire en ligne Van Dale définit un « call center » comme : « centrale vanwaaruit of waarheen op grote schaal gebeld wordt, bv. door telemarketeers » (traduction libre: une centrale depuis et vers laquelle des appels téléphoniques à grande échelle sont passés, par exemple par des télémarketeurs). 126. En l’absence de définition légale, la notion de « call center » au sens commun du terme correspond donc à un service ou entreprise tierce chargé de gérer un flot important d’appels. 127. La notion de “grande échelle” ou “d’activité majoritaire” (qui s’apprécie en fonction du cas d’espèce) est essentielle pour différencier les activités d’un call center des activités d’autres services qui ont le même but, mais dont la finalité essentielle n’est pas de traiter des appels mais de traiter des dossiers (en l’espèce, par téléphone). 128. Au regard des éléments du dossier, la Chambre Contentieuse note que: i. les collaborateurs du Service Contentieux ont une moyenne de 18 appels par mois, soit moins d’un appel par jour ouvrable, ce qui démontre en l’espèce que les tâches effectuées par ces collaborateurs ne peuvent être assimilées aux activités d’un « call center » au sens commun du terme. La Chambre Contentieuse fait ici un parallèle avec un exemple dans un autre secteur : celui d’un client qui appelle le numéro Décision quant au fond 102/2026 — 33/105 général d’une banque pour placer des fonds et est ensuite mis en relation avec un conseiller en placements. Dans ce cadre, le conseiller en placement qui prend un appel par jour ne pourrait être considéré comme faisant partie du « call center » de cette banque au seul prétexte que l’appel lui a été transmis par le call center ou même, a fortiori, simplement car il reçoit ou passe également des appels pour l’entretien de la relation client ; ii. au regard des autres activités spécifiques au Service Contentieux, les tâches de ce dernier ne consistent pas à apporter (en premier lieu) une assistance aux clients de la défenderesse mais consistent principalement à apporter le support administratif pour permettre à la défenderesse de répondre à ses activités principales. Par ailleurs, le nom « service contentieux » semble incompatible avec la notion d’assistance administrative et entretien de la relation client (ceci est d’ailleurs confirmé par l’email de la supérieure hiérarchique du Service Contentieux qui indique « on est bien d’accord qu’au service contentieux, il peut arriver que les clients ne soient pas satisfaits », qui démontre que les tâches du Service Contentieux dépassent le simple cadre de la simple gestion de la clientèle mais relèvent de tâches plus spécifiques de gestion de dossiers, contentieux en l’espèce). Ceci est par ailleurs confirmé par l’absence de poursuite des enregistrements pour ces collaborateurs : leur haut degré de spécialisation (au contraire d’un contact client permettant de répondre à des demandes basiques) ne justifiait pas que ces derniers soient enregistrés pour évaluer la qualité de leurs appels ; et iii. en outre, les collaborateurs du Service Contentieux disposent d’une plus grande autonomie dans l’accomplissement de leur fonction dans la mesure où aucun script téléphonique ne leur est imposé. 129. La Chambre Contentieuse constate que les situations pour lesquelles le Service Contentieux est susceptible de traiter les demandes téléphoniques sont donc: i. répondre à des demandes complexes qui requièrent une plus grande analyse et donc une plus grande expertise ; et ii. répondre à des demandes relatives à leurs fonctions (premières) qui ne constituent pas des activités d’assistance au client, mais de la gestion de dossiers (contentieux). 130. Les activités du Service Contentieux dépassent donc le cadre des activités confiées à un call center au sens commun du terme, à savoir un service d’assistance technique ou commerciale par téléphone ou par internet qui traite des appels à grande échelle. 131.La défenderesse ne peut être suivie lorsqu’elle affirme qu’un call-center est « uniquement défini par sa mission de recevoir les appels des prospects ou clients, pour les renseigner ou leur proposer de nouveaux services ou encore entretenir la relation clientèle » ou encore qu’un call- Décision quant au fond 102/2026 — 34/105 center serait simplement « un service constitué d’un ensemble de postes de travail pourvus d’ordinateurs et de moyens téléphoniques ». Si la Chambre Contentieuse devait suivre la défenderesse, il apparait que n’importe quel collaborateur d’une entreprise, pour autant qu’il ait des contacts par téléphone ou par internet avec des clients (ou même simplement un ordinateur et un téléphone), pourrait être considéré comme faisant partie d’un call center. Une telle interprétation dépasserait largement le cadre de l’Exception Call Center, destinée à couvrir une situation spécifique. 132. Sur la base de tout ce qui précède, la Chambre Contentieuse estime donc qu’un client qui appelle le numéro général de la SWDE et est mis en contact avec le Service Contentieux n’est plus couvert sous l’Exception Call Center à partir du moment où l’appel atteint le Service Contentieux. 133. L’Exception Call Center n’est donc pas applicable pour les appels entre un appelant et les agents du Service Contentieux, qui traitent (parfois par téléphone) des dossiers spécifiques qui leurs sont transmis, sans que le cœur de leur activité ne soit de traiter des appels de clients et prospects (au contraire des collaborateurs du Front Office et des Back Offices ZO et ZE, qui consacrent une partie significative de leur temps de travail à traiter les appels venant du call center). 134. Etant donné que l’Exception Autorisation Légale (qui ne vaut qu’à l’égard des collaborateurs et pas des appelants, l’employeur n’ayant qu’un devoir de surveillance vis-à-vis de ses employés) et l’Exception Call Center ne sont pas d’application, l’article 124 de la LCE interdit l’enregistrement et l’écoute sans avoir obtenu le consentement de l’appelant. Le responsable de traitement n’a pas d’autre choix que de demander le consentement de l’appelant pour procéder à l’enregistrement et à l’écoute de la conversation téléphonique avec le collaborateur. Or, la Chambre Contentieuse a déjà établi que la défenderesse n’a pas obtenu le consentement valable des appelants dans le cadre de ces trois enregistrements tests. 135. En conséquence, les trois appels “tests” entre le collaborateur du Service Contentieux qui a fait l’objet des enregistrements et les trois appelants dont les appels ont été enregistrés dans le cadre de ces tests ne sont pas légaux au regard de la LCE, aucune exception au principe de confidentialité ne trouvant à s’appliquer ici. L’enregistrement étant par nature illégal à l’aune du principe de confidentialité des communications électroniques, il n’y a dès lors plus lieu de déterminer si une base légale sous le RGPD pouvait rendre ce traitement (à savoir, l’enregsitrement) licite. 136. De même, dès lors que le traitement est illégal en ce qui concerne les appelants, il n’y a plus lieu de déterminer si les enregistrements sont légaux et licites en ce qui concerne le collaborateur enregistré, l’enregistrement de l’appelant étant inextricable de l’enregistrement de l’appelant. Décision quant au fond 102/2026 — 35/105 137. Les enregistrements n’étant pas licites en ce qui concerne les appelants, la Chambre Contentieuse constate donc une violation des articles 5.1
55. a)et 6.1 du RGPD lus en combinaison avec les articles 124, 125 et 128 de la LCE, en ce que les trois enregistrements tests sont illicites. Plus spécifiquement, elle constate également une violation des articles 4.11), 7.1 et 7.3 du RGPD pour ne pas avoir recueilli le consentement valide des appelants dans ce cadre, mais n’en tire pas de constat de violation spécifique car ce grief est couvert dans la violation des articles 5.1
56. a)et 6.1 du RGPD. Il n’est dès lors plus nécessaire d’analyser la situation des collaborateurs dès lors que les conclusions qui pourraient en être tirées ne sont plus de nature à modifier les conclusions de la Chambre Contentieuse en ce qui concerne la licéité des enregistrements. 138. S’agissant d’une situation passée et limitée à trois occurrences en octobre et novembre 2020, la Chambre Contentieuse décide, en vertu de l’article 100 §1er, 5° de la LCA de prononcer une réprimande à la défenderesse pour les violations des articles 5.1
57. a)et 6.1 du RGPD lus en combinaison avec les articles 124 et 128 de la LCE. IV.2.3. Enregistrements des employés du Front Office 139. En ce qui concerne les enregistrements des employés du Front Office, la Chambre Contentieuse avait relevé une violation présumée des articles 5.1
58. a)et 6.1 du RGPD en ce que la défenderesse (cfr. constatation 7 du Rapport d’Enquête) se serait incorrectement basée sur la base légale de l’exercice d’une mission d’intérêt public (art. 6.1
59. e)du RGPD) pour procéder aux enregistrements, alors que ceux-ci n’étaient pas nécessaires à l’exercice de la mission de la défenderesse. 140. Il y a donc lieu d’examiner si la défenderesse disposait d’une base légale pour enregistrer les employés du Front Office (ou le « call-center » de la défenderesse). 141.A cet égard, les tâches des employés du Front Office (= le call-center) sont à distinguer de celles des employés du Service Contentieux. 142. Le « Front Office » a pour but d’« assurer les réponses aux questions en première ligne par voie téléphonique ou par écrit, à savoir les questions sur les factures, l’état de paiement (solde du compte), l’activation de la domiciliation, l’activation de la dématérialisation, les emménagements/déménagements, les relevés d’index, les plans d’apurement, la modification des montants ou du cycle de facturation… ». Les tâches requièrent également un faible niveau d’autonomie puisque la défenderesse indiquait que les membres du personnel du « Front Office » travaillaient avec « une structure à respecter pour le traitement des appels » ainsi que « des réponses types ». 143. Il ne fait aucun doute tant pour le Service d’Inspection que la Chambre Contentieuse de la qualification du Font Office en « call-center » au sens de l’article 128 de la LCE, les employés Décision quant au fond 102/2026 — 36/105 passant 80% de leur temps à répondre à des appels téléphoniques émanant du numéro général, pour des appels d’une durée de 5 min environ et répondant à des questions assez simples et rapides des citoyens. 144. Au vu du faible niveau d’autonomie et de la description de la fonction apportée, le Front Office peut donc être considéré comme un « call center » au sens de l’Exception Call Center. 145. Il y a dès lors lieu de vérifier si la défenderesse a rempli toutes les conditions pour s’appuyer sur l’Exception Call Center. A cet égard, la Chambre Contentieuse note que : - les enregistrements visaient uniquement à contrôler la qualité du service dans les call centers sont autorisés ; - les personnes qui travaillent dans le call center sont informées au préalable de la possibilité de prise de connaissance et d'enregistrement lors de réunions dans le cadre du projet visant à instaurer le système d’enregistrements des appels au sein de la SWDE. 146. la durée (au moins) prévue de rétention des données était de 30 jours. L’Exception Call Center est donc applicable ici. Cette exception s’applique tant pour les appelants que pour les collaborateurs du Front Office, ce qui rend donc les enregistrements « légaux » au regard de la LCE. 147. Pour déterminer si le traitement est licite, la Chambre Contentieuse a également analysé l’existence d’une base légale sous l’article 6.1 du RGPD. 148. A cet égard, la Chambre Contentieuse note par ailleurs que la défenderesse n’a pas soulevé l’argument lié à la non nécessité d’avoir une base légale distincte sous le RGPD dans ce cadre précis lors de l’audience du 5 décembre 2025, pourtant postérieure à l’Arrêt Inteligo Media. La défenderesse ayant par ailleurs spécifiquement indiqué disposer d’un intérêt légitime pour justifier les enregistrements, la Chambre Contentieuse en conclut dès lors que la défenderesse elle-même considère qu’il y avait lieu d’identifier une base légale tant sous la LCE que le RGPD. 149. Dans ses conclusions, la défenderesse indique que les enregistrements à des fins d’amélioration de la qualité seraient nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont elle est investie. 150. Concernant l’article 6.1,
60. e)du RGPD, la Chambre Contentieuse estime que la condition de nécessité peut parfois s’interpréter de manière large de manière à donner un effet utile à cette base légale. À cette occasion, la Chambre Contentieuse a déjà précisé que « la notion de traitement nécessaire à l’exécution d’une mission d’intérêt public couvre le traitement nécessaire à l’exécution de la mission d’intérêt public au sens strict, mais également le traitement nécessaire à l’exécution de missions directement liées à cette mission d’intérêt public, y compris celles nécessaires à la gestion et au fonctionnement des organismes chargés de cette mission d’intérêt public. Étant donné que sans le personnel et la gestion des Décision quant au fond 102/2026 — 37/105 ressources humaines qui y est associé, la partie défenderesse ne serait pas en mesure d’accomplir ses missions d’intérêt public, le traitement des données à caractère personnel dans le cadre de la gestion du personnel devrait également être fondé sur l’article 6 §1,
61. e)du RGPD »26. 151.Sur son site internet, la CNIL rappelle que « la mission d’intérêt public concerne au premier chef les traitements concernant les usagers ou les publics des organismes : c’est à leur égard que s’exerce la mission de service public et c’est dans le cadre des traitements qui les concernent que s’exerce spécifiquement l’autorité publique ». 152. Dans ses conclusions, la défenderesse indique que : « Par son call center, la [défenderesse] assure la gestion des plaintes et des réclamations relatives à la distribution et la fourniture d’eau potable, mission d’intérêt public dont elle est chargée. La [défenderesse], en tant que producteur et distributeur d’eau, se doit de répondre de la meilleure façon aux demandes qui lui sont adressées par tout citoyen dans le cadre de la fourniture d’eau qu’assure la [défenderesse]. Dans le cadre de l’exécution de ses missions de distribution d’eau conformément au Code wallon de l’Eau, la [défenderesse] doit donc être en mesure de répondre de manière satisfaisante et efficace aux citoyens qui lui posent des questions via son call center. Cela passe notamment par le contrôle de qualité des réponses fournies par les agents du call center de la [défenderesse]. La [défenderesse] considère que ces traitements sont donc nécessaires à la bonne exécution de sa mission d’intérêt public. C’est à tort que le Service d’Inspection estime que les missions des call centers de la [défenderesse] ne sont pas « nécessaires » à la distribution et à la production de manière continue de l’eau. Les citoyens peuvent appeler la [défenderesse] pour signaler tout dysfonctionnement du système de fourniture d’eau, qu’il soit lié à leur situation personnelle (nouveau raccordement, fuite d’eau, dysfonctionnement des compteurs, etc.) ou à une situation générale (coupure d’eau liée à une intempérie, fuite d’eau dans la rue qui affecte l’approvisionnement de plusieurs maisons, etc.). La [défenderesse] doit être informée de ces anomalies pour pouvoir ensuite y remédier et assurer la continuité de l’alimentation en eau potable. La gestion des appels des citoyens est donc intrinsèquement liée à la mission d’intérêt général de la [défenderesse]. » (la Chambre Contentieuse souligne). 153. L’article 6.1
62. e)du RGPD prévoit que le traitement doit être « nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement » (la Chambre Contentieuse souligne). 26 APD (Chambre Contentieuse), décision 15/2023, Décision quant au fond 102/2026 — 38/105 154. La Chambre Contentieuse convient qu’il n’y a pas lieu d’être trop restrictif dans l’interprétation de la « nécessité pour une mission d’intérêt public ». Elle considère que, dans le cas d’espèce, la défenderesse a expliqué à suffisance en quoi des enregistrements ponctuels des appels dans les calls centers était nécessaires pour la bonne exécution de sa mission de fourniture d’eau potable. En effet, la Chambre Contentieuse considère que les autorités publiques qui s’appuient sur cette exception doivent pouvoir démontrer que le traitement est nécessaire pour une exécution correcte et efficace de sa mission (pour assurer une certaine efficience entre des moyens financiers et humains à consacrer à l’exercice de la mission, dans l’intérêt public), pour autant qu’il y ait une balance entre l’ingérence causée par le traitement et le droit à la vie privée des personnes concernées par le traitement. En l’occurrence, la Chambre Contentieuse considère que l’intrusion ici est minimale au vu de la nature des appels reçue par le Front Office et de l’existence d’un droit d’opposition à l’enregistrement pour les appelants. 155. Aussi, en vertu du service essentiel qu’elle offre aux citoyens ainsi que des conséquences graves si le service de fourniture d’eau est discontinué, il est en effet nécessaire à la mission d’intérêt général de la défenderesse que ses opérateurs de première ligne (son call-center) soient en mesure d’offrir une réponse rapide et satisfaisante aux besoins des citoyens (en particulier lorsque ceux-ci touchent à des ressources essentielles, comme l’accès à l’eau), et de répondre rapidement aux besoins de formation que certains de ses opérateurs pourraient rencontrer, de manière à assurer la meilleure gestion possible de ce service public. 156. Aussi, la Chambre Contentieuse note que la LCE (et maintenant la LTD) consacrent explicitement la légalité et la légitimité des enregistrements et écoutes à des fins d’évaluation de la qualité, pour autant que certaines conditions soient respectées (ce qui a été le cas en l’espèce). Dès lors, elle considère que ce type de traitement est d’une certaine façon « prévu » par la loi. 157. Par ailleurs, la Chambre Contentieuse n’identifie pas d’autres moyens moins intrusifs pour atteindre l’objectif, à part envoyer régulièrement en formation tous les collaborateurs confondus. Cependant, la Chambre Contentieuse est d’avis qu’il ressort de la bonne exécution d’une mission d’intérêt public comme celle remplie par la défenderesse de ne pas inutilement consacrer de l’argent public pour envoyer régulièrement en formation des collaborateurs qui n’en ont pas besoin. Ceci est d’autant plus vrai que les critères pour obtenir une bonne évaluation étaient très bas. A cet égard, la Chambre Contentieuse note l’argument de la défenderesse selon lequel l’enregistrement des appels dans un call-center à des fins d’amélioration du service est en soi une ingérence acceptable. La Chambre Contentieuse partage cet avis, pour autant que la notion de call-center reste limitée à des appels courts et standardisés pour certains types de demandes fréquentes et courantes, ce qui garantit la (presqu’)absence d’ingérence dans la vie privée des appelants et des collaborateurs. Décision quant au fond 102/2026 — 39/105 158. En l’espèce, la Chambre Contentieuse considère donc que la défenderesse a pu correctement se baser sur l’article 6.1,
63. e)du RGPD pour procéder aux enregistrements des employés du Front Office à des fins d’évaluation de la qualité et de formation. 159. En conclusion, les conditions de l’Exception Call Center étant remplies et considérant que la défenderesse avait correctement identifié la base légale lui permettant de procéder aux enregistrements, la Chambre Contentieuse ne constate pas d’infraction en ce qui concerne les enregistrements des conversations entre les appelants et les employés du Front Office. IV.2.1. Licéité des enregistrements des employés des Back Offices hors Service Contentieux 160. En ce qui concerne les membres du personnel travaillant pour les Back Offices hors Service Contentieux (ci-après les « Back Offices ZO et ZE27 »), la Chambre Contentieuse constate les points suivants sur la base du Rapport d’Enquête et des réponses fournies par la défenderesse lors de l’enquête que les collaborateurs des Back Offices ZO et ZE : a. passent une partie non négligeable de leur temps, à savoir environ 2 heures par jour par personne (12 appels d’environ 10 minutes chacun) à répondre aux demandes téléphoniques transmises par le Front Office ; b. tous les autres appels (à savoir, ceux non transmis par le Front Office) ne font pas l’objet d’écoutes ; et c. les appels touchent soit à des situations précises déléguées aux Back Offices ZO et ZE, plutôt qu’au Front Office, soit à des appels qui « encombreraient » le Front Office car ils prennent plus de 5 minutes (mais restent cependant courts car d’une durée d’environ 10 minutes). 161.Sur la base de ce qui précède, bien qu’ils soient tous collaborateurs des Back Offices, la Chambre Contentieuse considère que la situation des collaborateurs des Back Offices ZO et ZE est à distinguer de celle des collaborateurs du Service Contentieux. Comme expliqué plus haut, les collaborateurs du Service Contentieux traitent moins d’un appel par jour en moyenne, alors que le traitement d’appels téléphoniques fait partie intégrante d’une « journée type » de chaque collaborateur des Back Offices ZO et ZE. En conséquence, la Chambre Contentieuse estime que lorsqu’ils répondent à des personnes ayant appelé le numéro général de la défenderesse, les collaborateurs des Back Offices ZO et ZE tombent sous l’Exception Call Center, car il ne s’agit pas dans ce cadre de gestionnaires de dossiers qui prennent un appel, mais bien de collaborateurs faisant partie intégrante du système de gestion centralisée des appels clients, à savoir le « call center » de la SWDE. 27 ZO pour Zone Ouest et ZE pour Zone Est. Décision quant au fond 102/2026 — 40/105 162. Comme la défenderesse l’avait souligné lors de son audition, elle n’a pas à être sanctionnée pour de simples choix organisationnels destinés à améliorer la gestion des appels vers son numéro général. Ceci n’énerve en rien les constats de la Chambre Contentieuse en ce qui concerne les collaborateurs du Service Contentieux qui, du propre aveu de la défenderesse, sont particulièrement expérimentés et pour lequel « l’activité téléphonique n’est pas prédominante et n’aurait pas permis de vérifier la qualité de leurs prestations ». 163. Sur cette base, les enregistrements des appels entre les agents des Back Offices ZO et ZE et les personnes ayant appelé le numéro général de la défenderesse peuvent être considérés comme légaux au regard de la LCE sur la base de l’Exception Call Center. 164. Les conclusions relatives à la justification des traitements sur la base de l’article 6.1
64. e)du RGPD (bonne exécution de la mission d’intérêt public) développées ci-dessus aux points 147 et suivants pour les collaborateurs du Front Office sont également applicables mutatis mutandis pour les collaborateurs des Back Offices ZO et ZE. 165. Les enregistrements des appels entre les agents des Back Offices ZO et ZE et les personnes ayant appelé le numéro général de la défenderesse peuvent être considérés comme licites au regard de l’article 6.1
65. e)du RGPD. 166. La Chambre Contentieuse ne constate donc aucune violation du principe de licéité dans ce cadre. IV.3. Obligation de transparence IV.3.1. Principes 167. La LCE s’applique sans préjudice du RGPD. Cela signifie que les obligations de transparence prévues dans la LCE (et notamment dans le cadre de l’Exception Call Center) décrites plus haut supplémentent et modalisent l’information à donner aux personnes concernées (appelants et collaborateurs) en vertu du RGPD, qui impose également que certaines informations soient communiquées à ces personnes. 168. Le principe de licéité, loyauté et transparence prévu à l’article 5.1
66. a)du RGPD doit être lu conjointement avec les articles 12, 13 et 14 du RGPD qui modalisent l’obligation de transparence sous le RGPD. Ces articles explicitent (
67. i)quel type d’informations doit être communiquée à la personne concernée et (
68. ii)les modalités de communication de ces informations. L’interprétation à donner à ces articles et leur application en pratique ont spécifiées en détail dans les Lignes directrices sur la transparence au sens du règlement (UE) 2016/67928 du CEPD (“Lignes Directrices Transparence”). CEPD, Lignes directrices sur la transparence au sens du règlement (UE) 2016/679 (WP260 rev.01), 11 avril 2018, disponible sur https://www.edpb.europa.eu/system/files/2023-09/wp260rev01 fr.pdf 28 Décision quant au fond 102/2026 — 41/105 169. S’agissant d’informations collectées directement auprès des personnes concernées (la défenderesse enregistrant les conversations), l’article 14 du RGPD (qui s’applique en cas de collecte indirecte) ne s’applique pas en l’espèce. Seuls les articles 12 et 13 du RGPD sont donc applicables. 170. Concernant le contenu de l’information, l’article 13 par. 1 et 2 du RGPD prévoit que: « Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes:
69. a)l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement
70. b)le cas échéant, les coordonnées du délégué à la protection des données;
71. c)les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement;
72. d)lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers;
73. e)les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent; et f)le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition; 2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transpar