Beslissing ten gronde nr. 150/2025

1/34 Chambre Contentieuse Décision quant au fond 150/2025 du 19 septembre 2025 Numéro de dossier : DOS-2022-04677 Objet : Plainte relative à la diffusion par courriel à l’ensemble du personnel d’une décision de justice impliquant des employés – abus de droit de porter plainte – intérêt légitime de l’employeur – utilisation de la fonctionnalité BCC (loyauté) - transparence La Chambre Contentieuse de l'Autorité de protection des données ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 1 ; Vu les pièces du dossier ; A pris la décision suivante concernant : La plaignante : X, assistée de Maitre Mathieu Desmet, avocat, dont le cabinet est établi à 1050 Bruxelles, avenue Louise 143/4, ci-après « la plaignante » ; 1 Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA), est entré en vigueur le 01/06/

Conformément à l’article 56 de la Loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers de médiation, requêtes, inspections et procédures devant la Chambre Contentieuse initiés à partir de cette date : https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-desdonnees.pdf Les dossiers initiés avant le 01/06/2024 comme en l’espèce sont soumis aux dispositions de la LCA non modifiée par la Loi du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date. Décision quant au fond 150/2025 — 2/34 La défenderesse : Y1, représentée par Maitre Tim Van Canneyt, avocat, dont le cabinet est établi à 1040 Bruxelles, Boulevard Louis Schmidt, 29 bte 15, ci-après « la défenderesse ». I. Faits et procédure I.
Les faits pertinents Le 15 novembre 2022, la plaignante introduit une plainte auprès de l’Autorité de Protection des Données (APD) contre la défenderesse.
La défenderesse, Y1, également connue sous le nom commercial de « …» est la filiale belge du groupe international … .
La plaignante est une employée de la défenderesse. Au moment du dépôt de sa plainte, elle comptabilise près de 17 ans d’ancienneté auprès de cette dernière (de 2005 à 2022). La plaignante rapporte qu’elle a été déléguée effective du personnel au sein du Comité d’entreprise (CE) et déléguée effective du personnel au sein du Comité pour la Prévention et la Protection au Travail (CPPT) de la défenderesse de 2012 à novembre
En 2014, deux organisations syndicales et quelques employés de la défenderesse, dont la plaignante, initient une procédure judiciaire à l’encontre de la défenderesse ayant pour objet la contestation de la légalité d’un volet de son système de rémunération.
Dans un jugement du …, le Tribunal du Travail de (…) déclare fondée la demande des organisations syndicales et des employés. La défenderesse interjette appel de ce jugement. Par un arrêt prononcé en 2021, la Cour du Travail de (…) confirme la légalité du système et déboute ainsi en appel les organisations syndicales et les employés, dont la plaignante, de leur demande.
Compte tenu de l’enjeu financier que représentait cette procédure (portant sur … ), de son impact sur la survie de la société, des tensions qu’elle avait suscitées au sein du personnel et de la communication qui avait été donnée au sujet du jugement en première instance, la défenderesse a communiqué l’issue de cette procédure d’appel en interne dès le lendemain du prononcé de l’arrêt, soit le … , dans les termes suivants: « Chers collègues, Aujourd’hui, la Cour du Travail a rendu sa décision finale (…). Vous trouverez en annexe cette décision
2 C’est la Chambre Contentieuse qui souligne. Décision quant au fond 150/2025 — 3/34 En résumé, la Cour a décidé que les dispositions des contrats de travail de nos employés (…) sont parfaitement conformes (…). En d’autres termes, le système de rémunération appliqué au sein de notre entreprise est correct (…). Nous sommes convaincus que c’est la bonne décision et nous espérons pouvoir clôturer définitivement ce dossier. Malgré les circonstances difficiles dans lesquelles nous nous trouvons aujourd’hui, cette décision nous aidera à construire un avenir plus serein pour notre entreprise. Nous espérons nous revoir bientôt pour continuer à écrire ensemble l’histoire de notre groupe ! (…) Managing Director ».
Ce courriel du … est signé par le Managing Director de la défenderesse. et est envoyé par la directrice des ressources humaines ad interim, depuis sa boite e-mail professionnelle.
Ce courriel est adressé de manière visible en CC aux membres des ressources humaines (dont le Managing Director et d’autres membres de la direction). Il est également envoyé à d’autres destinataires, soit à l’ensemble du personnel en CCI ou BCC (soit en copie cachée ou copie carbone aveugle) selon les informations fournies par la défenderesse (point 1.
§ 5 des conclusions de la défenderesse du 13 décembre 2023).
Ainsi qu’il ressort du texte du courriel reproduit ci-dessous (point 6), l’arrêt de la Cour du Travail est communiqué en pièce jointe, tel que prononcé et sans caviardage visant à omettre l’identité de la plaignante et son domicile ou une quelconque anonymisation. L’arrêt communiqué laisse ainsi apparaitre à tous les destinataires du courriel ci-dessus (point 6), les nom, prénom et domicile de la plaignante au côté de ceux des autres employés intimés.
C’est cette communication de l’arrêt de la Cour du Travail (ci-après la communication litigieuse) qui fait l’objet de la plainte déposée par la plaignante. Cette dernière dénonce que par cette communication, des données à caractère personnel la concernant (soit ses nom, prénom, domicile et des informations révélant son appartenance syndicale) ont été traitées par la défenderesse en violation du RGPD.
La Chambre Contentieuse constate ici d’emblée que la plainte ne porte donc pas sur le contenu du courriel mais bien sur la communication de l’arrêt de la Cour du Travail en pièce jointe, ce que les parties ne contestent pas.
Le 23 février 2022, le précédent conseil de la plaignante adresse au Managing Director une mise en demeure contenant une demande de réparation du préjudice subi pour violation du Décision quant au fond 150/2025 — 4/34 RGPD du fait de l’envoi de l’adresse privée de sa cliente à ses collègues. Cette demande est basée sur l’article 82 du RGPD
Dans sa réponse, le Managing Director conteste formellement avoir commis une quelconque violation de la législation en matière de traitement de données à caractère personnel.
Le 7 octobre 2022, réalisant que la plaignante aurait dû s’adresser à la défenderesse en tant que personne morale, le conseil actuel de la plaignante s’adresse cette fois à cette dernière 4 et dénonce que la communication de l’arrêt de la Cour du Travail est constitutive d’une violation du principe de minimisation aggravée par la violation de l’article 9.1 du RGPD ainsi que de l’article 6 du RGPD et du principe de sécurité. Le conseil de la plaignante ajoute que cette communication a causé un préjudice moral et professionnel à sa cliente (stress et malêtre au travail) compte tenu de ce que l’arrêt est présenté comme une victoire de la défenderesse contre les parties intimées et que par cette communication, la défenderesse encourage les employés à se ranger du côté de la direction contre leurs collègues identifiés dans l’arrêt. Le conseil de la plaignante relève également qu’en communiquant le domicile de la plaignante, la défenderesse met potentiellement cette dernière physiquement en danger compte tenu de menaces précédemment adressées à sa cliente sur son lieu de travail, ce que la défenderesse n’ignorait pas
Le conseil de la plaignante indique encore que les parties intimées – dont la plaignante – ont agi dans le cadre de leur fonction syndicale. A l’appui de l’ensemble de ces éléments, la plaignante demande que la défenderesse lui soumette ses justifications de la communication litigieuse ainsi qu’une proposition de réparation ou d’atténuation du préjudice qui lui a été causé.
Le 3 novembre 2022, les conseils de la défenderesse répondent que leur cliente doit être considérée comme seule responsable du traitement au sens du RGPD
Ils réfutent toute violation de celui-ci au terme d’une argumentation qu’ils détailleront dans les conclusions déposées dans le cadre de la procédure aboutissant à la présente décision et que la Chambre Contentieuse résume au point 22 ci-après. S’agissant du préjudice allégué (en ce compris le préjudice physique plus particulièrement compte tenu des menaces antérieures 3 Voy. l’article 82.1 du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». 4 Il est à noter que ce courrier vise également la société mère Dans sa réponse, la défenderesse exposera qu’elle est seule responsable de traitement à l’exclusion de toute détermination de la finalité et des moyens du traitement dénoncé par la société mère (point 15). 5 La plaignante expose que dans un jugement de 2020, le Tribunal du Travail de (…) a reconnu que la plaignante avait reçu des menaces de mort sur son lieu de travail qui entrainent des souffrances psychologiques et que ces faits devaient être qualifiés de violence au travail au sens de l’article 32ter de la Loi du 4 août 1996 relative au bien-être des travailleurs lors de l’exécution de leur travail. La directrice des ressources humaines ad interim (voy. point 7) qui a envoyé le mail et la pièce jointe litigieuse (l’arrêt de la Cour de Travail) était présente à l’audience (page 2 du jugement) du tribunal dans cette affaire et ne pouvait donc ignorer l’existence de ladite menace. Le tribunal du Travail n’a toutefois pas été en mesure d’établir l’auteur de ces menaces ni, a fortiori, que la défenderesse en serait l’auteur. 6 Comme indiqué en note 4, la Chambre Contentieuse relève que le courrier du 7 octobre 2022 était adressé tant à la défenderesse qu’à sa maison mère, ce qui explique les précisions apportées par la défenderesse dans sa réponse du 3 novembre
Décision quant au fond 150/2025 — 5/34 évoquées ci-dessus et en note infrapaginale 5), il est selon la défenderesse purement hypothétique et ne s’est, en toute hypothèse, pas matérialisé. La défenderesse conclut en refusant d’accorder une quelconque réparation à la plaignante en l’absence de dommage établi. I.
Rétroactes de la procédure Ainsi qu’il a été mentionné au point 1, la plaignante dépose plainte à l’APD le 15 novembre
Le 22 novembre 2022, la plainte est déclarée recevable par le Service de Première Ligne (SPL) de l’APD sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62.1 de la LCA.
Le 11 octobre 2023, la Chambre Contentieuse décide, en vertu de l’article 95, § 1, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond.
A cette même date, les parties sont informées par envoi recommandé des dispositions des articles 95, § 2 et 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions au regard des manquements potentiels que révèlent les faits dénoncés, soit un manquement potentiel aux articles 5.
a), 6 et 9 7 ainsi qu’aux articles 12 à 14 du RGPD. La date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 13 décembre 2023, celle pour les conclusions en réplique de la plaignante au 4 janvier 2024 et celle pour les conclusions en réplique de la défenderesse au 28 janvier
Le 1er novembre 2023, la plaignante accepte de recevoir toutes les communications relatives à l'affaire par voie électronique.
Le 20 novembre 2023, la défenderesse demande une copie du dossier (art. 95, §2, 3° LCA), accepte de recevoir toutes les communications relatives à l'affaire par voie électronique et demande à être entendue conformément à l'article 98 de la LCA. La copie du dossier lui est transmise le 24 novembre
Le 13 décembre 2023, la Chambre Contentieuse reçoit les conclusions de la défenderesse. La défenderesse ayant déposé des conclusions de synthèse le 26 janvier 2024, les grandes lignes de son argumentation complète figurent ci-dessous. 7 Au cours de l’audition et comme reflété dans le procès-verbal de celle-ci, la défenderesse a relevé que l’article 9 du RGPD n’était pas visé par la plainte mais a été inclus par la Chambre Contentieuse dans sa lettre d’invitation à conclure. La Chambre Contentieuse souligne à cet égard qu’il lui appartient de qualifier les faits et qu’il n’est pas attendu du plaignant qu’il soit en mesure, aux termes de sa plainte, de dénoncer la possible violation d’un article précis du RGPD au regard des faits qu’il décrit et qui fondent sa plainte. En l’espèce, il résultait à suffisance de la plainte et des pièces qui y étaient jointes que la plaignante mettait en cause la licéité du traitement de données la concernant tout en faisant état de sa qualité de représentante syndicale (voy. la note 27 infra à ce sujet). La question de la licéité devant, ainsi qu’il sera exposé infra, s’apprécier au regard des articles 6 et 9 du RGPD en cas de traitement de données relatives à l’appartenance syndicale, la Chambre Contentieuse était fondée à inclure cet article 9 du RGPD dans sa lettre du 11 octobre
Décision quant au fond 150/2025 — 6/34 - La défenderesse conclut à titre préliminaire que la plainte déposée par la plaignante constitue un abus de droit et doit être déclarée irrecevable pour ce motif, la Chambre Contentieuse n’ayant pas été valablement saisie compte tenu de l’article 92 juncto 62.1 de la LCA
- Si la Chambre Contentieuse devait néanmoins considérer qu’elle a été valablement saisie, la défenderesse conclut que la plainte doit faire l’objet d’un classement sans suite sur la base de l’article 100.1, 1° de la LCA. La défenderesse avance à cet égard que trois motifs de la Politique de classement sans suite de la Chambre Contentieuse 9 sont rencontrés en l’espèce :

(1)l’absence d’impact sociétal et personnel élevé de la plainte (critère 3.2.1. de la Politique de classement sans suite),

(2)le caractère accessoire à un litige plus large de la plainte, litige qui nécessite d’être débattu devant les cours et tribunaux judiciaires (critère 3.2.

B3 de la Politique de classement sans suite) ainsi que son caractère manifestement excessif (critère 3.2.
B4 de la Politique de classement sans suite) et

(3)le fait que la défenderesse a, sans reconnaissance préjudiciable, adapté ses pratiques de manière adéquate depuis la communication litigieuse (critère 3.2.2. B6 de la Politique de classement sans suite). - La défenderesse se défend d’avoir violé l’article 5.1.

a)du RGPD dès lors qu’elle a agi conformément à sa charte de confidentialité, sans aucune déloyauté et de manière transparente et licite. - La défenderesse pouvait s’appuyer sur son intérêt légitime (soit sur l’article 6.1.
f)du RGPD au titre de base de licéité) pour communiquer en interne l’arrêt de la Cour du Travail. - La défenderesse est d’avis que la communication litigieuse n’emporte pas de traitement de données relatives à l’appartenance syndicale de la plaignante au sens de l’article 9.1 du RGPD. A titre subsidiaire, si la Chambre Contentieuse devait conclure qu’il y a eu traitement de telles données, l’interdiction de traitement prévue à l’article 9.1. du RGPD est levée par l’article 9.2.
e)du RGPD 10. - La défenderesse a respecté les obligations découlant des articles 12 à 14 du RGPD. Elle a, in tempore non suspecto, mis à la disposition de ses employés une charte de confidentialité qui couvre le traitement dénoncé et amélioré celle-ci à plusieurs reprises. 8 Article 92.1° de la LCA : La chambre contentieuse peut être saisie par: 1° le service de première ligne, conformément à l'article 62, § 1er, pour le traitement d'une plainte ; (…). Article 62.1 de la LCA: Les plaintes recevables sont transmises par le service de première ligne à la chambre contentieuse. 9 Voy. https://www.autoriteprotectiondonnees.be/publications/politique-de-classement-sans-suite-de-la-chambrecontentieuse.pdf 10 Article 9.2
e)du RGPD : le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée. Décision quant au fond 150/2025 — 7/34 - Si la Chambre Contentieuse devait conclure à l’existence de manquements au RGPD dans son chef, la défenderesse invoque un certain nombre de circonstances atténuantes. La sanction appropriée serait l’avertissement ou la réprimande à l’exclusion de toute amende administrative. - Enfin, la défenderesse conclut que la publication de la décision de la Chambre Contentieuse ne serait ni proportionnée ni justifiée. Si la décision devait néanmoins être publiée, elle devrait être anonymisée dès lors qu’il n’y a selon la défenderesse pas d’intérêt à révéler au public son identité exacte. 23. Le 4 janvier 2024, la Chambre Contentieuse reçoit les conclusions de la plaignante. Les grandes lignes de son argumentation figurent ci-dessous : - La plaignante ne s’est pas rendue coupable d’un abus de droit en déposant plainte auprès de l’APD en application de l’article 77.1 du RGPD. - La plaignante réfute l’existence d’un quelconque motif de classement sans suite de sa plainte. - La communication litigieuse de l’arrêt de la Cour du Travail en copie cachée (BCC) est constitutive d’un manquement au principe de loyauté et de transparence (article 5.1.
a)du RGPD). - La plaignante dénonce un manquement à l’obligation de minimisation (article 5.1.
c)du RGPD), la communication de données à caractère personnel la concernant, son domicile privé plus particulièrement encore que les autres données, n’étant pas nécessaire à l’objectif d’information interne poursuivi par la défenderesse. - La plaignante dénonce un manquement aux articles 12 à 14 du RGPD dès lors que plusieurs éléments d’information requis par l’article 14 du RGPD font défaut dans la charte de confidentialité de la défenderesse et qu’il n’est en toute hypothèse pas démontré que la charte de confidentialité applicable au moment des faits lui a été communiquée. - La défenderesse ne peut s’appuyer sur l’article 6.1.
f)du RGPD, son intérêt n’étant selon la plaignante pas légitime et les données à caractère personnel traitées n’étant pas nécessaires à la satisfaction de celui-ci. - La défenderesse a traité des données à caractère personnel relatives à son affiliation syndicale sans pouvoir s’appuyer sur aucune des possibilités de levée de l’interdiction de traitement de telles données listées à l’article 9.2 du RGPD. - Les manquements imputables à la défenderesse sont volontaires et assumés. La défenderesse n’a pas non plus adapté ses mesures de manière adéquate. L’imposition d’une amende en exécution de l’article 83 du RGPD se justifie ou, au minimum, un avertissement ou une réprimande. Décision quant au fond 150/2025 — 8/34 - Une publication de la décision de la Chambre Contentieuse s’impose au nom de l’intérêt de la question que pose ce dossier. La décision publiée devrait par ailleurs révéler l’identité de la défenderesse pour, au-delà de la question de la transparence, rencontrer l’exigence du caractère dissuasif de la sanction et amener la défenderesse à amender ses pratiques. 24. Le 26 janvier 2024, la Chambre Contentieuse reçoit comme mentionné ci-dessus, les conclusions de synthèse de la défenderesse. 25. A la réception de celles-ci, la plaignante demande à la Chambre Contentieuse de pouvoir formuler des observations écrites sur deux nouvelles pièces (13 et 14 11) déposées par la défenderesse avec ces dernières conclusions. 26. Le 30 janvier 2024, la Chambre Contentieuse indique à la plaignante qu’elle aura la possibilité de réagir aux dernières pièces déposées par la défenderesse lors de l’audition demandée par la défenderesse devant la Chambre Contentieuse et que si la plaignante ne pouvait être présente, les dates des pièces déposées – lesquelles sont postérieures aux faits dénoncés - sont connues de la Chambre Contentieuse. 27. Le 6 janvier 2025, les parties sont informées du fait que l'audition aura lieu le 26 mai 2025. 28. Le 26 mai 2025, les parties sont entendues par la Chambre Contentieuse. 29. Le 4 juin 2025, le procès-verbal de l’audition du 26 mai 2025 est soumis aux parties. 30. Le même jour, la Chambre Contentieuse reçoit de la plaignante quelques remarques sur le procès-verbal d’audition. Le 17 juin 2025, la défenderesse communique à son tour ses remarques sur ce procès-verbal ainsi que sur certaines des observations de la plaignante, s’étonnant que certaines d’entre-elles consistent en réalité en des éléments n’ayant pas été formulés lors de l’audition. A la même date, la plaignante réagit à ces propos de la défenderesse. 31. Le 30 juin 2025, la Chambre Contentieuse indique aux parties que l’ensemble des réactions des parties sur le procès-verbal sont jointes à celui-ci. Elle ajoute que dans son délibéré, elle tiendra compte des commentaires formulés sur le procès-verbal d’audition à l’exclusion de tout commentaire qui serait de nature à rouvrir les débats, lesquels débats ont été clôturés comme mentionné au procès-verbal, la Chambre Contentieuse ayant pris l’affaire en délibéré. 11 Il s’agit d’une troisième version de la charte de confidentialité de la défenderesse (voy. infra) et d’une photo montrant des valves de la défenderesse. Décision quant au fond 150/2025 — 9/34 II. Motivation II.1. Quant à l’existence d’un abus de droit dans le chef de la plaignante ? 32. Ainsi qu’il a précédemment été mentionné, la défenderesse plaide que la plainte introduite est irrecevable car constitutive d’un abus de droit (point 22), ce que la plaignante conteste (point 23). 33. La Chambre Contentieuse rappelle qu’aux termes de l’article 77.1 du RGPD, « toute personne concernée a, sans préjudice de tout autre recours administratif ou juridictionnel, le droit d'introduire une réclamation (plainte) auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». 34. En l’espèce, la plaignante dénonce que, via l’envoi de l’arrêt de la Cour du Travail, une communication électronique de données à caractère personnel la concernant est intervenue en violation du RGPD. 35. La Chambre Contentieuse conclut que les nom, prénom et domicile de la plaignante sont des données à caractère personnel au sens de l’article 4.1. du RGPD dès lors qu’il s’agit, conformément à la définition que cet article en donne, « d’informations relatives à une personne physique identifiée ou identifiable ». Les nom et prénom communiqués permettent en effet d’identifier directement la plaignante qui est la personne concernée par ces informations. Son domicile - qui vient se greffer à ses nom et prénom - est également une information qui lui est relative. L’arrêt révèle également que la plaignante a pris part à l’action judiciaire en question, ce qui constitue également une information qui la concerne 12. La communication de ces données à caractère personnel par courriel consiste par ailleurs en un « traitement » au sens de l’article 4.2. du RGPD, s’agissant d’une communication par transmission opérée à l’aide d’un procédé automatisé (courrier électronique). La plaignante a estimé que ce traitement de données à caractère personnel la concernant était contraire aux principes de licéité, loyauté et transparence consacrés par le RGPD et a déposé plainte à l’APD. La Chambre Contentieuse en conclut que la plaignante était fondée à introduire une plainte sur la base du droit que lui reconnait l’article 77.1 du RGPD rappelé ci-dessus. 36. Le droit de porter de plainte n’est pour autant pas absolu 13. L’article 57.4 du RGPD énonce ainsi que, « lorsque les demandes sont manifestement infondées ou excessives, en raison, notamment, de leur caractère répétitif, l'autorité de contrôle peut exiger le paiement de frais 12 La question de savoir si la communication litigieuse a emporté le traitement de données relatives à l’appartenance syndicale de la plaignante sera examinée au titre de la licéité du traitement. Qu’il y ait ou non traitement de catégories particulières de données au sens de l’article 9.1. du RGPD – lequel inclut les informations révélant l’appartenance syndicale – est indifférent lorsqu’il s’agit de vérifier si les conditions d’application de l’article 77.1 du RGPD sont réunies en l’espèce. L’article 77.1. requiert en effet uniquement qu’il y ait traitement de données à caractère personnel au sens de l’article 4.1 du RGPD. 13 Voy. également le considérant 4 du RGPD. Décision quant au fond 150/2025 — 10/34 raisonnables basés sur les coûts administratifs ou refuser de donner suite à la demande. Il incombe à l'autorité de contrôle de démontrer le caractère manifestement infondé ou excessif de la demande ». Par « demande », il faut comprendre toute demande d’intervention de l’autorité de contrôle, en ce compris les plaintes (réclamations) soumises en application de l’article 77.1 du RGPD comme l’a confirmé la Cour de Justice de l’Union européenne (CJUE) dans un arrêt C- 416/23 du 9 janvier 2025 14. 37. La CJUE y décide également que l’article 57.4 du RGPD doit être interprété en ce sens que l’exercice de la faculté qu’il prévoit est subordonné à la démonstration, par l’autorité de contrôle, de l’existence d’une intention abusive de la part de la personne ayant introduit la demande. 38. Dans un arrêt du 10 janvier 2025, se référant à la jurisprudence de la CJUE en matière d’abus de droit, la Cour de cassation a, dans le même sens, énoncé que l’exercice du droit de déposer plainte au sens de l’article 77.1 du RGPD est soumis à la limite de l’abus de droit 15. 39. Y a-t-il abus du droit de porter plainte dans le chef de la plaignante en l’espèce ? La Chambre Contentieuse tient tout d’abord à réagir à l’argument de la plaignante selon lequel la plainte a en toute hypothèse été déclarée recevable par le SPL de l’APD le 22 novembre 2022 (points 17 et 23), ce qui exclurait toute reconnaissance possible d’un abus de droit par la Chambre Contentieuse : - L’examen de la recevabilité de la plainte par le SPL s’est fait à l’aune des critères légaux, exhaustivement énumérés à l’article 60 de la LCA tel qu’applicable au regard de la présente plainte 16. Ainsi, la plainte est recevable au sens de cet article dès lors qu’elle est rédigée dans l'une des langues nationales (en français en l’espèce); qu’elle contient un exposé des faits et les indications nécessaires pour identifier le traitement sur lequel elle porte (la communication de l’arrêt de la Cour du Travail contenant des données à caractère personnel relatives à la plaignante en l’espèce) et qu’elle relève de la compétence de l'APD (les conditions de l’article 4 de la LCA 17 étant réunies en l’espèce). - Il n’incombait donc pas au SPL de trancher la question de savoir si ladite plainte relevait d’un abus du droit de porter plainte par la plaignante. La question de savoir si un/une plaignant(
e)exerce son droit de manière abusive est examinée par la Chambre Contentieuse à l’appui des éléments de fond du dossier (qu’il ne revenait pas au SPL d’examiner). - Partant, contrairement à ce qu’avance la plaignante, aucune conclusion quant à l’exercice abusif ou non du droit de porter plainte ne peut être définitivement tiré de la 14 Cour de Justice de l’Union européenne (CJUE), arrêt du 9 janvier 2025 (C-416/23). ECLI:EU:C:2025:3. 15 ECLI:BE:CASS:2025:ARR.20250110.1N.4. l’arrêt est publié sur le site de l’APD ici 16 Voy. à cet égard la note infrapaginale 1. 17 Le traitement de données relève de la compétence de l’APD. Les exceptions à cette compétence mentionnées à l’article 4.2 ne sont pas d’application en l’espèce. Décision quant au fond 150/2025 — 11/34 décision de recevabilité de celle-ci prise par le SPL, ce au départ des conditions légales à l’aune desquelles il lui incombe de décider. 40. La Chambre Contentieuse relève qu’à l’appui de l’abus de droit qu’elle invoque, la défenderesse souligne que la plaignante a introduit sa demande plus de 18 mois après les faits litigieux, dans le but d’obtenir un avantage financier en réparation d’un préjudice qu’elle n’établit pas 18, détournant ainsi le droit de porter plainte auprès de l’APD de sa ratio legis, ce dans un contexte conflictuel existant de longue date entre elle-même et la plaignante qui tente « pour la énième fois de causer du tort à son employeur en se servant d’un instrument juridique » (point 2.1. des conclusions du 13 décembre 2023 de la défenderesse). La défenderesse ajoute qu’en faisant allusion à un recours à l’APD et à une potentielle condamnation au paiement d’une amende administrative élevée avant le dépôt de sa plainte, la plaignante a opéré une certaine forme de chantage à son encontre. 41. Outre l’argument qu’elle tire (en vain ainsi qu’il vient d’être exposé) de la recevabilité de la plainte par le SPL de l’APD, la plaignante se défend de tout usage abusif de son droit de porter plainte, indiquant qu’elle cherche à être rétablie dans ses droits. Elle ajoute que le dépôt d’une plainte n’est pas conditionné à la démonstration d’un dommage qu’elle aurait subi et que sa plainte n’a nullement pour objectif de nuire à la défenderesse. 42. La Chambre Contentieuse décide à l’appui de la motivation ci-dessous qu’il n’y a pas d’abus du droit de porter plainte dans le chef de la plaignante et qu’elle est fondée à examiner la plainte de cette dernière. 43. L’abus de droit suppose par définition l’existence d’un droit dont l’exercice est abusif. L’existence de ce droit au bénéfice de la plaignante n’est pas contestée : il est, ainsi qu’il a été mentionné, consacré à l’article 77.1. du RGPD et les conditions de son application sont réunies dans le chef de la plaignante en l’espèce. S’agissant de l’exercice d’un droit fondamental (consacré par l’article 8 de la Charte des droits fondamentaux de l’Union européenne (UE)), la personne concernée (la plaignante en l’espèce) ne peut en être privée que si l’abus dans l’exercice de ce droit est clairement démontré. 44. Quant au délai de 18 mois après la communication litigieuse dans lequel la plaignante a déposé plainte à l’APD, la Chambre Contentieuse souligne que la plaignante est autorisée à entreprendre des démarches préalables à celle de déposer plainte à l’APD et que ces démarches peuvent prendre un certain temps. La Chambre Contentieuse relève qu’en l’espèce, la communication litigieuse a été suivie de quelques échanges de courriers rappelés à l’exposé des faits par le premier conseil de la plaignante en février 2022, suivis de ceux d’un second conseil de la plaignante d’octobre à novembre 2022. Le fait que le courriel 18 La défenderesse souligne aussi que la plaignante indique d’abord que la communication litigieuse de la défenderesse avait pour but de monter les employés les uns contre les autres, ce qui lui aurait causé stress et un mal être au travail avant d’établir son préjudice au regard du risque de danger physique qu’elle encourait du fait de la divulgation de son domicile, ce compte tenu des menaces de mort qu’elle avait reçues. Décision quant au fond 150/2025 — 12/34 du 23 février 2022 soit resté sans réponse quelques mois entre février et octobre 2022 (période au cours de laquelle la plaignante a par ailleurs changé de conseil), n’est pas synonyme de dépôt tardif. Le délai total de 18 mois ne peut pas non plus être qualifié d’excessif au point de priver la plaignante de l’exercice de son droit de porter plainte d’autant que des démarches préalables au dépôt de sa plainte ont effectivement été entreprises en l’espèce. 45. Quant au contexte historique de vindicte personnelle de la plaignante à l’égard de la défenderesse, il ne s’agit pas non plus d’un élément qui démontre qu’il y a abus de droit au regard de la plainte déposée à l’APD. La Chambre Contentieuse a déjà eu l’occasion de préciser dans un contexte d’exercice jugé abusif d’un droit d’accès 19 en sus d’une multitude de procédures entamées par le plaignant avant et après l’usage dudit droit, que ces dernières procédures étaient « (…) autant de procédures qui attestent certes du contexte dans lequel s’inscrit la plainte déposée par le plaignant. Pour autant, il ne s’agit pas moins d’actions/procédures, pour certaines par ailleurs postérieures à la demande d’accès du plaignant du 13 octobre 2021, distinctes d’une demande d’accès au sens de l’article 15 du RGPD (…). Ce contexte, comme l’issue de ces procédures, qu’elles donnent tort ou raison au plaignant, n’entachent pas par ricochet la demande d’accès du plaignant du 13 octobre 2021 d’excessivité au sens de l’article 12.5 du RGPD » 20. Le même raisonnement est tenu ici. Les procédures ayant opposé la défenderesse à la plaignante ont chacune un objet distinct : avertissement, licenciement pour motif grave, remise en cause du système de rémunération, menaces sur le lieu de travail 21. Elles reflètent une relation conflictuelle entre la défenderesse et la plaignante mais n’entachent pas pour autant la présente plainte par ricochet d’excessivité ou d’abus : seule la plainte qui aboutit à la présente décision porte, pour la première fois, sur un traitement jugé illicite de données à caractère personnel. 46. Enfin, quant à l’absence de preuve de préjudice subi par la plaignante, voire de commencement même de préjudice ainsi que quant à l’absence de toute mention d’un danger qu’aurait encouru la plaignante dans le registre des faits de tiers (article 8 de l’annexe 8 du règlement de travail) ou de sollicitation d’une intervention d’une aide psychosociale auprès d’un conseiller en prévention, la Chambre Contentieuse rappelle que l’existence d’un préjudice ne conditionne pas l’exercice du droit de porter plainte. Il ne ressort en effet ni de l’article 77.1 du RGPD ni de l’article 8.3. de la Charte des droits fondamentaux de l’UE que 19 Cour de Justice de l’Union européenne (CJUE), arrêt du 9 janvier 2025 déjà cité dans l’affaire C-416/2023, Österreichische Datenschutzbehörde en présence de F R, Bundesministerin für Justiz dans laquelle la CJUE fait une interprétation analogique des articles 57.4 et 12.5 (exercice abusif d’un droit) du RGPD. 20 21 Chambre Contentieuse, décision 167/2024 , point 92. La défenderesse fait état d’un premier avertissement en 2011, d’une procédure qu’elle a initiée en 2017 à l’encontre de la plaignante en reconnaissance d’un motif grave de licenciement et dont elle a été déboutée, d’une procédure intentée par la plaignante peu après la reprise de son travail en 2018 pour menace de mort qui s’est conclue par un jugement qui atteste de ses menaces de mort reçues sur le lieu de travail mais non de la responsabilité avérée de la défenderesse comme auteur de celles-ci (voy. ci-dessus note 5) ainsi que d’une nouvelle procédure de licenciement initiée pour motif grave en 2023 (postérieure aux faits cependant). Décision quant au fond 150/2025 — 13/34 l’existence d’un préjudice est un motif de recevabilité (au sens plus général du terme que l’article 60 de la LCA) d’une plainte. En tant qu’autorité de contrôle appelée à traiter la plainte au sens de l’article 77.1 du RGPD, l’APD est une autorité administrative indépendante dont la mission est de se prononcer sur des violations de la règlementation en matière de protection des données et non d’accorder réparation de dommages subis, lesquels dommages ou préjudices ne conditionnent donc pas son intervention 22. 47. La Chambre Contentieuse souligne qu’il ne peut pas davantage être tiré d’argument du fait que, comme en attesteraient les premières demandes de la plaignante des 23 février et 7 octobre 2022 (points 12 et 14), l’objectif réel de cette dernière serait d’obtenir une compensation financière. La plaignante cherchant à obtenir un dédommagement financier ultérieur sur la base de la position qu’adopterait l’APD, elle détournerait ainsi le RGPD. La Chambre Contentieuse souscrit à cet égard à l’argumentation de la plaignante selon laquelle elle a le droit de réclamer en phase amiable une réparation à la défenderesse pour le préjudice qu’elle estime avoir subi du fait des manquements au RGPD qu’elle dénonce. Elle a tout autant le droit ensuite, de déposer une plainte sur la base de l’article 77.1. du RGPD si cette phase amiable n’aboutit pas, ce sans formuler de demande de réparation puisque l’APD est sans compétence pour la lui attribuer 23. 48. En conclusion, la Chambre Contentieuse constate qu’aucun des éléments examinés cidessus, qu’ils soient pris isolément ou ensemble, ne traduit d’intention malveillante de la plaignante à l’égard de la défenderesse. La plaignante n’exerce pas son droit de porter plainte d’une manière qui dépasse manifestement les limites de l’exercice normal de celuici par une personne prudente et diligente en ayant déposé plainte à l’APD dans un délai de 18 mois après les faits (et après avoir entamé des démarches amiables préalable), sans avoir subi d’autre préjudice qu’une violation (selon elle) de ses droits pour lesquels l’APD est l’autorité compétente indépendamment de tout dommage et dans un contexte certes conflictuel avec la défenderesse mais dont il ne peut être tiré d’argument quant à l’abus de la plainte qui met en cause la communication litigieuse. Il n’y a pas d’abus de droit démontré dans le chef de la plaignante et la Chambre Contentieuse est fondée à examiner sa plainte. 22 L’article 82.6 du RGPD indique en ce sens que « Les actions judiciaires engagées pour exercer le droit à obtenir réparation sont intentées devant les juridictions compétentes en vertu du droit de l'État membre visé à l'article 79, paragraphe 2 ».. L’article 79 du RGPD consacre le droit à un recours juridictionnel effectif. 23 Voy. en ce sens les articles 95 et 100.1 de la LCA quant aux compétences dévolues à l’APD. Décision quant au fond 150/2025 — 14/34 II.2. Quant à la base de licété de la communication des données à caractère personnel de la plaignante : articles 5.1.
a), 6 et 9 ( ?) du RGPD II.2.1. Principe 49. Tout traitement de donnée à caractère personnel doit, en exécution du principe de licéité consacré à l’article 5.1.
a)du RGPD, s’appuyer sur une des bases de licéité de l’article 6.1. du RGPD 24. 50. Pour pouvoir traiter une donnée qui ressort des « catégories particulières de données », le responsable de traitement doit en outre respecter les conditions de l’article 9 du RGPD : l’interdiction de traitement prévue à l’article 9.1. doit être levée dans les conditions qu’autorise l’article 9.2. du RGPD. 51. L’article 9.1 du RGPD prévoit en effet une interdiction de traitement des données communément dites « sensibles » en ces termes : « le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétique, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits » 25. 52. L’article 9.2. du RGPD liste pour sa part les cas dans lesquels l’interdiction de traitement peut être levée. 53. Dans un arrêt C-667/21 du 21 décembre 2023 , la CJUE a, dans la lignée du considérant 51 du RGPD 26, mis un terme définitif à la question de savoir s’il convenait d’appliquer les articles 6 et 9 du RGPD de manière cumulative ou si seul l’article 9 devait être respecté en cas de traitement de catégories particulières de données. La CJUE y consacre l’exigence d’application cumulée de ces deux articles en ce que tout traitement doit satisfaire à la condition de licéité de l’article 6 du RGPD (lu en combinaison avec l’article 5.1.
a)du RGPD) et à la protection complémentaire offerte par l’article 9 du RGPD aux catégories particulières de données. 24 L’article 6 du RGPD prévoit ainsi que les données à caractère personnel peuvent être traitées si leur traitement peut s’appuyer sur un des 6 fondements qu’il liste soit : le consentement de la personne concernée (article 6.1.a)), l’exécution du contrat ou de mesures précontractuelles prises à la demande de la personne concernée (article 6.1.b)), l’exécution d’une obligation légale (article 6.1.c)), l’intérêt vital de la personne concernée (article 6.1.d)), l’exécution de l’autorité publique ou de la mission d’intérêt public dont est investie le responsable de traitement (article 6.1. e)) ou encore l’intérêt légitime du responsable de traitement ou d’un tiers pour autant que ne prévalent pas les intérêts ou les libertés et droits fondamentaux de la personne concernée (article 6.1.f)). 25 26 C’est la Chambre Contentieuse qui souligne. Le considérant 51 du RGPD qui explicite l’article 9 précise notamment que « outre les exigences spécifiques applicables à ce traitement [lisez le traitement de catégories particulières de données], les principes généraux et les autres règles du présent règlement devraient s’appliquer, en particulier en ce qui concerne les conditions de licéité du traitement ». En d’autres termes l’application de l’article 9.2. du RGPD qui autorise le traitement des dites données dans certains cas doit être appliqué en combinaison avec l’article 6.1. du RGPD qui requiert que tout traitement s’appuie sur l’une des 6 bases de licéité qu’il énonce. Décision quant au fond 150/2025 — 15/34 54. En conséquence, il est essentiel avant de pouvoir considérer qu’une base de licéité fait défaut comme le dénonce la plaignante, d’identifier la nature des données à caractère personnel traitées pour déterminer si le respect du seul article 6 du RGPD doit être vérifié ou si, en présence de données relevant de l’article 9.1. du RGPD, c’est le respect tant de l’article 6 que de l’article 9 du RGPD que la Chambre Contentieuse doit contrôler. II.2.2. Y a-t-il traitement de données personnelles relatives à l’appartenance syndicale de la plaignante (article 9 du RGPD) ? 55. La plaignante considère que son appartenance syndicale se déduit du contexte de la procédure judiciaire initiée par les 2 organisations syndicales à laquelle quelques employés se sont joints, dont elle. Ils ont en effet agi pour l’intérêt collectif du personnel sous l’impulsion des organisations syndicales auxquelles ils sont affiliés. La plaignante estime dès lors que des données révélant son appartenance syndicale ont été traitées à l’occasion de la communication litigieuse. 56. La défenderesse estime pour sa part qu’il n’y a pas eu de traitement de données relatives à l’appartenance syndicale de la plaignante lors de cette communication : la plaignante a introduit l’action judiciaire en son nom personnel et non en tant que représentante du personnel et ni le courriel au personnel ni l’arrêt de la Cour du Travail ne font à aucun moment état de son appartenance syndicale. Le fait que deux organisations syndicales aient également été parties à la cause n’y change rien. Ce simple fait sans autre précision ne révèle pas l’appartenance syndicale de la plaignante. 57. La Chambre Contentieuse décide que la communication de l’arrêt de la Cour du Travail n’emporte pas de traitement de données qui révèle l’appartenance syndicale de la plaignante au sens de l’article 9.1 du RGPD. 58. La Chambre Contentieuse relève qu’aux termes de l’arrêt de la Cour du Travail, la plaignante est toujours qualifiée « d’employée » ou de « travailleur » sans aucune mention de ses qualités de délégué du personnel au sein du CE et/ou du CPPT, ce qui est cohérent avec le fait qu’elle a introduit l’appel en son nom personnel 27. L’arrêt ne mentionne pas non plus une quelconque appartenance à l’un ou l’autre syndicat dans son chef. La circonstance que la 27 La Chambre Contentieuse note ici que dans son courrier du 7 octobre 2022, le conseil de la plaignante indique que lors de l’action judiciaire, elle a agi dans e cadre de ses fonctions syndicales (point 14). C’est également le cas aux termes du formulaire de plainte qu’elle dépose. Dans ses conclusions déposées devant la Chambre Contentieuse, la plaignante a en revanche indiqué avoir intenté cette procédure en nom propre. Voy. en ce sens le point 6.48 de ses conclusions « l’appartenance syndicale de la plaignante se déduit du contexte de la procédure à savoir qu’il s’agit d’une procédure initiée par des organisations syndicales qui poursuit un objectif d’intérêt général pour tous les employés (la remise en cause du système de rémunération de la défenderesse (…) et par conséquent il devient évident que la plaignante et les autres employés indiqués comme parties intimées en nom propre dans cette procédure se sont joints à cette procédure car ils agissent pour l’intérêt collectif des employés sous l’impulsion des organisations syndicales auxquelles ils sont affiliés » (C’est la Chambre Contentieuse qui souligne). C’est cette dernière position défendue dans le cadre de la procédure aboutissant à la présente décision que la Chambre Contentieuse retient. En toute hypothèse, l’affirmation formulée dans le courrier du 7 octobre 2022 ne remet pas en cause l’analyse de la Chambre Contentieuse compte tenu des termes de l’arrêt de la Cour du travail (points 57 et s.). Décision quant au fond 150/2025 — 16/34 plaignante s’est jointe, en nom personnel, à la procédure introduite par les organisations syndicales ne révèle pas en tant que telle son appartenance syndicale. Bien au contraire, le fait d’agir aux côtés des organisations syndicales, en nom personnel, la distingue précisément de celles-ci. 59. Le seul fait que les destinataires du courriel - ou certains d’entre-eux – sachent que la plaignante exerçait des fonctions syndicales ou soient tentés d’en déduire une appartenance à l’un des syndicats intimés, ne fait pas non plus de la communication litigieuse un traitement de données à caractère personnel qui révèle l’appartenance syndicale de la plaignante. Avoir connaissance de son appartenance syndicale est un état de fait en soi, sans lien avec le traitement de données dénoncé. Cette connaissance n’est pas induite par le traitement de données personnelles de la plaignante à l’occasion de la communication litigieuse en l’espèce. 60. La Chambre Contentieuse n’ignore pas que dans des arrêts récents, la CJUE a insisté sur la nécessaire interprétation large à donner aux catégories particulières de données compte tenu de l’objectif de protection accrue qu’il convient d’assurer à leur traitement, en ce compris lorsque des données sont de nature à révéler indirectement, par une opération intellectuelle de rapprochement ou de déduction, l’information sensible protégée par l’article 9.1. du RGPD 28. En l’espèce, l’opération intellectuelle aboutit précisément à conclure que c’est en nom personnel que la plaignante a introduit l’action judiciaire. 61. Partant, il n’y a pas eu de traitement de données révélant l’appartenance syndicale de la plaignante au sens de l’article 9.1. du RGPD. L’appréciation de la Chambre Contentieuse quant à la licéité du traitement litigieux se fera donc au départ des seuls articles 6.1. et 5.1.
a)du RGPD. II.2.3. Admissibilité de la base de licéité de l’intérêt légitime de la défenderesse en l’espèce (article 6.1.
f)du RGPD) ? 62. La Chambre Contentieuse rappelle que pour pouvoir s’appuyer sur la base de licéité de l'article 6.1.
f)du RGPD, la défenderesse doit, en sa qualité de responsable de traitement, démontrer : - que l’intérêt qu'elle poursuit est légitime (le "test de finalité" (a)) ; - que le traitement des données à caractère personnel envisagé est nécessaire pour réaliser cet intérêt reconnu légitime (le "test de nécessité" (b)) ; - que la pondération de cet intérêt (réalisé via le traitement de données concerné) par rapport aux intérêts, libertés et droits fondamentaux des personnes concernées pèse en sa faveur (le "test de pondération" (c)). En d’autres termes, la défenderesse doit 28 Cour de Justice de l’Union européenne (CJUE), arrêt du 1er août 2022 ( C-184/20), ECLI:EU:C:2022:601, points 120 et suivants. Décision quant au fond 150/2025 — 17/34 démontrer qu’elle a opéré une mise en balance des droits et intérêts en cause et vérifié dans ce cadre que l’intérêt qu’elle poursuit (et pour lequel elle a eu recours au traitement de données à caractère personnel dénoncé) ne crée pas de déséquilibre au détriment des droits et intérêts des personnes dont les données sont traitées 29. Si les intérêts et droits de ces dernières prévalent, l'article 6.1.
f)du RGPD ne peut pas être utilisé. 63. Le recours à l’article 6.1.
f)du RGPD nécessite donc une analyse au regard de ces trois conditions, lesquelles sont cumulatives 30. Cette analyse doit être préalable au traitement et doit être documentée. La Chambre Contentieuse ajoute qu’au titre de son obligation d’information, le responsable de traitement qui s’appuie sur l’article 6.1.
f)du RGPD doit, en exécution selon le cas de l’article 13.1.
c)et
d)du RGPD ou de l’article 14.1
c)et 14.2.
b)du RGPD, informer la personne concernée tant du recours à cette base de licéité que de l’intérêt poursuivi. Les obligations qui résultent de chacune de ces dispositions (article 6 – base de licéité d’une part et articles 13 et 14 – information des personnes concernées d’autre part) sont des obligations distinctes. Partant, la transparence mise en place ne dispensera en rien du respect des conditions de l’article 6 ni ne « validera » le recours à l’article 6.1.
f)du RGPD le cas échéant. 64. La Chambre Contentieuse vérifiera dans les paragraphes qui suivent s’il est en l’espèce satisfait aux 3 conditions/tests rappelés ci-dessus en ce qui concerne le traitement des données à caractère personnel de la plaignante au travers de la communication litigieuse ( soit la communication de l’arrêt de la Cour du Travail).  65. (
a)Quant au test de finalité (
a): est-il question d’un intérêt légitime ? La Chambre Contentieuse rappelle que pour pouvoir être qualifié de « légitime », l’intérêt poursuivi par le responsable de traitement doit être licite au regard du droit, déterminé de 29 Dans ses Lignes directrices 01/2024 du 8 octobre 2024 consacrées au traitement de données basé sur l’article 6.1.
f)du RGPD, le Comité européen de la protection des données (CEPD) propose une analyse en 4 étapes (pages 13 et s.) :

(1)l’identification des intérêts, des libertés et droits fondamentaux des personnes concernées ;

(2)l’impact du traitement sur les personnes concernées, en tenant compte de la nature des données à caractère personnel à traiter, du contexte du traitement et des conséquences du traitement :concrètement, le responsable de traitement doit tout d’abord identifier les conséquences de toutes sortes que son traitement peut avoir sur les personnes concernées : sur leur vie privée mais aussi, plus largement, sur l’ensemble des droits et intérêts couverts par la protection des données personnelles. Il s’agit ainsi d’évaluer le degré d’intrusion du traitement envisagé dans la sphère individuelle, en mesurant ses incidences sur la vie privée des personnes (traitement de données sensibles, traitement portant sur des personnes vulnérables, profilage, etc.) et sur leurs autres droits fondamentaux (liberté d’expression, liberté d’information, liberté de conscience, etc.) ainsi que les autres impacts concrets du traitement sur leur situation (suivi ou surveillance de leurs activités ou déplacements, exclusion de l’accès à des services, etc.). Ces incidences doivent être mesurées afin de déterminer, au cas par cas, l’ampleur de l’intrusion causée par le traitement dans la vie des personnes. Le principe de minimisation des données sera également tenu en compte ;

(3)les attentes raisonnables des personnes concernées (voy ; le considérant 47 du RGPD) : le responsable de traitement doit ensuite tenir compte, dans la pondération entre son intérêt légitime et les droits et intérêts des personnes concernées, des « attentes raisonnables » de ces dernières. Cette prise en compte est essentielle s’agissant de traitements qui peuvent être mis en œuvre sans le consentement préalable des personnes : en l’absence d’un acte positif et explicite de leur part, l’intérêt légitime requiert de ne pas surprendre les personnes dans les modalités de mise en œuvre comme dans les conséquences du traitement et

(4)la pondération finale des droits et intérêts opposés, y compris la prise d’autres mesures d’atténuation. 30 Voy. notamment le point 37 de l’arrêt rendu par la CJUE le 4 octobre 2024 (C-C-621/22 : ECLI:EU:C:2024:858) dans l’affaire opposant le Koninklijke Nederlandse Lawn Tennisbond à l’Autoriteit Persoonsgegevens (autorité de protection des données néerlandaise), ci-après « l’arrêt Tennisbond » et les références citées. Décision quant au fond 150/2025 — 18/34 façon suffisamment claire et précise, être réel et présent (né et actuel) et non fictif ou hypothétique 31. 66. La Chambre Contentieuse constate que la défenderesse avait un intérêt légitime à communiquer l’issue de la procédure judiciaire à ses employés dès lors que cette procédure avait mis en cause le système de rémunération applicable à une proportion de ses employés, qu’elle était susceptible d’entrainer des répercussions sur la santé et la survie financière de la société et qu’elle avait créé un climat de travail tendu. Cette reconnaissance s’inscrit dans la lignée de précédentes décisions 63/2021 et 115/2022 de la Chambre Contentieuse qui y avait considéré légitime, dans le cadre de la politique du personnel, d'informer les collaborateurs de mouvements du personnel par exemple (départ, licenciement, absence de longue durée. En l’espèce, la Chambre Contentieuse estime également légitime d’informer le personnel de l’issue d’un contentieux aux conséquences évoquées ci-dessus. 67. A l’appui de ce qui précède, la Chambre Contentieuse est d’avis que l’intérêt poursuivi par la défenderesse est légitime. Partant, il a été satisfait au « test de finalité » de l’article 6.1.

f)du RGPD.  68. (
b)Quant au test de nécessité (
b): le traitement des données est-il nécessaire ? S’agissant du test de nécessité, la Chambre Contentieuse rappelle que la CJUE s'est prononcée dans différents arrêts sur cette condition, insistant sur son interprétation stricte. 69. La CJUE a ainsi clarifié que s'il existe des alternatives réalistes et moins intrusives au traitement opéré, ce traitement n'est pas "nécessaire". En d’autres termes, le responsable de traitement doit s’assurer qu’il n’existe pas de moyen moins intrusif d’atteindre son objectif que de mettre en œuvre le traitement envisagé (par exemple un dispositif ne traitant pas de données personnelles, ou un traitement différent plus protecteur du droit à la privée et à la protection des données personnelles de la personne concernée). Quant à la Chambre Contentieuse, il lui incombe dès lors « de vérifier que l’intérêt légitime du traitement des données poursuivi ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis par les articles 7 et 8 de la Charte » 32. 70. La CJUE fait également observer que dans ce contexte, la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe dit de "minimisation des données" consacré à l’article 5.1.
c)du RGPD aux termes duquel les données à caractère personnel doivent être "adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées” 33. 31 Voy. les points 38 à 41 de l’arrêt «Tennisbond » de la CJUE précité. 32 Voy. le point 42 de de l’arrêt « Tennisbond » de la CJUE précité et les références citées. 33 Voy. le point 43 de de l’arrêt « Tennisbond » de la CJUE précité et les références citées. Décision quant au fond 150/2025 — 19/34 71. A cet égard, la Chambre Contentieuse ne peut souscrire à l’argument de la défenderesse selon lequel la question de savoir si l’arrêt de la Cour du Travail aurait dû être anonymisé ne présente aucun rapport avec la base légale (page 13 des conclusions de synthèse de la défenderesse). Au-delà de l’application de l’article 5.1.
c)du RGPD que la Chambre Contentieuse a omis de reprendre dans sa lettre du 11 octobre 2023 et au regard duquel elle ne se prononcera dès lors pas, le recours à l’article 6.1.
f)du RGPD est intrinsèquement 34 conditionné par la nécessité du traitement des données à caractère personnel concernées. Dès lors, la question de l’anonymisation en tant que processus au terme duquel il n’y a plus de traitement de données à caractère personnel se pose bel et bien. 72. Pour sa défense, la défenderesse souligne également que compte tenu de ce que l’arrêt de la Cour du Travail a été prononcé pendant la période de la pandémie du virus du convid-19 et que qu’elle ne pouvait poursuivre ses activités cette date, elle a en lieu et place d’une communication orale aux employés comme elle a l’habitude de le faire, opté pour une communication par courriel. 73. Dans ce contexte, tout caviardage de la décision aurait pu susciter des questions, des interprétations, voire des suspicions de vouloir cacher certains éléments, ce que la défenderesse entendait éviter en communiquant en toute transparence l’arrêt tel que prononcé. 74. La défenderesse conclut encore que « à l’instar de la décision 85/2022 [lisez de la Chambre Contentieuse], il n’a pas semblé opportun d’ôter les données des parties apparaissant dans la décision dans la mesure où la réidentification des personnes était inévitable ou du moins hautement probable » (page 11 des conclusions de la défenderesse), le fait que les employés intimés, dont la plaignante, aient introduit cette procédure étant connu de l’ensemble du personnel. 75. En l’espèce, la Chambre Contentieuse ne formule pas d’objection à la communication par courriel d’informations destinées au personnel, En revanche, le fait de communiquer par courriel, même à titre exceptionnel comme l’invoque la défenderesse, ne dispense pas de respecter la condition de nécessité intrinsèque à l’article 6.1.
f)du RGPD déjà rappelée. 76. La Chambre Contentieuse décide à cet égard que la question de savoir quels employés ont introduit la procédure en justice à l’encontre de la défenderesse n’est pas nécessaire à la réalisation de l’objectif qu’elle poursuit. Il en est de même pour le domicile de ces derniers à fortiori. La défenderesse décrit elle-même cet objectif comme étant d’informer son personnel de l’issue de la contestation de son système de rémunération ce que permet le courriel en tant que tel — dont le contenu n’est pas mis en cause par la plaignante — en se 34 Voy. pour rappel l’article 6.1.
f)du RGPD : Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie:
f)le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. Décision quant au fond 150/2025 — 20/34 limitant aux éléments indispensables (existence et portée de l’arrêt, information sur le point de droit tranché par la Cour du Travail et conséquences pour la défenderesse). Dès lors, l’identification des employés intimés dont la plaignante, a fortiori la divulgation de son domicile privé, excède ce qui est nécessaire au sens de l’article 6.f), du RGPD. 77. Si la défenderesse craignait que le fait d’occulter certains passages de l’arrêt (en particulier les données à caractère personnel de la plaignante et des autres intimés) ne suscite des interrogations, elle pouvait en mentionner l’objectif et expliquer ses obligations légales à cet égard, soit celle de respecter la règlementation applicable en matière de protection des données 35. En outre, le fait que des membres du personnel auraient eu connaissance de ce que la plaignante avait diligenté cette procédure (dont cet appel) comme avancé par la défenderesse, ne rendait en toute hypothèse pas le traitement desdites données nécessaire au sens de l’article 6.1.
f)du RGPD. 78. Quant à la référence à sa décision 85/2022 (point 74), la Chambre Contentieuse est d’avis que cet argument par analogie ne peut être retenu pour les motifs ci-après. 79. En publiant ses décisions en mentionnant dans certains cas l’identité des parties, la Chambre Contentieuse poursuit, hormis lorsque cette publication est prononcée au titre de sanction en exécution de l’article 100.1.16° de la LCA, un objectif de transparence de ses activités ainsi qu’il sera décrit au titre IV ci-après quant à la publication de la présente décision. Le plus souvent, cet objectif de transparence peut être rencontré sans mentionner l’identité de la partie défenderesse. Dans certains cas, la Chambre Contentieuse estime qu’il y a un intérêt collectif du public à connaître la partie mise en cause 36. Enfin, il est vrai que la Chambre Contentieuse a parfois considéré, à titre surabondant généralement, que dès lors que la défenderesse était inévitablement ré-identifiable, elle décidait de publier la décision en identifiant cette dernière directement. Dans ces cas, il s’agissait cependant de la publication de l’identité de personnes morales ou d’autorités publiques qui ne bénéficient pas, sauf exception, de la protection du RGPD. Dès lors que le RGPD ne leur est pas applicable, il n‘est pas question pour la Chambre Contentieuse de devoir pour ce faire s’appuyer sur l’une des bases de licéité prévue à l’article 6 du RGPD en en respectant toutes les conditions (voy. supra). 80. Pour ce qui est de la communication litigieuse, la Chambre Contentieuse souligne que même à suivre l’argument de la défenderesse, quod non, la réidentification inévitable ne joue en toute hypothèse pas pour la donnée du domicile de la plaignante. Plus généralement, et même si la défenderesse cherchait à être aussi transparente que possible vis-à-vis de ses employés, la Chambre Contentieuse souligne que la communication litigieuse a emporté la 35 La Chambre Contentieuse ajoute que les données à caractère personnel figurent en première page de l’arrêt au titre de parties intimées. Il est donc clair pour le lecteur que c’est l’identité de la partie intimée qui serait le cas échéant occultée. 36 https://www.autoriteprotectiondonnees.be/publications/politique-de-publication-des-decisions-de-la-chambrecontentieuse.pdf Décision quant au fond 150/2025 — 21/34 diffusion de données à caractère personnel de la plaignante, soit d’une personne physique, et que la défenderesse était donc tenue de respecter les conditions de l’article 6 du RGPD. Qu’il y ait ou non réidentification inévitable n’importait donc pas. S’appuyant sur l’article 6.1.
f)du RGPD, la défenderesse n’était autorisée à traiter que les données nécessaires à la réalisation de son intérêt comme exposé ci-dessus, ce qui n’a pas été le cas (point 76). 81. En conclusion, la Chambre Contentieuse décide à l’appui de la motivation qui précède qu’il n’a pas été satisfait au test de nécessité en violation de l’article 6.1.
f)du RGPD.  82. Conclusion Au terme de son analyse, la Chambre Contentieuse conclut à une violation de l’article 5.1.
a)(principe de licéité) et de l’article 6.1. du RGPD par la défenderesse. Celle-ci ne pouvait valablement s’appuyer sur la base de licéité de l’article 6.1.
f)du RGPD qu’elle invoque pour légitimer la communication de l’arrêt de la Cour du Travail comme tel en laissant apparaître les données à caractère personnel de la plaignante (et des autres intimés par ailleurs). Pour autant que de besoin, la Chambre Contentieuse précise qu’ ayant conclu qu’il n’a pas été satisfait au test de nécessité (b), il n'est pas nécessaire qu’elle procède au test de pondération prévu à l’étape 3 (c), la satisfaction de chacune des trois conditions cumulatives de l’article 6.1.
f)du RGPD étant requise. 83. La Chambre Contentieuse ajoute surabondamment qu’elle a précédemment conclu (titre II.2.1) que la défenderesse n’a pas traité de données relatives à l’appartenance syndicale de la plaignante au sens de l’article 9.1. du RGPD. Ainsi qu’elle l’a exposé (point 61), il ne lui incombe dès lors pas de vérifier si la défenderesse se trouvait dans l’une des hypothèses dans lesquelles l’interdiction de traitement de telles données peut être levée (article 9.2. du RGPD). C’est donc en vain que la défenderesse souligne, même subsidiairement, que la plaignante aurait rendu ses données « manifestement publiques » 37 au sens de l’article 9.2.
e)du RGPD. 38. Non seulement l’article 9 du RGPD n’est pas d’application en l’espèce mais quand bien même il l’aurait été, quod non, il ne dispense pas la défenderesse du respect des conditions de l’article 6 du RGPD, soit de la nécessité du traitement des données à caractère personnel aux fins de réaliser son intérêt légitime, ce qui n’a pas été le cas ainsi que la Chambre Contentieuse vient de le démontrer (point 76). 37 Cette publicité résulterait selon la défenderesse du fait que lors de l’élection sociale qui l’a désignée déléguée du CE et du CPPT, l’appartenance syndicale de la plaignante est dévoilée à l’ensemble du personnel (articles 33 à 40 de la Loi du 4 décembre 2007 relative aux élections sociales et son annexe). 38 Article 9.1.du RGPD : Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits. Le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie : (…)
e):le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée; Décision quant au fond 150/2025 — 22/34 II.3. Quant au respect du principe de loyauté (article 5.1.
a)du RGPD) 84. La plaignante argumente qu’en envoyant le courriel avec l’arrêt de la Cour du Travail en pièce jointe en masquant les destinataires principaux de cet envoi (en BCC), soit, selon la défenderesse, plusieurs centaines de membres du personnel, cette dernière a agi de manière déloyale. 85. La plaignante ajoute qu’en recourant à la fonction BCC, la défenderesse l’a délibérément privée de connaître quels étaient les destinataires de la communication litigieuse (tous les employés ? Une partie d’entre-eux ? Des externes ?). La plaignante estime que la défenderesse a par ailleurs agi ainsi pour pouvoir omettre de la liste des destinataires certains employés ayant participé à la procédure et qui pourraient contester l’interprétation de l’arrêt donnée par la défenderesse et/ou empêcher que le courriel puisse être utilisé à titre de preuve contre la défenderesse (comme c’est le cas aux termes de la présente procédure bien que la plaignante ait réussi à apporter cette preuve grâce à des collègues qui lui ont forwardé la communication litigieuse) 39. La Chambre Contentieuse ajoute ici d’emblée qu’ au cours de l’audition, le conseil de la plaignante a indiqué qu’il lui semblait que sa cliente avait reçu ce courriel. 40 86. La plaignante souligne également qu’il ne peut s’agir d’une erreur de manipulation puisque le recours à la fonction BCC suppose de sélectionner manuellement cette option. Compte tenu de la finalité de la communication au personnel, la plaignante ne pouvait pas plus s’attendre à ce que son domicile privé soit révélé à l’ensemble de celui-ci. 87. Enfin, la plaignante estime que la défenderesse a violé le principe de loyauté car elle a manqué de transparence à l’égard de la plaignante en ne lui fournissant pas au préalable les informations requises conformément aux articles 12 à 14 du RGPD. 88. Quant à la défenderesse, elle se défend de toute intention malveillante ou déloyale (évoquant le fait que tous savaient que la plaignante avait intenté la procédure) et souligne que bien au contraire, l’usage de la fonction BCC prouve qu’elle entendait respecter le RGPD et les différentes décisions de la Chambre Contentieuse à ce sujet 41. Elle justifie ainsi l’utilisation du BCC par le fait que tous ses employés ne dispo(sai)ent pas d’une adresse email professionnelle. Dès lors, il n’aurait pas été conforme au RGPD de divulguer leur adresse e-mail privée aux autres membres du personnel. Le fait que tous les employés ne disposent pas d’une adresse e-mail professionnelle s’explique selon la défenderesse par la spécificité de certaines fonctions, certains employés n’en ayant pas besoin. La défenderesse se réfère 39 Voy. en ce sens les pièces 2 à 6 de la plaignante qui sont autant d’e-mails par lesquels des employés transfèrent le courriel d’information de l’issue de la procédure de la défenderesse à la plaignante. 40 41 Page 3 du procès-verbal d’audition. La défenderesse cite à cet égard les décisions suivantes de la Chambre Contentieuse : 80/2022, 186/2022, 03/2021 et 98/2021. Aucune de ces décisions n’est prise au regard de faits similaires ou comparables à ceux de la présente décision et les destinataires qui avaient tous été placés en CC sans base de licéité en lieu et place d’un BCC suggéré par la Chambre Contentieuse dans ces décisions n’avaient pas de lien professionnel entre-eux. Décision quant au fond 150/2025 — 23/34 à cet égard au fait qu’habituellement, et comme déjà mentionné, les communications internes se font généralement oralement mais que la pandémie du virus du covid 19 l’a contrainte à communiquer par courriel. 89. La Chambre Contentieuse rappelle qu’en exécution de l’article 5.1.
a)du RGPD, tout traitement de données à caractère personnel doit notamment être loyal. La loyauté consacrée comme principe fondamental de la protection des données à caractère personnel, impose que les données à caractère personnel ne soient pas traitées d’une manière inattendue, cachée ou trompeuse pour la personne concernée. Les mesures et garanties mettant en œuvre le principe de loyauté étayent également les droits et libertés des personnes concernées, en particulier leur droit à l’information et le principe de transparence. 90. La Chambre Contentieuse relève que le champ BCC d'un e-mail permet certes de conserver la confidentialité et la sécurité des adresses e-mail des destinataires en évitant qu’ils aient tous accès aux adresses e-mail des uns et des autres. Cette option est préconisée dans de nombreux cas pour, comme il vient d’être mentionné, des motifs liés à la confidentialité, à la sécurité et à la prévention de l’utilisation illicite des adresses e-mails lors de grands mailings à des destinataires externes à une organisation par exemple. Elle ne l’est généralement pas dans un contexte professionnel interne dans lequel les adresses e-mail professionnelles des employés sont connues, sécurisées par l’employeur et partagées dans le cadre des activités professionnelles entre collègues. 91. En l’espèce, la Chambre Contentieuse reconnait que l’utilisation de la fonction BCC, couplée au contexte de différends entre la défenderesse et la plaignante et au fait que la défenderesse n’ignorait pas que la plaignante avait reçu des menaces de mort sur son lieu de travail 42, peut légitimement avoir créé un doute dans le chef de la plaignante quant aux (bonnes) intentions de la défenderesse. Pour autant, au vu des arguments invoqués par cette dernière qui met en avant la protection des données à caractère personnel des employés (soit leur adresse e-mail privée) ne disposant pas d’adresse e-mail professionnelle, ce à une période spécifique, la Chambre Contentieuse ne s’estime pas en mesure de conclure que la défenderesse était animée d’une intention déloyale à l’égard de la plaignante. La défenderesse n’a donc pas violé le principe de loyauté consacré à l’article 5.1.
a)du RGPD. Outre l’argument invoqué par la défenderesse, la Chambre Contentieuse constate que la plaignante ne dénonce pas ne pas avoir été incluse dans les destinataires et qu’elle n’a pas été traitée différemment des autres employés intimés par exemple. 92. La Chambre Contentieuse ajoute - à titre surabondant- qu’elle n’estime pas pour autant que la manière dont la défenderesse a procédé est exempte de toute critique. Sans revenir sur son constat d’absence de déloyauté au sens de l’article 5.1.
a)du RGPD (et d’absence de 42 Voy. la note 5. Ce qui est souligné ici est la connaissance de ces menaces, non que la défenderesse en serait l’auteur. Décision quant au fond 150/2025 — 24/34 nécessité de la communication litigieuse pour la satisfaction de son intérêt légitime (article 6.1.f)), la Chambre Contentieuse est d’avis qu’à suivre l’optique de la défenderesse, celle-ci aurait pu trouver une alternative telle qu’une adresse générale (qui aurait, à titre provisoire, repris les adresses e-mail professionnelles ou privées de tous les employés sans que ceuxci n’aient accès à au contenu de la liste) ce, sans préjudice d’une réflexion sur l’attribution au titre de mesure organisationnelle en exécution des articles 5.2 et 24 du RGPD, d’une adresse e-mail professionnelle à chacun des employés pour garantir à terme une meilleure sécurité ainsi qu’une transparence sur les destinataires notamment. II.4. Quant au respect de l’obligation d’information (articles 12 à 14 du RGPD) et du principe de transparence (article 5.1.
a)du RGPD) 93. A titre liminaire, la Chambre Contentieuse relève que la défenderesse produit au titre de pièces trois versions de sa charte de confidentialité relative aux traitements de données du personnel : - Une charte de confidentialité libellée « January 2022 « en pièce 11 de son dossier que la défenderesse déclare être celle appliquée à l’époque des faits. La Chambre Contentieuse en prend acte et examinera le respect des articles 12 à 14 du RGPD à l’aune de celle-ci non sans relever que la communication litigieuse date du …, d’une date antérieure à « January 2022 » ; - Une charte de confidentialité libellée « Version O2.2022 » en pièce 12 de son dossier que la défenderesse présente comme une version modifiée du 2 novembre 2022 ; - Une charte de confidentialité qui mentionne « Dernière révision le 25 janvier 2024 » que la défenderesse produit en pièce 14 de son dossier au moment du dépôt de ses conclusions de synthèse. 94. Au regard de ce qui précède, la Chambre Contentieuse rappelle, comme elle l’a fait dans de précédentes décisions, qu’en exécution des articles 5.2 et 24 du RGPD, le responsable de traitement est tenu de pouvoir démontrer qu’il respecte les prescrits du RGPD. La disponibilité de la documentation attestant de cette conformité est à cet égard essentielle. Les versions successives d’un document aussi important que la politique de confidentialité, les dates de sa mise à disposition, sa période d’application et les dates de ses adaptations éventuelles sont à cet égard indispensables aux fins de démontrer cette conformité dans le temps. Il n’est pas rare en effet que l’APD soit saisie de faits relativement anciens. Le délai de prescription auquel elle est soumise est par ailleurs de 5 ans à dater de la commission des faits (article 105 de la LCA). 95. La plaignante dénonce que la défenderesse ne démontre pas lui avoir communiqué in tempore non suspecto la première version de sa charte de confidentialité (version « January 2022 »). Elle ajoute que cette charte ne mentionne pas la possibilité pour la défenderesse de Décision quant au fond 150/2025 — 25/34 traiter l’adresse du domicile privé des employés ou de pouvoir communiquer en interne des décisions de justice non anonymisées ou des informations permettant de deviner l’appartenance syndicale des employés. Les versions successives (de « January » et O2. 2022 de novembre 2022) de la charte de confidentialité ne contiennent pas de liste exhaustive de données à caractère personnel, n’établissent pas le lien entre les données personnelles traitées et les finalités pour lesquelles elles le sont, ne reprennent pas les bases de licéité (ni le test de pondération requis par l’article 6.1.
f)du RGPD a fortiori) sur lesquelles la défenderesse s’appuie, pas plus que les délais de conservation des données à caractère personnel, les coordonnées de contact de l’APD ou encore les mentions relatives à d’éventuels flux transfrontières de données. Au regard de la 3ème version de la charte de confidentialité de janvier 2024, la plaignante ajoute lors de l’audition prendre acte de certaines modifications tout en soulignant que celles-ci ne suppriment pas les manquements passés qu’elle dénonce. 96. La défenderesse conteste pour sa part tout manquement à l’obligation d’information et au principe de transparence. Elle estime avoir agi de manière prévisible conformément à sa charte de confidentialité originale à destination du personnel (version « January 2022 ») qui a bel et bien été communiquée au personnel via un affichage aux valves à l’entrée du bâtiment (photo des valves – pièce 13 de la défenderesse) et qui est accessible sur les serveurs internes. Les données personnelles de la plaignante (nom, prénom, domicile) sont visées au point 1 de la charte. Parmi les finalités identifiées au point 2 de la charte figure celle de la « Communication (interne) ». La défenderesse conteste pour le surplus que la charte ne contiendrait pas toutes les informations requises par les articles 12 à 14. 97. Subsidiairement, la défenderesse avance qu’avant même de prendre connaissance de ce qu’une plainte avait été déposée contre elle le 15 novembre 2022, elle a modifié sa charte de confidentialité le 2 novembre 2022 (version O2.2022) en ajoutant aux finalités de traitement les termes « Gestion des pré-contentieux et des contentieux » (point 2) ainsi que « les autres salariés et collègues » sous le point relatif aux destinataires (point 3). 98. Enfin, la défenderesse indique avoir modifié une nouvelle fois sa charte de confidentialité (3ème version du 25 janvier 2024) à la suite de la lettre de la Chambre Contentieuse du 11 octobre 2023 pour la rendre totalement conforme aux développements les plus récents du RGPD 43. 99. La Chambre Contentieuse rappelle qu’aux termes des articles 13 et 14 du RGPD, il incombe au responsable de traitement de fournir un certain nombre d’informations à la personne concernée. « Fournir » les informations nécessite une communication active de la part du responsable de traitement qui tienne compte de l’environnement et du contexte dans lequel 43 La défenderesse mentionne que cette nouvelle charte a été communiquée en janvier 2024 à ses employés. Décision quant au fond 150/2025 — 26/34 les traitements de données interviennent 44. Au regard du cas d’espèce, la Chambre Contentieuse n’émet pas d’objection de principe à la mise à disposition de la politique de confidentialité sur l’intranet complété par un affichage aux valves pour autant que la défenderesse puisse démontrer que cette information via l’intranet a effectivement été fournie aux personnes concernées. S’agissant d’une politique de confidentialité traitant spécifiquement des traitements de données du personnel, des modalités de communication plus directes, au moment de l’embauche par exemple, pourraient être mises en place. Outre les incertitudes liées à l’applicabilité dans le temps de la charte de confidentialité libellée « January 2022 », la défenderesse ne prouve pas en l’espèce que ladite charte a effectivement été affichée aux valves et/ou communiquée via l’intranet et effectivement atteint les employés dont la plaignante. Il en découle une violation des articles 14.1 et 14.2 du RGPD dans le chef de la défenderesse. 100. Quant au contenu de la charte, la Chambre Contentieuse rappelle qu’au terme de l’information qui lui est fournie, la personne concernée devrait être en mesure de déterminer à l’avance ce que la portée et les conséquences du traitement englobent afin de ne pas être prise au dépourvu à un stade ultérieur quant à la façon dont ses données à caractère personnel ont été utilisées 45. A l’aune de cet objectif, la Chambre Contentieuse faits les constats ci-après au départ de la version « January 2022 » de la charte de confidentialité de la défenderesse. 101. En l’espèce, s’agissant de la communication des données personnelles de la plaignante au travers de la diffusion de l’arrêt de la Cour du Travail, l’article 14 §§ 1-2 du RGPD est d’application dès lors qu’il s’agit d’un traitement de données qui n’ont pas été recueillies directement auprès de la plaignante 46. - Les bases de licéité des traitements n’y sont pas mentionnées, ce en violation de l’article 14.1.
c)du RGPD (et de l’article 14.2.
b)s’agissant de l’intérêt légitime sur lequel se fondent a priori les communications internes lorsque celles-ci nécessitent, contrairement au cas d’espèce, la communication de données à caractère personnel) 47. 44 Les Lignes directrices du Comité européen de la protection des données (CEPD) relatives à la transparence énoncent en leur point 33 que, « le mot « fournir » est crucial en l’occurrence. Il signifie que le responsable du traitement doit prendre des mesures concrètes pour fournir les informations en question à la personne concernée ou pour diriger activement la personne concernée vers l’emplacement desdites informations (par exemple au moyen d’un lien direct, d’un code QR, etc.). La personne concernée ne doit pas avoir à chercher activement les informations couvertes par ces articles parmi d’autres informations telles que les conditions d’utilisation d’un site internet ou d’une application » : Groupe de travail « Article 29 », Lignes directrices relatives à la transparence, WP 260 du 11 avril 2018, https://ec.europa.eu/newsroom/article29/items/622227/en reprises à son compte par le CEPD lors de sa séance inaugurale du 25 mai 2018. https://www.edpb.europa.eu/our-work-tools/generalguidance/endorsed-wp29-guidelines_en 45 CEPD, Lignes directrices relatives à la transparence (voy. ci-dessus note 44), point 10. 46 Idem ,point 23. 47 S’agissant du manquement invoqué par la plaignante relativement à l’absence d’information quant à la pondération (étape 3) des intérêts en présence, la Chambre Contentieuse souligne qu’il s’agit d’une information souhaitable et recommandée par les autorités de contrôle au titre de bonne pratique mais qui ne résulte pas à proprement parler de la lettre des articles 13 et 14 (voir les Lignes directrices du CEPD relatives à la transparence : page 43). Cette pondération ne doit pas moins être documentée en interne comme déjà mentionné. Décision quant au fond 150/2025 — 27/34 - La mention des délais de conservation ou de critères permettant de les apprécier font défaut en violation de l’article 14.2.
a)du RGPD. En effet, le point 8 se limite à mentionner qu’ « A l’issue du contrat de travail, il sera mis fin à l’utilisation de vos données dans les meilleurs délais. Dans ce contexte, les délais de conservation légaux et les autres finalités décrites dans la présente politique seront toujours pris en considération ». Cette formulation est trop vague pour permettre à la personne concernée de comprendre quelles seraient les données conservées au-delà de la fin de sa relation de travail et pour combien de temps par exemple. - S’agissant des coordonnées de l’APD, la Chambre Contentieuse relève que l’article 14.2
e)du RGPD qui exige que le responsable de traitement informe la personne concernée (en l’espèce la plaignante) de son droit d’introduire une réclamation (plainte) auprès d’une autorité de contrôle doit être lu en combinaison avec l’article 12.2 du RGPD. L’article 12.2 précise en effet que le responsable de traitement doit faciliter l’exercice des droits, en ce compris celui de porter plainte à l’autorité de contrôle, en précisant les modalités d’exercice de ces droits. Cette obligation n’est pas satisfaite en l’espèce en violation de l’article 14.2.
e)appliqué en combinaison avec l’article 12.2 du RGPD puisqu’aucune modalité ou coordonnée de contact de l’APD n’est mentionnée. Seule la mention suivante est en effet prévue : « Toute personne a la possibilité d(‘introduire par écrit une réclamation ou une requête, datée, signée, auprès de l’Autorité de protection des données » (point 8). 102. S’agissant de l’absence de lien établi aux termes de la charte de confidentialité entre les données à caractère personnel traitées, les finalités pour lesquelles elles le sont et la base de licéité sur laquelle leur traitement s’appuie, la Chambre Contentieuse souligne que le responsable de traitement est tenu d’informer de la façon la plus transparente possible. Dans le cas de nombreux traitements de données opérés, de finalités distinctes poursuivies au travers de ceux-ci et de bases de licéité multiples sur lesquelles le responsable de traitement appuie l’un et l’autre traitement, une information qui fait le lien entre ces trois éléments d’information permet à la personne concernée de comprendre plus aisément quelles seront les (catégories
de)données traitées, à quelles fins elles le seront et sur quelle base. A l’inverse, une charte de confidentialité qui liste isolément chacun de ces éléments d’information au regard de l’ensemble des traitements opérés par l’organisation fournit une information moins compréhensible, notamment pour évaluer la nécessité de traiter l’une ou l’autre des catégories de données pour telle ou telle finalité. Le RGPD n’impose certes pas de modèle de charte de confidentialité ; il n’en revient pas moins à chaque responsable de traitement d’opter pour la modalité de communication la plus adéquate et efficace possible compte tenu de facteurs tels que l’ampleur de ses activités, de la nature des données et les catégories de personnes dont il traite les données personnelles notamment. La Chambre Décision quant au fond 150/2025 — 28/34 Contentieuse rappelle à cet égard l’obligation d’accountability qui s’impose à la défenderesse en exécution des articles 24 et 5.2 du RGPD. 103. Pour le surplus, la Chambre Contentieuse indique qu’en l’absence d’indication quant à des flux transfrontières de données qui seraient opérés, elle ne peut conclure à une violation de l’article 14.1
f)du RGPD. 104. Concernant les ajouts et modifications apportés dans les versions 2 et 3 de la charte de confidentialité de la défenderesse, la Chambre Contentieuse souligne ce qui suit. 105. En ce qui concerne l’ajout les finalités de gestion de pré-contentieux et de contentieux dans la charte révisée 02. 2022., la Chambre Contentieuse en prend acte et relève que si des données à caractère personnel sont certes susceptibles d’être traitées pour ces finalités, la communication du cas d’espèce est selon elle davantage intervenue à des fins d’information du personnel (politique du personne) qu’à des fins de gestion du contentieux de la défenderesse sauf à considérer très largement la finalité de gestion du contentieux qui engloberait la communication interne autour de celui-ci. Il n’en demeure pas moins que seules les données nécessaires à cette communication pouvaient être traitées. De la même manière, la Chambre Contentieuse prend acte de l’ajout formulé au titre 3 des destinataires. Pour le surplus, elle constate que les violations relevées au regard de la charte « January 2022 » (point 100) ne sont pas rencontrées dans cette version n°2, certes établie avant l’amorce de la procédure mais postérieurement à la communication litigieuse et à la dénonciation de la plaignante directement auprès de la défenderesse. 106. Quant à la version de la charte révisée en janvier 2024, la Chambre Contentieuse prend acte qu’elle prévoit désormais un tableau reprenant les finalités poursuivies, les données traitées à leur fin respective et la base de licéité mobilisée correspondante (point 2.1. de la charte). La Chambre Contentieuse constate également qu’une rubrique relative aux flux transfrontières a été introduite ainsi que les coordonnées de l’APD. S’agissant des délais de conservation, la Chambre Contentieuse relève également que la mention a été modifiée tout en ne fournissant selon elle pas davantage d’indication utile quant aux délais de conservation. Cette clause devrait être améliorée à l’avenir. 48 III. Mesures correctrices et sanctions 107. Aux termes de l’article 100.1 de la LCA, la Chambre Contentieuse a le pouvoir de: 1° classer la plainte sans suite; 2° ordonner le non-lieu; 3° prononcer une suspension du prononcé; 48 La clause demeure en effet très générale sans mention de délais concrets ni critères clairs. Décision quant au fond 150/2025 — 29/34 4° proposer une transaction; 5° formuler des avertissements ou des réprimandes; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits; 7° ordonner que l'intéressé soit informé du problème de sécurité; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement; 9° ordonner une mise en conformité du traitement 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données; 11° ordonner le retrait de l'agréation des organismes de certification; 12° donner des astreintes; 13° donner des amendes administratives; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. 108. Aux termes des paragraphes qui précèdent, la Chambre Contentieuse a conclu qu’il n’y avait pas de violation de l’article 9 du RGPD (non applicable en l’espèce) ni de l’article 5.1.
a)(principe de loyauté) du RGPD dans le chef de la défenderesse. Elle classe donc ces griefs sans suite pour motif technique. 109. En revanche, la Chambre Contentieuse a constaté que la défenderesse s’est rendue coupable d’un manquement aux articles 5.1.
a)(licéité), 6.1 (absence de base de licéité), 14.1 et 14.2 du RGPD (en ce que la défenderesse n’est pas en mesure de démontrer que l’information a été effectivement fournie à la plaignante) et plus encore aux articles 14.1. c), 14.2.
a)ainsi que 14.2
e)du RGPD lu en combinaison avec l’article 12.2. du RGPD (en ce qui concerne la qualité du contenu de l’information prévue par la charte de confidentialité au regard de ce qu’exigent ces dispositions). 110. Il incombe à la Chambre Contentieuse de déterminer la mesure correctrice et/ou la sanction la plus appropriée à ces manquements parmi celles listées ci-dessus et de motiver le choix de celle-ci en tenant compte des éléments propres au cas d’espèce. 111. La défenderesse indique à cet égard qu’à la suite de la divulgation des informations de la plaignante, et sans reconnaissance préjudiciable, elle a effectué une évaluation de ses pratiques et décidé comme déjà relevé, de modifier sa charte de confidentialité, en ce Décision quant au fond 150/2025 — 30/34 compris avant le dépôt de la plainte, afin d’assurer une communication encore plus claire quant aux activités de traitement de ce type. Elle a également informé le personnel en charge des ressources humaines qu’à l’avenir, il est requis de caviarder les décisions de justice là où cela est utile, justifié et possible. La défenderesse indique avoir toujours agi de bonne foi et de manière non intentionnelle, n’avoir jamais fait l’objet d’une enquête du Service d’Inspection de l’APD ou d’une autre plainte. La communication litigieuse ne vise selon elle qu’une seule personne concernée, porte sur des données personnelles limitées et envoyées à un cercle restreint et n’a pas causé de dommage à la plaignante. Il s’agit pour la défenderesse d’autant de circonstances (atténuantes) que la Chambre Contentieuse devrait prendre en compte. Quant au point de vue de la plaignante, la Chambre Contentieuse renvoie au point 23 ci-dessus. 112. La Chambre Contentieuse retient pour sa part que la communication litigieuse est intervenue dans un contexte professionnel dans lequel il convient tout particulièrement d’être attentif aux traitements de données des employés, a fortiori en l’espèce s’agissant d’une action en justice initiée (et perdue) par une employée (la plaignante) à l‘encontre de son employeur. L’absence de base de licéité est par ailleurs un manquement grave et la divulgation de la donnée du domicile, si elle n’est certes pas sensible en soi, pouvait se révéler préjudiciable pour la plaignante. Les circonstances spécifiques du cas d’espèce de la communication litigieuse conduisent la Chambre à décider qu’adresser une réprimande à la défenderesse est la sanction appropriée en l’espèce. La Chambre Contentieuse met en balance les considérations ci-dessus avec le fait qu’il s’agit d’un traitement tout à fait ponctuel, passé, intervenu en temps de pandémie et auquel il ne peut plus être remédié. Elle tient également compte des démarches déclarées et entamées de la défenderesse pour éviter que tout manquement de ce type ne se reproduise à l’avenir. 113. La Chambre Contentieuse ajoute que pour le surplus, elle n’est pas tenue d’exposer les raisons pour lesquelles elle ne retient pas une autre des sanctions listées à l’article 100.1 de la LCA, même lorsque telle ou telle sanction a été sollicitée le cas échéant par le plaignant (point 23) ou par la défenderesse comme en l’espèce (point 22). Ainsi, la Chambre Contentieuse n’est pas tenue d’exposer les motifs pour lesquels elle ne décide pas d’un classement sans suite comme demandé par la défenderesse, comme elle n’est pas tenue de motiver pourquoi elle n’impose pas d’amende administrative comme sollicité à titre principal par la plaignante 49. La motivation de la Chambre Contentieuse porte sur le choix de la sanction qu’elle juge appropriée au cas d’espèce. 49 S’agissant plus particulièrement du plaignant, la Chambre Contentieuse renvoie à sa note relative à la position du plaignant https://www.autoriteprotectiondonnees.be/publications/note-relative-a-la-position-du-plaignant-dans-la(page 4) procedure-au-sein-de-la-chambre-contentieuse.pdf ainsi qu’à l’arrêt de la Cour des marchés du .8 mai 2024 (2023/AR/1519, point 11) : https://www.autoriteprotectiondonnees.be/publications/arret-du-8-mai-2024-de-la-cour-des-marches-ar-1519.pdf et à l’arrêt du 26 septembre 2024 de la CJUE dans l’affaire C-768/21, point 41. Décision quant au fond 150/2025 — 31/34 114. Sans préjudice de ce qui précède, la Chambre Contentieuse entend toutefois réagir au fait que dans ses conclusions de synthèse, la défenderesse argumente que la Chambre Contentieuse ne serait pas fondée à lui imposer une amende administrative pour des motifs tirés du fait que l’amende n’est que la 13ème sanction dans l’énumération de l’article 100.1 de la LCA, des considérations émises par la Cour des marchés (CdM) quant à ce dans son arrêt du 27 janvier 2021 (RG 2020/AR/1333, p.19.) ainsi que dans un arrêt du 26 mai 2021 aux termes duquel la CdM écarterait la possibilité pour la Chambre Contentieuse d’infliger une amende dès la première infraction commise par inadvertance (GR 2021/AR/163). 115. La Chambre Contentieuse rappelle que l’article 58.2. du RGPD énonce que chaque autorité de contrôle (dont l’APD) dispose du pouvoir d'adopter toutes les mesures correctrices qu’il liste. L’amende administrative figure en avant-dernière position (9ème – litera i)), juste avant la 10ème qui permet d’ordonner la suspension des flux. Considérer qu’il existe une forme de hiérarchie entre les mesures ne trouve cependant aucun appui dans le texte du RGPD, que du contraire puisque le litera
j)précise que chaque autorité de contrôle peut imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas. De plus, la mesure visée au litera
j)(suspension des flux) ne peut bien entendu pas être conditionnée par l’existence préalable d’une amende qui aurait été imposée. Cela n’aurait aucun sens. 116. S’agissant de l’article 100.1. de la LCA pris en exécution du RGPD, le même raisonnement s’applique. Il faut noter à cet égard que la LCA ne reprend pas les termes complets de l’article 58.2. du RGPD, à savoir que l’amende administrative peut être « ordonnée en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ». Le fait qu’elle soit mentionnée en 13ème position au litera 13 n’implique aucune hiérarchie et en toute hypothèse, l’article 100.1 de la LCA doit être lu avec la précision qui a été omise par le législateur belge. Les mesures qui sont visées aux litera 14, 15 et 16 (publicité de la décision) de l’article 100.1. LCA ne sont par ailleurs pas conçues comme ne pouvant intervenir qu’« après une amende » si on devait suivre, quod non, le raisonnement de la défenderesse ou de la CdM dans les arrêts cités par la défenderesse. 117. En résumé, la place de l’amende dans la liste des mesure correctrices /sanctions prévues dans le RGPD et la LCA ne signifie pas, a fortiori à l’appui du texte de l’article 58.2.
i)du RGPD lui-même, qu’il s’agit d’une mesure de dernier ressort conditionnée par l’adoption préalable d’autres mesures correctrices/sanctions - jugées moins lourdes, même en cas de premier manquement par négligence 50. 50 Dans ses Lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement (UE) 2016/679 (WP 253), le Comité européen de la protection des données (CEPD) – reprenant les lignes directrices du Groupe de l’article 29 à son compte - a précisé à cet égard que : « L’appréciation du caractère effectif, proportionné et dissuasif dans chaque cas devra également prendre en considération l’objectif poursuivi par la mesure corrective retenue, à savoir de restaurer le respect des règles ou de sanctionner un comportement illicite (ou les deux) ». Le CEPD énonce également que les amendes sont un Décision quant au fond 150/2025 — 32/34 118. La Chambre Contentieuse ajoute que depuis ces arrêts cités par la défenderesse, la CdM est revenue sur sa position. La CdM a en effet apporté plus de précisions aux arrêts cités par la défenderesse, notamment en n’excluant pas la possibilité d’imposer une amende au responsable de traitement qui commet une infraction pour la première fois 51. IV. Publication de la décision 119. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des données (APD). 120. La Chambre Contentieuse ne peut en effet faire droit à la demande de la défenderesse de ne pas publier la présente décision. 121. Conformément à sa Politique en matière de publication de ses décisions 52, la Chambre Contentieuse publie chacune de ses décisions dans un objectif de transparence administrative, laquelle transparence est requise au titre tant de ses missions comme autorité de contrôle de protection des données (article 57.1.
b)et
d)lu conjointement avec l’article 51 du RGPD) que de sa qualité d’autorité administrative soumise aux principes de bonne administration. C’est à ce titre que la présente décision est publiée. A cet égard, la Chambre Contentieuse prend soin de faire figurer sa décision quant à la publication au regard d’une rubrique « Publication » et non sous la rubrique « Quant aux mesures correctrices et sanctions ». 122. Cette publication tend également à donner de la visibilité au travail de l’APD (rôle d’information et de sensibilisation vis-à-vis des entreprises et des citoyens, en ce compris de la presse), travail dont elle doit rendre compte publiquement (tant à l’égard des décideurs politiques que du grand public). Le caractère d’autorité administrative indépendante de l’APD ainsi que ses missions et ses pouvoirs étendus, justifient en effet qu’elle doive rendre compte publiquement de son travail et permettre à tout un chacun d’accéder de manière aisée et transparente à ses prises de position. Finalement, une des missions de la Chambre Contentieuse est également de constituer une jurisprudence cohérente. A cette fin et pour que le public intéressé puisse se l’approprier, il est indispensable qu’elle publie ses décisions, en ce compris la présente. instrument important que les autorités de contrôle devraient utiliser dans les circonstances appropriées. Les autorités de contrôle sont encouragées à adopter une approche mûrement réfléchie et équilibrée lorsqu’elles appliquent des mesures correctives afin de réagir à la violation d’une manière tant effective et dissuasive que proportionnée. Il ne s’agit pas de considérer les amendes comme un recours ultime ni de craindre de les imposer, mais, en revanche, elles ne doivent pas non plus être utilisées de telle manière que leur efficacité s’en trouverait amoindrie. Voy. également le considérant 148 du RGPD. 51 52 Voy. Cour des marchés, 7 juillet 2021, 2021/AR/320, publié sur le site de l’APD. https://www.autoriteprotectiondonnees.be/publications/politique-de-publication-des-decisions-de-la-chambrecontentieuse.pdf Décision quant au fond 150/2025 — 33/34 123. Comme souligné dans sa Politique précitée, à la différence de la publication de la décision au titre de « sanction », la question de l’identification des parties est moins importante dans le cadre de la publication à des fins de transparence comme en l’espèce. L’objectif recherché peut en effet généralement être atteint sans que les parties ne soient identifiées. La Chambre Contentieuse n’en précise pas moins que la publication des données d’identification des personnes morales se justifie parfois dans un but d’intérêt général, en raison de la place du responsable de traitement dans la société ou de l’importance de la décision pour le grand public. 124. En l’espèce, la Chambre Contentieuse décide de publier sa décision en omettant les données d’identification directe tant de la plaignante que de la défenderesse ainsi qu’en omettant, dans la mesure du possible, les données d’identification indirecte de celles-ci. La Chambre Contentieuse estime qu’assurément, la thématique qu’aborde cette décision et la prise de position de la Chambre Contentieuse présentent un intérêt pour le public en général et pour le monde de l’entreprise et les travailleurs /employés en particulier s’agissant de la publication des décisions de justice dans le cadre des communications internes des entreprises, en ce compris lorsque des employés ont pris part à ces procédures. En revanche, il n’est pas nécessaire pour rencontrer cet intérêt que l’identité de la défenderesse (ni celle de la plaignante) soit mentionnée. S’agissant de l’effet dissuasif demandé par la plaignante, la Chambre Contentieuse précise que cet aspect relève de l’appréciation de la mesure correctrice / sanction adéquate et non, en l’espèce à tout le moins, de la transparence et renvoie à la motivation du choix de la réprimande qu’elle a décidée au titre III ci-dessus. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération : - En vertu de l’article 100. 1, 5° de la LCA, d’adresser une réprimande à la défenderesse pour la violation des articles 5.1. a), 6.1, 14.1 et 14.2 du RGPD (en ce que la défenderesse n’est pas en mesure de démontrer que l’information a été effectivement fournie à la plaignante) et plus particulièrement encore des articles 14.1. c), 14.2.
a)ainsi que 14.2
e)lu en combinaison avec l’article 12.2. du RGPD (en ce qui concerne la qualité du contenu de l’information prévue). - De classer la plainte sans suite sur la base de l’article 100.1, 1° de la LCA au regard des manquements invoqués aux articles 9 et 5.1.
a)(principe de loyauté) du RGPD. Conformément à l'article 108.1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données (APD) comme partie défenderesse. Décision quant au fond 150/2025 — 34/34 Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire 53. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud. 54, ou via le système d'information e-Deposit du ministère de la Justice (article 32ter du C. jud.). (Sé.)Hielke HIJMANS Directeur de la Chambre Contentieuse 53 La requête contient à peine de nullité: l'indication des jour, mois et an; les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro d’entreprise; 3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer; 4° l'objet et l'exposé sommaire des moyens de la demande; 5° l'indication du juge qui est saisi de la demande; 6° la signature du requérant ou de son avocat. 1° 2° 54 La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au greffier de la juridiction ou déposée au greffe.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.