← België

Beslissing ten gronde nr. 155/2023

1/26 Chambre Contentieuse Décision quant au fond 155/2023 du 27 novembre 2023 Numéro de dossier : DOS-2020-03304 Objet : Plainte relative à un accès tardif et à un refus de donner accès à des document

du RGPD.

  1. Le 16 août 2021, la Chambre Contentieuse reçoit les conclusions de synthèse de la part de la défenderesse concernant les constatations relatives à l’objet de la plainte. La défenderesse réitère ses arguments. Elle conteste également le caractère tardif de l’accès accordé au plaignant.
  2. Le 9 août 2023, les parties sont informées du fait que l'audition aura lieu le 26 octobre
  4. Le 26 novembre 2023, les parties sont entendues par la Chambre Contentieuse.
  5. Le 13 novembre 2023, le procès-verbal de l’audition est soumis aux parties.
  6. Le 17 novembre 2023, la Chambre Contentieuse reçoit un commentaire mineur de la défenderesse relatif au procès-verbal, qui n’a aucun impact sur sa délibération. II. Motivation II.
  7. Questions liminaires II.1.
  9. Sur les fonctions de la défenderesse La défenderesse est une asbl constituée comme service externe de prévention et de protection au travail au sens de l’article 40 de la loi bien-être au travail. En tant que tel, la défenderesse dispose de conseillers en prévention comme agents.
  10. Les employeurs ont l’obligation de promouvoir le bien-être de leurs travailleurs et doivent notamment adopter des mesures de prévention appropriées pour prévenir des risques psychosociaux au travail.10 Cette obligation implique également celle de créer un service interne de prévention et de protection au travail. Les employeurs peuvent également faire appel à des services externes de prévention et de protection au travail.
  11. Dans ce cadre, la défenderesse était entrée en relation contractuelle avec l’employeur du plaignant.
  12. Parmi les mesures de prévention appropriées pour prévenir les risques psychosociaux au travail, l’employeur doit mettre en place des procédures permettant au travailleur qui estime avoir subi un risque psychosocial, de demander soit une intervention psychosociale informelle, soit une intervention psychosociale formelle. 11 Quand un service externe en prévention est impliqué, ces demandes d’intervention peuvent être directement introduites 10 Article 5 de la loi bien-être au travail. 11 Article 32/2, §2, alinéa 3 de la loi bien-être au travail. Décision quant au fond 155/2023 – 6/26 auprès d’un conseiller en prévention de ce service externe.12 Après une intervention, le conseiller en prévention rédige un avis, destiné à l’employeur, conseillant l’adoption de mesures individuelles vis-à-vis de la personne demandeuse ou de mesures collectives.
  13. Bien que la défenderesse soit engagée contractuellement avec l’employeur du plaignant, la défenderesse avait l’obligation de réaliser ses missions légales en toute indépendance. 13 La défenderesse a donc déterminé les finalités et les moyens des traitements réalisés avec les données à caractère personnel du plaignant. Par conséquent, la défenderesse est responsable des traitements réalisés avec les données du plaignant au sens de l’article 4.7 du RGPD, ce que la défenderesse ne conteste pas. II.1.
  15. Sur les données à caractère personnel traitées par la défenderesse Dans l’exercice de leurs missions, les conseillers en prévention tiennent un dossier individuel relatif aux personnes demandeuses de leur intervention. Le contenu de ce dossier est régi par l’article I.3-31 du Code du bien-être au travail :14 « Le conseiller en prévention aspects psychosociaux ouvre et tient à jour un dossier individuel qui comprend, en fonction de la procédure utilisée : 1° le cas échéant, le document qui atteste de l’entretien personnel informatif visé à l’article I.3-11 ; 2° le document relatif au type d’intervention psychosociale informelle choisi par le demandeur ; 3° le document qui atteste de l’entretien personnel obligatoire visé à l’article I.3-14, § 2 ; 4° la demande d’intervention psychosociale formelle ; 5° le cas échéant, le document contenant le refus ou l’acceptation de l’introduction de la demande ; 12 Article I.3-1, alinéa 4 du Code du bien-être au travail. 13 Article 43 de la loi bien-être au travail. 14 L’article I.3-41 dispose, de manière similaire, pour une demande d’intervention formelle pour des faits de violence ou de harcèlement moral ou sexuel au travail : « Outre les éléments visés à l’article I.3-31, le dossier individuel comprend : 1° le document qui informe l’employeur qu’une demande d’intervention psychosociale formelle pour faits de violence ou de harcèlement moral ou sexuel au travail a été introduite et que le travailleur bénéficie de la protection visée à l’article 32tredecies de la loi ; 2° le document qui informe l’employeur de la protection des témoins visés à l’article 32tredecies, § 1er/1, 5° de la loi ; 3° le cas échéant, les propositions de mesures conservatoires communiquées à l’employeur ; 4° le cas échéant, la décision de l’employeur concernant les mesures conservatoires ; 5° le cas échéant, la demande d’intervention du fonctionnaire chargé de la surveillance. » Décision quant au fond 155/2023 – 7/26 6° le document qui informe l’employeur qu’une demande d’intervention psychosociale formelle a été introduite ; 7° le document qui informe le demandeur du fait que sa demande a principalement trait à des risques qui présentent un caractère collectif ; 8° les déclarations datées et signées des personnes entendues par le conseiller en prévention aspects psychosociaux ; 9° le cas échéant, le document relatif à la prolongation du délai pour rendre un avis à l’employeur ; 10° l’avis du conseiller en prévention aspects psychosociaux ; 11° le document qui avertit de la date de la remise de l’avis à l’employeur ; 12° le document qui transmet l’avis du conseiller en prévention aspects psychosociaux aux personnes visées à l’article I.3-25 ; 13° les documents visés aux articles I.3-26 et I.3-27 remis au demandeur, à l’autre personne directement impliquée et au conseiller en prévention chargé de la direction du service interne ; 14° le document contenant la décision motivée de l’employeur quant aux suites qu’il donne à la demande ; 15° le cas échéant, le document visé à l’article I.3-20 contenant les propositions de mesures de prévention ; 16° le cas échéant, le document visé à l’article I.3-21 qui informe l’employeur de l’analyse par le conseiller en prévention aspects psychosociaux de la demande à caractère principalement collectif ainsi que l’accord écrit du demandeur. Les notes personnelles prises par le conseiller en prévention aspects psychosociaux lors de ses démarches ne peuvent pas figurer dans le dossier. »
  16. Selon le RGPD, toute information concernant une personne physique identifiée ou identifiable constitue une donnée à caractère personnel
  17. Cette notion d’information doit recevoir une interprétation extensive et peut ainsi englober des informations objectives et subjectives, sous formes d’avis ou d’appréciations, à condition qu’elles concernent la personne en cause.16 Au vu des documents mentionnés à l’article I.3-31 du Code de bienêtre au travail, un conseiller en prévention a l’obligation de tenir des documents comprenant 15 Article 4.1 du RGPD. 16 CJEU, 20 décembre 2017, arrêt Nowak, C-434/16, §
  18. Décision quant au fond 155/2023 – 8/26 des informations concernant le plaignant, y compris des observations sur le plaignant et son lieu de travail, et donc de traiter des données à caractère personnel au sens du RGPD.
  19. La présente affaire porte sur l’exercice du droit d’accès par le plaignant des données à caractère personnel contenues dans ce dossier. Au cours de nombreux échanges avec la défenderesse, celui-ci a sollicité l’accès à plusieurs documents. Il ressort de la procédure de médiation entreprise par le SPL, des conclusions du plaignant ainsi que de l’audition, que le plaignant, au moment de la saisine de la Chambre Contentieuse, avançait comme grief le fait que la défenderesse n’avait pas respecté son droit d’accès quant aux documents suivants :
  20. les notes personnelles des conseillères en prévention concernant ses différentes demandes ;
  21. l’avis complet rendu par la conseillère suite à sa demande d’intervention formelle, ainsi que les annexes de celui-ci ;
  22. le formulaire de fin d’entretien de mars
  24. Le fait que ces documents contiennent des données à caractère personnel n’est pas contesté par la défenderesse, si ce n’est pour la partie de l’avis complet qui contient des mesures collectives. En effet, la défenderesse estime, en s’appuyant sur les travaux parlementaires17, que la partie d’un avis comprenant les mesures collectives ne constitue pas des données à caractère personnel. Ces mesures seraient tout au plus des informations relatives à la prévention générale de l’entreprise
  26. Pour la Chambre Contentieuse, ce point appelle plusieurs commentaires. Tout d’abord, la Chambre Contentieuse constate que le législateur, s’agissant de la partie de l’avis contenant des mesures collectives, considère qu’ « il ne s’agit pas de données à caractère personnel au sens de la loi du 8 décembre 1992 puisqu’il ne s’agit pas d’informations concernant une personne physique mais plutôt d’informations relatives à la prévention générale de l’entreprise »
  27. La Chambre Contentieuse rappelle que la définition de données à caractère personnel en vigueur à l’époque ou le projet de loi a été adopté, et contenue dans la loi du 8 décembre 1992, est identique à celle contenue à l’article 4.1 du RGPD, qui la définit comme « toute information se rapportant à une personne physique identifiée ou identifiable ».
  28. Cette définition doit être lue à lumière de la jurisprudence de la Cour de Justice de l’Union européenne. Celle-ci juge notamment que « Cette définition est applicable lorsque, en raison de leur contenu, de leur finalité et de leur effet, les informations en cause sont liées à une 17 Projet de loi modifiant la loi du 4 août 1996 relative au bien-être des travailleurs lors de l’exécution de leur travail, en ce qui concerne les procédures judiciaires, Doc Parl, Chambre, 2005-2006, Doc51/2687/1, p.
  29. 18 Conclusions de synthèse de la défenderesse, p.
  30. Renvoyant vers : Projet de loi modifiant la loi du 4 août 1996 relative au bien-être des travailleurs lors de l’exécution de leur travail, en ce qui concerne les procédures judiciaires, Doc Parl, Chambre, 2005-2006, Doc51/2687/1, p.
  31. 19 Projet de loi modifiant la loi du 4 août 1996 relative au bien-être des travailleurs lors de l’exécution de leur travail, en ce qui concerne les procédures judiciaires, Doc Parl, Chambre, 2005-2006, Doc 51/2687/1, p.
  32. Décision quant au fond 155/2023 – 9/26 personne physique déterminée […]. Pour déterminer si une personne physique est identifiable, directement ou indirectement, il convient de prendre en considération l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre soit par le responsable du traitement, au sens de l’article 4, point 7, du RGPD, soit par autrui, pour identifier cette personne, sans pour autant exiger que toutes les informations permettant d’identifier ladite personne se trouvent entre les mains d’une seule entité …. »20
  33. Il s’ensuit logiquement que pour savoir si un document contient des données à caractère personnel il faut effectuer une évaluation concrète sur base des informations dont il est question, et de leur lien avec une personne identifiable directement ou indirectement. La position du législateur de considérer qu’un certain document ne contient par essence pas de données à caractère personnel et de l’exclure automatiquement du champ d’application matériel du RGPD n’est pas conforme à ce dernier et à la jurisprudence de la CJUE.
  34. De plus, le législateur adopte une position contradictoire lorsqu’il exclut ce document du champ d’application du RGPD, mais prévoit également une dérogation au droit d’accès à son sujet. Ces deux positions sont inconciliables. La mise en place d’une dérogation au droit d’accès à propos de certaines données requiert comme condition sine qua non que ces données tombent sous le champ d’application du RGPD. Le système mis en place par le législateur dans la loi relative au bien-être au travail semble opérer une confusion, volontaire ou non, entre le droit d’accès aux documents dans le cadre de la procédure de la loi bien-être au travail et le droit d’accès au sens du RGPD.
  35. Or, la Cour de justice de l’Union européenne distingue clairement ces deux instruments, puisqu’elle énonce que « le terme « copie » [au sens de l’article 15.3 du RGPD] ne se rapporte pas à un document en tant que tel, mais aux données à caractère personnel qu’il contient et qui doivent être complètes »
  36. Le droit d’accès au sens de l’article 15.3 du RGPD n’est donc pas un droit d’obtenir l’accès à des documents mais bien à des données. Ceci n’exclut cependant pas qu’une personne puisse, lors de l’exercice du droit d’accès «obtenir une copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui. »22
  37. Malgré les apparentes contradictions dans la loi relative au bien-être au travail , la Chambre Contentieuse prend acte du fait que celui-ci a bien établi un régime dérogatoire au droit d’accès dans la législation belge. La légalité de ce dispositif et son application par la 20 CJUE, 9 novembre 2023, Gesamtverband Autoteile-Handel, C-319/22, §45 21 CJUE, 4 mai 2023, C-487/21, Österreichische Datenschutzbehörde, §
  38. 22 CJUE, 4 mai 2023, C-487/21, Österreichische Datenschutzbehörde, § 45 et 54 ,1). Décision quant au fond 155/2023 – 10/26 défenderesse doivent donc être analysés par la Chambre Contentieuse, sous l’article 23 du RGPD. II.1.
  40. Composition du dossier de pièces Le 13 juillet 2021, le plaignant a adressé un courriel à la Chambre Contentieuse se plaignant du fait que lors de la transmission du dossier de pièces de l’affaire, la défenderesse avait reçu des informations qui concernaient un autre dossier ouvert par le plaignant auprès de l’APD. Le plaignant avançait que la défenderesse avait utilisé certaines de ces informations dans ses conclusions.
  41. La pièce en question23 (ci-après, « la pièce litigieuse ») est un courriel daté du 11 décembre 2020 envoyé par le plaignant à la Directrice du SPL de l’époque. Il y demande des nouvelles de deux dossiers qu’il a ouvert auprès de l’APD : le présent dossier ainsi qu’un autre dossier (ci-après, « l’autre dossier »). Cette pièce litigieuse a été ajoutée par le SPL au dossier de pièces de la présente affaire ainsi que de l’autre dossier puisqu’elle comprend des interactions entre le plaignant et l’APD au sujet de ceux-ci. La pièce litigieuse comprend trois annexes, une lié à l’autre dossier et deux liés à la présente affaire. L’annexe liée à l’autre dossier, comprend notamment le point de vue juridique d’une collaboratrice du SPL par lequel elle indique que la loi du 30 juillet 2018 ne contient pas une liste exhaustive de toutes les limitations aux droits des personnes concernées en droit belge. C’est cette information qui a été reprise par la défenderesse dans ses conclusions.
  42. La partie de l’argument juridique avancé par la défenderesse dans ses conclusions sur base de la pièce litigieuse, était déjà connu de la Chambre Contentieuse puisqu’il avait été exprimé par une collaboratrice du SPL et qu’il faisait partie du dossier interne de l’APD. Le fait qu’il soit repris par la défenderesse n’a donc pas pu influencer son point de vue sur cette question. En d’autres termes, la conclusion à laquelle la Chambre Contentieuse est parvenue n’aurait pas pu être différente, même dans l’hypothèse où la partie de l’argument basé sur la pièce litigieuse était écarté de débats puisque la Chambre Contentieuse avait déjà eu connaissance de ce point de vue.
  43. Au vu des éléments ci-dessous, la Chambre Contentieuse juge que ce point est donc sans incidence sur le dossier. 23 Pièce 8 de l’inventaire du dossier. Décision quant au fond 155/2023 – 11/26 II.
  44. Quant au fond du dossier
  45. Les griefs avancés par le plaignant sont de deux ordres. Premièrement, le plaignant conteste le refus opposé par la défenderesse de lui donner une copie de certains documents (à savoir les notes personnelles des conseillères en prévention, les avis rendus par les conseillères en prévention, y compris les annexes de ces avis) et revendique l’accès à un formulaire de fin d’entretien préalable datant de mars
  46. Deuxièmement, le plaignant avance que l’accès qui lui a été donné à certains documents est tardif. La Chambre Contentieuse examinera tout d’abord la portée du droit d’accès du plaignant et, ensuite, si l’accès effectivement donné par la défenderesse a respecté les prescriptions de l’

du RGPD. II.2.

  1. Sur la violation du droit d’accès (articles 15 du RGPD) II.2.1.
  3. Position des parties Le plaignant a, à plusieurs reprises, demandé une copie des notes personnelles des conseillères en prévention, l’avis complet et les annexes des avis rendus par les conseillères en prévention dans le cadre des interventions introduites à son initiative. Selon lui, la défenderesse ne pouvait pas lui refuser l’accès à ces documents. Il estime que la dérogation au droit d’accès prévue par la loi bien-être au travail n’est pas conforme au RGPD. Il se plaint également du fait qu’il n’a pas reçu le formulaire de fin d’entretien de mars
  5. La défenderesse a avancé qu’elle ne pouvait pas légalement lui donner accès à certains documents demandés par le plaignant en raison d’une dérogation explicite au droit d’accès prévue à l’article 32septiesdecies de la loi bien-être au travail qui restreint l’accès aux documents suivants : les notes personnelles des conseillers en prévention, les avis et annexes rendus par un conseiller en prévention à la suite d’une intervention formelle. Elle ne conteste pas devoir fournir le formulaire de fin d’entretien de mars 2015, mais affirme qu’elle ne dispose plus de celui-ci.
  6. Le plaignant a soulevé le fait que l’article 32septiesdecies se réfère à la loi du 8 décembre
  7. Selon le plaignant, les dérogations au RGPD sont encadrées par l’article 23 du RGPD 24 Article 10 de la loi du 8 décembre 1992 (abrogée par la loi du 30 juillet 2018), relatif au droit d’accès des personnes concernées : « §
  8. La personne concernée qui apporte la preuve de son identité a le droit d'obtenir du responsable du traitement : a) la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les catégories de destinataires auxquels les données sont communiquées ; b) la communication, sous une forme intelligible, des données faisant l'objet des traitements, ainsi que de toute information disponible sur l'origine de ces données ; c) la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, dans le cas des décisions automatisées visées à l'

bis ;

  1. d)un avertissement de la faculté d'exercer les recours prévus aux articles 12 et 14 et, éventuellement, de consulter le registre public prévu à l'article 18. Décision quant au fond 155/2023 – 12/26 et doivent être spécifiées dans le chapitre III du la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (ciaprès « la loi du 30 juillet 2018 »).25 Or, la dérogation de l’article 32septiesdecies n’y figure pas. Et l’article 32septiesdecies fonde sa dérogation sur la loi du 8 décembre 1992, qui a été abrogée par la loi du 30 juillet 2018. Donc, selon le plaignant, cette dérogation au droit d’accès n’est plus applicable et la défenderesse ne peut la lui opposer. 43. Selon la défenderesse, l’article 32septiesdecies, en tant que dérogation à l’article 15 du RGPD, est toujours en vigueur et met en œuvre l’article 23 du RGPD. La défenderesse avance que la liste de dérogations prévue au chapitre III de la loi du 30 juillet 2018 n’est pas exhaustive. II.2.1.2. Position de la Chambre Contentieuse quant au respect du droit d’accès et à ses limitations (articles 15 et 23 du RGPD) 44. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les principes de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés. Elle doit par ailleurs mettre en œuvre toutes les mesures nécessaires à cet effet, conformément au principe de responsabilité.26 45. Aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que les données à caractère personnel la concernant sont ou ne sont pas traitées. Lorsque c’est le cas, la personne concernée a le droit d’obtenir l’accès aux dites données à caractère personnel ainsi qu’une série d’informations listées à l’article 15.1,
  2. a)- h). Le RGPD prévoit en outre, aux termes de l’article 15.3, que la personne concernée a le droit d’obtenir une copie des données à caractère personnel qui font l’objet du traitement. L’article 15.4 prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui. 46. La Chambre Contentieuse rappelle que le droit d’accès est une des exigences majeures du droit à la protection des données : il constitue la « porte d’entrée » qui permet l’exercice des A cette fin, la personne concernée adresse une demande datée et signée au responsable du traitement ou à toute autre personne désignée par le Roi. Les renseignements sont communiqués sans délai et au plus tard dans les quarante-cinq jours de la réception de la demande. Le Roi peut fixer les modalités pour l'exercice du droit visé à l'alinéa 1. […] » 25 Article 280 de la loi du 30 juillet 2018. 26 Articles 5.2 et 24 du RGPD. Décision quant au fond 155/2023 – 13/26 autres droits que le RGPD confère à la personne concernée, tels que le droit à la rectification27 ou le droit à l’effacement28.29 47. Cependant, le droit d’accès, comme d’autres droits prévus par le RGPD, n’est pas un droit absolu. Ce droit doit être mis en balance avec d’autres droits30 ou d’autres objectifs d’intérêt général. L’article 23 du RGPD permet notamment au législateur belge d’adopter des dérogations aux droits prévus par les articles 15 à 22 du RGPD, moyennant le respect de certaines conditions. Sur la licéité de la dérogation au droit d’accès prévue à l’article 32septiesdecies de la loi bien-être au travail au regard de l’article 23 du RGPD 48. L’article 32septiesdecies énonce ce qui suit : « Par dérogation à l'article 10 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, la personne concernée n'a pas accès aux données à caractère personnel et à l'origine de ces données contenues dans les documents suivants : 1° Les notes prises par le conseiller en prévention et la personne de confiance au cours des entretiens réalisés dans le cadre de l'intervention psychosociale informelle, sous réserve de l'application de l'article 32quinquiesdecies, alinéa 2, 1° ; 2° la demande d'intervention psychosociale formelle, sous réserve de l'application de l'article 32quaterdecies, alinéa 1er, et de l'article 32quinquiesdecies, alinéa 2, 3°,
  3. b); 3° les documents reprenant les déclarations des personnes entendues par le conseiller en prévention dans le cadre de l'examen de la demande d'intervention psychosociale formelle, sous réserve de l'application de l'article 32quaterdecies, alinéa 2 ; 4° l'avis du conseiller en prévention, sous réserve de l'application de l'article 32quinquiesdecies, alinéa 2, 2°, c), d), e), et de l'article 32sexiesdecies ; 5° les données particulières à caractère personnel relevées par le conseiller en prévention visé à l'article 32sexies, § 1er ou la personne de confiance lors de leurs démarches et qui leurs sont exclusivement réservées. » 27 Article 16 du RGPD. 28 Article 17 du RGPD. 29 CJUE, arrêt du 12 janvier 2023, Österreichische Post AG, C-154/12, § 38 ; CJUE, arrêt du 17 juillet 2014, YS et al., C-141/12 et C-372/12, § 44 ; CJUE, arrêt du 20 décembre 2017, Nowak, C-434/16, § 57. 30 Article 15.4 du RGPD. Décision quant au fond 155/2023 – 14/26 49. Tout d’abord, la Chambre Contentieuse vérifie que la dérogation en question est toujours d’application, ce que le plaignant conteste. S’il est vrai que l’article 280 de la loi du 30 juillet 2018 déclare que la loi du 8 décembre 1992 est abrogée, l’article 253, alinéa 1 de la loi du 30 juillet 2018 dispose quant à lui que : « Les lois, les arrêtés royaux et toute autre réglementation existants qui font référence à la loi du 8 décembre 1992 relative à la protection de la vie privée à l’égard des traitements de données à caractère personnel sont présumés faire référence à la présente loi ou, le cas échéant, au Règlement. » La Chambre Contentieuse constate donc que la dérogation visée à l’article 32septiesdecies se réfère désormais à la loi du 30 juillet 2018, ou le cas échéant au RGPD, et est toujours en vigueur. L’article 10 de la loi du 8 décembre 1992 consacrait le droit d’accès. Cet article a donc été remplacé par l’article 15 du RGPD qui régit également le droit d’accès. 50. En tant qu’exception à l’article 15 du RGPD, l’article 32septiesdecies doit respecter les conditions formulées par l’article 23 du RGPD. La Chambre Contentieuse procède donc à l’examen de la validité de l’article 32septiesdecies de la loi bien-être au travail au regard des exigences de l’article 23 du RGPD. Les dispositions de l’article 23 du RGPD visent à créer un équilibre entre ces droits et d’autres intérêts légitimes dans une société démocratique. Pour ce faire, des restrictions aux droits prévus aux articles 12 à 22 du RGPD sont possibles moyennant le respect des conditions suivantes : - Premièrement : la dérogation doit être prévue par une mesure législative ; - Deuxièmement : la dérogation doit poursuivre un des motifs énumérés dans la liste exhaustive du paragraphe 1 de l’article 23 31 ; - Troisièmement : la dérogation doit respecter l’essence des droits et libertés fondamentaux ; 31 A savoir :
  4. a)la sécurité nationale;
  5. b)la défense nationale;
  6. c)la sécurité publique;
  7. d)la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;
  8. e)d'autres objectifs importants d'intérêt public général de l'Union ou d'un État membre, notamment un intérêt économique ou financier important de l'Union ou d'un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale;
  9. f)la protection de l'indépendance de la justice et des procédures judiciaires;
  10. g)la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière;
  11. h)une mission de contrôle, d'inspection ou de réglementation liée, même occasionnellement, à l'exercice de l'autorité publique, dans les cas visés aux points
  12. a)à
  13. e)et g);
  14. i)la protection de la personne concernée ou des droits et libertés d'autrui;
  15. j)
  16. j)l'exécution des demandes de droit civil. Décision quant au fond 155/2023 – 15/26 - Quatrièmement : la dérogation doit être une mesure nécessaire et proportionnée dans une société démocratique (test de proportionnalité) ; - Cinquièmement : la mesure législative doit contenir des dispositions spécifiques relatives à certaines caractéristiques du traitement en cause. 32 51. Concernant la première condition, la dérogation doit être prévue dans une mesure législative du droit de l’Union européenne ou d’un Etat membre. Cette mesure législative ne doit pas forcément être une loi, une ordonnance ou un décret adopté par un parlement, mais toute norme juridique suffisamment claire et précise, dont l’application doit être prévisible pour toute personne concernée.33 En l’occurrence, la dérogation est prévue par une norme ayant force de loi. Cette loi établit une liste de documents clairement délimitée auxquels le droit d’accès ne s’applique pas et prévoit également certaines exceptions à cette dérogation. La dérogation est volontairement limitée et restreinte à des documents précis et prévoit des exceptions à cette dérogation. La loi use donc de termes assez clairs pour indiquer à tous de manière suffisante en quelles circonstances et sous quelles conditions la limitation au droit d’accès à lieu. La Chambre Contentieuse juge l’article 32septiesdecies suffisamment clair, précis et prévisible. La première condition est donc rencontrée. 52. Deuxièmement, la dérogation au droit d’accès prévue par l’article 32septiesdecies de la loi bien-être au travail doit poursuivre l’un des motifs énumérés limitativement par l’article 23. L’article 32septiesdecies s’inscrit dans une loi visant à garantir la sécurité et la santé des travailleurs. Dans ce cadre, les conseillers en prévention doivent aider les employeurs à détecter des risques pour les travailleurs et à appliquer la législation protectrice des travailleurs. La Chambre Contentieuse considère donc que cet objectif vise à garantir la protection de la personne concernée ou des droits et libertés d’autrui, telle qu’énoncée à l’article 23.1, i). Le considérant 73 du RGPD indique par ailleurs que la protection de la personne concernée visée à l’article 23 comprend la protection sociale. 53. Troisièmement, la dérogation doit respecter l’essence du droit faisant l’objet de la limitation, en l’espèce, le droit d’accès prévu par l’article 15 du RGPD. Le RGPD ne définit pas ce que signifie l’essence d’un droit ou d’une liberté et la Cour de Justice de l’Union européenne n’a 32 Article 23, §2 : « En particulier, toute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant :
  17. a)aux finalités du traitement ou des catégories de traitement ;
  18. b)aux catégories de données à caractère personnel ;
  19. c)à l'étendue des limitations introduites ;
  20. d)aux garanties destinées à prévenir les abus ou l'accès ou le transfert illicites ;
  21. e)à la détermination du responsable du traitement ou des catégories de responsables du traitement ;
  22. f)aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement ;
  23. g)aux risques pour les droits et libertés des personnes concernées ; et
  24. h)au droit des personnes concernées d'être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. » 33 Considérant 41 du RGPD. Décision quant au fond 155/2023 – 16/26 pas non plus établit de définition claire de cette notion.34 Sur base des lignes directrices du Comité européen de la protection des données35, la Chambre Contentieuse estime que l’essence d’un droit est atteinte lorsque la portée de sa protection est tellement réduite que son existence est remise en question pour les personnes concernées. 36 In casu, comme indiqué au point 49, l’article 32septiesdecies a pour effet de restreindre le droit d’accès aux données contenues dans une liste de documents clairement délimitée et prévoit également certaines exceptions à cette dérogation. La dérogation est volontairement limitée et restreinte et ne porte par conséquent pas atteinte au droit d’accès aux données contenues dans d’autres documents détenus par les conseillers en prévention. Dès lors, la Chambre Contentieuse juge que cette disposition n'est pas contraire au contenu essentiel du droit d’accès. 54. Quatrièmement, le test de proportionnalité vise à vérifier si l’ingérence au droit à la protection des données est strictement nécessaire pour répondre à l’objectif poursuivi par la dérogation.37 Dans le cas d’espèce, la protection sociale des travailleurs recourant aux services d’un conseiller en prévention est poursuivie par la limitation de leur droit d’accès à certains documents, dans certaines circonstances. Concrètement, cette limitation vise, comme l’a confirmé la défenderesse lors de l’audition 38, à permettre au conseiller en prévention de donner un avis impartial et à dégager des solutions, tout en veillant à ne pas dégrader le climat relationnel sur le lieu de travail des personnes concernées. Elle apparait donc nécessaire à la protection des personnes concernées sur leur lieu de travail. Comme déjà constaté ci-dessus, les documents échappant au droit d’accès sont énumérés par la loi et leur non-accès est de nature à atteindre la finalité poursuivie par la dérogation 39. 55. Cinquièmement, la disposition législative doit contenir certaines informations listées par le §2 de l’article 23 sur la limitation qu’elle contient, relatives : - Aux finalités du traitement ou des catégories de traitement ; - Aux catégories de données à caractère personnel ; 34 Voyez, par exemple, CJUE, 6 octobre 2015, arrêt Schrems c. Data Protection Commissionner, où la CJUE a notamment jugé qu’une règlementation américaine permettant aux autorités américaines d’accéder de manière généralisée au contenu des communications électroniques de personnes concernées est contraire au contenu essentiel du droit fondamental au respect de la vie privée garanti par l’article 7 de la Charte des droits fondamentaux (§94). 35 Comité européen de la protection des données, Guidelines 10/2020 on restrictions under Article 23 GDPR, points 14 et 15 p. 7, disponible sur : https://edpb.europa.eu/system/files/202110/edpb_guidelines202010_on_art23_adopted_after_consultation_en.pdf 36 Voyez notamment M. BRKAN, « The Concept of Essence of Fundamental Rights in the EU Legal Order: Peeling the Onion to its Core”, European Constitutional Law Review, 2018, p. 363. 37 CJUE, arrêt du 8 avril 2014, Digital Rights Ireland, C-293/12, C-594/12, § 149-150. 38 PV de l’audition du 26 octobre 2023, p. 4. 39 La raison de la dérogation est explicité pour chacun des documents visés dans les travaux préparatoires. Voir projet de loi modifiant la loi du 4 août 1996 relative au bien-être des travailleurs lors de l’exécution de leur travail, en ce qui concerne les procédures judiciaires, Doc Parl, Chambre, 2005-2006, Doc51/2687/1, p. 39 et s.. . Décision quant au fond 155/2023 – 17/26 - A l’étendue des limitations introduites ; - Aux garanties destinées à prévenir les abus ou l’accès ou le transfert illicites ; - A la détermination du responsable du traitement ou des catégories de responsable du traitement ; - Aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement ; - Aux risques pour les droits et libertés des personnes concernées ; et - Au droit des personnes concernées d’être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation. La Chambre Contentieuse constate que ces éléments sont présents, même s’ils ne sont pas explicitement cités. Les finalités du traitement et les catégories de traitement sont délimitées par les missions assignées aux conseillers en prévention. Les catégories de données et l’étendue des limitations sont indiquées dans l’article 32septiesdecies. La durée de conservation et les garanties applicables à cette conservation ou destinées à prévenir des abus ou des transferts illicites sont précisées dans le Code de bien-être au travail.40 56. La Chambre Contentieuse conclut donc que la limitation du droit d’accès prévue par l’article 32septiesdecies du Code de bien-être au travail répond aux conditions prévues par l’article 23 du RGPD et, en conséquence, s’applique aux demandes du plaignant. La portée du droit d’accès du plaignant 57. Il ressort des pièces du dossier, y compris la procédure de médiation entreprise par le SPL et les conclusions du plaignant, que ce dernier a introduit une demande d’accès auprès de la défenderesse pour les documents suivants : 1. les notes personnelles des conseillères en prévention concernant ses différentes demandes ; 2. l’avis complet rendu par la conseillère suite à sa demande d’intervention formelle, ainsi que les annexes de celui-ci ; 3. le formulaire de fin d’entretien de mars 2015. 40 L’article I.3-32 indique notamment que le conseiller en prévention a la charge du dossier individuel et la date de conservation est de vingt ans. Les articles I.3-33 et I.3-34 indiquent par ailleurs les transferts autorisés et la procédure à suivre pour un tel transfert. Article I.3-6, §1er alinéa 4. Décision quant au fond 155/2023 – 18/26 58. Pour ce qui concerne le premier point, l’article 32septiesdecies, 1° 41 interdit à la personne concernée d’accéder aux notes prises par les conseillers en prévention au cours des entretiens réalisés dans le cadre de l’intervention psychosociale informelle. Le conseiller en prévention chargé d’une intervention psychosociale informelle est toutefois autorisé à communiquer les informations qu’il estime pertinentes pour le bon déroulement de l’intervention aux personnes qui y participent 42. Il appartient donc au conseiller en prévention de déterminer si la communication de certaines informations à la personne concernée est nécessaire au bon déroulement de l’intervention. La communication des notes dans son ensemble ne semble pas être autorisée et ne peut en aucun cas être imposée au conseiller en prévention. En vertu de l’article32septiesdecies de la loi bien-être au travail, le plaignant ne peut donc exiger l’accès aux notes personnelles des conseillères en prévention le concernant. 59. Ensuite, la dérogation de l’article 32septiesdecies, 4° 43 interdit également à la personne concernée d’accéder à l’avis du conseiller en prévention, sous réserve de l’application de l’article 32quinquiesdecies, alinéa 2, 2°, c), d),
  25. e)et de l’article 32sexiesdecies. Les dispositions mentionnées dans les deux articles cités prévoient les transferts suivants à l’égard de la personne concernée et demandeuse de l’intervention : - Le conseiller en prévention transmet à la personne demandeuse et à la personne impliquée les mesures sur la situation de travail spécifique qu’il conseille d’adopter dans le cadre d’une intervention psychosociale formelle 44; - L’employeur doit uniquement remettre une copie de l’avis rendu par la conseillère en prévention au travailleur ayant demandé l’intervention psychosociale formelle pour des faits de harcèlement moral quand il envisage d’agir en justice.45 60. Cet article interdit à la défenderesse de donner accès à l’avis complet au plaignant. Elle ne peut que lui fournir les mesures sur sa situation de travail spécifique. Il ressort des pièces du dossier, en particulier du courriel du plaignant envoyé le 12 octobre 2020 au délégué à la protection des données de la défenderesse, que le plaignant souhaitait agir en justice contre son ex-employeur46. Dans ces circonstances, l’article 32sexiesdecies établit une obligation dans le chef de l’employeur de remettre une copie à la personne concernée. En l'espèce, il 41 « 1° Les notes prises par le [conseiller en prévention visé à l'article 32sexies, § 1 er] et la personne de confiance au cours des entretiens réalisés dans le cadre de l'intervention psychosociale informelle, sous réserve de l’application de l’article 32quinquiesdecies, alinéa 2, 1° » 42 Article 32quinquiesdecies, alinéa 2, 1°de la loi bien-être au travail. 43 « 4° l’avis du conseiller en prévention visé à l'article 32sexies, § 1 er, sous réserve de l’application de l’article 32quinquiesdecies, alinéa 2, 2°, c), d), e), et de l'article32sexiesdecies » 44 Article 32quinquiesdecies, alinéa 2, 2°,
  26. d)de la loi bien-être au travail. 45 Article 32sexiesdecies de la loi bien-être au travail. 46 Pièce jointe de la pièce 5 de l’inventaire du dossier, où le plaignant a écrit : « Concernant les annexes de l'avis complet, l'article 32sexiesdecies stipule que la personne qui a introduit la demande d'intervention formelle et qui envisage d'agir en justice, comme c'est mon cas, peut disposer de l'avis des [conseillers en prévention]. » Décision quant au fond 155/2023 – 19/26 ressort des conclusions du plaignant et de l’audition qui a eu lieu devant la Chambre Contentieuse, qu’il a obtenu l'avis complet en le demandant à l'employeur 47. Pour la Chambre Contentieuse, le mécanisme mis en place par l’article 32septiesdecies, 4° a donc été respecté et aucun manquement ne peut être reproché à la défenderesse. 61. Le plaignant a également demandé l’accès aux annexes de l’avis. Lors de l’audition, le plaignant a clarifié qu’il ignore ce que contiennent précisément ces annexes, mais qu’elles lui semblent faire partie intégrante de l’avis et qu’il estime donc avoir le droit d’en obtenir une copie. La défenderesse a clarifié lors de l’audition que les annexes pouvaient être constituées des témoignages des personnes entendues par exemple, mais également d’autres documents. Elle a ajouté que ces annexes n’étaient jamais fournies aux parties, qu’elles soient la personne concernée ou l’employeur. Elle confirme que les annexes font partie de l’avis complet, mais ajoute qu’étant donné qu’elle n’est pas habilitée à fournir l’avis complet au plaignant, elle ne peut pas non plus lui fournir les annexes. 62. La Chambre Contentieuse note que les deux parties jugent que les annexes de l’avis font partie intégrante de l’avis lui-même. Conformément à la conclusion à laquelle elle est arrivée au point 58 ci-dessus, la Chambre Contentieuse juge donc que les annexes de l’avis sont également soumises à la dérogation prévue à l’article 32septiesdecies, 4°, qui interdit à la défenderesse de donner accès à ces documents au plaignant. 63. Cette conclusion est d’ailleurs renforcé par l’article 32septiesdecies, 3° 48 de la loi sur le bienêtre qui interdit la personne concernée d’accéder aux documents reprenant les témoignages des personnes entendues par le conseiller en prévention dans le cadre d’une intervention psychosociale formelle. La loi bien-être au travail prévoit que les témoins et la personne mise en cause reçoivent uniquement une copie de leur propre déclaration49. 64. Comme la Chambre Contentieuse l’a constaté aux points 59 et 60 ci-dessus, seul l‘employeur est soumis à l’obligation de donner accès à l’avis complet à la personne concernée lorsque celle-ci envisage d’agir en justice. Pour la Chambre Contentieuse, ceci devrait inclure les annexes dans l’hypothèse où il les aurait reçues. Or selon les propos exprimés par la défenderesse lors de l’audience, l’employeur ne reçoit pas non plus les annexes de l’avis et aucun élément n’a été porté à l’attention de la Chambre Contentieuse qui lui permettrait de conclure que l’employeur, qui n’est pas partie à la procédure, aurait omis de fournir les annexes de l’avis au plaignant. 47 Voir page 5 et pièce 7 des conclusions du plaignant. 48 « 3° les documents reprenant les déclarations des personnes entendues par le [conseiller en prévention visé à l'article 32sexies, § 1er] dans le cadre de l’examen de [la demande d'intervention psychosociale formelle], sous réserve de l’application de l’article 32quaterdecies, alinéa 2 » 49 Article 32quaterdecies, alinéa 2 de la loi bien-être au travail. Décision quant au fond 155/2023 – 20/26 65. Dès lors, la Chambre Contentieuse constate que le plaignant ne peut demander l’accès aux annexes de l’avis complet à la défenderesse. Cette dernière étant soumise à une interdiction de les lui fournir. 66. Enfin, le dernier document demandés par le plaignant est une copie du formulaire de fin d’entretien de mars 2015. La défenderesse ne conteste pas le droit du plaignant d’y avoir accès au sens de l’article 15 du RGPD, mais elle ne peut faire suite à cette demande d’accès car elle ne serait plus en possession de ce document. La Chambre Contentieuse note que le Code du bien-être au travail (article I.3-31, alinéa 1, 1°) impose à la défenderesse de conserver dans le dossier de la personne concernée un « document qui atteste de l’entretien personnel informatif ». Il semble que la pratique de la défenderesse était de conserver non pas un mais deux documents. En effet, dans ses conclusions, le plaignant confirme avoir reçu une attestation de présence à l’entretien de mars 2015. La défenderesse de son côté admet avoir perdu le formulaire de fin d’entretien de mars 2015 qui est un document distinct. 67. La Chambre Contentieuse constate que le dossier du plaignant contient bien un document qui atteste de l’entretien personnel informatif de mars 2015 et que celui-ci a été fourni au plaignant. Un autre document, nommé formulaire de fin d’entretien, qui peut tout autant être considéré comme un document attestant de l’entretien 50, a visiblement été égaré par la défenderesse. Dans sa décision 15/202151, la Chambre Contentieuse avait déjà établi qu’elle ne pouvait ordonner de faire suite à une demande d’accès portant sur des données qui ont été effacées ou détruites. Dans cette décision, la Chambre Contentieuse avait ordonné à la défenderesse de lui fournir une déclaration sur l’honneur attestant de l’effacement des données. La Chambre Contentieuse a pris connaissance de la déclaration sur l’honneur fournie par la défenderesse dans la présente affaire 52. Elle juge par conséquent que la défenderesse ne peut donner au plaignant la copie du formulaire de fin d’entretien dont elle ne dispose plus. 68. La Chambre Contentieuse s’interroge néanmoins sur la perte ou la destruction d’un tel document comprenant des données à caractère personnel du plaignant. Un tel cas de figure pourrait constituer une violation de données au sens de l’article 4.12 du RGPD. La Chambre Contentieuse rappelle les obligations du responsable de traitement consistant en l’adoption de mesures de sécurité techniques et organisationnelles53 et en la prévention et notification de violations de données, conformément aux articles 33 et 34 du RGPD. 54 50 Comme exigé par l’article I.-3-31, alinéa 1,1° du Code du bien-être au travail 51 Chambre Contentieuse, décision 15/2021 du 9 février 2021. https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-15-2021.pdf 52 Pièce 11 du dossier des conclusions de synthèse de la défenderesse. 53 Article 32 du RGPD. 54 Disponible sur Sur ce sujet, voyez également EDPB, Guidelines 9/2022 on personal data breach notification under GDPR, disponible sur https://edpb.europa.eu/system/files/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf Décision quant au fond 155/2023 – 21/26 69. En conclusion, sur les trois documents demandés par le plaignant (voir points 27 et 40), la Chambre Contentieuse juge que le plaignant ne pouvait exercer son droit d’accès prévu par l’article 15 du RGPD pour obtenir une copie de l’avis complet de la conseillère en prévention et de ses annexes, ou les notes du conseiller en prévention. Le plaignant était en droit d’obtenir le formulaire de fin d’entretien mais celui-ci ne peut lui être fournit étant donné qu’il a été déclaré perdu par la défenderesse. La Chambre Contentieuse conclut donc qu’il n’y a pas eu de violation de l’article 15 du RGPD. II.2.2. Quant au respect des modalités d’exercice du droit d’accès (

du RGPD) II.2.2.

  2. Considérations générales L’

du RGPD relatif aux modalités d’exercice de leurs droits par les personnes concernées prévoit quant à lui que le responsable du traitement doit faciliter l’exercice des droits de la personne concernée (

§2

du RGPD) et lui fournir les informations sur les mesures prises à la suite de sa demande dans les meilleurs délais et, au plus tard, dans le délai d’un mois à compter de sa demande (

§3du RGPD).

Pour des demandes plus complexes, ou lorsque le responsable du traitement reçoit un nombre important de demandes, ce délai initial d’un mois peut être prolongé de deux mois (

§3

). Lorsque le responsable de traitement n’a pas l’intention de donner suite à une demande, il doit notifier les motifs de son refus à la personne concernée dans un délai d’un mois accompagné de l’information selon laquelle un recours contre ce refus peut être introduit auprès de l’autorité de contrôle de protection des données (

§4du RGPD).

71. Dans l’éventualité d’un refus de faire suite à une demande, la Chambre Contentieuse souligne l’importance de la motivation de ce refus. L’

§4

du RGPD doit être lu en combinaison avec l’

§2

: pour faciliter l’exercice des droits des personnes concernées, un responsable de traitement doit indiquer en des termes clairs et simples le motif de son refus. Si ce refus est fondé sur une disposition légale, la disposition légale pertinente doit être communiquée à la personne concernée. En effet, il serait difficile pour une personne concernée d’évaluer la pertinence d’un refus et d’exercer ses droits si la motivation d’un tel refus repose sur une base légale erronée ou manquante. II.2.2.4. 72. Position des parties Le plaignant soulève que la défenderesse lui a accordé un accès tardif aux documents demandés : sa demande a été introduite le 15 février 2019 et la copie lui a été envoyée le 20 octobre 2020. Selon le plaignant, la défenderesse n’a pas respecté l’

du RGPD. De son côté, la défenderesse conteste une violation de l’

et argumente qu’elle a Décision quant au fond 155/2023 – 22/26 respecté les délais prescrits par le RGPD. De plus, la défenderesse avance que son refus d’accorder un accès ne peut être confondu avec une absence de réponse. 73. Lors de l’audition, la partie défenderesse a avancé que la Chambre Contentieuse ne pouvait examiner une éventuelle violation de l’

du RGPD dans son chef puisque seuls le respect des articles 15 et 23 du RGPD avait été inclus dans la lettre de la Chambre Contentieuse du 27 mai 2021 informant les parties que le dossier allait être traité sur le fond sur base de l’article 98 LCA (ci-après, lettre article 98). La défenderesse se réfère à cet égard à la jurisprudence de la Cour des marchés. 74. La Chambre Contentieuse fait valoir en premier lieu que la défenderesse a pu se prononcer sur la potentielle violation de l’

du RGPD dans ses conclusions, répondant aux conclusions du plaignant. Elle ne peut donc pas prétendre que cet article n’aurait pas été soulevé par le plaignant et il convient de constater qu’elle a pu présenter sa défense à cet égard. En outre, vu le lien évident entre l’

du RGPD, qui prescrit les modalités de l'exercice des droits de la personne concernée, et l’article 15 du RGPD qui réglemente le droit d’accès, la Chambre Contentieuse s’estime compétente pour se prononcer sur les violations alléguées de l’

du RGPD.

  1. Concernant le premier exercice du droit d’accès du plaignant pour les notes personnelles de la conseillère en prévention, le plaignant a introduit sa demande le 15 février
  2. L’agent de la défenderesse, lui a répondu le 15 février 2019 par un refus fondé sur l’Arrêté royal du 10 avril 2014 relatif à la prévention des risques psychosociaux au travail. Par la suite, le 28 février 2019, ce refus a été motivé et fondé sur l’article I.3-31, alinéa 2 du Code du bien-être au travail, et les articles 32quaterdecies et quinquiesdecies de la loi relative au bien-être.
  3. La Chambre Contentieuse constate que la défenderesse a répondu au plaignant dans le délai imparti d’un mois et a motivé son refus. Cependant, la base légale invoquée par la défenderesse n’est pas pertinente pour motiver ce refus. En effet, c’est l’article 32septiesdecies qui interdit l’accès des notes personnelles des conseillers en prévention aux travailleurs. L’article I.3-31 indique le contenu d’un dossier individuel mais n’est pas pertinent pour limiter la portée du droit d’accès d’une personne concernée. Par conséquent, la défenderesse a violé les dispositions de l’

.4 du RGPD en invoquant une base légale non pertinente pour justifier son refus.

  1. Concernant le deuxième exercice du droit d’accès pour son dossier médical 55 et son dossier psychosocial le 15 et le 21 février 2019 la Chambre Contentieuse note que la défenderesse a répondu à cette demande le 21 février
  2. 55 Le plaignant ayant indiqué lors de l’audition qu’il n’avait aucun grief au sujet de l’accès à son dossier médical, ce point n’est pas pas abordé par la Chambre Contentieuse. Décision quant au fond 155/2023 – 23/26
  3. Cependant, il ressort des pièces que ce n’est que le 20 octobre 2020 que le plaignant a effectivement reçu une copie de son dossier (sans les pièces litigieuses)
  4. Par cet envoi tardif de la copie du dossier psychosocial du plaignant le 20 octobre 2020, alors que la demande avait déjà été faite le 15 février 2019 et répétée à plusieurs reprises, la défenderesse n’a pas respecté le délai imparti d’un mois. La Chambre Contentieuse constate que la défenderesse a violé l’

.3 du RGPD.

  1. Quant au troisième exercice du droit d’accès du plaignant, le plaignant avait contacté le délégué à la protection des données de la défenderesse et lui avait demandé une copie de son dossier psychosocial, des annexes des avis rendus par la défenderesse à la suite des deux interventions demandées par le plaignant et toutes les notes personnelles des conseillères en prévention le concernant. Cette demande avait été introduite le 28 septembre 2020 et a été transférée au délégué à la protection des données de la défenderesse le 7 octobre
  2. Le délégué à la protection des données y a répondu le 9 octobre 2020 par un refus général (ce refus ne portait pas sur la déclaration du plaignant lors de l’intervention d’un conseiller en prévention). Le délégué de la défenderesse s’est justifié en indiquant que les conseillers en prévention sont tenus au secret professionnel,57 dont la violation est sanctionnée par l’article 458 du Code pénal. La Chambre Contentieuse constate que cette réponse a été fournie dans le délai imparti d’un mois.
  3. Bien que le refus du délégué soit motivé, la Chambre Contentieuse juge cette réponse incomplète et erronée. En effet, le plaignant avait le droit de demander une copie de son dossier psychosocial. La disposition légale pertinente pour opposer un refus à la demande du plaignant, et ce uniquement pour certains documents (voir points 45 à 49), est l’article 32septiesdecies. De surcroît, le secret professionnel vise justement à protéger les personnes se confiant auprès de professionnels. Les professionnels soumis au secret professionnel ne peuvent donc opposer le secret professionnel à ces personnes pour leur refuser des informations les concernant. La Chambre Contentieuse constate donc que la défenderesse a violé les dispositions de l’

.4 du RGPD invoquant une base légale non pertinente pour justifier son refus. 81. Quant au quatrième exercice du droit d’accès par l’intermédiaire du SPL, la défenderesse a répondu dans le délai imparti et a invoqué une disposition légale pertinente, l’article 32septiesdecies. La Chambre Contentieuse ne constate pas de violation de l’

du RGPD. II.

  1. Conclusions 56 Voir points 4 à 8 ci-dessus. 57 Article 32quinquiesdecies de la loi bien-être au travail. Décision quant au fond 155/2023 – 24/26
  2. Sur base des éléments précédents, la Chambre Contentieuse constate les violations commises par la défenderesse suivantes : I. Bien que son refus fût légitime, la défenderesse a motivé de manière erronée et donc incomplète son refus de données accès aux notes personnelles des conseillères en prévention et aux annexes de l’avis rendu. La défenderesse a invoqué des bases légales non pertinentes et n’a donc pas faciliter l’exercice des droits du plaignant. La défenderesse a donc violé l’

.4 du RGPD. II. La défenderesse a accordé un accès tardif au dossier psychosocial du plaignant. Celui-ci avait exercé son droit d’accès le 15 février 2019 mais n’a reçu son dossier qu’en octobre 2020, soit près de vingt mois après sa demande initiale. Cet accès est tardif et contraire à l’

, §3 du RGPD. III. Mesures correctrices et sanctions

  1. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements ou des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits ; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agréation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
  2. La Chambre Contentieuse décide d’adresser à la défenderesse une réprimande sur la base de l’article 100, 5° de la LCA du chef des manquements aux articles 12, §3 et 4 (refus Décision quant au fond 155/2023 – 25/26 insuffisamment motivé et réponse tardive). Le choix de cette sanction vise à sanctionner des manquements passés auxquels il a été partiellement été remédié. IV. Publication de la décision
  3. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification du plaignant soient directement communiquées.
  4. En l’espèce, la Chambre Contentieuse décide de publier la présente décision avec identification des données de la partie défenderesse.
  5. La Chambre Contentieuse précise que cette publication avec identification de la défenderesse poursuit plusieurs objectifs.
  6. Elle vise en ce qui concerne la défenderesse un objectif d’intérêt général. L’identification de la défenderesse est par ailleurs nécessaire à la bonne compréhension de la décision et donc, à la matérialisation de l’objectif de transparence poursuivi par la politique de publication des décisions de la Chambre Contentieuse. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération, en vertu de l'article 100, §1er, 5° de la LCA, de prononcer une réprimande pour la violation l’

, §3 et §

  1. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire
  2. La requête interlocutoire doit être 58 La requête contient à peine de nullité: 1° l'indication des jour, mois et an; 2° les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro d’entreprise; 3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer; 4° l'objet et l'exposé sommaire des moyens de la demande; 5° l'indication du juge qui est saisi de la demande; 6° la signature du requérant ou de son avocat. Décision quant au fond 155/2023 – 26/26 déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.59, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (sé). Hielke HIJMANS Président de la Chambre Contentieuse 59 La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au greffier de la juridiction ou déposée au greffe.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.