← België

Beslissing ten gronde nr. 167/2024

1/35 Chambre Contentieuse Décision quant au fond 167/2024 du 19 décembre 2024 Numéro de dossier : DOS-2022-00861 Objet : Plainte contre un service externe de prévention et de protection au travail (SEPPT) – légalité du recours à un conseiller en prévention indépendant et conséquences au regard du principe de licéité (article 5.1.

  1. a)et 6 du RGPD) – exercice du droit d’accès prétendument excessif (article 12.5. du RGPD) La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Yves Poullet et Christophe Boeraeve, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : Monsieur X, Ci-après « le plaignant ». La défenderesse : Le SEPPT, Représentée par Me Olivier Scheuer et Me Grégory Sorreaux, avocats, dont le cabinet est établi place Poelaert, 6 à 1000 Bruxelles ; Ci-après « la défenderesse ». 1 Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le 01/06/2024. Conformément à l’article 56 de la loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers de médiation, requêtes, inspections et procédures devant la Chambre contentieuse initiés à partir de cette date : https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-desdonnees.pdf Les dossiers initiés avant le 01/06/2024 [comme en l’espèce] sont soumis aux dispositions de la LCA nonmodifiée par la Loi du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date. Décision quant au fond 167/2024 — 2/35 I. 1. Faits et procédure Le 24 février 2022, le plaignant introduit une plainte auprès de l’Autorité de protection des données (APD) contre la défenderesse. 2. La défenderesse est un service externe de prévention et de protection au travail (SEPPT) régi par la « Loi bien-être »2 et le livre II, titre 3 du Code du bien-être au travail relatif au service externe pour la prévention et la protection au travail 3. 3. La défenderesse est le SEPPT choisi par une Haute Ecole. 4. Le plaignant est enseignant auprès de cette Haute Ecole. 5. En février 2021, le plaignant fait appel aux services de la défenderesse à la suite de faits de harcèlement dont il indique avoir été victime au sein de la Haute Ecole. Il introduit une demande d’intervention psychosociale formelle auprès de la défenderesse. 6. Le 9 mars 2021, le plaignant est informé que sa demande (ainsi que d’autres précédemment introduites) sera traitée par Mme Z1 (ci-après Mme Z1). 7. En août 2021, Madame Z1) co-signe, en qualité de conseillère en prévention indépendante, intervenue à la demande de la défenderesse, un avis consécutif à la demande d’intervention psychosociale du plaignant avec deux autres conseillers en prévention de la défenderesse. 8. Le 13 octobre 2021, le plaignant s’adresse au délégué à la protection des données (DPO) de la défenderesse. Dans son courriel, le plaignant déclare constater que sa demande a été partiellement traitée par Madame Z1, qui ne travaille plus pour la défenderesse depuis 2017. Le plaignant est d’avis que ce faisant, la défenderesse a violé l’interdiction de recourir à la sous-traitance pour l’examen de demandes telle celle qu’il a introduite. Il demande à être informé de la manière dont sont traitées et conservées ses données tant par la défenderesse que par Madame Z1. Il demande également de connaitre quelles sont ses données conservées par l’une et par l’autre ainsi que d’en recevoir une copie. Il précise qu’à défaut de réponse, il avertira et/ou déposera plainte à l’APD. 9. Le 14 octobre 2021, la défenderesse suspend son intervention au regard des demandes d’interventions psychosociales du plaignant (celle de février 2021 mentionnée au point 5 ayant été précédée et suivie d’autres demandes comme il sera exposé plus loin dans la décision) pour les motifs ci-dessous : « Nous avons pris connaissance des différentes plaintes que vous avez introduites auprès de nos services et de nos conseillers en prévention pour les aspects psychosociaux. Vous nous avez également informé du fait que vous aviez 2 La loi du 4 août 1996 relative au bien-être des travailleurs lors de l'exécution de leur travail, M.B., 18 septembre 1996. 3 Code du bien-être au travail, M.B., 2 juin 2017. Décision quant au fond 167/2024 — 3/35 l’intention de déposer une plainte auprès du Procureur du Roi et peut-être également auprès de l’Autorité de protection des données Tout ceci en plus de la procédure déjà pendante devant le Tribunal du travail. Dans ce contexte, vous comprendrez qu’il nous est impossible d’encore garantir notre indépendance dans le traitement des dossiers que vous voudriez nous soumettre. Dès lors, nous avons décidé de suspendre tout examen d’intervention introduite à votre demande dans le cadre de notre compétence relative aux risques psychosociaux. (…) ». 10. Aux termes de la plainte qu’il introduit à l’APD contre la défenderesse le 24 février 2022, le plaignant dénonce : - d’une part l’absence de réponse donnée par la défenderesse à sa demande du 13 octobre 2021 (point 8) ; - d’autre part l’illicéité de la communication de données à caractère personnel le concernant par la défenderesse à un conseiller en prévention indépendant, externe à ses services, en la personne de Madame Z1. Le recours à la sous-traitance pour ce type de mission étant interdit selon le plaignant, la communication de données à caractère personnel le concernant à cette conseillère indépendante aux fins d’effectuer cette mission est également entaché d’illégalité. Le plaignant s’interroge par ailleurs sur l’existence d’une convention de sous-traitance réclamée par l’article 28 du RGPD. 11. Le 25 février 2022 la plainte est déclarée recevable par le Service de Première Ligne (SPL) de l’APD sur la base des articles 58 et 60 de la LCA et transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 12. Le 24 mars 2022, conformément à l’article 96, § 1er de LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection (SI). 13. Le 13 septembre 2022, l’enquête du SI est clôturée, le rapport d’enquête est joint au dossier et transmis par l’inspecteur général au Président de la Chambre Contentieuse (art. 91, § 1 er et § 2 de la LCA). 14. Le rapport du SI conclut à une « absence de violation patente du RGPD » (page 18 du rapport) à l’appui des constats suivants : - Le recours à un conseiller en prévention indépendant est en principe une pratique juridiquement admise. L’inspection du travail a en l’espèce validé le recours à une psychologue indépendante [lisez Mme Z1] pour gérer le dossier du plaignant, notamment au vu de l’attitude hostile de ce dernier vis-à-vis du personnel de la défenderesse. - Le SI conçoit qu’en multipliant les messages hostiles vers la défenderesse, le plaignant a créé les conditions ayant mené à l’absence de réponse à sa demande du Décision quant au fond 167/2024 — 4/35 13 octobre 2021. Comme le veut l’adage ajoute le SI, « Nul ne peut se prévaloir de sa propre turpitude ». 15. Le 27 juin 2023, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 16. A cette même date, les parties sont informées par envoi recommandé des dispositions reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions au regard des griefs tirés d’une violation potentielle des articles 5.1 a), 6.1 et 12 du RGPD. La date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 24 août 2023, celle pour les conclusions en réplique du plaignant au 14 septembre 2023 et celle pour les conclusions en réplique de la défenderesse au 6 octobre 2023. 17. Le 30 juin 2023, la défenderesse demande une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 4 juillet 2023. 18. Le 30 juillet 2023, le plaignant demande à son tour une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 7 août 2023. 19. Le 23 août 2023, la Chambre Contentieuse reçoit les conclusions en réponse de la défenderesse. La défenderesse ayant déposé des conclusions de synthèse, son argumentation est résumée aux points 22 et suivants ci-dessous. 20. Le 12 septembre 2023, la Chambre Contentieuse reçoit les conclusions en réplique du plaignant. - Quant au grief tiré de la violation des articles 5.1.
  2. a)et 6.1 du RGPD, le plaignant dénonce l’illégalité de l’intervention de Madame Z1 au regard de la Loi bien -être (article 42. alinéa 2) et partant, le fait qu’elle ne pouvait avoir accès à ses données personnelles. - Quant à l’article 12 du RGPD, le plaignant expose qu’il a été transgressé dès lors que la défenderesse n’a pas répondu à sa demande du 13 octobre 2021 (point 8). Le plaignant conteste tout recours abusif aux différentes procédures qu’il a initiées, en ce compris sa demande du 13 octobre 2021, abus qui justifierait l’absence de réponse de la défenderesse. - Le plaignant introduit par ailleurs via ses conclusions une « demande incidente pour violation des articles 5.1.
  3. d)et 5.1.
  4. f)du RGPD » sur pied de l’article 809 du Code judiciaire4. 4 Article 5.1.
  5. d)et
  6. f)du RGPD : Les données à caractère personnel doivent être: (…)
  7. d)exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude); (…)
  8. f)traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité). Décision quant au fond 167/2024 — 5/35 21. Le 6 octobre 2023, la Chambre Contentieuse reçoit les conclusions de synthèse de la défenderesse. 22. De manière générale, la défenderesse met en évidence le contexte particulièrement conflictuel et procédurier dans lequel s’inscrit la plainte du plaignant. Elle souligne que celui-ci ne recourt pas aux procédures en bon père de famille, qu’il s’agisse de celles qu’il a introduites en matière de bien-être des travailleurs ou de celles prévues par le RGPD. - Quant à la prétendue illicéité du traitement au regard des articles 5.1.
  9. a)et 6 du RGPD : la défenderesse conclut que ce grief manque en droit et qu’à l’appui de l’article 42 alinéa 2 de la Loi bien-être, le recours à Madame Z1 en qualité de conseillère en prévention indépendante était licite. - Quant à la prétendue violation de l’article 12 du RGPD 5, a défenderesse reconnait ne pas avoir donné de suite à la demande du 13 octobre 2021 du plaignant (point 8). Pour autant, elle plaide que cette omission n’est pas coupable dès lors que la demande du plaignant était abusive. - Quant à la prétendue violation des articles 5.1.
  10. d)et 5.1.
  11. f)du RGPD, la défenderesse expose que cette demande n’est pas recevable, le cadre de la procédure étant strictement délimité et exposé dans le courrier du 27 juin 2023 de la Chambre Contentieuse (points 15-16). Elle souligne que l’article 809 du Code judiciaire invoqué par le plaignant n’est au demeurant pas applicable au cas d’espèce. - La défenderesse conclut qu’eu égard aux éléments ci-dessus, la Chambre Contentieuse doit prononcer un non - lieu ou, à titre subsidiaire, un simple constat de manquement sans sanction. - La défenderesse demande par ailleurs qu’eu égard à son activité ainsi qu’ à l’image et à la fonction d’un SEPPT, la décision de la Chambre Contentieuse ne soit, si elle devait acter l’une ou l’autre violation dans son chef (quod non), pas publiée. Si telle décision devait être publiée, la défenderesse demande qu’elle le soit de façon anonymisée. Article 809 du Code judiciaire (C.J.) : « Entre parties en cause, les demandes incidentes sont formées par conclusions, déposées au greffe, et envoyées aux autres parties, ainsi qu'il est dit aux articles 742 à 746 ». Cet article doit être lu en combinaison avec l’article 807 du C.J. pour en comprendre la portée. Article 807 du C.J. : « La demande dont le juge est saisi peut être étendue ou modifiée, si les conclusions nouvelles, contradictoirement prises, sont fondées sur un fait ou un acte invoqué dans la citation, même si leur qualification juridique est différente ». 5 Pour être complet, la Chambre Contentieuse relève que la défenderesse souligne également que le plaignant ne solliciterait pas de constat de violation de l’article 12 du RGPD. Décision quant au fond 167/2024 — 6/35 II. Motivation6 II.1. Quant à la qualité de la défenderesse 23. La Chambre Contentieuse relève que la défenderesse est une asbl constituée comme service externe de prévention et de protection au travail (SEPPT) au sens de l’article 40 de la Loi bien-être7. 24. Les employeurs ont l’obligation de promouvoir le bien-être de leurs travailleurs et doivent notamment adopter des mesures de prévention appropriées pour prévenir des risques psychosociaux au travail8. Cette obligation implique également celle de créer, en interne, un service de prévention et de protection au travail. Les employeurs peuvent également faire appel à des services externes de prévention et de protection au travail (SEPPT) telle la défenderesse. 25. L’employeur doit par ailleurs mettre en place des procédures permettant au travailleur qui estime avoir subi un risque psychosocial, de demander soit une intervention psychosociale informelle, soit une intervention psychosociale formelle 9. Quand un SEPPT est impliqué comme en l’espèce, ces demandes d’intervention peuvent être directement introduites auprès d’un conseiller en prévention de ce service externe. Ce SEPPT peut, ainsi qu’il sera exposé ci-après, également faire appel à un conseiller en prévention indépendant. En réponse à la demande d’intervention psychosociale, le conseiller en prévention rédige un avis, destiné à l’employeur, conseillant l’adoption de mesures individuelles vis-à-vis de la personne demandeuse (tel le plaignant en l’espèce) ou la mise en œuvre de mesures collectives. 26. Bien que la défenderesse soit engagée contractuellement avec l’employeur du plaignant (soit avec la Haute école), la défenderesse avait l’obligation de réaliser ses missions légales en toute indépendance. Sa qualité de responsable de traitement découle des missions que lui confie la règlementation relative au bien - être au travail10. La défenderesse est ainsi un responsable de traitement au sens de l’article 4.7. du RGPD 11. La Chambre Contentieuse 6 Le plaignant indiquant aux termes de sa défense que la défenderesse a proféré des calomnies et autres propos diffamants à son égard, la Chambre Contentieuse précise à toutes fins utiles qu’elle n’est pas compétente pour connaître des délits tels que la calomnie ou la diffamation au sens du Code pénal. 7 Art. 40.- § 1er. Des services externes de Prévention et de Protection au travail sont institués. Ces services disposent d'un ou de plusieurs conseillers en prévention. § 3. Le Roi détermine les conditions et les modalités selon lesquelles un Service externe visé aux §§ 1er et 2 peut être agréé. Il fixe également les règles concernant son organisation, ses missions et son statut juridique ainsi que celles concernant les compétences des conseillers en prévention. 8 Article 5 de la Loi bien-être au travail. 9 Article 32/2, §2, alinéa 3 de la Loi bien-être au travail 10 11 Voy. la Loi bien-être précédemment citée.. « Responsable du traitement » : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre. Décision quant au fond 167/2024 — 7/35 rappelle ici qu’une autorité publique est en principe responsable du traitement de données nécessaires à la mise en œuvre de la mission d’intérêt public qui lui incombe (ou qui relève de l’autorité publique dont elle est investie)12, ou nécessaires à l’obligation légale qui la lie13, en vertu de la norme concernée. Elle souligne en outre la conformité de cette analyse au récent arrêt de la Cour de justice de l’Union européenne (CJUE) du 11 janvier 2024.14 II.2. Quant à la prétendue illicéité de la communication de données relatives au plaignant à Madame Z1 (articles 5.1.
  12. a)et 6.1 du RGPD) II.2.1. Position du SI 27. Ainsi qu’il a été mentionné au point 14, le SI est d’avis que « le recours à un conseiller en prévention indépendant est en principe une pratique juridiquement admise. L’Inspection du travail (SPF Economie15) a en l’espèce validé le recours à une psychologue indépendante (en l’occurrence une ancienne employée du SEPPT (lisez la défenderesse)) pour gérer le dossier de Monsieur X (lisez le plaignant), notamment au vu de l’attitude hostile de ce dernier vis-àvis du personnel du SEPPT (lisez la défenderesse) ». 28. Le rapport du SI cite à l’appui de son constat un extrait de la lettre du 15 juillet 2022 adressée par le SPF Emploi, Travail et Concertation sociale (SPF ETCS) à la défenderesse : « Dans le cadre des problèmes rencontrés avec monsieur X (lisez le plaignant), faire appel à un conseiller en prévention indépendant avec lequel vous avez une telle relation durable pourrait être une solution pour traiter la dernière demande d’intervention formelle » (page 18 du rapport d’enquête). 29. Le SI conclut « qu’il ne dispose pas d’éléments établissant une violation patente du RGPD en ce qui concerne les faits ayant fait l’objet de son enquête ». II.2.2. Position des parties Position du plaignant 30. Aux termes de sa plainte, le plaignant dénonce le recours illicite, par la défenderesse, à un conseiller en prévention indépendant externe à ses services (en la personne de Madame Z1), cette « sous-traitance » étant selon lui interdite. 12 Article 6, 1., e), du RGPD. 13 Article 6, 1., c), du RGPD. 14 Aff,C-231/22, État belge (Données traitées par un journal officiel), ECLI:EU:C:2024:7. 15 Il convient toutefois de lire « SPF Emploi, Travail et Concertation sociale » et non « SPF Economie », la pièce à laquelle le SI fait référence émanant bien du SPF Emploi, Travail et Concertation sociale (SPF ETCS) et non du SPF Economie. Décision quant au fond 167/2024 — 8/35 31. Dans ses conclusions en réponse, le plaignant développe qu’en toute hypothèse16, à suivre la défenderesse qui plaide que le recours à un conseiller en prévention externe serait légalement autorisé (voy. infra, points 37 et suivants), les garanties requises en cas de recours à un conseiller en prévention indépendant ne sont en toute hypothèse pas satisfaites en l’espèce. 32. Premièrement, le plaignant indique en ce sens que l’exigence, au titre de garantie, d’une convention valide et durable entre la défenderesse et ledit conseiller en prévention externe auquel il est fait appel, soit en l’espèce Madame Z1 en tant que conseillère en prévention indépendante, n’est pas rencontrée. 33. Le plaignant relève à cet égard que : - la convention de collaboration du 21 décembre 2020 produite par la défenderesse est passée entre elle et la SRL ABCD, représentée par Mme Z1 alors que Mme Z1 n’est, aux termes des statuts de ladite société, pas qualifiée pour représenter cette société pour laquelle elle ne serait qu’une consultante externe. Le plaignant dénonce l’usurpation par Mme Z1 de la qualité de gérante de cette société, la convention étant dès lors selon lui un faux en écriture. A supposer que la convention du 21 décembre 2020 ait une existence légale, quod non selon lui, le plaignant souligne que la condition d’une convention durable entre la défenderesse et le conseiller en prévention indépendant auquel elle fait appel, n’est pas en toute hypothèse pas satisfaite puisqu’il n’existe pas de lien direct entre la défenderesse et Mme Z1. - La convention de confidentialité du 13 février 2020 produite par la défenderesse mentionne qu’il s’agit d’une annexe à la convention de collaboration de la même date (13 février 2020), laquelle convention, non produite, n’existe selon le plaignant tout simplement pas. L’annexe seule n’a donc aucune valeur légale. Le plaignant souligne qu’à cette date du 13 février 2020, l’objet social de la société ABCD n’avait pas encore été modifié17 et n’incluait rien qui se rapproche de prestations de psychologue ou de conseiller en prévention externe ce qui entache dès lors en toute hypothèse la convention de confidentialité d’illégalité. - La convention de confidentialité du 29 novembre 2021 produite par la défenderesse mentionne elle aussi qu’elle constitue une annexe à une convention de collaboration dont la date n’est pas mentionnée et qui selon le plaignant n’existe pas plus que celle du 13 février 2020 dont question ci-dessus. L’annexe seule n’a ici encore aucune valeur 16 S’agissant du courrier du SPF ETCS du 15 juillet 2022 sur lequel le SI prend appui pour valider le recours à un conseiller en prévention indépendant, le plaignant conclut qu’il est habile de la part de la défenderesse de faire croire que c’est l’intervention de Mme Z1 qui est concernée aux termes de celui-ci. Il ajoute qu’en réalité, ce courrier est consécutif au refus de la défenderesse du 14 octobre 2021 de poursuivre l’examen de ses demandes (voy. point 9 de l’exposé des faits). Ce courrier vise donc une demande qu’il aurait introduite en mai 2022, également traitée par un conseiller en prévention indépendant distinct de Mme Z1. 17 Le plaignant souligne que la modification des statuts est intervenue …, soit après la signature des conventions de 2020. La société n’aurait par ailleurs aucun code NACEBEL. Décision quant au fond 167/2024 — 9/35 légale. Elle est par ailleurs postérieure à sa demande du 13 octobre 2021 et ne peut donc pas entrer en ligne de compte au regard du recours par la défenderesse à Mme Z1 en mars 2021. Outre les accusations de faux en écriture au regard de la convention de collaboration du 21 décembre 2020 (voy. ci-dessus), le plaignant estime que dans l’urgence, dans la foulée de la demande qu’il a introduite le 13 octobre 2021, la défenderesse a manifestement tenté de régulariser son recours à Madame Z1 en signant cette convention incomplète. Il ajoute qu’il n’exclut pas que la défenderesse produise lors de ses prochaines conclusions, les conventions manquantes antidatées. 34. S’agissant du courrier du SPF ETCS du 15 juillet 2022 sur lequel le SI prend appui pour valider le recours à un conseiller en prévention indépendant, le plaignant dénonce que contrairement aux conditions posées par le SPF dans ce courrier, il n’a pas été informé ni du partage, ni du contenu du partage ni encore des personnes avec qui ce partage aurait lieu et n’a en toute hypothèse pas donné son accord sur celui-ci. Il estime qu’aux termes du mail de la défenderesse du 9 mars 2021 (point 6), Mme Z1, lui a été présentée de manière trompeuse comme une collègue des conseillers en prévention membres du personnel de la défenderesse à qui sa demande avait été initialement confiée et non comme une conseillère en prévention indépendante. Il n’aurait donc jamais été correctement informé ni n’aurait consenti au partage de ses données avec elle, écartant ainsi toute basée de licéité de traitement de ses données en application de l’article 6.1.
  13. a)du RGPD. 35. Le plaignant écarte ensuite une à une chacune des autres bases de licéité de l’article 6.1 du RGPD, pour les motifs ci-après : - S’agissant du contrat (article 6.1.
  14. b)du RGPD), le plaignant souligne l’absence de contrat entre Mme Z1 et la défenderesse d’une part, comme entre Mme Z1 et son employeur d’autre part ; - S’agissant de l’obligation légale (article 6.1.
  15. c)du RGPD), le plaignant insiste sur le fait que le recours à une conseillère en prévention indépendante telle Mme Z1 est interdit par la loi. L’hypothèse de l’obligation légale ne s’applique donc pas ; - Le plaignant exclut également un intérêt vital dans son chef (article 6.1.
  16. d)du RGPD) ; - S’agissant de la mission d’intérêt public (article 6.1.
  17. e)du RGPD), le plaignant estime qu’à l’inverse, la gestion de sa demande a été privatisée dès lors qu’elle a été confiée à la SRL ABCD ou à Mme Z1 ; - Enfin, le plaignant écarte également l’intérêt légitime de la défenderesse à communiquer ses données à Mme Z1 (article 6.1.
  18. f)du RGPD) réfutant longuement tout « épuisement » des conseillers en prévention interne à la défenderesse dû à ses demandes multiples, lequel épuisement aurait justifié le recours à un conseiller en prévention indépendant. Décision quant au fond 167/2024 — 10/35 36. Enfin, le plaignant fait également grief du manque d’indépendance dans le chef de Mme Z1 et de sa « collusion » avec Maître Z2, conseil de son employeur (soit la Haute école) ce en violation des règles selon lesquelles le conseiller en prévention doit exercer sa fonction en toute indépendance. Position de la défenderesse 37. La défenderesse motive sa position selon laquelle elle pouvait, en toute légalité, recourir à Mme Z1 en qualité de conseillère en prévention indépendante, à l’appui des éléments suivants : - Aucune disposition légale n’interdit à un SEPPT de collaborer avec un conseiller en prévention indépendant, externe à son personnel. - Les travaux préparatoires du livre II, titre 3 du Code du bien-être au travail relatif au SEPPT autorisent expressément le recours à un conseiller en prévention indépendant en ces termes : « Le conseiller en prévention peut être lié au service externe pour la prévention et la protection au travail [ SEPPT] par un contrat de travail, mais il peut également exercer ses prestations en tant qu’indépendant 18 ». - La doctrine autorisée confirme également que le conseiller en prévention d’un SEPPT ne doit pas nécessairement être lié par un contrat de travail ou un statut et qu’il peut également être un indépendant.19 - L’interprétation donnée à l’article 42 alinéa 2 de la Loi bien-être par l’administration sur le site Internet du SPF ETCS confirme que le SEPPT peut collaborer avec des indépendants en ces termes : « L’article 42 alinéa 2 de la loi dispose que « le service externe (…) doit établir une relation contractuelle avec le conseiller en prévention auquel il est fait appel de façon à donner les garanties suffisantes pour parvenir à une collaboration durable entre l’employeur et le conseiller en prévention. Dans cette disposition, deux relations entrent en ligne de compte, à savoir la relation du conseiller en prévention avec le service externe d’une part et la relation du conseiller en prévention avec l’employeur qui fait appel à ce service externe d’autre part. En ce qui concerne la relation avec le service externe, l’exposé des 18 Doc. Parl, Ch., 50 2033/0001, p. 11 (page 6 des conclusions de synthèse de la défenderesse). C’est la Chambre Contentieuse qui souligne. 19 La défenderesse cite l’auteur K. Van den Langenbergh sans plus de précisions (page 7 des conclusions de synthèse de la défenderesse). Décision quant au fond 167/2024 — 11/35 motifs précise que les conseillers en prévention peuvent faire partie du personnel du service externe ou être indépendants. (…) »20. - Dans la lettre du 15 juillet 2022 (également citée par le SI – voy. supra point 14), le SPF ETCS confirme à la défenderesse la légalité du recours par le SEPPT à un conseiller en prévention indépendant. « (…) nous vous confirmons qu’un service externe de prévention et de protection au travail peut faire appel à un conseiller en prévention indépendant »21. 38. S’agissant des arguments développés par le plaignant au regard du respect des conditions devant encadrer le recours à un conseiller en prévention indépendant, la défenderesse souligne ce qui suit : - Le plaignant a été informé dès mars 2021 que sa demande serait traitée par Mme Z1 sans que cette information ne suscite de réaction, ni a fortiori d’opposition de sa part, laquelle opposition ne s’est manifestée qu’une fois l’avis rendu en réponse à sa demande d’intervention. - La remise en cause par le plaignant de la régularité de la convention de collaboration conclue par la défenderesse avec la SRL ABCD ainsi que le statut de Madame Z1 dans cette SRL relèvent du droit des sociétés au regard du respect duquel l’APD n’a pas la compétence de se prononcer. - Sans préjudice de sa position ci-dessus, la défenderesse précise qu’en toute hypothèse : o elle a conclu une convention de collaboration avec la SRL ABCD en décembre 2020 puis en novembre 2021 ; conventions qu’elle produit au dossier. La défenderesse indique produire par ailleurs deux conventions de confidentialité conclues avec la SRL ABCD en février 2020 et en novembre 2021. o l’administrateur de la SRL ABCD, Monsieur C., a ratifié la signature de ces conventions par Mme Z1. o Mme Z1 agissait légalement en qualité de dirigeante de la société SRL ABCD o la Commission des psychologues n’a vu aucune objection de principe à ce que Mme Z1 exerce sa profession par le truchement d’une société (voy. les e-mails échangés entre Mme Z1 et la Commission des psychologues – pièce 12 du dossier de pièces de la défenderesse). 20 Page 7 des conclusions de synthèse de la défenderesse. C’est la Chambre Contentieuse qui souligne. 21 C’est la Chambre Contentieuse qui souligne. Décision quant au fond 167/2024 — 12/35 II.2.3. Appréciation de la Chambre Contentieuse 39. La Chambre Contentieuse rappelle qu’aux termes de l’article 5.1
  19. a)du RGPD ((licéité, loyauté, transparence), tout traitement de données doit notamment être licite. 40. Cette exigence de licéité signifie que le traitement de données à caractère personnel doit se faire conformément à l’ensemble des règles légales applicables. Cela implique non seulement le respect de règles de protection des données et la mobilisation d’une base de licéité au sens de l’article 6.1 du RGPD mais également, par exemple, le respect des obligations en matière de droit du travail, du droit des contrats, de la protection des consommateurs, de l’obligation de secret professionnel ou encore des règles de nondiscrimination. Le traitement de données à caractère personnel, même autorisé à l’appui d’une des bases de licéité prévue à l’article 6.1 du RGPD, ne peut contrevenir au droit applicable. 41. En l’espèce, la Chambre Contentieuse est d’avis que la défenderesse pouvait s’appuyer sur l’article 6.1.
  20. e)du RGPD22 pour communiquer à Mme Z1 les données à caractère personnel relatives au plaignant nécessaires à cette dernière pour traiter la demande d’intervention psychosociale introduite par ce dernier en qualité de conseillère en prévention indépendante. 42. La défenderesse est en effet investie de l'exécution d'une mission d'intérêt public, ce en vertu d’une base légale 23. 43. La Chambre Contentieuse relève que l’activité d’un SEPPT telle la défenderesse est règlementée par la « Loi bien-être » et le « Code du bien-être » notamment ainsi qu’il a déjà été mentionné. Les missions qui lui sont confiées par le législateur visent notamment à prévenir les risques psychosociaux au travail. Plus généralement, il est attendu du SEPPT qu’il aide l’employeur à garantir et à améliorer la santé, la sécurité et le bien-être de ses travailleurs. Pour ces motifs, cette mission peut être qualifiée d’intérêt public. 44. Quant à la qualité de la base légale qui la lui confie, la Chambre Contentieuse rappelle le considérant 41 du RGPD qui énonce que, « lorsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l'adoption d'un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l'ordre constitutionnel de l'État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application 22 L’article 6.1.
  21. e)du RGPD prévoit que sont licites « les traitements nécessaires à l’exécution d’une mission d’intérêt public » ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement. 23 Le responsable de traitement doit, conformément à l’article 6.3.
  22. b)du RGPD lu à la lumière des considérants 41 et 45, être investi de l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique en vertu d’une base légale, que ce soit en droit de l’Union européenne ou en droit de l’Etat membre. Décision quant au fond 167/2024 — 13/35 devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour de justice de l'Union européenne (CJUE) et de la Cour européenne des droits de l'homme (Cour eur. D.H.) »24. 45. Les traitements de données personnelles entrant dans l’hypothèse de l’article le 6.1.
  23. e)du RGPD ne sont pas nécessairement explicitement visés par ladite norme comme c’est le cas de l’hypothèse de l’article 6.1.
  24. c)mais doivent, pour être couverts par l’article 6.1
  25. e)du RGPD, concourir à la réalisation de la mission d’intérêt public confiée ou à l’exercice de l’autorité publique. 46. L’exigence de prévisibilité n’en implique pas moins que certains éléments constitutifs du traitement soient inscrits dans la base juridique, dont notamment la finalité du traitement, à savoir, s’agissant du cas d’espèce, l’examen de la demande d’intervention psychosociale formelle. La Chambre Contentieuse est d’avis qu’à cet égard, la Loi bien-être est suffisamment explicite en ce qu’elle prévoit

(1)la mise en place de procédures directement accessibles au travailleur qui estime subir un dommage au sens de l'article 32/1, lui permettant de demander, comme en l’espèce, une intervention psychosociale formelle (article 32/2.2 de la Loi bien-être),
(2)des dispositions spécifiques en lien avec des faits de harcèlement moral (notamment, comme ceux dont le plaignant se déclare victime (article 32 nonies) et
(3)une section spécifiquement consacrée à la communication d’informations et d’accès aux documents de laquelle il ressort que nécessairement un certain nombre de données à caractère personnel d’un demandeur (tel le plaignant en l’espèce) seront traitées aux fins de l’examen de sa demande d’intervention auprès du SEPPT par des conseillers en prévention interne ou, comme en l’espèce par un conseiller indépendant partenaire 25 (accès à la plainte, limites au droit d’accès – article 32quaterdecies et suivants (article 32 septiesdecies)). 47. Quant à l’exigence de nécessité (le traitement n’est licite que si et dans la mesure où il est nécessaire à l‘exécution de la mission d’intérêt public), les responsables de traitement qui souhaitent invoquer l’article 6.1.
  1. e)du RGPD doivent effectuer une pondération entre la nécessité du traitement pour la mission d’intérêt public qu’ils poursuivent et les intérêts des personnes concernées. 48. En l’espèce, la Chambre Contentieuse considère que la communication de données à caractère personnel relatives au plaignant nécessaires à l’exécution par Mme Z1 de la mission d’intérêt public de la défenderesse pouvait intervenir dès lors que celle-ci avait, en toute légalité (voy. points 52 et suivants), fait le choix de recourir à cette dernière en qualité de conseillère indépendante. Cette faculté qui lui est donnée par la loi autorise nécessairement la défenderesse à communiquer à un conseiller en prévention indépendant 24 C’est la Chambre Contentieuse qui souligne. 25 Voy. infra quant à ce. Décision quant au fond 167/2024 — 14/35 les données d’un demandeur (ici le plaignant) nécessaires à l’examen de la demande de ce dernier. De la même manière que des données du demandeur sont nécessaires à la défenderesse pour traiter en interne la demande d’intervention psychosociale dudit demandeur, de la même manière la communication de ces données à la conseillère indépendante Z1 auquel la défenderesse est autorisée à faire appel se justifie. 49. S’agissant de la nécessité de communiquer telle ou telle donnée relative au plaignant à Mme Z1, la Chambre Contentieuse ajoute qu’aux termes de la présente procédure, le plaignant a certes dénoncé l’illicéité du recours à une conseillère indépendante (et partant la communication de données le concernant à celle-
  2. ci)sans remettre en cause la communication de l’une ou l’autre donnée spécifique le concernant, par exemple pour défaut de pertinence. Toutefois, dès lors que la défenderesse ne lui a, pas donné accès aux données le concernant qui avaient effectivement été communiquées à Mme Z1 (ce que la défenderesse ne conteste pas (point 63)), la Chambre Contentieuse est d’avis que le plaignant n’était pas en mesure de le faire. La Chambre Contentieuse rappelle à cet égard que quelle que soit la qualification juridique donnée à Mme Z1 par la défenderesse26, seules les données nécessaires à l’accomplissement de sa mission pouvaient lui être communiquées. 50. A l’appui de ce qui précède, la Chambre Contentieuse ne partage donc pas, et ce quelle que soit la qualification de Mme Z1 comme indiqué ci-dessus, l’analyse du plaignant selon laquelle la défenderesse aurait dû, au titre de l’article 6.1.
  3. a)du RGPD, obtenir son consentement pour la communication de données le concernant à Mme Z1. Certes, le SPF ECTS rappelle effectivement dans son courrier du 15 juillet 2022 que dans les cas où le partage du secret s’avère nécessaire, il ne peut se faire que dans le respect des conditions suivantes :
(1)obtenir l'accord de la personne concernée ;
(2)ne partager les informations qu'avec d'autres personnes tenues au secret professionnel ;
(3)ne partager les informations qu'avec d'autres professionnels poursuivant la même mission ;
(4)partager uniquement les informations strictement nécessaires ou utiles. 51. Contrairement à ce qu’avance le plaignant, son accord à ce partage, à le supposer nécessaire27, ne constitue cependant pas la base de licéité de la communication de données le concernant par la défenderesse à Mme Z1 au sens de l’article 6.1.
  1. a)du RGPD. Ainsi qu’il a été exposé ci-avant, la Chambre Contentieuse est d’avis que la communication à Mme Z1 des données relatives au plaignant s’appuyait, pour autant que seules les données nécessaires au traitement de sa demande d’intervention psychosociale formelle lui aient été communiquées, sur l’article 6.1.
  2. e)du RGPD. 26 La Chambre Contentieuse relève que dans ses réponses aux questions qui lui ont été posées par l’Inspection, la défenderesse a qualifié Mme Z1 de sous-traitant. Cette qualification n’ayant pas été inclue dans la saisine de la Chambre Contentieuse, celle-ci ne se prononce pas sur celle-ci. 27 Voy. l’avis 101/2024 de l’APD qui précise que le secret professionnel partagé et ses conditions valent entre professionnels de soins de santé poursuivant une mission de soins en faveur du patient et excluant par exemple la médecine de contrôle. Décision quant au fond 167/2024 — 15/35 52. S’agissant à présent plus particulièrement de la conformité au droit du recours à une conseillère en prévention indépendante (Mme Z1), la Chambre Contentieuse est d’avis que certes, il ne relève pas de sa compétence première d’apprécier le respect par la défenderesse des interdictions/obligations qui s’imposeraient à elle en exécution de la Loi bien-être (interdiction prétendue du recours à un conseiller en prévention indépendant, conditions de ce recours) ou du droit des sociétés (notamment la régularité des conventions conclues par la défenderesse pour encadrer sa collaboration avec Mme Z1), au même titre que les cours et tribunaux compétents qui seraient directement saisis de ces questions et de l’application des normes applicables. 53. En revanche, il incombe à la Chambre Contentieuse, compte tenu du contrôle du respect du principe de licéité (articles 5.1.
  3. a)et 6.1 du RGPD tel qu’explicité ci-dessus) que lui ont confié les législateurs belge et européen, de vérifier le respect de ces interdictions/obligations et autres obligations légales pesant sur la défenderesse dans la mesure où cela s’avère pertinent pour l’exercice de ses compétences.28 54. La Chambre Contentieuse constate à cet égard que l’article 42 alinéa 2 de la Loi bien-être prévoit que « Le service externe de prévention et de protection au travail doit établir une relation contractuelle avec le conseiller en prévention auquel il fait appel de façon à donner les garanties suffisantes pour parvenir à une collaboration durable entre l'employeur et le conseiller en prévention ». 55. La Chambre Contentieuse est d’avis que si certes, cette disposition n’apparait pas limpide, les travaux préparatoires invoqués tant par la défenderesse que par le SPF ETCS indiquent en revanche sans ambiguïté aucune que le recours à un conseiller en prévention indépendant est autorisé à l’appui de cette disposition 29. S’y ajoute la validation de cette pratique par le SPF ETCS sur son site Internet30 ainsi que dans son courrier du 15 juillet 2022 (par ailleurs également pointée par le SI (points 14 et 28)). Quant à ce, la Chambre Contentieuse est d’avis que la question de savoir si le courrier du 15 juillet 2022 du SPF ETCS constitue une réaction à la demande de février 2021 ou de mai 2022 du plaignant, traitée par 28 Voy. en ce sens les §§ 109 et suivants de la décision contraignante 04/2022 du 5 décembre 2022 Comoé européen de la protection des données ( CEPD) Décision contraignante 4/2022 relative au litige soumis par l’autorité de contrôle irlandaise concernant Meta Platforms Ireland Limited et son service Instagram (article 65 du RGPD) : https://www.edpb.europa.eu/system/files/2024 04/edpb binding decision 202204 ie sa meta instagramservice redacted fr.pdf . Voy en particulier le § 112 : « L’EDPB convient que les autorités de contrôle ne disposent pas, en vertu du RGPD, d’une compétence large et générale en matière contractuelle. Toutefois, l’EDPB considère que les missions de contrôle que le RGPD confère aux autorités de contrôle impliquent une compétence limitée pour apprécier la validité générale d’un contrat dans la mesure où cela est pertinent pour l’accomplissement de leurs missions en vertu du RGPD ». 29 Doc. Parl. Ch, 50 2033/001, p. 11 : https://www.lachambre.be/kvvcr/showpage.cfm?section=flwb&language=fr&cfm=/site/wwwcfm/flwb/flwbn.cfm?dossierID= 2033&legislat=50&inst=K,: Exposé des motifs du projet de loi concernant le bien-être des travailleurs lors de l'exécution de leur travail (Doc. Parl, Ch.rep.,sess. ext. 1995, 71/1, page 28 https://www.lachambre.be/FLWB/PDF/49/0071/49K0071001.pdf 30 https://emploi.belgique.be/fr/themes/bien-etre-au-travail/structures-organisationnelles/le-conseiller-en-prevention/statut- du Décision quant au fond 167/2024 — 16/35 Madame Z1 ou par un autre conseiller en prévention indépendant, est indifférente. En effet, ce que la Chambre Contentieuse retient de ce courrier, c’est qu’il atteste de la possibilité du recours par la défenderesse à un conseiller en prévention indépendant. Il s’agit là d’autant d’éléments que la Chambre Contentieuse tient en compte. La Chambre Contentieuse ne dispose par ailleurs, a contrario, d’aucun élément lui permettant de conclure que le recours à une conseillère en prévention externe serait interdit par la loi. 56. Quant aux arguments du plaignant relatifs à l’illicéité des conventions de collaboration non parfaitement conformes au droit des sociétés, la Chambre Contentieuse rejette ces moyens de défense.. 57. Elle constate qu’en l’espèce : - une « convention de collaboration indépendante » du 21 décembre 2020 entre la défenderesse et Mme Z1 est produite par la défenderesse ; - en son article 1er (objet de la convention), il y est prévu que Mme Z1, dont la qualité de psychologue formée à cette fonction n’est pas contestée, fournisse certains services en tant que conseillère en prévention aspects psychosociaux ; - cette collaboration s’est traduite en l'espèce par la remise d’un avis concernant la demande formelle du plaignant ; - cette collaboration s’inscrit dans la durée, l’article 6 de la convention prévoyant que celle-ci est conclue pour une durée indéterminée prenant cours le 1 er janvier 2021, soit à une date antérieure à la demande d’intervention psychosociale du plaignant de février 2021 ; - certes, la défenderesse a précisé au cours de l’Inspection que Mme Z1 ne travaillait pas habituellement pour la Haute école (employeur du plaignant) avec laquelle il n’y a donc pas (encore) de relation durable. Cette situation peut s’expliquer selon la Chambre Contentieuse par la situation très spécifique du cas d’espèce aux termes de laquelle, la défenderesse, laquelle se déclare épuisée par les recours et attaques multiples du plaignant, a trouvé une solution en recourant à la personne de Mme Z1 ; - la défenderesse explicite que la convention initialement signée par Mme Z1 a été ratifiée par l’administrateur de la société SRL ABCD. La Chambre Contentieuse souligne à cet égard qu’elle n’est pas compétente pour connaitre d’éventuels faux en écriture ou autre usurpation de fonction et que la défenderesse ne conteste ni l’existence de cette convention ni le fait que Mme Z1 aurait agi en exécution de celleci ; - comme les conseillers en prévention interne à la défenderesse, Mme Z1 était tenue au secret professionnel (article 32 quinquiesdecies de la Loi bien-être) ; Décision quant au fond 167/2024 — 17/35 - la défenderesse indique que de manière à garantir ce secret professionnel, Madame Z1 et son associé, Monsieur C., par ailleurs mis en cause par le plaignant et gérant de la SRL, travaillaient de manière totalement séparée (bureaux séparés, ordinateurs distincts, adresse email propre), Madame Z1 utilisant une adresse email de la défenderesse quand elle traitait des demandes d’intervention psychosociale. Le plaignant n’apporte pour sa part pas de preuve tangible d’une violation de ce secret. 58. A l’appui de ce qui précède, la Chambre Contentieuse conclut à l’existence d’une convention durable et valable entre la défenderesse et Mme Z1 au moment des faits, convention en exécution de laquelle l’avis consécutif à la demande d’intervention psychosociale formelle du plaignant a été rendu. La Chambre Contentieuse n’étant pas compétente pour connaître de faux en écriture (usurpation de fonction, antidatage de conventions), elle ne se prononcera pas sur ces aspects. Pour les besoins de l’exercice de sa compétence, elle estime que les éléments relevés ci-dessus démontrent à suffisance l’existence d’un encadrement, conforme à la loi, du recours par la défenderesse, in casu, à une conseillère indépendante. 59. Partant, la Chambre Contentieuse décide que la défenderesse ne s‘est pas rendue coupable d’une violation du principe de licéité du fait du recours à une conseillère en prévention indépendante en la personne de Mme Z1. En revanche, la communication de données du plaignant par la défenderesse à cette conseillère en prévention indépendante ne pourrait être qualifiée de conforme à l’article 6.1.
  4. e)du RGPD que si seules les données nécessaires à l’exercice de sa mission par Mme Z1 lui ont été communiquées par la défenderesse. II.3. Quant à l’absence de réponse à la demande d’accès du plaignant (article 12 du RGPD) II.3.1. Position du SI 60. Aux termes de son rapport d’enquête, le SI conclut que : « il parait par ailleurs que l’absence de réponse à la demande d’accès du plaignant est vraisemblablement due à l’abondance de messages hostiles adressés par ce dernier au SEPPT. Le Service d’Inspection conçoit qu’en multipliant les messages hostiles vers le SEPPT, le plaignant a créé les conditions ayant mené à l’absence de réponse à sa demande. Comme le veut l’adage, nul ne peut se prévaloir de sa propre turpitude » (page 18 du rapport du SI). II.3.2. Position des parties Position du plaignant 61. Le plaignant dénonce l’absence de réponse de la défenderesse à sa demande du 13 octobre 2021 (point 8). Il souligne que cette dernière reconnait cette absence de réponse tout en tentant, dans la lignée du constat du SI, d’en rejeter la responsabilité sur son attitude. Le Décision quant au fond 167/2024 — 18/35 plaignant réfute à cet égard tout recours abusif aux procédures. Il met en évidence qu’il a eu gain de cause dans 4 procédures entamées depuis 2011 (en 2013, 2014, 2017 et 2021) et ayant précédé la présente action devant l’APD. Il ajoute que d’autres procédures sont effectivement pendantes et qu’il n’appartient pas à la défenderesse de substituer son appréciation à celle des magistrats de l’ordre judiciaire, du parquet, de la Commission des psychologues ou encore de la Chambre Contentieuse de l’APD ou de toute autre instance qu’il aurait saisie. 62. Le plaignant dénonce également que la défenderesse a délibérément refusé de répondre à sa demande. Position de la défenderesse 63. La défenderesse reconnait ne pas avoir donné suite à la demande du plaignant du 13 octobre 2021. Elle invoque le comportement abusif de ce dernier, celui-ci multipliant les accusations sans fondement, les attaques gratuites, les menaces et les plaintes à l’égard de son personnel notamment ainsi que les recours devant les tribunaux. Selon la défenderesse, le plaignant cherche manifestement à lui nuire et utilise ses droits dans un sens qui contrevient à la volonté du législateur que ce soit au regard de la législation relative au bienêtre des travailleurs ou au regard du RGPD. Dans ces conditions, la défenderesse estime que le fait de ne pas avoir, de façon isolée, répondu à l’email du 13 octobre 2021 du plaignant ne saurait être considéré comme constituant un manquement coupable à l’article 12 du RGPD. 64. La défenderesse s’appuie sur les éléments ci-dessous pour qualifier le comportement du plaignant d’abusif, ces différents éléments attestant selon elle de son état d’esprit et de son caractère extrêmement procédurier : - En septembre 2020, le plaignant introduit une action à son encontre devant le tribunal de première instance de francophone de Bruxelles. Dans le cadre de cette procédure, la défenderesse souligne le comportement général du plaignant qui, à cette date et en l’espace de 6 ans, avait introduit : o 4 plaintes auprès d’elle en sa qualité de SEPPT dans le cadre de la Loi bien-être ; o 2 plaintes contre des conseillers en prévention des aspects psychosociaux travaillant en son sein ; o 1 plainte contre un inspecteur social du bien-être au travail ; o 2 procédures judiciaires dont celle dont question à l’encontre de la défenderesse ainsi qu’une autre contre la Haute école. - Le … septembre 2021, soit quelques jours avant sa demande du 13 octobre 2021, le plaignant écrit notamment à un conseiller en prévention qu’il a l’intention de déposer Décision quant au fond 167/2024 — 19/35 plainte au pénal pour faux. Sa menace vise à la fois Mme Z1 et les autres conseillers en prévention de la défenderesse, co-signataires de l’avis rendu le concernant ; - Le … octobre 2021, soit quelques jours après avoir formulé sa demande du 13 octobre 2021, le plaignant dépose plainte contre Madame Z1 à la Commission des psychologues ; - Le … janvier 2023, le plaignant introduit une nouvelle demande formelle pour harcèlement contre 12 personnes auprès de la défenderesse. Cette demande est un document de 100 pages accompagné de 266 annexes ; - Le … février 2023, le plaignant informe la défenderesse qu’il a introduit une plainte auprès du procureur du roi pour faux en écritures à l’encontre d’une conseillère en prévention de la défenderesse, co-signataire de l’avis d’août 2021 rendu le concernant ; - Le … février 2023, le plaignant introduit une nouvelle demande d’intervention auprès de la défenderesse contre une 13ème personne (oubliée dans sa demande du 27 janvier 2023 à l’encontre de 12 autres personnes – voy. supra) ; - Le … février 2023, le plaignant reproche au conseiller en prévention P. sa partialité, sa malhonnêteté et son manque d’intégrité. Il mentionne par ailleurs avoir déposé plainte contre la défenderesse au Contrôle du bien-être au travail (CBE) du SPF ETCS ; - Le … mars 2023, le plaignant fait état dans un e-mail au Directeur Gestion des Risques de la défenderesse, d’altérations de la vérité, de collusion etc. ; - Le … mars 2023, le plaignant informe le conseil de la défenderesse qu’une plainte va être déposée à l’auditorat du travail contre sa cliente (soit la défenderesse) et contre certaines personnes qui y sont liées pour faits pénalement répréhensibles ; - Le … mars 2023, le plaignant intimide le conseiller en prévention P., le menaçant de porter plainte contre lui. 65. La défenderesse fait également état d’un courrier du 29 avril 2021 aux termes duquel le conseil de la Commission communautaire française de la Région de Bruxelles-Capitale (COCOF) somme le plaignant de « s’abstenir d’adresser tous azimuts des demandes de prises de position concernant des questions qui font l’objet de procédures actuellement en cours devant le tribunal du travail, [devant la défenderesse], Unia, le SPF Emploi, Travail et Concertation sociale [ SPF ETCS], le Procureur du roi etc. ». 66. La défenderesse rappelle enfin que le 14 octobre 2021, elle a par la plume de son administrateur délégué, suspendu son intervention au regard des demandes d’interventions psychosociales du plaignant au motif qu’au vu des plaintes multiples que le plaignant avait déposées ou entendait déposer à son encontre (voy. ci-dessus), elle ne disposait plus de l’indépendance requise pour mener à bien sa mission (point 9). Décision quant au fond 167/2024 — 20/35 II.3.3. Appréciation de la Chambre Contentieuse Rappel des principes 67. Aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que les données à caractère personnel la concernant sont ou ne sont pas traitées (1ère facette du droit d’accès). 68. Lorsque c’est le cas, la personne concernée a le droit d’obtenir une série d’informations listées à l’article 15.1
  5. a)-
  6. h)et 15.2 du RGPD relatives aux données traitées ainsi que l’accès à celles-ci (2ème facette du droit d’accès)31. 69. Le RGPD prévoit aux termes de l’article 15.3, que le responsable de traitement fournit une copie des données à caractère personnel à la personne concernée. Cette obtention d’une copie est la principale modalité de l’octroi de l’accès aux données traitées. 70. La Chambre Contentieuse est, à l’appui de ce qui précède, d’avis que nonobstant l’absence de référence à l’article 15 du RGPD dans l’email du 13 octobre 2021 du plaignant, la demande formulée par ce dernier de de « connaitre quelles sont ses données conservées par la défenderesse et par Madame Z1 ainsi que d’en recevoir une copie » consiste en une demande d’accès au sens de l’article 15 du RGPD. 71. Lorsqu’il reçoit une demande d’exercice des droits (ici de droit d’accès) d’une personne concernée (ici le plaignant), le responsable de traitement (ici la défenderesse) est toujours tenu de répondre à la personne concernée : - Soit en lui fournissant des informations sur les mesures prises à la suite de sa demande dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Dans ce cas, le responsable du traitement n’en informe pas moins la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande (article 12.3 du RGPD). - Soit, s’il estime ne pas devoir donner suite à sa demande, en ce compris à l’appui de l’article 12.5 du RGPD (voy. infra sur ce point), en l’informant sans tarder et au plus tard 31 Il s’agit de : :
  7. a)les finalités du traitement;
  8. b)les catégories de données à caractère personnel concernées;
  9. c)les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales;
  10. d)lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée;
  11. e)l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement;
  12. f)le droit d'introduire une réclamation auprès d'une autorité de contrôle;
  13. g)lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source;
  14. h)l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. Aux termes de l’article 15.2. du RGPD, la personne concernée a par ailleurs le droit d'être informée des garanties appropriées, en vertu de l'article 46, en cas de transfert de ses données vers un pays tiers à l’Espace Economique Européen (EEE) ou à une organisation internationale. Décision quant au fond 167/2024 — 21/35 dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel (article 12.4 du RGPD). 72. L’article 12.5 du RGPD permet quant à lui aux responsables du traitement de refuser de donner suite aux demandes de droit d’accès qui sont manifestement infondées ou excessives32. 73. Ces qualificatifs doivent être interprétés de manière restrictive car les droits des personnes concernées ne peuvent pas être indûment compromis et toute exception doit être interprétée et appliquée de manière restrictive. Le droit d’accès est fondamental en ce qu’il ouvre la porte à l’exercice d’une série d’autres droits consacrés par le RGPD, tels la rectification (article 16 du RGPD), l’effacement (article 17 du RGPD) ou encore l’opposition (article 21 du RGPD). Il permet également un contrôle de la licéité des dites données (voy. supra). Sans savoir quelles sont les données la concernant qui sont traitées, la personne concernée n’est pas en mesure d’exercer ces droits. 74. La personne concernée n’a par ailleurs pas à justifier pourquoi elle demande à accéder à ses données à caractère personnel 33. 75. Dans les Lignes directrices qu’il a consacrées au droit d’accès 34, le Comité européen de la protection des données (CEPD) précise ce qu’il faut entendre par « infondé » et « excessif » au sens de l’article 12.5 du RGPD. 76. Selon le CEPD, une demande de droit d’accès est manifestement dénuée de fondement si les exigences de l’article 15 du RGPD ne sont « clairement pas remplies lorsqu’on applique une approche objective ». Dès lors qu’il n’existe que très peu de conditions préalables au droit d’accès, les cas dans lesquels une demande pourra être jugée « infondée » sont très réduits35. 32 L’article 12.5 du RGPD que « lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : (…)
  15. b)refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande ». 33 Voy. CJUE, arrêt du 26 octobre 2023, FT, C-307/22, § 35-38. « 38. Force est de constater que ni le libellé de l’article 12, paragraphe 5, du RGPD ni celui de l’article 15, paragraphes 1 et 3, de ce règlement ne conditionnent la fourniture, à titre gratuit, d’une première copie des données à caractère personnel à l’invocation, par ces personnes, d’un motif visant à justifier leurs demandes. Ces dispositions ne donnent donc pas au responsable du traitement la possibilité d’exiger de motifs de la demande d’accès présentée par la personne concernée ». La CJUE ajoute par ailleurs que les motifs pour lesquels la personne entend accéder aux données la concernant ne sont pas limités à ceux exposés au considérant 63 du RGPD. 34 Comité européen de la protection des données (CEPD), Lignes directrices 01/2022 sur les droits des personnes concernées – droit d’accès, 28 mars 2023 : https://www.edpb.europa.eu/system/files/202404/edpb guidelines 202201 data subject rights access v2 fr.pdf 35 Pour introduire une demande d’accès, il suffit en effet que les personnes demandeuses précisent qu’elles souhaitent connaître les données à caractère personnel les concernant qui seraient traitées par le responsable de traitement. Aucune exigence formelle n’est requise par le RGPD. Des demandes d’informations générales ne sont pas à considérer comme des demandes sur des données à caractère personnel. Pour plus de détails voy. la section 3. des Lignes directrices relatives au droit d’accès du CEPD citées ci-dessus. Décision quant au fond 167/2024 — 22/35 77. Quant au caractère « excessif » d’une demande, ce qualificatif n’est pas défini dans le RGPD36. La formulation « notamment en raison de leur caractère répétitif » figurant à l’article 12.5 du RGPD permet de conclure que l’un des scénarii d’application de ce morceau de phrase appliqué à une demande d’exercice du droit d’accès (article 15 du RGPD) est lié à la quantité de demandes de droit d’accès présentées par une personne concernée. Néanmoins, l’usage du « notamment » montre également que d’autres raisons ne sont pas exclues a priori. 78. Avec le CEPD, la Chambre Contentieuse estime que ces « autres motifs » englobent en particulier les cas de recours abusif à l’article 15 du RGPD, c’est-à-dire les cas dans lesquels les personnes concernées font un usage de leur droit d’accès dans le seul but de causer un préjudice au responsable du traitement. 79. Dans ce contexte, le CEPD donne quelques exemples de demandes qui ne doivent pas être considérées comme excessives : o la demande n’est pas motivée par la personne concernée ou le responsable du traitement considère que la demande n’a pas de sens ; o la personne concernée utilise un langage incorrect ou impoli ; o la personne concernée a l’intention d’utiliser les données pour déposer de nouvelles plaintes contre le responsable du traitement. 80. En revanche, une demande peut selon le CEPD être jugée excessive si, par exemple : o une personne introduit une demande mais propose dans le même temps de la retirer en échange par exemple d’une autre prestation du responsable du traitement ; o la demande est intentionnellement malveillante et sert à harceler le responsable du traitement ou ses employés dans le seul but de provoquer des perturbations, par exemple en raison du fait que : ▪ la personne a explicitement indiqué, dans la demande elle-même ou dans d’autres communications, qu’elle a l’intention de provoquer des perturbations et rien d’autre ; ▪ la personne envoie systématiquement différentes demandes à un responsable du traitement dans le cadre d’une campagne, par exemple une fois par semaine, avec l’intention et l’effet de provoquer des perturbations de ses services 37. 36 37 Voy. par exemple ce qu’en pense l’avocat général de la CJUE dans l’affaire C-416/33, point 49. Le CEPD vise par l’expression « envoi systématique dans le cadre d’une campagne » des demandes qui pourraient facilement être fusionnées en une seule et même demande sont artificiellement scindées en de nombreuses demandes par la personne concernée dans l’intention apparente de provoquer des perturbations. Décision quant au fond 167/2024 — 23/35 81. La Chambre Contentieuse conclut sur ce point qu’afin de pouvoir recourir à la faculté offerte par l’article 12.5 du RGPD, le responsable de traitement doit établir, au vu de l’ensemble des circonstances pertinentes du cas d’espèce, l’existence d’une démarche abusive de la part de la personne concernée, soit une démarche qui viserait non pas à obtenir la protection des droits qu’elle tire du RGPD, mais une finalité autre, consistant à perturber le bon fonctionnement du responsable de traitement 38, le nombre de demandes d’exercice de ses droits introduites par celle-ci n’étant pas, à lui seul, suffisant. En d’autres termes, il incombe au responsable de traitement de démontrer une intention de la personne concernée de nuire à son bon fonctionnement plutôt que de rechercher la protection des droits que le RGPD lui confère. De ce point de vue, l’article 12.5 du RGPD reflète la jurisprudence constante de la CJUE selon laquelle il existe, dans le droit de l’Union, un principe général de droit en vertu duquel les justiciables (ici les personnes concernées) ne sauraient frauduleusement ou abusivement se prévaloir des normes de l’Union 39 . 82. Enfin, les responsables du traitement doivent être en mesure de démontrer le caractère manifestement infondé ou excessif d’une demande (article 12.5, troisième phrase, du RGPD) tant à l’égard de la personne concernée qu’à l’égard de l’autorité de protection des données compétente. Partant, chaque demande doit être examinée au cas par cas afin de déterminer si elle est manifestement infondée ou excessive et les faits sous-jacents doivent être dûment documentés. 83. Ainsi qu’il a déjà été mentionné, en cas de demande manifestement infondée ou excessive, le responsable du traitement peut refuser de donner suite à la demande. L’application le cas échéant de l’article 12.5 du RGPD ne le dispense toutefois pas d’informer la personne concernée de son refus conformément à l’article 12.4 du RGPD (point 71)40. 38 Conclusions de l’Avocat-général J-R De La Tour du 5 septembre 2024 dans l’affaire C-416/2023, Österreichische Datenschutzbehörde en présence de F R, Bundesministerin für Justiz. La question préjudicielle posée par la CJUE dans cette affaire porte sur l’interprétation de l’article 57.4 du RGPD qui offre aux autorités de contrôle, lorsqu’elles sont confrontées à des demandes manifestement infondées ou excessives, en raison, notamment, de leur caractère répétitif, la possibilité d’exiger le paiement de frais raisonnables basés sur les coûts administratifs ou de refuser de donner suite à ces demandes. Dans ses conclusions, l’avocat général indiquent très explicitement que « (…) une disposition analogue à l’article 57, paragraphe 4, de ce règlement figure à l’article 12, paragraphe 5, dudit règlement, qui accorde de manière similaire, cette foisci au responsable du traitement lorsqu’il se trouve confronté à des demandes qui sont manifestement infondées ou excessives, la possibilité soit d’exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées, soit de refuser de donner suite à ces demandes » (point 67) et que « dans la mesure où l’article 12, paragraphe 5, et l’article 57, paragraphe 4, du RGPD sont rédigés d’une manière analogue et reposent sur la même logique, qui consiste à éviter de faire peser, selon le cas, sur le responsable du traitement ou sur l’autorité de contrôle, une charge disproportionnée de nature à entraver leur bon fonctionnement, [il est ] d’avis que ces deux dispositions devraient recevoir la même interprétation » (point 69).: ECLI:EU:C:2024:701. 39 40 Arrêt du 21 décembre 2023, BMW Bank e.a. C 38/21, C 47/21 et C 232/21, EU:C:2023:1014, point 281 et la jurisprudence citée. Dans les conclusions de l’affaire C-416/2023 déjà citées, l’avocat général insiste tout particulièrement sur l’obligation de motivation qui pèse sur l’auteur du refus, soit en l’espèce sur le responsable de traitement dans la réponse qu’il se doit de formuler, fut ce sur la base de l’article 12.4 du RGPD (point 89 mutatis mutandis des conclusions de l’Avocat général). Décision quant au fond 167/2024 — 24/35 Application au cas d’espèce 84. La Chambre Contentieuse est d’avis que la demande d’accès du plaignant du 13 octobre 2021 ne constitue pas une demande a priori infondée. 85. En effet, le plaignant a formulé sa demande au regard de données à caractère personnel le concernant traitées par la défenderesse et par Madame Z1. Comme indiqué ci-dessus (points 70,74 et 76), ces éléments à eux seuls (soit le fait que sa demande porte sur des données à caractère personnel qui le concerneraient en tant qu’auteur de la demande) suffisent pour autoriser le plaignant à formuler une demande d’accès, laquelle englobe le droit à la copie (article 15.3 du RGPD). 86. Compte tenu des arguments invoqués par la défenderesse et du constat 1 du SI, la Chambre Contentieuse examinera en revanche dans les paragraphes qui suivent si la demande du plaignant n’était pas « excessive » ou si, comme le souligne le SI dans son rapport d’enquête, l’attitude du plaignant a créé les conditions d’une absence de réponse admissible au regard du RGPD. 87. La Chambre Contentieuse constate qu’il ressort des faits et des pièces des dossiers des parties que le plaignant a multiplié les demandes d’intervention de la défenderesse en matière de risques psychosociaux. Dans le cadre du traitement de ses demandes d’intervention, il s’en est pris à plusieurs reprises à des conseillers en prévention de la défenderesse, notamment avant sa demande de février 2021 dans le cadre de laquelle il a formulé la demande d’accès du 13 octobre 2021. Il a multiplié les plaintes ou menaces de dépôt de plaintes au pénal à leur égard, devant la Commission des psychologues en ce qui concerne plus particulièrement Madame Z1 ou encore devant les instances compétentes du SPF ETCS. Il n’est pas non plus contesté que le plaignant a porté ses différends tant avec la défenderesse qu’avec son employeur devant les cours et tribunaux de l’ordre judiciaire. 88. Pour autant, la Chambre Contentieuse est d’avis que même dans le contexte particulièrement procédurier et conflictuel décrit par la défenderesse en particulier, l’exercice par le plaignant de son droit d’accès n’était, pour les motifs qu’elle développe ci-dessous, pas excessif au sens de l’article 12.5 du RGPD. Partant la défenderesse ne pouvait priver le plaignant de réponse à sa demande d’accès formulée sur pied du RGPD. 89. La Chambre Contentieuse constate d’abord que le plaignant n’a formulé sa demande d’accès qu’une unique fois. La demande n’était donc pas répétitive. 90. La demande d’accès du plaignant était-elle en revanche abusive ? Était-elle formulée dans le but de nuire à la défenderesse ? La Chambre Contentieuse est d’avis qu’elle ne peut pas conclure que c’était le cas. Car c’est bien la demande d’accès qui doit être excessive / abusive pour que le responsable de traitement soit exceptionnellement autorisé à refuser d’y répondre. En l’espèce, la Chambre Contentieuse estime qu’elle n’est pas en mesure de conclure qu’en demandant à accéder aux données traitées par la défenderesse et par Mme Décision quant au fond 167/2024 — 25/35 Z1 dans le cadre de sa demande d’intervention psychosociale de février 2021 ayant abouti à un avis le concernant, fut ce au regard du contexte plus global, le plaignant a fait usage de son droit d’accès dans le but de causer préjudice à la défenderesse. Des données à caractère personnel le concernant étaient incontestablement traitées 41 par cette dernière et la conseillère indépendante Z1 à laquelle la défenderesse avait fait appel. Il s’agissait d’une demande du plaignant consécutive aux traitements de donnés engendrés par la/les demandes d’intervention pour risques psychosociaux qu’il avait introduite auprès de la défenderesse et qui étaient traitées par Mme Z1. Elle est donc circonscrite et n’est pas, par exemple, « saucissonnée », formulée par morceaux de manière à perturber volontairement la défenderesse. 91. Comme en atteste le contenu global du mail du 13 octobre 2021, la demande du plaignant s’inscrit dans une optique de contrôle de la légalité de l’intervention de la défenderesse et de la conseillère indépendante Z1 à laquelle la première a fait appel et pouvait, certes, eu égard au contexte conflictuel, être perçue comme une énième attaque de la part du plaignant. Il n’en demeure pas moins que c’est, comme il a été rappelé plus haut, précisément un des objectifs de l’article 15 du RGPD que de permettre le contrôle, par la personne concernée, de la licéité du traitement des données personnelles traitées par le responsable de traitement auxquelles elle demande l’accès. Même si l’intention du plaignant était d’utiliser les données obtenues pour se retourner le cas échant contre la défenderesse pour l’un ou l’autre motif tiré d’une violation du RGPD, le droit d’accès ne pouvait lui être dénié pour ce motif (voy. le point 74 et la note infrapaginale citée). En toute hypothèse, l’absence totale de réponse de la défenderesse (voy. infra) au regard de l’article 12.4 du RGPD) crée un manquement au RGPD dans son chef que le plaignant pourra lui opposer(voy. infra). 92. Valider le refus de la défenderesse de donner accès au plaignant à ses données (et par voie de conséquence, priver ce dernier d’accéder aux données le concernant) en qualifiant sa demande d’abusive parce qu’il a multiplié les demandes et plaintes auprès de nombreuses instances et/ou au regard du respect de plusieurs législations distinctes, ne serait pas conforme au RGPD. Le fait de saisir les cours et tribunaux pour non-respect par son employeur de la législation relative au bien -être au travail, le fait de saisir le parquet de faits qu’il juge pénalement répréhensibles dans le chef de la défenderesse, le fait de saisir la défenderesse de multiples demandes d’intervention en matière de risques psychosociaux, le fait de tenter de remettre en cause les qualifications et la qualité du travail de Madame Z1, comme le fait de dénoncer l’attitude supposément harcelante ou incompétente et malhonnête tant de ses collègues de la Haute école que des conseillers en prévention de la défenderesse sont autant de procédures qui attestent certes du contexte dans lequel 41 A noter qu’il n’est pas requis par l’article 15 du RGPD que la personne concernée ait déjà confirmation de ce que des données la concernant soient traitées. Cette confirmation est précisément l’objet du § 1 er de l’article 15. Si comme en l’espèce, la personne concernée (le plaignant) sait déjà que des données le concernant sont traitées, elle est a fortiori fondée à solliciter l’accès à celles-ci. Décision quant au fond 167/2024 — 26/35 s’inscrit la plainte déposée par le plaignant. Pour autant, il ne s’agit pas moins d’actions/procédures, pour certaines par ailleurs postérieures 42 à la demande d’accès du plaignant du 13 octobre 2021, distinctes d’une demande d’accès au sens de l’article 15 du RGPD dont il n’est pas démontré qu’elle était introduite dans le but de nuire. Ce contexte, comme l’issue de ces procédures, qu’elles donnent tort ou raison au plaignant, n’entachent pas par ricochet la demande d’accès du plaignant du 13 octobre 2021 d’excessivité au sens de l’article 12.5 du RGPD. 93. La Chambre Contentieuse ne partage donc pas le point de vue du SI selon lequel la défenderesse aurait été fondée à ne pas répondre au plaignant en exécution de l’adage « Nul ne peut invoquer sa propre turpitude », dès lors que le plaignant aurait lui-même créé les conditions d’une absence de réponse à son attention (constat 1 du SI - point 14). Cet adage latin à l’origine (« Nemo auditur propriam turpitudinem allegans ») et repris en tant que principe général de droit, présuppose en effet, outre le fait qu’il est généralement admis qu’il a une portée relativement restreinte, un comportement fautif dans le chef de celui à qui il est opposé43. 94. Or, en l’espèce, la Chambre Contentieuse est, à l’appui de la motivation qui précède, parvenue à la conclusion que le comportement du plaignant ne pouvait être retenu comme coupable car excessif au regard de sa demande d’accès. Plus particulièrement, la Chambre Contentieuse a mis en évidence que les éléments de contexte rapportés par la défenderesse n’entachaient pas la demande d’accès du 13 octobre 2021 d’excessivité. L’invocation de l’adage n’est donc pas pertinente en l’espèce et aucune répercussion sur le droit d’accès du plaignant ne peut en être tirée. 95. En conclusion, la Chambre Contentieuse décide à l’appui de ce qui précède que la défenderesse n’était pas fondée à s’appuyer sur l’article 12.5 du RGPD pour refuser de donner suite à la demande du plaignant. Elle ne démontre pas le caractère excessif de la demande du 13 octobre 2021 de ce dernier et s’est rendue coupable d’une violation de l’article 12.5 du RGPD. 96. A suivre même le point de vue de la défenderesse selon lequel la demande d’accès du plaignant aurait été excessive, quod non comme la Chambre Contentieuse vient de le 42 43 Voy. à cet égard le relevé qu’en fait la défenderesse dans ses conclusions – point 64 ci-dessus. Arrêt du Tribunal (dixième chambre élargie) du 20 janvier 2021, Affaire T-758/18, ABLV Bank AS contre Conseil de résolution unique (CRU) ECLI:EU:T:2021:28, point 170 : « D’une part, pour se prévaloir de l’adage nemo auditur propriam turpitudinem allegans, encore faut-il qu’il soit établi un comportement fautif imputable au CRU. Or, il ressort de l’analyse des cinq premiers moyens que le CRU a appliqué à bon droit l’article 70, paragraphe 4, du règlement no 806/2014 et l’article 12, paragraphe 2, du règlement délégué 2015/63. Aucun comportement fautif ne peut dès lors lui être reproché dans le cas présent » : https://curia.europa.eu/juris/document/document print.jsf;jsessionid=66529A70BB9B0435CE58F17BBBD5CBEB?docid=2 36703&text=&dir=&doclang=FR&part=1&occ=first&mode=DOC&pageIndex=0&cid=16022892 Décision quant au fond 167/2024 — 27/35 trancher, il incombait en toute hypothèse à la défenderesse de notifier son refus au plaignant conformément aux exigences de l’article 12.4. du RGPD. 97. La Chambre Contentieuse constate qu’à cet égard, la défenderesse s’est abstenue – ce qu’elle reconnait par ailleurs - de toute communication au plaignant en réponse à son courriel du 13 octobre 2021 contenant, comme exigé par ledit article 12.4. du RGPD,
(1)le motif de son refus de donner suite à sa demande,
(2)l’information de son droit de déposer plainte auprès de l’APD ainsi que
(3)la mention de la possibilité d’introduire un recours juridictionnel. Pour autant que de besoin, la Chambre Contentieuse précise que le courrier du 14 octobre 2021 adressé par la défenderesse au plaignant aux termes duquel la défenderesse suspend toute intervention au regard des demandes psychosociales de ce dernier (point 9) n’équivaut pas à une réponse conforme à l’article 12.4. du RGPD car elle n’en comporte pas les éléments. La défenderesse ne le soutient par ailleurs pas non plus, ce courriel poursuivant un autre objectif, étant celui de mettre un terme à son intervention comme SEPPT. L’article 12.4 du RGPD a donc été violé. 98. A l’appui de ce qui précède, la Chambre Contentieuse décide que tant les prescrits de l’article 12.5 que de l’article 12.4. du RGPD n’ont pas été respectés par la défenderesse au regard de la demande d’accès du plaignant. II.4. Quant aux griefs tirés de la violation des articles 5.1.
  1. d)et 5.1.
  2. f)du RGPD – demande incidente du plaignant II.4.1. Position du SI et des parties Position du plaignant 99. Pour la première fois dans ses conclusions, le plaignant introduit une demande incidente pour la violation des articles 5.1.
  3. d)et 5.1.
  4. f)du RGPD sur pied de l’article 809 du Code judiciaire. 100. A l’appui de l’article 5.1.
  5. d)du RGPD, le plaignant invoque plusieurs inexactitudes dans le traitement de ses données et demande à la Chambre Contentieuse d’ordonner à la défenderesse ainsi qu’à ses conseillers juridiques la rectification : a. de la donnée de géolocalisation selon laquelle le 21 septembre 2020, il se trouvait dans le bureau de la direction de la Haute école, [adresse] ; b. de sa qualité de maître assistant en […] et de ce qu’il enseigne [… et …] et non pas l’informatique ; c. du fait qu’il n’avait introduit que deux plaintes à l’encontre de sa hiérarchie avant le 1er janvier 2021 et non une « multitude de plaintes ». 101. Le plaignant dénonce également des inexactitudes que contiendrait l’avis rendu sur sa demande d’intervention psychosociale, dont son prétendu refus de rencontrer sa direction. Décision quant au fond 167/2024 — 28/35 102. A l’appui de l’article 5.1.
  6. f)du RGPD, le plaignant dénonce que la défenderesse a divulgué des données à caractère personnel le concernant à son employeur, la Haute école, via le conseil de cette dernière, Maître Z2. Le plaignant en veut pour preuve que les biais que contient selon lui l’avis co-signé par Mme Z1 sont identiques à ceux dont Me Z2 a fait état dans le contexte de la défense de la défenderesse. Ces mêmes biais ne peuvent s’expliquer selon le plaignant que par la connivence entre Mme Z1 et Me Z2 et par l’échange de données entre ces derniers et la défenderesse (points 30 et 31 des conclusions du plaignant). Sous la rubrique « Altérations dans les conclusions (lisez de la défenderesse) du 23 août 2023 », le plaignant indique également que la défenderesse fait appel abusivement à une tierce personne avec laquelle il n’existe aucun contrat valide », visant par-là la communication jugée illicite de données le concernant à Mme Z1 (point 51 b. page 38 des conclusions du plaignant). Position de la défenderesse 103. Dans ses conclusions de synthèse, la défenderesse conclut que la demande incidente du plaignant n’est pas recevable, le cadre de la procédure devant l’APD étant strictement délimité et fixé dans le courrier du 27 juin 2023 (points 15-16). La défenderesse ajoute qu’au demeurant, l’article 809 du Code judiciaire n’est pas applicable en l’espèce, l’APD (et sa Chambre Contentieuse) ne relevant pas de l’ordre judiciaire et les règles de procédure applicables à la présente procédure n’étant pas fixées par le Code judiciaire. Position du SI 104. Pour autant que de besoin, la Chambre Contentieuse précise que le plaignant ayant introduit cette demande pour la première fois par voie de conclusions, le SI, qui est saisi par la Chambre Contentieuse après la recevabilité de la plainte et avant l’échange de conclusions (voy. les rétroactes de la procédure), ne s’est donc pas prononcé au regard de la violation alléguée des articles 5.1.
  7. d)et 5.1.
  8. f)du RGPD. II.4.2. Appréciation de la Chambre Contentieuse 105. La Chambre Contentieuse relève que le plaignant fonde sa demande sur l’article 809 du Code judiciaire. 106. La Chambre Contentieuse rappelle que le Code judiciaire ne lui est, sauf exception, pas applicable. 107. Outre les dispositions prévues par la LCA, la procédure devant la Chambre Contentieuse est réglée par le Règlement d’ordre intérieur (RoI) de l’APD. 108. Pour autant que de besoin, la Chambre Contentieuse précise ici - comme elle l’a fait en note infrapaginale 1 de la présente décision - que les dispositions de la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données (LCA) telles que modifiées par la Décision quant au fond 167/2024 — 29/35 Loi du 30 juillet 2018 (LTD) demeurent d’application à la présente procédure. En effet, les modifications apportées par la Loi du 25 décembre 2023 modifiant la LCA n’entrent en application qu’au regard des plaintes déposées à dater de l’entrée en vigueur des nouvelles dispositions amenées par ladite loi, soit le 1er juin 2024. La plainte qui conduit à l’adoption de la présente décision ayant été déposée en février 2022, ces nouvelles dispositions ne sont pas applicables. 109. Il en va de même pour le RoI qui, à la suite des modification apportées par la Loi du 25 décembre 2023, a été modifié. Le nouveau RoI est entré en vigueur le 1er juin 2024. Il s’applique uniquement aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initiés à partir de cette date. Les dossiers initiés avant le 1er juin 2024 comme en l’espèce sont soumis aux dispositions du règlement d'ordre intérieur (RoI) tel qu'il existait avant cette date44. 110. Les seules références au Code judiciaire sont faites
(1)à l’article 108.2 de la LCA telle qu’applicable au cas d’espèce45 qui traite de la procédure de recours contre les décisions de la Chambre Contentieuse devant la Cour des marchés et
(2)à l’article 57 du RoI tel qu’applicable au cas d’espèce46 qui concerne le calcul des délais dans le cadre de la procédure devant la Chambre Contentieuse. Aucune autre application d’une disposition du Code judiciaire n’est prévue. 111. Le plaignant n’est donc pas fondé à invoquer l’article 809 du Code judiciaire dans le cadre de la présente procédure. 112. En l’espèce, la Chambre Contentieuse a, par courrier du 27 juin 2023, par ailleurs invité les parties à se défendre au regard de potentiels manquements aux articles 5.1. a), 6 et 12 du RGPD sans faire aucunement allusion à l’article 5.
  1. d)ni à l’article 5.
  2. f)du RGPD (points 15-16). 113. A aucun moment en effet aux termes de son formulaire de plainte, le plaignant n’a évoqué de demande de rectification quant à des données personnelles le concernant qu’il considèrerait erronées (article 5.1.
  3. d)du RGPD) ni soulevé d’atteinte à la sécurité de ses données (article 5.1.
  4. f)du RGPD). Ses demandes à cet égard ont été formulées pour la 44 Article 56 de la Loi du 25 décembre 2023 Dans les trois mois de l'entrée en vigueur de la présente loi, le comité de direction soumet à la Chambre des représentants, conformément à l'article 11, § 3, de la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, un règlement d'ordre intérieur modifié. Si le comité de direction n'est pas complet au moment de l'entrée en vigueur de la présente loi, le règlement d'ordre intérieur modifié est soumis à la Chambre des représentants dans un délai de trois mois à compter du jour où le comité de direction devient complet. Le règlement d'ordre intérieur modifié ne s'applique qu'aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la chambre contentieuse qui débutent après la publication du règlement d'ordre intérieur modifié au Moniteur belge. Les plaintes, les dossiers de médiation, les requêtes, les inspections et les procédures devant la chambre contentieuse qui ont débuté avant la publication du règlement d'ordre intérieur modifié sont régis par les règles qui étaient applicables avant la publication. 45 Article 108.2 de la LCA : « Un recours peut être introduit contre les décisions de la chambre contentieuse en vertu des articles 71 et 90 devant la Cour des marchés qui traite l'affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire ». 46 Art. 57 du RoI : « En ce qui concerne le calcul des délais, les dispositions du "Chapitre VIII - Délais" du Code judiciaire, sont applicables par analogie ». Décision quant au fond 167/2024 — 30/35 première fois, ainsi qu’il a déjà été mentionné, par la voie de ses conclusions du 12 septembre 2023. 114. Le SI n’a pour sa part pas examiné ces aspects non soulevés par la plainte et ne l’a pas non plus fait d’initiative. 115. La Chambre Contentieuse peut certes, de manière limitée, réaliser certaines investigations . 47 116. En l’espèce, et au vu de ce qui précède, elle estime ne pas devoir recourir à cette prérogative pour adopter une décision motivée à l’égard des griefs soulevés par la plainte déposée par le plaignant et s’en tient au périmètre de sa saisine tel que défini par le courrier du 27 juin 2023. 117. Surabondamment, la Chambre Contentieuse ajoute ce qui suit. 118. L’article 5.1.
  5. d)du RGPD prévoit que les données à caractère personnel doivent être « exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ». 119. Comme corollaire de ce principe à respecter et mettre en œuvre par le responsable de traitement ( article 5.2. du RGPD), la personne concernée dispose d’un droit à la rectification formulé comme suit à l’article 16 du RGPD : « la personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes48 ». 120. Il en découle qu’une demande de rectification doit donc être adressée au responsable de traitement. Si ce dernier omet de répondre ou refuse à tort d’y donner suite, une plainte pourra être déposée auprès de l’APD. 121. L’exercice du droit de rectification doit, pour qu’il puisse y être répondu favorablement, porter sur des données à caractère personnel inexactes. La Chambre Contentieuse rappelle ici que des données à caractère personnel « subjectives » (d’évaluation par exemple) ne sont, sans que leur qualification de données à caractère personnel au sens de l’article 4.1 du RGPD ne soit remise en cause, pas à considérer comme erronées au sens de l’article 16 du RGPD dès l’instant où la personne concernée ne partagerait pas l’avis qu’elles révèlent par exemple. Il en va différemment des données « objectivement erronées », telles un nom mal orthographié, une date de naissance incorrecte etc. 122. S’agissant des données contenues dans l’avis psychosocial litigieux, la Chambre Contentieuse ne dispose pas d’éléments lui permettant de conclure que celles-ci seraient 47 Cour d’appel de Bruxelles – Cour des marchés, arrêt du 7 septembre 2022, 2022/AR/292 p. 39. 48 C’est la Chambre Contentieuse qui souligne. Décision quant au fond 167/2024 — 31/35 erronées. Elle relève par ailleurs que le plaignant a contesté cet avis devant la Commission des psychologues. 123. S’agissant de la donnée de géolocalisation, la Chambre Contentieuse ne dispose d’aucun élément probant permettant de l’infirmer ou de la confirmer. 124. S’agissant plus particulièrement de données personnelles traitées par la défenderesse dans le cadre des moyens de défense qu’elle développe dans ses conclusions déposées dans la présente procédure, la Chambre Contentieuse souligne que RGPD n’est pas là pour modifier les propos tenus par voie de conclusions. Les droits de la défense et la possibilité de répliquer sont les voies par lesquelles il convient de contester leur inexactitude éventuelle dans le contexte précis de leur traitement au titre de moyen de défense. Ceci vaut tant pour les données personnelles dites « subjectives » que celles qui seraient « objectivables » tels en l’espèce le nombre exact de procédures intentées par le plaignant ou les matières qu’il enseigne effectivement. La Chambre Contentieuse a par ailleurs pris acte des arguments et des pièces des deux parties et est, aux termes de la motivation de sa décision, libre de suivre l’interprétation qui en est faite ou non. A supposer même que la Chambre Contentieuse ordonne la rectification des données sur la base de l’article 100, 6° de la LCA, quod non, cette injonction ne pourrait porter que sur le traitement de données opéré par la voie des conclusions déposées, ce qui reviendrait à faire modifier des conclusions en cours de procédure ce que la Chambre Contentieuse n’est pas autorisée à faire. Si ces mêmes données personnelles devaient être ou avoir été traitées préalablement par la défenderesse, la Chambre Contentieuse ne dispose pas d’élément qui permettant de conclure que la défenderesse, auprès de laquelle l’exercice des droits doit au premier chef être exercé, n’en aurait pas ou n’en tiendrait pas compte à l’avenir. 125. Quant à la demande fondée sur l’article 5.1.
  6. f)du RGPD, la Chambre Contentieuse constate, toujours à titre surabondant qu’elle ne dispose d’aucun élément probant attestant d’une quelconque violation de celui-ci. Aux termes des conclusions par lesquelles il introduit ce grief, le plaignant se limite en effet à supputer une communication indue de données à caractère personnel le concernant par la défenderesse (et/ou par Mme Z1 qui n’est pas partie à la cause) à Me Z2, conseil de son employeur, la Haute école, en raison de biais similaires dans leurs écrits respectifs. La Chambre Contentieuse ne peut constater de violation de l’article 5.1
  7. f)du RGPD sur ces seules supputations et déductions. S’agissant de la communication de données personnelles du plaignant à Mme Z1 par la défenderesse, la Chambre Contentieuse n’a pas conclu à une illicéité de ce chef. III. Quant aux mesures correctrices et sanctions 126. Aux termes de l’article 100.1 de la LCA, la Chambre Contentieuse a le pouvoir de : 1° classer la plainte sans suite ; Décision quant au fond 167/2024 — 32/35 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements ou des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agréation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données 127. Quant aux manquements à l’article 12.4 et 12.5 du RGPD qu’elle a constatés (titre II.3), la Chambre Contentieuse décide d’adresser une réprimande à la défenderesse pour lesdits manquements. 128. La Chambre Contentieuse est d’avis qu’il s’agit là de la sanction appropriée, effective et suffisamment dissuasive au regard des circonstances concrètes du dossier, de la plainte déposée, de la portée de la saisine de la Chambre Contentieuse en l’espèce et des griefs opposés à la défenderesse. 129. Quant aux griefs tirés de la violation alléguée des articles 5.1.
  8. a)et 6 du RGPD (titre II.2.) ainsi que des articles 5.1
  9. d)et 5.1.
  10. f)du RGPD (titre II.4.), la Chambre Contentieuse les classe sans suite, chacun pour motif technique. 130. En matière de classement sans suite, la Chambre Contentieuse est tenue de motiver sa décision par étape49 et de : 49 Cour des marchés (Cour d’appel de Bruxelles), 2 septembre 2020, arrêt 2020/AR/329, p. 18. Décision quant au fond 167/2024 — 33/35 - prononcer un classement sans suite technique si le dossier ne contient pas ou pas suffisamment d’éléments susceptibles d’aboutir à une sanction ou s’il comporte un obstacle technique l’empêchant de rendre une décision ; - ou prononcer un classement sans suite d’opportunité, si malgré la présence d’éléments susceptibles d’aboutir à une sanction, la poursuite de l’examen du dossier ne lui semble pas opportune compte tenu des priorités de l’Autorité de protection des données (APD) telles que spécifiées et illustrées dans sa Politique de classement sans suite50. 131. En cas de classement sans suite fondé sur plusieurs motifs, ces derniers (respectivement, le/les motif(
  11. s)de classement sans suite technique et le/les motifs de classement sans suite d’opportunité) doivent être traités par ordre d’importance 51. 132. S’agissant du grief tiré de la violation des articles 5.1.
  12. a)et 6 du RGPD, la Chambre Contentieuse décide de procéder à un classement sans suite pour motif technique dès lors qu’elle a décidé en conclusion du titre II.2. ci-dessus que la défenderesse ne s’était rendue coupable d’aucun manquement à ces articles du RGPD du fait du recours par la défenderesse à une conseillère en prévention indépendante. 133. En ce qui concerne les griefs « tardifs » tirés d’une éventuelle violation des articles 5.1
  13. d)et 5.1.
  14. f)du RGPD, la Chambre Contentieuse ne les inclut pas en l’espèce dans le périmètre de sa saisine (voy. titre II.4) et procède dès lors également à un classement sans suite pour motif technique quant à ces griefs de ce fait. IV. Publication de la décision IV.1. Position des parties Position du plaignant 134. Aux termes de ses conclusions, le plaignant demande que la décision de la Chambre Contentieuse soit publiée de façon nominative et ce, quelle qu’elle soit. A défaut, la décision devrait être publiée de façon anonymisée. Position de la défenderesse 135. Quant à la défenderesse, elle sollicite à l’inverse que si la décision devait retenir des manquements dans son chef, celle-ci ne soit pas publiée eu égard à ses activités et à l’image 50 À cet égard, la Chambre Contentieuse renvoie à sa politique de classement sans suite telle que développée et publiée sur le site de l’Autorité de protection des données : https://www.autoriteprotectiondonnees.be/publications/politique-declassement-sans-suite-de-la-chambre-contentieuse.pdf. 51 Cf. Titre 3 – Dans quels cas ma plainte est-elle susceptible d’être classée sans suite par la Chambre Contentieuse ? de la politique de classement sans suite de la Chambre Contentieuse. Décision quant au fond 167/2024 — 34/35 de la fonction d’un SEPPT. Si telle décision devait toutefois être publiée, la défenderesse demande qu’elle le soit de manière anonymisée (points 21-22). IV.2. Appréciation de la Chambre Contentieuse 136. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’APD. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties soient directement mentionnées. 137. La Chambre Contentieuse ne peut en effet faire droit la demande de la défenderesse de ne pas publier la présente décision. 138. Conformément à sa Politique en matière de publication de ses décisions 38, la Chambre Contentieuse publie chacune de ses décisions dans un objectif de transparence administrative, laquelle transparence est requise compte tenu tant de ses missions comme autorité de contrôle de protection des données (article 57.1.
  15. b)et
  16. d)lu conjointement avec l’article 51 du RGPD) que de sa qualité d’autorité administrative soumise aux principes de bonne administration. C’est à ces titres que la présente décision est publiée. A cet égard, la Chambre Contentieuse prend soin de faire figurer la motivation de sa décision quant à la publication de celle-ci sous la rubrique « Publication » et non sous la rubrique « Quant aux mesures correctrices et sanctions ». 139. Cette publication tend également à donner de la visibilité au travail de l’APD (rôle d’information et de sensibilisation vis-à-vis des entreprises et des citoyens, en ce compris de la presse), travail dont elle doit par ailleurs rendre compte publiquement (tant à l’égard des décideurs politiques que du grand public). Le caractère d’autorité administrative indépendante de l’APD, ainsi que ses missions et pouvoirs étendus, justifient en effet qu’elle doive rendre compte publiquement de ses activités et permettre à tout un chacun d’accéder de manière aisée et transparente à ses prises de position. Finalement, une des missions de la Chambre Contentieuse est également de constituer une jurisprudence cohérente. A cette fin et pour que le public intéressé puisse se l’approprier, il est indispensable qu’elle publie ses décisions, en ce compris la présente. 140. Comme souligné dans sa Politique précitée, à la différence de la publication de la décision au titre de « sanction », la question de l’identification des parties est moins importante dans le cadre de la publication à des fins de transparence comme en l’espèce. L’objectif recherché peut en effet être atteint que les parties soient identifiées ou non. La Chambre Contentieuse n’en précise pas moins que néanmoins, la publication des données d’identification des personnes morales se justifie parfois dans un but d’intérêt général, en raison de la place du responsable de traitement dans la société, de l’importance de la décision pour le grand public ou simplement pour permettre la compréhension de la décision.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.