Beslissing ten gronde nr. 188/2025

1/15 Chambre Contentieuse Décision quant au fond 188/2025 du 19 novembre 2025 Numéro de dossier : DOS-2020-00645 Objet : Plainte relative à des consultations illicites du Registre national au sein d’une administration communale La Chambre Contentieuse de l'Autorité de protection des données ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu la Loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après « Loi RN ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X1, qui a déposé plainte en nom propre mais également en représentation de sa mère, X2, ci-après « le plaignant ». 1 Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le 01/06/

1. Conformément à l’article 56 de la loi du 25 décembre 2023, il est uniquement d’application aux plaintes, dossiers de médiation, requêtes, inspections et procédures devant la Chambre Contentieuse initiés à partir de cette date : https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur-de-l-autorite-de-protection-desdonnees.pdf Les dossiers initiés avant le 01/06/2024 comme en l’espèce sont soumis aux dispositions de la LCA non modifiée par la Loi du 25 décembre 2023 et du règlement d'ordre intérieur tel qu'il existait avant cette date. Décision quant au fond 188/2025 — 2/15 La défenderesse : La commune Y, représentée par son Collège des bourgmestres et échevins, ciaprès « la défenderesse ». I.
2. Faits et rétroactes de procédure Le 4 février 2020, le plaignant introduit une plainte auprès de l’Autorité de protection des données (APD) contre la défenderesse (une commune).
3. L'objet de la plainte concerne la consultation irrégulière de données à caractère personnel du Registre national par des employés de la défenderesse et les réponses apportées par cette dernière aux demandes du plaignant.
4. Le plaignant rapporte que les faits débutent par une première consultation irrégulière qui a lieu le 3 décembre 2019 et qui porte sur des données du Registre national concernant sa mère qu’il indiquer représenter dans le cadre de la présente procédure.
5. Interpellée quant à ce par cette dernière par courriers des 8 et 9 décembre 2019, la défenderesse répond à l’intéressée le 10 décembre 2019 qu’un agent identifié du service population a consulté ses données à des fins privées et qu’une procédure disciplinaire est envisagée à l’encontre de cet agent.
6. La seconde consultation irrégulière a eu lieu le 16 décembre 2019 et porte sur des données du Registre national du plaignant, notamment sa photo d’identité.
7. Il ressort des pièces du dossier que le plaignant a dénoncé cette consultation auprès de la défenderesse les 27 et 28 décembre
9. Par courriel du 27 décembre 2019, une première réponse est adressée au plaignant par le délégué à la protection des données (DPO) de la défenderesse de l’époque (Monsieur Z.) expliquant qu’un agent du service population a irrégulièrement consulté sa photo d’identité afin de pouvoir le reconnaître s’il se présentait à l’administration communale.
10. Une deuxième réponse est adressée au plaignant le 30 décembre 2019 mentionnant qu’un agent du service affaires civiles et sociales encore à identifier a outrepassé sa fonction en consultant sa photo, vraisemblablement afin de s’assurer, par prudence, qu’il avait affaire à la bonne personne dans le cadre d’une demande formulée par le plaignant pour le compte de sa mère (le plaignant ayant envoyé sa demande au départ de l’adresse e-mail nommant de son père décédé). La défenderesse ajoute qu’une fois cet agent identifié, une procédure disciplinaire sera envisagée à l’encontre de celui-ci. La défenderesse précise encore que des mesures seront mises en place pour éviter ce type de dysfonctionnements à l’avenir.
11. Jugeant ces réponses insatisfaisantes, le plaignant dépose plainte à l’APD le 4 février 2020 ainsi qu’il a été mentionné au point
12. Décision quant au fond 188/2025 — 3/15
13. Le 3 mars 2020, la plainte est déclarée recevable par le Service de Première Ligne (SPL) de l’APD sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA.
14. Le 31 mars 2020, conformément à l’article 96, § 1er de LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection (SI), de même que la plainte et l’inventaire des pièces.
15. Le 2 février 2021, l’enquête du SI est clôturée, le rapport d’enquête est joint au dossier et celui-ci est transmis par l’Inspecteur général à la Chambre Contentieuse (art. 91, § 1 er et § 2 de la LCA).
16. Aux termes de son rapport d’enquête, l’Inspecteur général fait le constat d’une violation des articles 5.2 et 24.1 du RGPD par la défenderesse dans les termes suivants : « Constatation : Non-respect du principe de responsabilisation « L’article 17 de la Loi Registre national1 – entré en vigueur le 23 décembre 2018 – impose la traçabilité des accès : « Chaque autorité publique (…) doit être en mesure de pouvoir justifier les consultations effectuées, que celles-ci se fassent par un utilisateur individuel ou par un système informatique automatique. A cet effet, afin d'assurer la traçabilité des consultations, chaque utilisateur tient un registre des consultations. Ce registre indique l'identification de l'utilisateur individuel ou du processus ou du système qui a accédé aux données, les données qui ont été consultées, la façon dont elles ont été consultées, à savoir en lecture ou pour modification, la date et l'heure de la consultation ainsi que la finalité pour laquelle les données du Registre national des personnes physiques ont été consultées. » Comme avait pu le mentionner la Commission de la protection de la vie privée dans sa recommandation 07/2017 du 30 août 2017, « la mention du motif de la consultation constitue une garantie nécessaire et obligatoire pour accéder au Registre national de manière légitime » (point 6). Cette obligation est également rappelée dans la décision quant au fond de la Chambre contentieuse 19/2020 du 29 avril 20203 qui dispose : « Il incombe donc à la défenderesse de garantir que l’accès au Registre national demeure limité aux finalités pour lesquelles cet accès a été autorisé. Il lui incombe également d’être en mesure de le démontrer. Le respect du principe de finalité, pilier de la protection des données, ne peut en effet pas être vérifié si les agents d’une structure telle la défenderesse n’enregistrent pas le motif de la consultation qu’ils opèrent. Il est tout aussi essentiel à cet égard que conformément à l’article 24 du RGPD, la défenderesse dispose d’un mécanisme de contrôle adéquat garantissant que ses agents habilités consultent le Registre national dans le cadre de ces seules finalités. La défenderesse doit disposer d’une Décision quant au fond 188/2025 — 4/15 application informatique qui permette de légitimer chaque consultation effectuée par son personnel et démontre ainsi que la consultation a eu lieu dans le cadre de l’exercice des tâches du membre du personnel qui a effectué la consultation. » En l’espèce, l’application SAPHIR utilisée par l’Administration communale [de la défenderesse] prévoyait au moment des faits uniquement l’enregistrement d’un motif de consultation générique. Une obligation de motiver précisément a été mise en place dans le champ de saisie libre de SAPHIR suite aux événements, qui permet d’aller plus loin que des finalités génériques (ex : population) utilisées précédemment. Suivant les explications du DPO de l’Administration communale [de la défenderesse ] l’application Belpic – qui est fournie par le Service public fédéral Intérieur – ne prévoit quant à elle pas l’indication de la finalité de la consultation et les communes ne peuvent pas contrôler les accès dans cette application. Par ailleurs, un contrôle des consultations par l’Administration communale [de la défenderesse] n’existait pas au moment des faits. Le Service d’inspection constate que l’Administration communale ne disposait pas au moment des faits d’un mécanisme de contrôle adéquat garantissant que ses agents habilités consultent le Registre national dans le cadre des seules finalités pour lesquelles cet accès a été autorisé »
18. Le 3 mars 2021, la Chambre Contentieuse demande une enquête complémentaire au SI sur la base de l'article 96, § 2 de la LCA.
19. La Chambre Contentieuse indique avoir constaté que le rapport d’enquête dont question aux points 12 et 13 ci-dessus relève, à la suite d’informations fournies par le DPO de la défenderesse, que l’application Belpic fournie par le SPF Intérieur ne respecterait pas les prescrits de la Loi organisant un Registre national des personnes des physiques (ci-après « la Loi RN »). En particulier, l’application Belpic ne permettrait pas que le motif de la consultation soit communiqué comme le requiert l’article 17 de la loi précitée. Partant, la Chambre Contentieuse demande au SI de procéder à une enquête complémentaire sur cet aspect auprès du SPF Intérieur.
20. Le 25 février 2022, le rapport d’enquête complémentaire est transmis par l’Inspecteur général à la Chambre Contentieuse.
21. 2 Ce rapport d’enquête complémentaire comporte le constat suivant : C’est la Chambre Contentieuse qui souligne. Décision quant au fond 188/2025 — 5/15 « Compte tenu de ces différents éléments, le Service d’inspection constate que l’administration communale [de la défenderesse] est en l’espèce en mesure de contrôler les accès au Registre national de ses agents effectués au moyen de l’application Belpic et d’en connaître la finalité, dès lors que l’application Belpic ne peut légitimement être utilisée qu’afin de délivrer des documents d’identité. Le Service d’inspection estime dès lors que la question générique du respect de l’application Belpic des prescrits de la loi Registre national, particulièrement l’obligation d’enregistrer le motif de la consultation des données du Registre national, n’a plus de pertinence dans le cas d’espèce et élargirait excessivement la portée du présent dossier ».
22. Le 10 juin 2022, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond.
23. A cette même date, le plaignant et la défenderesse sont informés par envoi recommandé des dispositions des articles 95, § 2 et 98 de la LCA. Ils sont également informés, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions au regard d’un manquement aux articles 5.2 et 24.1 du RGPD tel que relevé par le SI au terme de son enquête. La date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 22 juillet 2022, celle pour les conclusions en réplique du plaignant au 16 août 2022 et celle pour les conclusions en réplique de la défenderesse au 7 septembre
25. Le 11 juin 2022, le plaignant demande une copie de certaines pièces du dossier (art. 95, §2, 3° LCA), lesquelles lui sont transmises le 29 juin
27. Le 20 juillet 2022, la Chambre Contentieuse reçoit les conclusions en réponse de la défenderesse dont un résumé succinct figure ci-après. - La défenderesse ne conteste pas les consultations irrégulières, ce dans la lignée des courriers qu’elle a adressés au plaignant et à sa mère en ce sens dès 2019 (voy. l’exposé des faits). - La défenderesse indique comme elle l’avait fait au cours de l’enquête du SI, pièces à l’appui, que les deux agents communaux contrevenants ont fait l’objet d’une sanction disciplinaire (avertissement) en 2020 pour consultation illégitime du Registre National ainsi que de Belpic. - A la suite de ces sanctions, la défenderesse a adressé des explications ainsi que des rappels de la clause de confidentialité signée par les agents et des sanctions possibles en cas de non-respect de celle-ci. Décision quant au fond 188/2025 — 6/15 - La défenderesse relève que les deux agents doivent être qualifiés de responsables de traitement au sens de l’article 4.7 du RGPD, ce dans la lignée de précédentes décisions de la Chambre Contentieuse, en particulier sa décision 94/
28. - Elle souligne que ces deux agents communaux ont, respectivement les .. et .. ( soit avant les faits) signé une clause de confidentialité relative à l’utilisation du Registre National aux termes de laquelle ils s’engagent à n’utiliser l’accès au Registre National qu’ils détiennent que dans le cadre strict de leur fonction et qu’ils reconnaissent que le fait de consulter le Registre national est une faute grave passible de sanctions telles que le licenciement immédiat ou l’engagement de poursuites disciplinaires. - La défenderesse ajoute que son règlement de travail communal, dont un extrait est produit, prévoit par ailleurs (article 7) que l’agent doit effectuer son travail avec rigueur et probité et s’abstenir de tout comportement qui pourrait nuire à la confiance du public dans l’administration. Plus particulièrement, l’annexe VIII de ce règlement de travail intitulée « Directives relatives à la protection des données à caractère personnel » contient un « Article
29. – Traitement de données à caractère personnel uniquement à des fins professionnelles » aux termes duquel « l’agent traite les données à caractère personnel des personnes concernées pour les seules finalités professionnelles inhérentes aux activités de la commune
30. Il est interdit de consulter des données à caractère personnel pour des finalités personnelles ». - A l’appui de ces différents éléments, la défenderesse considère qu’elle a mis en place les mesures adéquates destinées à éviter toute consultation irrégulière du Registre National et s’est ainsi conformée aux obligations qui lui incombent en exécution des articles 5.2 et 24.1 du RGPD. Elle ajoute que quelles que soient ces mesures, elles ne pourront jamais empêcher de manière absolue un dysfonctionnement isolé de l’ un ou l’autre agent. L’article 24.1 du RGPD doit en ce sens être considéré comme imposant une obligation de moyen aux responsables de traitement ((à laquelle la défenderesse a satisfait), non une obligation de résultat. - En conclusion, la défenderesse demande à la Chambre contentieuse de considérer les agents communaux fautifs comme responsables de traitement au sens de l’article 4.7 du RGPD et partant, de classer sans suite la plainte déposée à son encontre par le plaignant.
31. Le 24 juillet 2022, le plaignant s’adresse à la Chambre Contentieuse et lui fait part de ce qu’il constate que la défenderesse est « représentée par Monsieur Z, s’affichant comme « juriste » ». Le plaignant s’interroge sur un potentiel conflit d’intérêt dans le chef de ce dernier qui, à l’époque des faits litigieux, était le DPO de la défenderesse et avait donc selon 3 C’est la Chambre Contentieuse qui souligne. Décision quant au fond 188/2025 — 7/15 ses termes « déterminé les finalités et les moyens de traitement de manière à faire respecter la loi du 30 juillet 2018 mais aussi la loi du 8 août 1983 organisant un registre national des personnes physiques ». Le plaignant demande à la Chambre de lui faire part de son point de vue ce que la Chambre Contentieuse décline à ce stade de la procédure.
32. Le 8 août 2022, la Chambre Contentieuse reçoit les conclusions en réplique du plaignant. Un résumé de celles-ci figure ci-dessous. - Le plaignant estime qu’il conviendrait que l’APD mette à la cause les deux agents communaux fautifs de la défenderesse ainsi que le SPF Intérieur. S’agissant des deux agents fautifs, le plaignant s’interroge sur la réalité de la justification personnelle de la consultation qu’ils ont avancée (envoi de carte de vœux notamment), sur la question de savoir ce qu’ils ont fait de ses données personnelles une fois celles-ci consultées, sur la question de savoir s’ils n’auraient pas agi sur ordre, etc. - Le plaignant souligne que les conclusions de la défenderesse sont signées et transmises par son ex-DPO, devenu juriste. Comme il en avait précédemment fait part à la Chambre Contentieuse (point 22), le plaignant estime qu’il existe un conflit d’intérêt dans le chef de ce dernier dès lors que, selon ses termes déjà cités et qu’il réitère : « (…) en sa qualité de DPO, cette personne a déterminé les finalités et les moyens du traitement destinés à respecter tant la Loi du 5 août 1983 relative au Registre National que la LTD4 ». Cet exDPO aurait par ailleurs rédigé un rapport mettant en cause l’un des agents concernés. Dans la foulée de cette dernière considération, le plaignant demande que l’APD exige la production dudit rapport rédigé par le DPO. - De manière générale, le plaignant est d’avis que la défenderesse n’a pas mis en place les mesures suffisantes destinées à prévenir les consultations intervenues ce, indépendamment de sa tentative de se dédouaner de toute responsabilité et de reporter celle-ci sur les agents communaux fautifs. Il souligne à cet égard l’aveu de la défenderesse qui, au moment d’adopter les mesures adéquates pour éviter que des consultations litigieuses comparables ne se reproduisent, prises, indique qu’il n’y avait à l’époque des faits, pas de contrôle des accès au Registre national. Le plaignant souligne également que l’annexe VIII au règlement de travail invoquée par la défenderesse en conclusions (voy. point 21) n’était pas en vigueur au moment des faits. Il s’appuie plus généralement sur les constats du SI. - Le plaignant dénonce également un manque de transparence au regard du remplacement du DPO (Monsieur Z) par une société externe. - 4 Le plaignant demande enfin que le dossier soit transmis au Procureur du Roi. Lisez la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. Décision quant au fond 188/2025 — 8/15
33. Le 7 septembre 2022, la défenderesse indique à la Chambre Contentieuse qu’elle n’entend pas répliquer, l’intégralité de son argumentation étant contenue dans ses conclusions en réponse (point 21), lesquelles valent conclusions en réplique .
34. Le 13 janvier 2023, le plaignant écrit à la Chambre Contentieuse que dans l’attente de sa décision, il a poursuivi ses investigations quant au marché public conjoint organisé par la défenderesse (et son CPAS) évoqué en conclusions relativement au remplacement de l’exDPO de la défenderesse. Il dépose de nouvelles pièces à ce sujet dont une réclamation déposée à l’égard de ce marché public.
35. Le 24 janvier 2023, la Chambre Contentieuse fait savoir aux parties qu’elle examinera la recevabilité de ces documents déposés en-dehors du calendrier de procédure lors de sa prise de décision. II. Motivation II.
36. Quant à l’imputabilité des consultations illicites – la question du responsable de traitement
37. Conformément à l’article 4.7 du RGPD, il y a lieu de considérer comme le responsable du traitement: « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ». Il s’agit d’une notion autonome, propre à la réglementation en matière de protection des données dont l’appréciation doit se faire au départ des critères qu’elle énonce : la détermination des finalités du traitement de données concerné ainsi que celles des moyens de celui-ci.
38. Indépendamment de la qualification que se donneraient les parties, la Chambre Contentieuse doit évaluer concrètement le rôle et la qualité des parties concernées et mises en cause et écarter le cas échéant la qualification que se seraient donnée les parties s’il devait résulter de son analyse que cette qualification ne peut pas être retenue
40. Lorsque l’employé d’une organisation opère des traitements de données à caractère personnel dans le cadre des activités de celle-ci, le traitement est réputé avoir lieu sous l’autorité de l’organisation. L’employé est en effet considéré comme une « personne agissant sous l’autorité du responsable du traitement » au sens de l’article 29 du RGPD dans ce cas
41. 5 6 Voy. en ce sens Bruxelles (Cour des marchés), 8 juin 2022, 2022/AR/42, p.
42. Article 29 du RGPD : Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d’y être obligé par le droit de l’Union ou le droit d’un État membre. Décision quant au fond 188/2025 — 9/15
43. Toutefois, il existe des situations exceptionnelles dans lesquelles l’employé a défini luimême les finalités d’un traitement de données à caractère personnel en « outrepassant de manière illicite l’autorité qui lui a été confiée »
45. En l’espèce, la Chambre Contentieuse constate qu’en ce qui concerne le traitement de données qui consiste à consulter le Registre National, c’est - sauf les cas où ses agents se rendent coupables d’une consultation non autorisée -, bien la défenderesse qui détermine les finalités et les moyens du traitement. En effet, les consultations du Registre National sont à effectuer dans le cadre des missions confiées à la défenderesse en sa qualité d’administration communale.
46. En l’espèce, des consultations (illicites) du Registre National ont été opérées hors du cadre de ces missions, à d’autres fins (soit à des fins personnelles) par des agents communaux. Bien que ces derniers aient utilisé les moyens mis à leur disposition par la défenderesse, ces agents communaux doivent être considérés chacun comme responsable de traitement au sens de l’article 4.7 du RGPD pour la consultation illicite dont ils se sont respectivement rendus coupables dès lors qu’ils ont opéré les consultations litigieuses en dehors du cadre de leurs tâches en tant qu’employés de la défenderesse (ce dernier fait n’étant pas contesté).
47. Compte tenu de ce qui précède, la Chambre Contentieuse conclut que l’illicéité de ces consultations n’est pas imputable à la défenderesse
49. La Chambre Contentieuse ajoute que pour autant, elle n’est pas tenue de mettre à la cause les deux agents communaux fautifs, ce que le SI n’a pas non plus jugé opportun de faire. Elle n’est pas davantage tenue de mettre à la cause le SPF Intérieur dès lors que la plainte initiale n’était pas dirigée contre lui et qu’au terme de l’enquête complémentaire menée à son égard, même à la demande de la Chambre Contentieuse, l’Inspecteur général n’a relevé aucun manquement dans son chef. La Chambre Contentieuse ne les a donc, ni les uns ni l’autre, inclus dans le périmètre de sa saisine ou invité à conclure (point 19).
50. De manière générale, il n’incombe pas à l’APD de mettre à la cause toutes les acteurs liés à une problématique. La Chambre Contentieuse rappelle à cet égard que la Cour des marchés qui connait des appels de ses décisions, ne sanctionne pas le choix procédural de l’autorité (ni par ailleurs celui du plaignant le cas échéant) de ne pas impliquer toutes les personnes, instances et autres liées à une problématique et de ne pas solliciter une 7 Comité européen de la protection des données (CEPD), Lignes directrices 07/2020 concernant les notions de responsable de traitement et de sous-traitant dans le RGPD, 7 juillet 2021, version 2, paragraphe 19, accessible via: https://www.edpb.europa.eu/system/files/2023-10/edpb guidelines 202007 controllerprocessor final fr.pdf . 8 A toutes fins utiles, la Chambre Contentieuse ajoute que la circonstance qu’elle constatera ci-après que la défenderesse n’avait pas mis en place toutes les mesures techniques et organisationnelles destinées à prévenir de telles consultations illicites, n’énerve pas en l’espèce sa décision. En effet, les employés concernés n’ignoraient pas que telle consultation était interdite puisqu’ils avaient signé une clause de confidentialité en ce sens. Décision quant au fond 188/2025 — 10/15 investigation du SI à leur égard
51. A toutes fins utiles, la Chambre Contentieuse précise que dès lors, toutes les considérations, questionnements et suppositions émises par le plaignant au regard des agents fautifs ne sont pas examinés aux termes de la présente décision.
52. En revanche, la Cour des marchés estime que les poursuites et sanctions doivent être dirigées contre une partie qui est reconnue comme responsable de traitement, ce qui est le cas de la défenderesse en l’espèce au regard des obligations qui lui incombent en exécution des articles 5.2 et 24.1 du RGPD ce, indépendamment du fait que l’illicéité des consultations du Registre national ne lui est pas imputée en l’espèce (voy. infra).
53. Parce que le plaignant considère qu’il existe un conflit d’intérêt dans le chef de l’ex-DPO (Monsieur Z) de la défenderesse devenu juriste et qui signe les courriers et conclusions échangés dans le cadre de la procédure devant la Chambre Contentieuse en cette dernière qualité au motif qu’il aurait déterminé les finalités et les moyens du traitement litigieux, la Chambre Contentieuse entend clarifier ce qui suit.
54. Un DPO n’est pas à considérer comme déterminant les finalités et les moyens d’un traitement de données. Bien au contraire, son rôle consiste à conseiller le responsable de traitement quant à la mise en œuvre de traitements de données à caractère personnel respectueux du RGPD. Sa mission d’avis, de conseil et de contrôle du respect du RGPD définie à l’article 39 du RGPD est précisément incompatible avec une quelconque détermination des finalités et des moyens des traitements. A ce titre, le DPO agit avec indépendance (article 38.3 du RGPD) et doit être exempt de tout conflit d’intérêt (article 38.6 du RGPD). Si par ses fonctions, la personne pressentie comme DPO devait être amenée en pratique à déterminer les finalités et les moyens d’un traitement, elle ne pourra pas être DPO. Il en va de même si ce conflit d’intérêt devait survenir au cours de l’exercice de sa fonction. Aussi, l’argument soulevé par le plaignant selon lequel l’ex-DPO aurait un conflit d’intérêt parce qu’il aurait en cette qualité déterminé les finalités et les moyens des traitements à l’époque des faits dénoncés est inexact et contraire en droit. La Chambre Contentieuse n’est par ailleurs en possession d’aucun élément qui attesterait que le DPO a déterminé les finalités et les moyens du traitement litigieux en l’espèce et n’a en toute hypothèse pas invité les parties à se défendre à cet égard (point 19).
55. Pour le surplus, la Chambre Contentieuse est d’avis qu’il ne relève pas de sa compétence de se prononcer sur les personnes internes que la défenderesse choisit de consulter (DPO, juriste, …) pour analyser les faits au moment où ceux-ci se produisent ou pour sa défense. Ainsi, que le DPO soit associé à l’examen d’une pratique dénoncée comme contraire au RGPD et à la Loi RN relève précisément de son rôle dès lors que conformément à l’article 38.1 du RGPD, il doit être associé de manière appropriée et en temps utile à toute question 9 Bruxelles (Cour des marchés), 30 juin 2021, 2020/AR/111, p. 6.9.1 et 6.9.
56. Décision quant au fond 188/2025 — 11/15 de protection des données. La Chambre Contentieuse n’entend pas non plus commenter la manière dont la défenderesse a préparé sa défense dans le contexte de la présente procédure, étant entendu que c’est elle (et non le DPO comme elle vient de le souligner) qui est tenue au respect du RGPD. Enfin, la Chambre Contentieuse précise qu’aux termes de cette décision, elle tient la défenderesse pour responsable en qualité de responsable de traitement, non le juriste qui co-signe les courriers ou envoie les conclusions depuis sa boite e-mail professionnelle. II.
57. Quant au respect des articles 5.2 et 24.1 du RGPD
58. Le constat selon lequel l’illicéité des consultations du Registre National ne lui est pas imputable en l’espèce n’exempte pas pour autant la défenderesse de son obligation de mettre en place les mesures organisationnelles et techniques destinées à assurer la conformité des consultations du Registre National au RGPD en particulier le respect des principes de sécurité et de finalité. Elle y est tenue en exécution des articles 5.
59. f)10 et 3211 du RGPD et les dispositions pertinentes de la Loi RN appliqués en combinaison avec les articles 5.212 et 24.1 du RGPD. Il appartient en effet aux responsables de traitement autorisés à consulter le Registre national de mettre en œuvre les conditions de l’autorisation dont ils bénéficient dans le respect des prescrits de celle-ci et ce conformément au principe d’accountability énoncé aux articles 5.
60. et 2413 du RGPD dont le contrôle du respect revient à l’APD. En l’espèce, Il incombait à la défenderesse de garantir que l’accès au Registre national demeure limité aux finalités pour lesquelles cet accès était autorisé à l’exclusion de toute finalité personnelle d’un de ses agents. Il lui incombait également d’être en mesure de démontrer, comme le requièrent les articles 5.2 et 24 du RGPD, qu’elle avait mis en place les mesures organisationnelles et techniques à cet effet. 10 L’article 5.1.f) du RGPD prévoit que les données à caractère personnel sont « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité) ». 11 L’article 32.1 du RGPD prévoit pour sa part que « compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (…) »
61. Le cinquième paragraphe de l’article 32 dispose que « Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre ». 12 En vertu de l’article 5.2 du RGPD les responsables doit être en mesure de démontrer respecter le premier paragraphe de l’article 5 du RGPD (principe d’accountability). 13 L’article 24 du RGPD expose en ses deux premiers paragraphes que : «
62. Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire.
63. Lorsque cela est proportionné au regard des activités de traitement, les mesures visées au paragraphe 1 comprennent la mise en œuvre de politiques appropriées en matière de protection des données par le responsable du traitement. » Décision quant au fond 188/2025 — 12/15
64. La Chambre Contentieuse souligne à cet égard la nature particulière de la consultation du Registre national. Cette consultation est strictement règlementée et limitée à certaines entités et professions notamment. Comme la Chambre Contentieuse a eu l’occasion de le souligner dans plusieurs décisions déjà, cette base de données comprenant un certain nombre d’informations relatives à plus de 11 millions de personnes, elle nécessite, par nature, un encadrement particulièrement rigoureux, non seulement compte tenu de son ampleur, mais plus encore en raison de sa vocation même d'enregistrement, de mémorisation et de communication d'informations relatives à l'identification unique des personnes physiques. Il est donc tout à fait essentiel que ceux qui comme la défenderesse bénéficient d’un accès au Registre national en respectent scrupuleusement les conditions.
65. En l’espèce, ainsi qu’il a été relevé ci-dessus, la défenderesse indique par voie de conclusions, qu’elle avait au moment des faits dénoncé, mis en place les mesures techniques et organisationnelles suffisantes telle la clause de confidentialité signée par les agents fautifs, des clauses pertinentes dans le règlement de travail et l’indication requise d’un motif de consultation générique à fournir lors de chaque consultation.
66. Le SI relève quant à lui que la défenderesse ne disposait pas au moment des faits d’un mécanisme de contrôle adéquat garantissant que ses agents habilités consultent le Registre national dans le cadre des seules finalités pour lesquelles cet accès a été autorisé.
67. La Chambre Contentieuse est à cet égard d’avis que les éléments apportés par la défenderesse au titre de mesures en place au moment des faits ne permettent pas d’infirmer le constat du SI. Certes, les agents étaient tenus à une clause de confidentialité (dont la Chambre Contentieuse ne remet pas en cause la nécessité et la pertinence). Toutefois, cette mesure ne permet pas à elle seule un contrôle du respect du principe de finalité. De la même manière, les clauses invoquées du règlement de travail - dont la Chambre Contentieuse ne remet pas non plus en cause la nécessité ni la pertinence - ne sont pas non plus de nature à permettre un tel contrôle. La Chambre Contentieuse relève en outre qu’en ce qui concerne le règlement de travail, il n’apparait pas que les clauses pertinentes aient été applicables au moment des faits. L’extrait produit par la défenderesse mentionne en effet qu’il s’agit de la version applicable à dater du 19 juillet 2022, soit uniquement après les faits dénoncés.
68. En conclusion, la Chambre Contentieuse constate que la défenderesse était à l’époque des faits litigieux, en défaut d’avoir mis en place un système contrôle adéquat quant au respect de l’encadrement légal des consultations du Registre National, ce en violation des articles 5.2 et 24.1 du RGPD sur lesquels elle a invité la défenderesse à se défendre aux termes de la présente procédure.
69. La Chambre Contentieuse ajoute qu’elle n’ignore pas qu’en cours d’enquête, la défenderesse a déclaré avoir mis en place un certain nombre de mesures nouvelles dont, Décision quant au fond 188/2025 — 13/15 outre les mesures listées en note14, une politique de contrôle trimestrielle des accès au Registre national pour les agents de l’administration communale de la défenderesse.
70. Pour autant, ces mesures ne suppriment pas le manquement passé. Elles peuvent en revanche être prises en compte par la Chambre Contentieuse dans l’appréciation de la mesure correctrice / sanction appropriée au cas d’espèce ( voy. Titre III).
71. Quant aux interrogations que le plaignant formule au regard du manque de transparence de la décision de remplacer le DPO interne par un DPO externe, la Chambre Contentieuse précise que cette question ne fait pas partie du périmètre de sa saisine
72. Elle rappelle à titre purement informatif que l’article 37.6 du RGPD prévoit que « le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du soustraitant, ou exercer ses missions sur la base d'un contrat de service » et qu’un DPO peut exercer sa fonction au regard de plusieurs autorités, sociétés, entités, structures. Elle ajoute que la question du respect ou non de la réglementation en matière de marché public ne relève pas de sa compétence. III. Mesures correctrices et sanctions
73. Aux termes de l’article 100.1.1° de la LCA, la Chambre Contentieuse a le pouvoir de: 1° classer la plainte sans suite; 2° ordonner le non-lieu; 3° prononcer une suspension du prononcé; 4° proposer une transaction; 5° formuler des avertissements ou des réprimandes; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits; 7° ordonner que l'intéressé soit informé du problème de sécurité; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement; 14 Note de service sur la consultation du Registre national avec formulaire de validation de la finalité par le chef de service Affaires civiles et sociales pour les services qui n’ont pas accès au Registre National ; L’ajout d’un champ de saisie libre pour justifier la finalité de la consultation de manière plus précise, en allant plus loin que les finalités génériques seules possibles au moment des faits ; Une injonction de respecter les règles de protection des données adressée aux agents du services Affaires sociales (en ce compris un rappel des sanctions en cas de non-respect pouvant aller jusqu’au licenciement pour faute grave et un envoi au procureur du Roi) ; Une séance de sensibilisation à la protection des données du Collège communal ; Un appel à l’administration communale pour que l’application SAPHIR soit pleinement conforme à la règlementation relative au Registre national. 15 Partant, la Chambre Contentieuse n’a pas égard aux pièces déposées à ce sujet par le plaignant hors des délais pour conclure (points 25-26)) Décision quant au fond 188/2025 — 14/15 9° ordonner une mise en conformité du traitement 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données; 11° ordonner le retrait de l'agréation des organismes de certification; 12° donner des astreintes; 13° donner des amendes administratives; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données.
74. Au regard de la violation potentielle des articles 5.2 et 24.1 du RGPD sur laquelle la Chambre Contentieuse a invité les parties à conclure, la Chambre Contentieuse a décidé au point 45 ci-dessus que la défenderesse s’est rendue coupable d’un manquement à ces articles.
75. Dans l’appréciation de la sanction appropriée à ce manquement, la Chambre Contentieuse tient compte de l’ensemble des circonstances concrètes de l’espèce. La qualité d’autorité publique de la défenderesse est un facteur qui participe de la gravité de son manquement. En effet, ainsi que la Chambre Contentieuse l’a exposé ci-dessus, l’accès au Registre national est strictement règlementé et limité. Lorsqu’il s’agit d’une autorité publique comme en l’espèce, cette dernière se doit d’avoir une attitude exemplaire. Pour autant, le législateur belge n’a pas autorisé la Chambre Contentieuse à imposer une amende administrative aux autorités publiques au regard des violations du RGPD dont elles se rendent coupables dans l’exercice de leurs missions en cette qualité comme c’est le cas en l’espèce. La Chambre Contentieuse relève également que la défenderesse a pris la mesure de cette gravité en sanctionnant ses employés fautifs et en mettant en place un certain nombre de mesures à la fois techniques et organisationnelles (énumérées au point 46 et en note 14) après les faits dénoncés pour éviter que ce type de consultation illicite ne se reproduise et assurer un contrôle des consultations opérées.
76. A l’appui de ce qui précède, la Chambre Contentieuse décide que la réprimande est, en application de l’article 100.1.5° de la LCA, la sanction appropriée au cas d’espèce.
77. La Chambre Contentieuse ajoute que pour le surplus, elle n’est pas tenue d’exposer les raisons pour lesquelles elle ne retient pas une autre des sanctions listées à l’article 100.1 de la LCA, même lorsque telle ou telle sanction a été sollicitée par l’une ou l’autre des parties. Ainsi, la Chambre Contentieuse n’est pas tenue d’exposer les motifs pour lesquels elle ne