Beslissing ten gronde nr. 84/2026

1/8 Chambre Contentieuse Décision quant au fond 84/2026 du 22 avril 2026 Numéro de dossier : DOS-2022-00337 Objet : Plainte relative à la réponse incomplète à l’exercice d’un droit d’accès et à l’information La Chambre Contentieuse de l'Autorité de protection des données; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier, en ce compris les conclusions des parties qui ont été régulièrement échangées ; A pris la décision suivante concernant : Le plaignant : X, ci-après « le plaignant » ; La défenderesse : Y, dont le siège social est établi […], inscrite sous le numéro d'entreprise […], ciaprès : « la défenderesse ». Décision quant au fond 84/2026 — 2/8 I. Faits et procédure

1. L'objet de la plainte concerne une réponse incomplète à l’exercice d’un droit d’accès et droit à l’information.
2. Le 6 novembre 2021, le plaignant exerce son droit d’accès et son droit à l’information auprès de la défenderesse qui est l’agence immobilière en charge de vendre le bien immobilier dans lequel il est locataire. Il précise savoir que son adresse physique, son adresse email et son adresse IP et un cookie traceur sont traitées par la défenderesse. Il souhaite savoir comme ses données sont traitées et en obtenir l’accès.
3. Le même jour, la défenderesse demande au plaignant de s’adresser directement à son avocat. Elle explique transmettre les échanges de mails précédents ainsi que les photos de l’immeuble à son avocat ainsi qu’aux vendeurs de l’immeuble. Selon elle, elle ne traite aucune donnée personnelle du plaignant. Elle explique ne pas être informaticien et donc ne pas comprendre le but du plaignant ni son langage supposé « informatique ». Elle termine par préciser que si le descriptif du bien contient la moindre allusion au nom du plaignant de lui souligner.
4. Le 7 novembre 2021, le plaignant exprime sa surprise quant au transfert de son email précédent à l’avocat de la défenderesse et aux vendeurs du bien. Il précise que cette demande ne concerne que la défenderesse et non pas la vente du bien en tant que telle. Il réitère sa demande d’accès et d’information. Il fournit également un lien vers un site internet reprenant des informations par rapport au RGPD.
5. Le 8 novembre 2021, l’avocat de la défenderesse affirme au plaignant qu’aucune de ses données ne sont traitées par la défenderesse. Il précise que les administrateurs de la défenderesse « assurent conjointement la mission de data officer » et invite le plaignant a prendre rendez-vous avec eux.
6. Le même jour, le plaignant répond à l’avocat de la défenderesse. Il réitère que la défenderesse collecte des données à caractère personnel à son propos grâce à des le partage de son adresse à des tiers et des photos prises de l’intérieur sans son consentement dans le cadre de la vente de l’immeuble où il est locataire. Il demande également au conseil de la défenderesse de lui préciser l’identité des administrateurs avec qui il doit prendre rendez-vous et indique que ceci n’est pas conforme avec son droit à la portabilité des données.
7. Le 9 novembre 2021, le conseil de la défenderesse réitère qu’aucune donnée n’est collectée par la défenderesse sur son site Internet. Il explique que les photos de l’intérieur de l’immeuble n’ont pas pour objectif de collecter des données personnelles. Il renvoie également le plaignant vers le Moniteur belge pour obtenir l’identité des administrateurs. Il Décision quant au fond 84/2026 — 3/8 dit également que le plaignant a le droit de solliciter un droit d’accès mais pas la portabilité de ses données.
8. Le même jour, le plaignant essaie de clarifier la position de la défenderesse en ce que celleci estime que l’adresse physique et les photos de son domicile ne sont pas des données à caractère personnel et que les cookies présents sur son site ne nécessite pas son consentement afin d’être installés. Il demande à la défenderesse de confirmer qu’il s’agit bien de sa position.
9. Toujours le 9 novembre 2021, l’avocat de la défenderesse estime que la question du plaignant a reçu une réponse adéquate et le renvoie vers les administrateurs de la société pour obtenir un « document ad hoc relatif aux informations personnelles qui serait traitées/conservées en son sein ».
10. Le plaignant réitère encore une fois sa demande à la défenderesse et précise qu’il introduira une médiation auprès de l’APD en cas d’absence de réponse.
11. Le 10 novembre 2021, le conseil de la défenderesse estime que la demande du plaignant a reçu une réponse complète et l’invite à prendre contact avec les administrateurs de la société afin de recevoir le « formulaire demandé ».
12. Le 10 novembre 2021, un autre représentant de la défenderesse demande au plaignant de lui expliquer la situation depuis le début.
13. Le 11 novembre 2021, le plaignant réexplique ses demandes et les échanges qui ont suivi.
14. Le 6 janvier 2022, le plaignant revient vers la défenderesse et annonce que, n’ayant reçu aucune réponse à son exercice de droits, une demande de médiation sera introduite la semaine suivante auprès de l’APD.
15. Le 13 janvier 2022, le plaignant a introduit une demande de médiation auprès de l’Autorité de protection des données concernant la défenderesse.
16. Le 28 janvier 2022, le Service de Première Ligne invite la défenderesse à répondre à la demande du plaignant.
17. Le 28 juin 2022, le SPL envoie un rappel à la défenderesse.
18. Le 28 juillet 2022, le SPL informe le plaignant que la médiation est restée sans réponse et lui demande s’il souhaite transformer sa médiation en plainte. Le même jour, le plaignant confirme son désir de transformer sa médiation en plainte. Le SPL prévient la défenderesse que la médiation a été muée en plainte. Décision quant au fond 84/2026 — 4/8
19. Le 3 août 2022, la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA1 et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA
21. Le 6 décembre 2024, la Chambre Contentieuse informe la défenderesse qu’une plainte est pendante et lui permet de lui communiquer des observations. Le recommandé n’est pas réclamé par la défenderesse.
22. Le 10 janvier 2025, la Chambre Contentieuse renvoie cette notification au conseil de la défenderesse.
23. À la date du 14 avril 2025, aucune réponse et aucun accusé de réception n’a été envoyé à la Chambre Contentieuse ni de la part de la défenderesse ni de son conseil.
24. Le 13 mai 2025, la Chambre Contentieuse adopte la décision d’ordonnance 86/2025 en vertu de l’article 95, §1, 5° de la LCA. Dans cette décision, la Chambre Contentieuse décide, en vertu de l’article 58.2.c) du RGPD et 95.
25. 5° de la LCA, d’ordonner à la défenderesse de se conformer à la demande de la personne concernée d’exercer ses droits, plus précisément le droit d’accès (article 15 du RGPD) et de lui fournir une copie des informations qu’elle traite à son propos dans le délai de 30 jours à dater de la présente décision ; et de l’informer par email de la suite qui est donnée à cette décision, dans le même délai, via l’adresse e-mail litigationchamber@apd-gba.be.
26. Le 16 mai 2025, la défenderesse demande à ce que le dossier soit traité sur le fond, conformément à la possibilité qui lui était laissée dans la décision et conformément aux articles 98 e.s. de la LCA.
27. Le 13 juin 2025, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond et envoie, à cette fin, une invitation à conclure aux parties. Les conclusions sont transmises valablement.
28. En août 2025, la défenderesse répond à la demande d’accès du plaignant.
29. Le 3 février 2026, la Chambre Contentieuse invite les parties à une audition.
30. Le 4 mars 2026, l’audition a lieu en présence de la défenderesse. Le plaignant était absent.
31. Le 6 mars 2026, le PV est transmis aux parties.
32. Le 9 mars 2026, le plaignant manifeste son mécontentement quant à ce qui s’est dit au cours de l’audition à laquelle il n’était pas présent. 1 En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été déclarée recevable. 2 En vertu de l'article 95, § 2 LCA, par la présente décision, la Chambre Contentieuse informe les parties du fait qu’à la suite de cette plainte, le dossier lui a été transmis. Décision quant au fond 84/2026 — 5/8
33. Le 20 mars 2026, la défenderesse informe la Chambre Contentieuse de la publication d’un nouvel arrêt de la CJUE3 (C-526/24) concernant un point plaidé au cours de l’audition. II. Motivation II.
34. En ce qui concerne le traitement au fond du dossier après une décision light
35. La Chambre Contentieuse avait pris la décision d’ordonnance 86/2025 suite à la plainte déposée en l’espèce. La défenderesse demande à la Chambre Contentieuse que ce dossier soit traité sur le fond conformément à la possibilité qui lui était laissée dans la décision 86/2025 et les articles 98 e.s. de de la LCA.
36. La Chambre Contentieuse accepte de traiter ce dossier sur le fond et considère que cette décision remplace la décision 86/
37. II.
38. En ce qui concerne la réponse à la demande d’accès
39. Bien que dans un premier temps la défenderesse allègue qu’elle ne traitait pas de données à caractère personnel, son point de vue change lorsque qu’elle change de conseil. Son point de vue est désormais qu’elle ne conteste pas avoir adressé des réponses incomplètes mais que cette réponse incomplète résulte des « conseils juridiques inadaptés reçus à l’époque ». Elle explique avoir agi de bonne foi et avoir désormais répondu à la demande.
40. Dans sa plainte, le plaignant reproche à la défenderesse de ne pas avoir répondu à sa demande d’accès. Malgré la réponse de la défenderesse à sa demande d’accès en août, le plaignant estime que celle-ci n’a pas correctement été traitée. En effet, il estime que la défenderesse a transféré des données à des tiers alors qu’elle allègue ne pas l’avoir fait.
41. Le RGPD impose au responsable du traitement de répondre à une demande d’exercice de droit d’une personne concernée dans un délai d’un mois à compter de la demande sous réserve d’une prolongation de deux mois
43. La Chambre Contentieuse constate que, en tout état de cause, la réponse de la défenderesse intervient au cours de la procédure, plus de quatre ans après la demande originelle et de nombreux échanges entre le plaignant et la défenderesse. Le délai d’un mois pour la réponse n’est pas respecté. La Chambre Contentieuse constate donc une violation de l’article 112.3 du RGPD lus en combinaison avec l’article 15 du RGPD. 3 C.J.U.E., 19 mars 2026, C-526/24 4 Article 12.
44. du RGPD. Décision quant au fond 84/2026 — 6/8 II.
45. En ce qui concerne un possible abus de droit
46. La défenderesse allègue que le plaignant a formulé sa demande d’accès pour une finalité étrangère au RGPD et a, dès lors commis une demande abusive au sens de l’article 12.5 du RGPD. Le plaignant conteste avoir commis un abus de droit.
47. La Chambre Contentieuse rappelle que le droit d’accès permet aux personnes concernées de vérifier la licéité du traitement de leurs données
48. L’exercice de ce droit ne requiert pas pour la personne concernée de justifier sa demande
50. Néanmoins, l’article 12.5 du RGPD prévoir que « lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut : exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations ; procéder aux communications ou prendre les mesures demandées ; ou refuser de donner suite à ces demandes. ».
51. La Cour de justice de l’Union européenne a récemment rendu un arrêt qui précise la portée de cette disposition. Dans cet arrêt, la Cour constate qu’une première demande d’exercice de droit pourrait être considérée comme abusive si le responsable du traitement démontre l’existence d’un abus de droit
52. Selon la jurisprudence constante de la Cour de Justice de l’Union européenne8, la preuve d’un abus de droit peut être apportée, d’une part, par un ensemble de circonstances objectives dont il résulte que, malgré un respect formel des conditions prévues par la règlementation de l’Union, l’objectif poursuivi par cette réglementation n’a pas été atteint et, d’autre part, un élément subjectif consistant en la volonté de la personne concernée d’obtenir un avantage résultant de la réglementation de l’Union en créant artificiellement les conditions requises pour son obtention.
53. En l’espèce, en ce qui concerne l’élément objectif, le plaignant pouvait exercer son droit d’accès auprès de la défenderesse. En exerçant son droit et en vérifiant, de cette manière, la licéité du traitement de ses données, l’objectif poursuivi par le RGPD a été atteint.
54. En ce qui concerne l’élément subjectif, la Cour précise que le responsable du traitement est tenu de démontrer de manière non-équivoque que la personne concernée a introduit cette demande pour une finalité autre que celle de prendre connaissance du traitement de ces données et d’en vérifier la licéité.9 En l’espèce, la défenderesse allègue que la demande d’accès n’a été formulée que dans un « contexte de mécontentement personnel ».Le 5 Considérant 63 du RGPD. 6 §13 des Lignes Directrices 01/2022 sur les droits des personnes concernées – droit d’accès, adoptées le 28 mars
55. 7 C.J.U.E., Brillen Rottler, 19 mars 2026, C-526/24, §31 et §
56. 8 Voir notamment C.J.U.E., VK c. BMW Bank Gmbh, 21 décembre 2023, C-38/21, C-47/21 et C-232/21, §285 et C.J.U.E., Brillen Rottler, 19 mars 2026, C-526/24, §36.. 9 §40 des Lignes Directrices 01/2022 sur les droits des personnes concernées – droit d’accès, adoptées le 28 mars
57. Décision quant au fond 84/2026 — 7/8 plaignant aurait, selon elle, « exploité, de manière opportuniste, la méconnaissance juridique de la défenderesse afin de détourner un droit à des fins personnelles de représailles », ce que conteste le plaignant. La Chambre Contentieuse rappelle que, le fait qu’une demande d’accès puisse avoir été formulée dans un contexte conflictuel entre les parties, n’établit pas pour autant que la demande soit abusive au sens de la jurisprudence de la CJUE. De plus, la Cour de justice précise que cette exception à l’obligation du droit d’accès doit être interprétée de manière restrictive
59. La Chambre Contentieuse constate que la défenderesse n’apporte aucune preuve de l’éventuelle intention abusive du plaignant. Elle se contente de la supposer.
60. Dès lors, la Chambre Contentieuse considère que l’abus de droit n’est pas établi et écarte cet argument de la défenderesse. II.
61. Conclusion
62. Sur base de ce qui précède, la Chambre Contentieuse décide d’adresser une réprimande à la défenderesse en raison de sa violation de l’article et 12.3 du RGPD lu conjointement avec l’article 15 du RGPD car elle n’a pas facilité l’exercice du droit d’accès du plaignant et n’a pas répondu à sa demande dans le délai prévu par le RGPD. 10 C.J.U.E., 19 mars 2026, C-526/24, §
63. Décision quant au fond 84/2026 — 8/8 III. Publication de la décision
64. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’Autorité de protection des données. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération : - En vertu de l’article 100, §1, 5° de la LCA, d’adresser une réprimande à la défenderesse car elle a violé l’ article 12.3 du RGPD lu conjointement avec l’article 15 en ne répondant pas à la demande dans le délai prévu par le RGPD. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire
65. La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.12, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (sé). Hielke HIJMANS Directeur de la Chambre Contentieuse 11 La requête contient à peine de nullité: l'indication des jour, mois et an; les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro d’entreprise; 3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer; 4° l'objet et l'exposé sommaire des moyens de la demande; 5° l'indication du juge qui est saisi de la demande; 1° 2° la signature du requérant ou de son avocat. 12 La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au greffier de la juridiction ou déposée au greffe.