1/16 Chambre Contentieuse Décision quant au fond 89/2025 du 27 mai 2025 Numéro de dossier : DOS-2020-00140 Objet : Plainte contre le SPF Affaires étrangères, Commerce extérieur et Coopération au Développement La Chambre Contentieuse de l'Autorité de protection des données; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA »)1 ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20192 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : X, ci-après « le plaignant ». La défenderesse : Le Service Public Fédéral Affaires étrangères, Commerce extérieur et Coopération au Développement (SPF Affaires étrangères) dont le siège est établi Rue des Petits Carmes 15, à 1000 Bruxelles, ci-après « la défenderesse » ; 1 L’APD rappelle que la loi organique révisée est entrée en vigueur le 01/06/2024. Elle ne s'applique qu'aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initié(e)s à partir de cette date. Les dossiers initiés avant le 01/06/2024, tel que le présent dossier, sont soumis aux dispositions de l’ancienne version de la LCA accessible ici : https://www.autoriteprotectiondonnees.be/publications/loi-organique-de-l-apd.pdf 2 Le nouveau règlement d’ordre intérieur de l’APD, consécutif aux modifications apportées par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le 01/06/2024. Il ne s’applique qu'aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initié(e)s à partir de cette date. Les dossiers initiés avant le 01/06/2024 sont soumis aux dispositions règlement d'ordre intérieur tel qu'il existait avant cette date. Décision quant au fond 89/2025 — 2/16 Ayant pour conseil Me Jean LAURENT et Me Charline SERVAIS, avocats au barreau de Bruxelles, dont le cabinet est établi avenue Louise, 250 à 1050 Bruxelles. Décision quant au fond 89/2025 — 3/16 I. 1. Faits et procédure Le 23 avril 2020, le plaignant a introduit une plainte auprès de l’Autorité de protection des données (ci-après « APD ») contre la défenderesse. 2. Aux termes de sa plainte, le plaignant rapporte avoir introduit une demande d’information concernant la consultation de son Registre National par la défenderesse. Le plaignant reproche à la défenderesse d’avoir répondu de manière floue à sa demande, sans parvenir à indiquer le motif de la consultation. 3. Le 28 octobre 2019, X introduit un formulaire de plainte auprès du SPF Affaires étrangères afin d’obtenir le motif de la consultation de ses données au Registre National par le Consulat général de Belgique à Casablanca le 4 septembre 2019. 4. Une réponse de la défenderesse est envoyée au plaignant le 6 novembre 2019, lui indiquant que cette consultation avait été effectuée dans le cadre d’une demande de visa longue durée. Le même jour, le plaignant poursuit l’échange en précisant qu’il n’a introduit aucune demande de visa. 5. La défenderesse répond le 14 novembre qu’il est possible que le Registre National d’une personne non-impliquée dans la demande de visa soit consulté dans le but de vérifier certaines informations en lien avec la demande de visa d’une autre personne. Le même jour, le plaignant réagit à cette information en demandant des précisions concernant le motif spécifique de consultation. 6. Le 18 novembre 2019, le DPO de la défenderesse informe le plaignant qu’il a été saisi de sa demande, qu’il a interrogé le département compétent et qu’il lui reviendra le plus rapidement possible. 7. Le 3 décembre 2019, la défenderesse exprime qu’elle est « dans l’impossibilité matérielle de retrouver dans quel dossier précis » les données du plaignant ont été consultées en raison du nombre élevé de demandes qui ont été faites dans l’année au Consulat général à Casablanca. 8. Le 4 décembre 2019, le plaignant manifeste son désaccord avec l’impossibilité avancée par la défenderesse et lui suggère de croiser la date de consultation avec les personnes habilitées présentes ce jour-là afin de retrouver la raison de cette consultation. Le plaignant avance par ailleurs que les problèmes internes de la défenderesse ne peuvent pas l’empêcher de répondre à sa demande. 9. Le 5 décembre 2019, la défenderesse confirme sa position précédemment présentée en alléguant l’impossibilité de retrouver le dossier ayant mené à la consultation de la fiche Registre National du plaignant. La défenderesse précise également que la consultation a été Décision quant au fond 89/2025 — 4/16 opérée dans un but uniquement professionnel et que ses agents sont tenus par une clause de confidentialité. 10. Le 7 janvier 2020, le plaignant introduit une plainte auprès du Médiateur Fédéral au sujet de la consultation de sa fiche au Registre National en date du 4 septembre 2019. Il ajoute que sa fiche a été consultée une seconde fois en date du 30 octobre 2019. 11. Le 9 janvier 2020, le Médiateur fédéral fait suivre la plainte à l’APD. 12. Le 30 janvier 2020, l’APD contacte la défenderesse et l’invite à répondre précisément à la demande du plaignant. Le même jour, la défenderesse transmet à l’APD les échanges avec le plaignant. 13. Le 11 février 2020, la défenderesse contacte l’APD afin de résumer la situation et se défend d’un accès à la fiche du Registre National du plaignant en date du 6 janvier 2020 en demandant à ce que le plaignant apporte la preuve de cette consultation. 14. Le 5 mars 2020, l’APD transmet la correspondance de la défenderesse datée du 11 février au plaignant et au Médiateur Fédéral. L’APD informe le plaignant qu’il peut introduire une plainte. 15. Ce même jour, le plaignant soulève un malentendu sur les dates de consultation du Registre National. La fiche du Registre National du plaignant avait été consultée une deuxième fois en date du 30 octobre 2019, le 6 janvier étant la date à laquelle le plaignant s’est rendu compte de cette deuxième consultation. 16. Le 6 mars 2020, le plaignant transmet à l’APD la preuve de la consultation de sa fiche de Registre National. 17. Le 23 avril 2020, le plaignant introduit une plainte auprès de l’APD contre la défenderesse. 18. Le 15 juillet 2020 la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA. 19. Le 7 août 2020 la Chambre Contentieuse décide de demander une enquête au Service d'Inspection (ci-après « SI »), en vertu des articles 63, 2° et 94, 1° de la LCA. Le même jour, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au SI, de même que la plainte et l’inventaire des pièces, conformément à l’article 96, §1er de la LCA. 20. Le 15 septembre 2020, l’Inspecteur général adresse un courrier à la défenderesse dans lequel il résume la situation et lui demande de lui fournir des informations. 21. Le 2 février 2021, l’enquête du SI est clôturée. Le rapport est joint au dossier et celui-ci est transmis par l’Inspecteur général au Président de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA). Décision quant au fond 89/2025 — 5/16 Le rapport du SI peut être résumé comme suit : - Constatation 1 : Le SI observe que le principe de responsabilité (art. 5.2 et 24.1 du RGPD) n’a pas été respecté en l’espèce car aucun motif de consultation n’était inscrit dans le registre de traitement au moment des faits. - Constatation 2 : Le SI remarque également que le principe de minimisation des données (art. 5.1.
- c)du RGPD) n’est pas respecté par la défenderesse dans le sens que la recherche dans le Registre National implique automatiquement la consultation de la photo de la personne concernée. - Constatation 3 : En dernier lieu, le SI constate que la défenderesse a manqué à son obligation de répondre à la demande d’information du plaignant (articles 12.1. et 15.1. du RGPD). En effet, si l’enquête initiée par le SI a permis d’identifier dans le cadre de quel dossier, et a fortiori la raison, les données du plaignant avaient été consultées, cette information n’avait pas été communiquée au plaignant. 22. Le 16 février 2021 la Chambre Contentieuse décide, en vertu de l’article 95, § 1er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 23. Le 19 mars 2021, les parties concernées, ainsi que le Médiateur Fédéral, sont informées des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. 24. La date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 30 avril 2021, celle pour les conclusions en réplique du plaignant au 21 mai 2021 et enfin celle pour les conclusions en réplique de la défenderesse au 11 juin 2021. Les parties ont respecté les délais impartis pour le dépôt de leurs conclusions respectives. 25. Le 4 mars 2025, la défenderesse est entendue par la Chambre Contentieuse. L’affaire est mise en continuation en raison de points qui ne peuvent pas être éclaircis au cours de l’audition. 26. Le 5 mars 2025, les questions restées sans réponse à l’audition sont envoyées par la Chambre Contentieuse à la défenderesse. 27. Le 6 mars 2025, le procès-verbal de l’audition est soumis à la défenderesse et communiqué pour information au plaignant non-comparaissant à l’audition. 28. Le 12 mars 2025, la Chambre Contentieuse reçoit quelques remarques relatives au procèsverbal qu'elle prend en compte dans sa délibération. 29. Le 13 mars 2025, la Chambre Contentieuse reçoit les réponses de la défenderesse aux questions posées le 5 mars, les prend en compte dans sa délibération et décide de clore les débats. Décision quant au fond 89/2025 — 6/16 II. Motivation II.1. À titre liminaire 30. Il n’est pas contesté par les parties que la défenderesse, établie à Bruxelles, est le responsable du traitement des données du plaignant au sens du RGPD. 31. Le traitement en cause concerne la consultation de la fiche de Registre National du plaignant ainsi que de sa photo. 32. A titre liminaire, la défenderesse soutient dans ses conclusions qu’en l’absence de mauvaise intention de l’agent lors de la consultation des données personnelles du plaignant, cela exclut toute responsabilité de la défenderesse. 33. La Chambre Contentieuse ne peut suivre ce raisonnement. Un traitement est défini par le RGPD comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la conservation, l’adaptation ou la modification l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ». 34. Dès lors, toute consultation de données constitue un traitement, indépendamment de l’intention de l’agent ou du caractère volontaire de l’acte. De plus, l’argument de la défenderesse selon lequel la consultation n’aurait duré que 20 secondes ne peut pas non plus être retenu par la Chambre Contentieuse. Le RGPD ne fixe pas de durée minimale pour qu’un traitement soit reconnu. 35. Enfin, l’étroitesse des liens entre la Belgique et le Maroc menant à une surcharge du poste de Casablanca ne peut pas être utilisé comme justificatif d’une erreur dès lors que ce fait n’exonère pas le responsable du traitement des responsabilités qui lui incombent en vertu du RGPD. II.2. Quant au principe de responsabilité (art. 5.2 et 24.1 du RGPD) 36. Le plaignant soutient dans sa plainte que la consultation de son Registre National est intervenue de manière non-conforme au RGPD, dans la mesure où aucun contrôle du principe de limitation des finalités n’était prévu au moment des faits litigieux. 37. La défenderesse se prévaut de plusieurs mesures censées démontrer la conformité de la consultation litigieuse du Registre National avec le RGPD. Elle mentionne notamment la transmission de la liste des utilisateurs ayant des droits d’administrateurs chaque année à l’APD et une procédure imposant une individualisation de la demande d’octroi des droits Décision quant au fond 89/2025 — 7/16 d’accès à chaque nouvelle affectation. L’habilitation de la personne ayant procédé à la consultation n’est cependant pas mise en doute par la Chambre Contentieuse. 38. Le SI est d’avis que la défenderesse n’a pas respecté les articles 5.2 et 24.1 du RGPD en l’espèce car aucun motif de consultation n’était inscrit dans le registre de traitement au moment des faits et que la défenderesse ne dispose pas d’un mécanisme de contrôle adéquat garantissant que ses agents habilités consultent le Registre National dans le cadre des seules finalités pour lesquelles cet accès a été autorisé. 39. La Chambre contentieuse rappelle que le principe de responsabilité, tel que consacré par les articles 5.2 et 24.1 du RGPD, exige que le responsable du traitement soit en mesure de démontrer la conformité de son traitement avec les principes prévus par le RGPD. Une telle démonstration doit porter notamment sur l’implémentation des mesures techniques et organisationnelles appropriées. Le responsable de traitement s’assure de réexaminer et actualiser ces mesures techniques et organisationnelles mises en place si nécessaire (article 24 du RGPD). 40. L’analyse de la Chambre Contentieuse porte sur la démonstration de l’existence de mesures techniques et organisationnelles appropriées, rapportées par la défenderesse pour démontrer son respect du RGPD : la signature d’une clause de confidentialité par les personnes habilitées à la consultation (Section II.2.1), et la mise en place d’un module qui impose d’indiquer le motif de la consultation (Section II.2.2). 41. Pour être considérées comme valables, la Chambre contentieuse rappelle que ces mesures doivent avoir pour but d’empêcher la consultation du Registre National pour d’autres finalités que celles pour lesquelles ces données doivent être traitées Le choix des mesures appropriées revient au responsable du traitement. II.2.1. Concernant la clause de confidentialité 42. La signature d’une clause de confidentialité est une mesure organisationnelle de nature contractuelle, qui engage juridiquement son signataire. À la date des faits litigieux, la Chambre Contentieuse constate que la défenderesse démontre l’obligation pour ses employés de signer une clause de confidentialité. 43. En l’espèce, la clause de confidentialité engage ses signataires à ne consulter le Registre National qu’à des fins strictement professionnelles et à s’abstenir de divulguer à des tiers toute information dont elles viendraient à avoir connaissance dans le cadre de leur fonctions. 44. Cependant, la Chambre Contentieuse constate que l’efficacité de cette clause se trouve fortement diminuée dans la mesure où elle n’est pas assortie d’autres mesures permettant le contrôle de son respect. Décision quant au fond 89/2025 — 8/16 II.2.2. Concernant l’enregistrement de la raison de la consultation 45. L’obligation de mentionner le motif de la consultation du Registre National est prévue par l’article 17 de la loi du 8 août 19833. Cet article est entré en vigueur le 23 décembre 2018. 46. À la date des faits litigieux (septembre 2019), la Chambre Contentieuse constate que la défenderesse n’avait pas encore mis en place de mesure permettant cette mention du motif de la consultation du Registre National. 47. De plus, malgré que la défenderesse indique que seul un an s’est écoulé entre l’entrée en vigueur de cet article et la mise en place d’un module donnant la possibilité de donner la raison et le motif de la consultation, son argumentaire ne peut être suivi en ce sens par la Chambre Contentieuse. En effet, étant donné le rôle crucial des institutions publiques, elles se doivent d’être exemplaires dans l’application des lois. lors, la défenderesse aurait dû, en date des faits litigieux, avoir des mesures de contrôle déjà en place. 48. Une recommandation de la Commission de la protection de la vie privée du 30 août 2017 4, identifiée par le Service d’Inspection, précisait déjà l’importance d’indiquer le motif de la consultation. Aux termes de cette recommandation, « la mention du motif de la consultation constitue une garantie nécessaire et obligatoire pour accéder au Registre national de manière légitime ». Il est donc erroné de faire valoir que la défenderesse a appris, à l’entrée en vigueur du RGPD, qu’il était essentiel de permettre l’enregistrement du motif de chaque consultation du Registre National, le motif permettant aux personnes concernées de comprendre la finalité du traitement de leurs données. L’enregistrement de cette finalité est d’autant plus important que, sans elle, aucun contrôle ne peut être effectué quant au respect des principes relatifs au traitement des données à caractère personnel tels que prévus à l’article 5.1. du RGPD 5. 49. En conclusion, la Chambre Contentieuse constate qu’à la date de la consultation litigieuse, les articles 5.2 et 24.1 du RGPD étaient violés en raison de l’absence de démonstration de l’existence de mesures techniques et organisationnelles appropriées permettant de limiter la consultation du Registre National aux finalités déterminées 6. 50. Toutefois, lors de ses échanges avec le SI, la défenderesse indique avoir mis en place, postérieurement aux faits litigieux, un module permettant d’indiquer la raison et le motif pour lesquels une fiche de Registre National est consultée. 3 Loi du 8 août 1983 organisant un registre national des personnes physiques, M.B., …. Modifié par la loi du 25 novembre 2018 portant des dispositions diverses concernant le Registre National et les registres de population M.B., 13 décembre 2018. 4 Recommandation 07/2017 du 30 août 2017 aux villes et communes concernant l’enregistrement du motif de la consultation du Registre national par les membres de leur personnel. 5 Décision 19/2020 du 29 avril 2020 de la Chambre Contentieuse. 6 Tels que prévus par l’article .1. du RGPD. Décision quant au fond 89/2025 — 9/16 51. Par ailleurs, dans ses précisions fournies le 13 mars 2025, la défenderesse précise qu’il est désormais obligatoire d’indiquer la direction pour laquelle l’utilisateur effectue la consultation ainsi que la raison de cette consultation dans un espace commentaire. Selon la défenderesse, un nombre de caractères doit être introduit a minima dans cette case commentaire mais aucun contrôle n’est effectué sur le contenu7. 52. La Chambre Contentieuse note donc que la défenderesse a mis en place des mesures dans le but d’améliorer son niveau de conformité à la législation relative à la protection des données. Elle rappelle que le responsable du traitement a l’obligation de s’assurer que les mesures techniques et organisationnelles mises en place sont appropriées. II.3. Quant au principe de minimisation des données (art. 5.1.
- c)du RGPD) II.3.1. Position des parties 53. Le plaignant soutient que la consultation de sa photo n’est pas pertinente au regard de la finalité supposée pour lesquelles les données sont traitées. 54. Le Service d’inspection suit sur ce point les allégations du plaignant, et considère que l’affichage automatique de la photo lors de la consultation d’une fiche de Registre National sans égard à la pertinence de cette donnée pour le traitement du dossier est une violation de l’article 5.1.c. du RGPD. 55. La défenderesse avance qu’une consultation de la photo liée aux extraits de Registre national est nécessaire pour la réalisation de ses missions. Elle fonde notamment son argumentaire sur l’importance du rôle du Registre national dans le cadre de la prévention de la lutte contre la fraude à l’identité. La défenderesse allègue en l’espèce que la consultation de la fiche du Registre National du plaignant a eu lieu dans le but de confirmer une adresse, un lien familial ou une filiation dans le cadre de la demande de visa d’une personne tierce. II.3.2. Analyse de la Chambre Contentieuse 56. La Chambre Contentieuse constate que la difficulté repose en l’espèce dans la consultation automatique de la photo d’identité à chaque ouverture d’une fiche de Registre National. 57. Premièrement, la Chambre contentieuse rappelle que le principe de minimisation des données, prévu par l’article 5.1.
- c)du RGPD implique que les données à caractère personnel soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». 7 Explication fournie par la défenderesse lors de sa réponse à la Chambre Contentieuse du 13 mars 2025. Décision quant au fond 89/2025 — 10/16 58. Toute donnée à caractère personnel traitée doit donc être nécessaire au regard de la finalité définie. Ainsi, chaque donnée consultée en l’espèce, notamment la consultation de la photographie d’un citoyen, doit être nécessaire à l’accomplissement de cette mission qui est, en l’espèce, justifiée par les besoins d’instruire la demande de visa d’un tiers. 59. Deuxièmement, la Chambre contentieuse tient à rappeler que le Registre national contient des données hautement sensibles, sans toutefois être considérées comme une catégorie particulière de donnée personnelle au sens de l’article 9 du RGPD, dans la mesure où ces informations permettent d’identifier de manière certaine et non équivoque la personne concernée. Une protection adaptée doit dès lors être envisagée. 60. Troisièmement, la délibération 34/2012 du comité sectoriel du Registre National, mise en lumière par la défenderesse, n’a pas pour but de légitimer toutes les consultations des photographies du Registre National. En effet, la délibération du comité sectoriel porte sur la consultation du Registre National dans le cadre d’une procédure de demande de passeport. En l’espèce, la Chambre Contentieuse remarque que le plaignant n’était impliqué dans aucune procédure de demande de visa et qu’il ne lui a jamais été demandé de produire ses documents d’identité. 61. Quatrièmement, la Chambre Contentieuse précise que la consultation de la photo liée à une fiche de Registre National n’est pas automatiquement illicite. En effet, ce traitement de la photo peut, dans certains cas, être nécessaire pour accomplir une finalité déterminée. Cette consultation pourrait être justifiée notamment par la nécessité de confirmer les informations de documents d’identité présentés. 62. Sur base des éléments qui précèdent, la Chambre Contentieuse constate que la consultation de la photographie du plaignant n’était pas nécessaire pour vérifier une adresse, un lien familial ou une filiation d’une personne tierce et donc, à la date des faits litigieux, l’article 5.1.
- c)du RGPD était violé. 63. La défenderesse informe l’APD que, suite au rapport du SI et depuis le 11 mai 2021, la consultation de la photo attachée à la fiche de registre d’une personne n’est plus automatique et doit désormais faire l’objet d’une demande distincte pour être consultée. II.4. Quant au respect du droit d’accès (article 15.1. du RGPD) 64. Le droit d’accès aux données exercé par le plaignant est prévu par l’article 15.1. du RGPD et a pour but de permettre à la personne concernée de « prendre connaissance du traitement et d’en vérifier la licéité »8. 8 Considérant 63 du RGPD Décision quant au fond 89/2025 — 11/16 II.4.1. Concernant la finalité du traitement 65. Le plaignant a souhaité connaître les finalités du traitement de ses données en l’espèce. Dans sa première communication avec la défenderesse à ce sujet, il formule sa demande comme suit : « Mon registre national a été ouvert, par le SPF affaires étrangers, par une fiche 25 et 08 (photo) en date et sauf erreur du 4/9/19 aux alentours de 17 :52. Pourriezvous me faire savoir la raison de cette consultation ? » . 66. La défenderesse considère avoir répondu de manière adéquate à la demande d’accès du plaignant en lui indiquant que son dossier avait été consulté dans le cadre d’une demande de visa de longue durée. Elle a précisé ultérieurement que « les données du Registre national peuvent être consultées pour une personne qui n’est pas directement impliquée dans une demande de visa », notamment afin de « vérifier certains éléments tels qu’un lien familial, une filiation ou une adresse ». Elle soutient qu’il lui est matériellement impossible d’identifier avec certitude le dossier précis dans lequel les données du plaignant ont été consultées. Bien qu’une hypothèse ait été formulée lors de sa communication avec le SI, elle explique que cette possibilité ne pourrait devenir une certitude que si elle consultait les fiches de registre national d’autres personnes. 67. Le SI considère que la défenderesse a manqué à son obligation de transparence, telle que prévue aux articles 12.1 et 15.1 du RGPD. En effet, elle s’est limitée à informer le plaignant que ses données avaient été consultées par le Consulat général de Belgique à Casablanca dans le cadre d’une demande de visa, en évoquant uniquement une possibilité de consultation à des fins de vérification de « certains éléments comme un lien familial, une filiation, une adresse… », sans toutefois être en mesure d’identifier de manière précise le dossier individuel concerné. Or, dans le cadre de l’enquête menée par le SI, il a été possible d’établir précisément dans quel dossier les données de la personne concernée avaient été consultées, ce qui démontre que cette identification était effectivement réalisable. 68. La Chambre contentieuse rappelle que le responsable du traitement est dans l’obligation de communiquer les finalités du traitement à une personne concernée qui exerce son droit d’accès (articles 12.1 et 15.1.a). La finalité du traitement doit être portée à connaissance de la personne concernée de manière précise et spécifiée au cas spécifique de la personne concernée9. 69. En l’espèce, la défenderesse a été en mesure, dans le cadre de sa collaboration avec le Service d’Inspection, d’émettre une raisonnable supposition quant au dossier spécifique dans le cadre du traitement duquel les données du plaignant avaient été consultées, chose qui n’avait pas été possible pour répondre à la demande du plaignant. 9 CEDP, Lignes directrices 01/2022 sur les droits des personnes concernées – Droit d’accès, adoptées le 28 mars 2023, § 114. Décision quant au fond 89/2025 — 12/16 70. L’information sur la finalité doit être suffisamment précise et spécifique pour permettre à la personne concernée d’évaluer la licéité du traitement de ses données. En répondant de manière générale que les données avaient été consultées dans le cadre d’une demande de visa de longue durée, sans avoir procédé à une vérification concrète faute de connaître le dossier exact concerné, la défenderesse n’a pas fourni une réponse suffisamment précise et spécifique à la demande d’accès du plaignant. 71. La Chambre Contentieuse observe donc que l’impossibilité matérielle de retrouver le contexte de la consultation alléguée par la défenderesse ne relevait pas tant d’une impossibilité stricte de retrouver cette information, mais plutôt d’une absence d’examen approfondi, qui n’a pas été réalisé lors de l’exercice du droit d’accès du plaignant. 72. La Chambre Contentieuse conclut ainsi à une violation des articles 12.1 et 15.1 du RGPD, en raison du défaut de transmission des informations nécessaires dans le cadre d’une demande d’accès, en l’occurrence de la finalité du traitement, permettant au plaignant d’évaluer la licéité du traitement de ses données personnelles. 73. En outre, la déclaration de confidentialité fournie par la défenderesse ne mentionne à aucun moment le possible traitement de données des tiers aux procédures d’octroi de visa. Bien que la Chambre Contentieuse ne sanctionne pas cette situation dans le cadre de la présente décision car il n’avait pas été demandé aux parties de conclure sur ce point, elle attire l’attention de la défenderesse sur le fait que le responsable du traitement aurait dû fournir cette information en ce qu’elle constitue une finalité à part entière pour laquelle les données sont traitées. Cette information proactive est d’autant plus essentielle lorsque les données traitées n’ont pas été collectées directement auprès de la personne concernée. II.4.2. Concernant l’identité de la personne ayant procédé à la consultation litigieuse 74. Le plaignant souhaite également que lui soit communiquée l’identité de la personne ayant procédé à la consultation litigieuse. La défenderesse s’oppose à cette demande en indiquant qu’elle ne conteste pas sa qualité de défenderesse et que cette information n’est pas utile pour le plaignant. 75. La Chambre contentieuse rappelle que la Cour de Justice de l’Union Européenne s’est prononcée quant à l’interprétation de l’article 15.1 du RGPD dans le contexte d’une divulgation des fichiers journaux d’une consultation de base de données. Elle juge que, bien que la date et les finalités de consultation doivent être fournies à la personne exerçant son droit, le droit d’accès prévu par l’article 15.1. du RGPD « ne consacre pas un tel droit s’agissant des informations relatives à l’identité des salariés dudit responsable ayant procédé à ces opérations sous son autorité et conformément à ses instructions, à moins que ces informations soient indispensables pour permettre à la personne concernée Décision quant au fond 89/2025 — 13/16 d’exercer effectivement les droits qui lui sont conférés par ce règlement et à condition qu’il soit tenu compte des droits et des libertés de ces salariés »10. 76. La Chambre Contentieuse s’est également précédemment prononcée sur une situation similaire et, en citant l’arrêt susmentionné de la Cour de Justice, comprend que « la protection de l’identité de l’employé ayant agi sous l’autorité de son employeur est supérieure à celle de l’employé ayant consulté les données pour des finalités propres »11. 77. En l’espèce, il n’est pas contesté que l’employé ayant procédé à la consultation litigieuse était habilité à consulter le Registre National et l’a fait dans le cadre de ses fonctions. 78. Sur base de ces considérations, la Chambre Contentieuse confirme sa position antérieure et constate qu’il ne saurait être justifié de fournir au plaignant l’identité de l’employé ayant procédé à la consultation litigieuse dès lors que celui-ci a agi sous l’autorité de son employeur et conformément à ses instructions. Le refus de la divulgation de l’identité de la personne ayant procédé à la consultation litigieuse n’empêche pas, en l’espèce, l’exercice effectif du droit d’accès du plaignant. En effet, l’exercice du droit d’accès du plaignant porte sur la finalité du traitement de ses données. L’identité de la personne les ayant consultées n'apporte aucun éclaircissement quant à la prise de connaissance de cette finalité. Cela ne permet pas de vérifier que la consultation est licite. 79. La Chambre Contentieuse constate en conséquence que la non-divulgation de l’identité de la personne ayant procédé à la consultation agissant sous l’autorité et conformément aux instructions de son employeur est une limitation proportionnée au droit d’accès du plaignant eut égard au droit à la protection des données à caractère personnel de l’employé ayant procédé à la consultation12. Elle ne constate dès lors pas de violation de l’article 15.1. du RGPD en ce qui concerne l’identité de l’agent ayant procédé à la consultation. III. Mesures correctrices et sanctions 80. Aux termes de l’article 100, §1 de la LCA, la Chambre Contentieuse a le pouvoir de: 1° classer la plainte sans suite; 2° ordonner le non-lieu; 3° prononcer une suspension du prononcé; 4° proposer une transaction; 5° formuler des avertissements ou des réprimandes; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ces droits; 10 C.J.U.E)., arrêt J.M, 22 juin 2023, C-579/21, ECLI :EU :C :2023 :501, §83. 11 Décision de la Chambre contentieuse n°89/2023 du 28 juin 2023. 12 CEDP, Lignes directrices 01/2022 sur les droits des personnes concernées – Droit d’accès, adoptées le 28 mars 2023, §170. Décision quant au fond 89/2025 — 14/16 7° ordonner que l'intéressé soit informé du problème de sécurité; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement; 9° ordonner une mise en conformité du traitement; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données; 11° ordonner le retrait de l'agréation des organismes de certification; 12° donner des astreintes; 13° donner des amendes administratives; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. 81. En l’espèce, au regard de la plainte déposée par le plaignant, il était demandé à la Chambre Contentieuse de trancher la question de savoir la défenderesse avait violé les articles 15.1, 5.1.c, 5.2. et 24.1 du RGPD. Il résulte de l’analyse ci-dessus que l’entité concernée n’a pas démontré le respect des obligations prévues aux articles 5.2 et 24.1 du RGPD, que les données traitées ne sont pas limitées à ce qui est strictement nécessaire à la finalité poursuivie, en violation de l’article 5.1.c du RGPD, et que la réponse au droit d’accès prévu à l’article 15.1 du RGPD n’a pas été formulée de manière suffisamment détaillée pour permettre à la personne concernée de vérifier la licéité du traitement. 82. A la lumière de ce qui précède et sur la base des compétences qui lui ont été attribuées par le législateur en vertu de l’article 100 de la LCA, la Chambre Contentieuse décide donc d’adresser une réprimande en ce qui concerne le respect des articles 5.1.c, 5.2, 12.1, 14.1 et 24.1 du RGPD, conformément à l’article 100, §1, 5° de la LCA . Décision quant au fond 89/2025 — 16/16 déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. jud.14, ou via le système d'information e-Deposit du Ministère de la Justice (article 32ter du C. jud.). (Sé). Hielke HIJMANS Directeur de la Chambre Contentieuse 14 La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au greffier de la juridiction ou déposée au greffe.