Beslissing ten gronde nr. 97/2024

1/18 Chambre Contentieuse Décision 97/2024 du 16 juillet 2024 Numéro de dossier : DOS-2020-05645 Objet : Plainte relative à l’absence d’effacement d’une adresse e-mail professionnelle à la suite d’un licenciement La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20191 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : Monsieur X, ci-après « le plaignant » ; La défenderesse : Société Y, ci- après « la défenderesse » Le nouveau règlement d’ordre intérieur de l’APD consécutif aux modifications apportées à la LCA par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (LCA) est entré en vigueur le 01/06/2024. 1 Il est uniquement d’application sur les plaintes, les dossiers de médiation, les requêtes, les inspections et les procédures devant la Chambre contentieuse initiés à partir de cette date : https://www.autoriteprotectiondonnees.be/publications/reglement-dordre-interieur-de-l-autorite-de-protection-des-donnees.pdf Les dossiers initiés comme en l’espèce avant le 01/06/2024 restent soumis aux dispositions du règlement d'ordre intérieur (https://www.autoriteprotectiondonnees.be/publications/reglement-d-ordre-interieur.pdf tel qu'il existait avant cette date. Décision quant au fond 97/2024 — 2/18 I. 1. Faits et procédure L'objet de la plainte concerne l’absence d’effacement de l’adresse e-mail professionnelle nominative du plaignant à la suite de son licenciement par la défenderesse. 2. La défenderesse est une société active dans le domaine de l’immobilier qui exerce notamment la fonction de syndic de copropriété. 3. La défenderesse expose qu’elle a licencié le plaignant en octobre 2020, sans prestation de préavis. La défenderesse qualifie cette cessation des activités du plaignant d’abrupte et de conflictuelle. Elle est, toujours selon elle, intervenue sans préparation de dossiers ni passage de témoin à l’attention d’un successeur. 4. Les parties sont en désaccord sur les motifs de ce licenciement. La défenderesse met en évidence un contexte de reprise et, à cette occasion, la découverte d’erreurs professionnelles commises par le plaignant. Le plaignant dément formellement tout manquement dans son chef. Il indique qu’au moment de la reprise 7 mois avant son licenciement, il a au contraire été informé qu’en raison de son âge et de la proximité de sa prise de pension, il ne faisait pas partie de l’avenir de la société et que ses dossiers seraient progressivement repris par des collègues d’une société sœur de la défenderesse. A dater de ce moment, le plaignant indique que son travail a systématiquement été entravé par les directives contradictoires qu’il recevait de la nouvelle direction. 5. La défenderesse rapporte que le plaignant gérait avant son licenciement une trentaine de résidences et jouait un rôle tout à fait clé au regard des obligations légales du syndic de copropriété ainsi que dans le fonctionnement de la société. Ses missions étaient nombreuses (gestion financière des immeubles, gestion administrative des immeubles et suivi de la bonne tenue de ces immeubles), s’étalant régulièrement sur plusieurs années. Dans l’exercice de ses fonctions, le plaignant était en contact direct avec les copropriétaires des immeubles dont il avait la gestion. 6. La défenderesse expose encore qu’elle n’a eu d’autre choix que de conserver l’adresse email du plaignant après son licenciement afin d’assurer la continuité des activités de la société, notamment la tenue des assemblées générales de copropriétaires dont s’occupait le plaignant et le report de celles-ci pendant la période de pandémie du virus de la covid -19 conformément aux dispositions légales temporairement applicables alors2. 7. La défenderesse souligne en effet que les faits se sont déroulés, outre dans un contexte de reprise de ses activités, en pleine crise sanitaire liée à la pandémie du virus de la covid-19 au cours de laquelle le traitement des e-mails reçus était plus essentiel encore (en comparaison Loi du 20 décembre 2020 portant des dispositions diverses temporaires et structurelles en matière de justice dans le cadre de la propagation du coronavirus Covid-19, M.B., 24 décembre 2020. 2 Décision quant au fond 97/2024 — 3/18 avec d’autres moyens de communication non électroniques) pour assurer la mission de syndic et répondre aux demandes des copropriétaires. 8. Le 11 novembre 2020, le plaignant a adressé un courrier recommandé à la défenderesse lui demandant de mettre fin à l’usage de sa boite e-mail [adresse mail professionnelle de X] en se basant sur la décision quant au fond 64/2020 du 29 septembre 2020 de la Chambre Contentieuse de l’APD. 9. Le 3 décembre 2020, le plaignant a introduit une plainte auprès de l’APD contre la défenderesse. Le plaignant ayant été licencié début octobre 2020 (point 3), il y dénonce le fait qu’à la date du 3 décembre 2020, la défenderesse envoyait toujours des e-mails depuis son adresse sans informer les expéditeurs de son départ de la société. Le plaignant dénonce par ailleurs que dans de nombreuses résidences, son nom apparaissait toujours sur les panneaux informatifs ains que sur de nombreux documents, ce qui nuisait à sa réputation. Le plaignant n’était en effet plus à même d’exercer sa fonction puisqu’il avait été licencié près de deux mois plus tôt. 10. Le 16 décembre 2020, le plaignant confirme au SPL que la défenderesse s’est abstenue de répondre à sa demande du 11 novembre 2020 (point 8). 11. Le 5 janvier 2021 la plainte est déclarée recevable par le SPL sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA 12. Le 2 février 2021, conformément à l’article 96, § 1er de LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection (SI). 13. Le 30 juin 2021, l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier et celui-ci est transmis par l’inspecteur général au Président de la Chambre Contentieuse (art. 91, § 1er et § 2 de la LCA). 14. Le rapport d’enquête du SI s’appuie notamment sur deux rapports technologiques du 18 mars et du 14 juin 2021 et fait les constats suivants : - Constat 1 : le SI conclut que la défenderesse n’a pas respecté les articles 5.1.b (principe de finalité), 5.1.c (principe de minimisation) et 5.1.e (principe de conservation limitée) du RGPD 3 dès lors qu’à la date du 23 mars 2021, soit plus de 5 mois après le licenciement du plaignant, l’adresse e-mail [adresse mail professionnelle de X] de ce dernier était toujours active / contactable. Un message de réponse automatique est associé à cette adresse e-mail qui mentionne que le plaignant a quitté l’entreprise, que l’adresse e-mail sera prochainement désactivée et que l’adresse e-mail à utiliser à l’avenir est l’adresse [adresse mail générique]. 3 Le SI fait notamment référence à la décision 64/2020 de la Chambre Contentieuse. Décision quant au fond 97/2024 — 4/18 - Constat 2 : le SI constate qu’il y a eu manquement à l’article 6.1 du RGPD par la défenderesse dès lors que le maintien de l’adresse e-mail litigieuse pendant plus de 5 mois (soit d’octobre 2020 - licenciement du plaignant - à mars 2021 au minimum rapports d’enquête) est excessif. Plus aucune base de licéité - pas même l’intérêt légitime au sens de l’article 6.1.

1. f)qui autorise la poursuite du traitement pendant une durée de 1 à 3 mois en fonction des circonstances concrètes de l’espèce - ne permettait de fonder la poursuite du traitement de cette donnée durant toute cette période. - Constat 3 : le SI constate que la défenderesse a enfreint le prescrit des articles 12.3, 12.4 et 17.1 du RGPD en s’abstenant de répondre au courrier du 11 novembre 2020 du plaignant aux termes duquel il formulait une demande d’effacement de son adresse e mail professionnelle (articles 12.3 et 12.4) ainsi qu’en ne procédant pas à l’effacement (article 17.1 du RGPD). - Constat 4 : le SI relève enfin que le plaignant a mis l’APD en copie du courrier qu’il a adressé le 8 juin 2021 à la défenderesse et dans lequel il demande que cette dernière cesse d’utiliser son numéro de téléphone privé comme numéro de contact d’une centrale téléphonique d’alarme. Le SI constate qu’aucune action n’est postulée par le plaignant de la part de l’APD et qu’en tout état de cause le délai de réponse d’un mois à sa demande d’effacement n’est pas écoulé à la date de la clôture de son rapport. Conformément à l’article 64, § 2 de la LCA, le SI n’estime pas opportun de poursuivre son enquête concernant ce dernier aspect. 15. Le 27 juillet 2021 la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. 16. A cette même date, les parties concernées sont informées des dispositions telles que reprises à l'article 95.2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. La date limite pour la réception des conclusions en réponse de la défenderesse est fixée au 22 septembre 2021, celle pour les conclusions en réplique du plaignant au 14 octobre 2021 et celle pour les conclusions en réplique de la défenderesse au 5 novembre 2021. 17. Le 13 septembre 2021, les conseils de la défenderesse demandent une copie du dossier (art. 95, §2, 3° LCA), laquelle leur est transmise le 16 septembre 2021. 18. A cette même date, la défenderesse accepte de recevoir toutes les communications relatives à l'affaire par voie électronique. 19. Le 28 septembre 2021, la Chambre Contentieuse reçoit les conclusions en réponse de la défenderesse. La défenderesse ayant déposé des conclusions de synthèse, son argumentation est résumée ci-dessous (points 21 et s.). Décision quant au fond 97/2024 — 5/18 20. Le 13 octobre 2021, la Chambre Contentieuse reçoit les conclusions en réplique du plaignant. Le plaignant réfute tout intérêt légitime de la défenderesse à poursuivre le traitement de son adresse e-mail nominative dès lors qu’il lui suffisait de communiquer aux copropriétaires, via l’adresse générique de l’entreprise, que le syndic avait changé et leur renseigner les coordonnées du successeur du plaignant. Les circonstances factuelles spécifiques invoquées par la défenderesse, notamment pour justifier le défaut de réponse à sa demande d’effacement dans le délai (1 mois) prescrit par le RGPD, sont également écartées par le plaignant. 21. Le 5 novembre 2021, la Chambre Contentieuse reçoit les conclusions en réplique de la défenderesse. 22. La défenderesse conteste toute violation de l’article 5.1. b), 5.1.
2. c)et 5.1.
3. e)du RGPD (constat 1 du SI) ainsi que de l’article 6.1 du RGPD (constat 2 du SI). Elle met en avant le fait qu’elle a, sur la base de l’article 6.1.
4. f)du RGPD, poursuivi le traitement de la donnée de l’adresse email du plaignant, laissant ouverte la boite e-mail qui y était associée, afin de poursuivre son activité et ses relations professionnelles avec les copropriétaires concernés à la suite du brusque départ du plaignant ce, pendant une durée n’excédant pas ce qui était raisonnable compte tenu des circonstances concrètes de l’espèce. Ces mêmes éléments sont invoqués pour expliquer son absence de réponse (non contestée) au plaignant dans le délai des articles 12.3 et 12.4 du RGPD (constat 3 du SI). Enfin, quant au « constat » 4 du SI, la défenderesse indique qu’elle s’est attachée à vérifier que la déviation des appels d’urgence des systèmes d’alarme vers le numéro de téléphone portable du plaignant avait bien été supprimée. II. Motivation II.1. Remarque liminaire 23. Il ressort des conclusions des parties que la plainte déposée s’inscrit dans un climat particulièrement conflictuel qui trouve sa source avant même le licenciement du plaignant par la défenderesse. La Chambre Contentieuse tient à cet égard à souligner qu’il n’entre pas dans ses compétences de se substituer à la compétence d’autres instances, judiciaires par exemple, compétentes en matière de litiges de droit du travail notamment. II.2. Quant au respect des principes de finalité (article 5.1.
5. b)du RGPD), de minimisation (article 5.1.
6. c)du RGPD) et de conservation limitée (article 5.1.
7. e)du RGPD) II.2.1. Le point de vue des parties et du SI 24. Dans son rapport d’enquête, le SI constate ainsi qu’il vient d’être mentionné qu’à la date du 23 mars 2021, soit plus de 5 mois après le licenciement du plaignant, l’adresse e-mail Décision quant au fond 97/2024 — 6/18 [adresse mail professionnelle de X] de ce dernier est toujours active / contactable. Un message de réponse automatique est associé à cette adresse qui mentionne que le plaignant a quitté la société (soit la défenderesse), que l’adresse e-mail sera prochainement désactivée et que l’adresse e-mail à utiliser à l’avenir est l’adresse [adresse mail générique]. Le SI constate par ailleurs en date du 14 juin 2021, que l’adresse [adresse mail professionnelle de X] n’est plus joignable même s’il est probable qu’elle existe encore (pages 7 et 9 du rapport du SI). 25. Le plaignant partage le constat du SI. 26. Ainsi qu’il vient d’être mentionné dans l’exposé des faits et des rétroactes de procédure, la défenderesse conteste toute violation de l’article 5.1. b), 5.1.
8. c)et 5.1.
9. e)du RGPD. Elle met en avant le fait qu’elle a poursuivi le traitement de la donnée de l’adresse e-mail du plaignant, laissant ouverte la boite e-mail qui y était associée, afin de poursuivre son activité et ses relations professionnelles avec les copropriétaires concernés à la suite du brusque départ du plaignant, ce dans le respect des principes de finalité et de minimisation pendant une durée n’excédant pas ce qui était raisonnable. Elle souligne que si la Chambre Contentieuse a par le passé, indiqué que ce délai ne devrait, idéalement, pas dépasser 1 à 3 mois, elle n'en a pas moins, usant du terme « idéalement », laissé la possibilité d’un délai plus long que des circonstances concrètes pourraient justifier. La défenderesse met en avant le contexte de la crise sanitaire liée à la pandémie du virus de la covid-19, l’absence de période de transition et de passation de dossiers liée au départ abrupt du plaignant, la reprise récente de la société ainsi que le fait que le plaignant était son seul employé à temps plein pour un nombre non négligeable de résidences. II.2.2. Le point de vue de la Chambre Contentieuse 27. En sa qualité de responsable de traitement, la défenderesse est tenue de respecter les principes de protection des données et doit être en mesure de démontrer que ceux-ci sont respectés (principe de responsabilité – article 5.2. du RGPD). Elle doit par ailleurs, toujours en sa qualité de responsable de traitement, mettre en œuvre toutes les mesures techniques et organisationnelles nécessaires à cet effet (article 24 du RGPD). 28. L’article 5.1
10. b)du RGPD consacre le principe de finalité, soit l’exigence que les données soient collectées pour des finalités déterminées, explicites et légitimes et ne soient pas traitées ultérieurement d’une manière incompatible avec ces finalités. 29. C’est à l’aune de la finalité que pourront s’appliquer d’autres principes également consacrés à l’article 5 du RGPD : le principe de minimisation - aux termes duquel seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité pourront être traitées (article 5.1
11. c)du RGPD) - et le principe de la limitation de la conservation – aux termes duquel les données ne peuvent être conservées sous une forme permettant Décision quant au fond 97/2024 — 7/18 l’identification des personnes concernées que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (article 5.1
12. e)du RGPD). 30. Ces principes et les obligations qui en découlent pour le responsable de traitement, trouvent un écho en termes de droits pour la personne concernée dès lors que notamment, en application de l’article 17.1
13. a)du RGPD, la personne concernée a le droit d’obtenir du responsable de traitement l’effacement des données la concernant lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. 31. L’adresse e-mail litigieuse du plaignant est une donnée à caractère personnel au sens de l’article 4.1. du RGPD. Il s’agit en effet d’une information se rapportant à une personne physique identifiée ou identifiable au sens de cet article. En l’espèce, elle se rapporte au plaignant. 32. Cette adresse, créée à des fins professionnelles dans le contexte des activités de la défenderesse, devait permettre au plaignant de recevoir et d’envoyer des courriers électroniques dans le cadre de ses activités au sein de la défenderesse. 33. La Chambre Contentieuse est d’avis que pour se conformer au principe de finalité (article 5.1.
14. b)du RGPD), combiné aux principes de minimisation (article 5.1
15. c)du RGPD) et de limitation du délai de conservation (article 5.1
16. e)du RGPD), il incombe au responsable de traitement de bloquer la messagerie électronique des titulaires de celles-ci ayant cessé leurs fonctions au plus tard le jour de leur départ effectif. Ce blocage devra intervenir après les en avoir avertis au préalable et après y avoir fait insérer un message automatique. Ce message automatique avertira tout correspondant ultérieur du fait que la personne concernée n’exerce plus ses fonctions au sein de l’entreprise et renseignera les coordonnées de la personne (ou l’adresse mail générique) à contacter en ses lieu et place ce, pendant une période raisonnable (à priori 1 mois). En fonction du contexte et, en particulier, du degré de responsabilité exercé par la personne concernée, (telle une fonction d’administrateur délégué ou une autre fonction clé qu’il ou elle est le ou la seule à exercer comme en l’espèce) un délai plus long peut être admis ne pouvant idéalement dépasser 3 mois. Cette prolongation doit être motivée et se faire avec l’accord de la personne concernée ou, au minimum, après l’en avoir avertie. Une solution alternative doit en outre être recherchée et mise en place le plus rapidement possible sans nécessairement attendre l’échéance ultime de cette prolongation. 34. La Chambre Contentieuse estime que cette façon de procéder est à privilégier par rapport au transfert automatique des mails à une autre adresse de courrier électronique de l’entreprise. Dans le cas d’un transfert automatique, a fortiori sans information à l’émetteur du message, il n’y a en effet aucune maîtrise sur les courriers électroniques entrant ou « in ». Par ailleurs, dans ce cas, des informations d’ordre privé potentiellement sensibles pourraient Décision quant au fond 97/2024 — 8/18 être divulguées à l’insu non seulement de la personne concernée mais également de l’émetteur du message. 35. Au-delà de cette période (de 1 à 3 mois au maximum), la messagerie électronique de la personne concernée sera supprimée4. 29. Le plaignant ayant été licencié par la défenderesse en octobre 2020, la Chambre Contentieuse estime que le traitement de cette donnée aurait dû cesser à cette date ou, tout au plus, compte tenu de la fonction qu’exerçait le plaignant, dans un délai raisonnable à dater de celle-ci. La Chambre Contentieuse est d’avis que ce délai aurait pu varier de 1 à 3 mois moyennant notification aux émetteurs de messages de ce que cette adresse de messagerie n’était plus active, sans transfert automatique des e-mails envoyés. 36. Il résulte des pièces de la présente procédure que l’adresse du plaignant est demeurée active au minimum 5 mois après la cessation de ses activités au sein de la défenderesse dont émanait la décision de licenciement avec la mise en place d’un message automatique informant les émetteurs de messages à destination de l’adresse e-mail du plaignant que ce dernier ne travaillait plus pour elle et qu’une nouvelle adresse était à utiliser désormais. 37. A l’appui de ce qui précède, et nonobstant la qualité du message automatique mis en place, la Chambre Contentieuse conclut que l’article 5.1 b), combiné à l’article 5.1
17. c)et
18. e)du RGPD n’a pas été respecté par la défenderesse en raison de la durée excessive du maintien de l’adresse e-mail du plaignant. La Chambre Contentieuse estime que le contexte de la pandémie et les diverses circonstances invoquées par la défenderesse ne peuvent justifier ce délai (voy .également infra point 55). Si la gestion des dossiers repris ne pouvait peut-être pas être réalisée totalement par les successeurs du plaignant, la question du maintien de son adresse e-mail nominative au-delà de 3 mois est distincte de celle-là. II.3. Quant au respect de l’exigence d’une base de licéité (article 6 du RGPD) II.3.1. Le point de vue du SI et des parties 38. Aux termes de son rapport d’enquête, le SI indique qu’une adresse e-mail professionnelle telle celle du plaignant peut demeurer active un certain délai (constat 1) aux fins d’assurer Dans sa Recommandation CM/Rec