← België

Beslissing ten gronde nr. 97/2026

1/24 Chambre Contentieuse Décision quant au fond 97/2026 du 6 mai 2026 Numéro de dossier : DOS-2023-03100 Objet : Plainte relative à l'absence de suite donnée à une demande d'accès tendant à l'obtention d'une copie de fiches de prestations La Chambre Contentieuse de l'Autorité de protection des données (ci-après « APD ») ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») 1 ; Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 (ci-après « ROI »)2 ; Vu les pièces du dossier et entendu les parties lors de l’audition du 15 octobre 2025; A pris la décision suivante concernant : Le plaignant : X, domicilié à […], représenté par Maître Steve GILSON, dont le cabinet est situé […], ci-après « le plaignant » ; La défenderesse : Y-S.A, dont le siège social est établi à […], inscrite sous le numéro d'entreprise […], représentée par Maître Hervé DECKERS et Maître Anne-Catherine DOYEN, dont le cabinet se situe au […], ci-après : « la défenderesse ». 1 L’APD rappelle que la LCA révisée est entrée en vigueur le 1er juin 2024. Elle ne s'applique qu'aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initié(e)s à partir de cette date. Les dossiers initiés avant le 1er juin 2024, tel que le présent dossier, sont soumis aux dispositions de l’ancienne version de la LCA accessible ici : https://www.autoriteprotectiondonnees.be/publications/loi-organique-de-l-apd.pdf 2 Le nouveau ROI, consécutif aux modifications apportées par la Loi du 25 décembre 2023 modifiant la loi du 3 décembre 2017 portant création de l’autorité de protection des données (LCA) est entré en vigueur le 1er juin 2024. Il ne s’applique qu'aux plaintes, aux dossiers de médiation, aux requêtes, aux inspections et aux procédures devant la Chambre Contentieuse initié(e)s à partir de cette date. Les dossiers initiés avant le 1er juin 2024 sont soumis aux dispositions du ROI tel qu'il existait avant cette date. Décision quant au fond 97/2026 — 2/24 I. 1. Faits et procédure Le plaignant est un technicien employé par la défenderesse. Il a introduit la présente plainte à la suite du refus de cette dernière de répondre à une demande d’accès visant à obtenir une copie de ses fiches de prestations pour la période du 10 mai 2016 au 10 mai 2021 (également appelées « feuilles de route » ou « feuilles de travail » par les parties)3. Ces fiches de prestations (une par semaine) reprennent pour chaque jour presté, la succession de déplacements et prestations effectuées, sur la base de notes manuscrites établies par le technicien (avec notamment les heures des interventions, les interventions effectuées et les clients chez qui l’intervention a eu lieu). 2. Le 10 mai 2021, le plaignant demande à la défenderesse de lui fournir les corrections de toutes les feuilles de route des 5 dernières années : « Donc je demande qu’à cette date tous les techniciens, moi y compris, aient reçu les corrections de toutes leurs feuilles de route afin de contrôler s’il y a des anomalies ou non durant ces 5 dernières années ou, si cela fait moins de 5 ans qu’ils sont dans l’entreprise, depuis leurs dates d’entrée en service ». 3. Le même jour, la défenderesse fournit au plaignant une seule copie de ses fiches de prestations, relative à la semaine 18 (du 3 mai 2021 au 9 mai 2021), laquelle faisait l’objet d’une discussion entre les parties. 4. Le 31 mai 2021, à la suite d’une réunion tenue le 25 mai 2021, la défenderesse précise au plaignant des modalités pour la fourniture de copies : « Si vous désirez une copie d’une feuille de route sur une date bien déterminée vous pouvez vous adresser à Z1 qui scannera précisément cette feuille de route. Si vous désirez une copie de toutes vos feuilles de route passées : - Prendre rendez-vous avec Z2, 7 jours ouvrables à l’avance, - Nous préparons des fardes qui contiennent uniquement prestations - Afin que tout soit clair dans le futur, nous songerons alors à utiliser des feuilles de route électronique pour faciliter les échanges futurs,…). » 5. Le 17 janvier 2022, par courrier recommandé et par email, le plaignant réitère sa demande d’accès en ces termes : 3 Les fiches de prestations, également dénommées feuilles de route par les parties, constituaient le système d'enregistrement du temps de travail de la défenderesse, remplissant une fonction analogue à celle d'une pointeuse, sous forme manuscrite. Décision quant au fond 97/2026 — 3/24 « Monsieur X s’est aussi inquiété de voir des discordances entre les feuilles de prestations qui étaient rentrées par les travailleurs et ce qui était déclaré concrètement au secrétariat social et donc rémunéré. Monsieur X l’a signalé à l’entreprise et a demandé que le travailleur puisse disposer des feuilles de prestations des cinq dernières années (…). Monsieur X sollicite également la production de l’ensemble de ses feuilles de travail en application du règlement général sur la protection des données afin qu’il puisse vérifier la comptabilisation de ses heures eu égard aux irrégularités qu’il a constatées ». 6. Le (…), le Tribunal du travail de (…) rend un jugement portant sur un litige du droit du travail opposant les parties. 7. Le 17 février 2023, la défenderesse écrit au plaignant en ces termes : « Monsieur X a réclamé la production, par la S.A. Y, de ses feuilles de route depuis le début de son engagement, et cela sous la menace de saisir l’Inspection du travail. Bien que cette demande n’ait pas été motivée, ma cliente lui a confirmé qu’elle ferait le nécessaire, tous droits saufs et sans la moindre reconnaissance, dès lors qu’elle entend que les relations avec Monsieur X se poursuivent de manière sereine et qu’aucun reproche de quelque nature que ce soit ne peut lui être formulé. Elle n’acceptera toutefois pas d’être soumise par Monsieur X à un quelconque chantage ». 8. Le 18 février 2023, le plaignant répond à la défenderesse en ces termes : « Monsieur X ne procède à aucun chantage en demandant d’obtenir ses feuilles de prestations. Il s’agit d’une demande qui est formulée depuis très longtemps et dont on ne comprend pas que l’employeur n’y fasse pas droit. Cette demande ne doit pas être motivée. Sa motivation est très simple ». 9. Le 23 février 2023, le plaignant informe la défenderesse qu’il s’est présenté le 20 février 2023 à « ville 2 » afin de réclamer ses fiches de prestations, que celle-ci aurait refusé de fournir. 10. Le 2 mars 2023, la défenderesse répond au plaignant en ces termes : « En ce qui concerne la demande (du plaignant) relative à la communication de ses feuilles de prestations, je vous confirme – à nouveau et pour autant que de besoin – que (le plaignant) peut en prendre connaissance au siège social de la (défenderesse), situé à « ville 1 », en-dehors des heures de travail et en prenant préalablement rendez-vous. Décision quant au fond 97/2026 — 4/24 Ces documents pourront être consultés sous forme informatique dès lors que dans le cadre du processus de digitalisation en vigueur au sein de la (défenderesse), ces documents font l’objet d’une conservation sous forme informatique ». 11. Le 31 mars 2023, le plaignant répond à la défenderesse en ces termes : « Quant à la consultation des fiches de prestations, (le plaignant) s'est déjà rendu à « ville 1 » dans le passé avec son collègue, ( …), et l'accès lui a été refusé. Ne fût-ce que sur base de la charte informatique, l'obtention des feuilles de route en question ne devrait poser aucune difficulté. Monsieur Z2 a d’ailleurs adressé un e-mail (au plaignant) en lui indiquant qu'il pourrait consulter les feuilles de prestations à « ville 2» ou à « ville 1 » dans un classeur. Qu'en est-il concrètement ? » 12. Le 14 avril 2023, la défenderesse répond : « En ce qui concerne la consultation des fiches de prestations, je ne peux que vous renvoyer à nos échanges antérieurs ». 13. Le 27 juillet 2023, le plaignant a introduit une plainte auprès de l’APD à l’encontre de la défenderesse. 14. Le 13 octobre 2023, la plainte a été déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA 4 et la plainte a été transmise à la Chambre Contentieuse en vertu de l’article 62, § 1er de la LCA. 15. Le 14 février 2024, la Chambre Contentieuse adresse une lettre au plaignant, en le priant de bien vouloir fournir, au plus tard pour le 28 février 2024, une copie datée de ses échanges avec la défenderesse, et tout particulièrement le(

  1. s)email(
  2. s)faisant état de leur refus de fournir la copie de ses fiches de prestations. 16. Le 22 octobre 2024, la Chambre Contentieuse fait parvenir une lettre aux parties dans laquelle elle communique plusieurs informations5. Elle indique que le dossier ne présente pas de manière suffisante la position de la défenderesse concernant son refus de répondre à la demande d’accès du plaignant. La Chambre Contentieuse estime qu’il est essentiel d’avoir la position de la défenderesse pour procéder à une évaluation correcte des arguments au regard des articles 15.4 et 12.5 du RGPD. La position du plaignant est quant à elle suffisamment développée. 4 En vertu de l’article 61 LCA, la Chambre Contentieuse informe les parties par la présente décision, du fait que la plainte a été déclarée recevable. 5 En vertu de l'article 95, § 2 LCA, par cette lettre du 22 octobre 2024, la Chambre contentieuse informe notamment les parties qu'à la suite de cette plainte, le dossier lui a été transmis, ainsi que de la possibilité de consulter et de copier ledit dossier Décision quant au fond 97/2026 — 5/24 La Chambre Contentieuse demande dès lors à la défenderesse de bien vouloir motiver les raisons pour lesquelles elle estime ne pas devoir répondre à la demande d’accès du plaignant, fondée sur l’article 15.3 du RGPD, visant à obtenir une copie de ses fiches de prestations depuis son entrée en service, c'est-à-dire du 10 mai 2016 jusqu’au 10 mai 2021. Elle demande à la défenderesse de faire parvenir sa réponse pour le 25 novembre 2024. 17. Le 4 novembre 2024, la défenderesse conteste avoir refusé de répondre à une demande d’accès du plaignant. Elle produit les courriers des 2 mars 2023 et 14 avril 2023 (points 10 et 12), dans lesquels elle avait proposé des modalités permettant au plaignant de prendre connaissance de ses fiches de prestations. La défenderesse indique qu’à la suite de ces deux courriers, elle n’a enregistré aucune réaction, ni de la part du plaignant ni de son conseil. 18. Le 23 janvier 2025, la Chambre Contentieuse adopte la décision « prima facie » n°14/2025. Dans cette décision, la Chambre Contentieuse décide : - en vertu de l'article 58.2.
  3. c)du RGPD et de l'article 95, § 1er, 5° de la LCA, d'ordonner à la défenderesse de se conformer à la demande d'exercice de ses droits par la personne concernée, et plus précisément de faire suite à la demande d’accès et de copie du plaignant (art. 15 du RGPD), et ce dans un délai de 30 jours à dater de la notification de la décision n°14/2025 ; et - en vertu de l'article 58.2.
  4. c)du RGPD et de l'article 95, § 1er, 4° de la LCA, de formuler un avertissement à la défenderesse en raison des potentielles violations des articles 15.3 et 12.3 du RGPD. 19. Le 19 février 2025, la défenderesse a fait usage de la possibilité laissée dans la décision « prima facie » de demander un traitement sur le fond de l’affaire en vertu des articles 98 et s. de la LCA. 20. Le 25 février 2025, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. Les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. Au regard des pièces du dossier, y compris le formulaire de plainte, la Chambre Contentieuse a invité les parties à conclure quant au respect et à l’applicabilité des dispositions suivantes du RGPD : - Violations présumées des articles 12.3, 12.4, 15.1 et 15.3 du RGPD en raison de l’absence de réponse et de suite donnée à l’exercice du droit d’accès visant à obtenir une copie des fiches de prestations. Décision quant au fond 97/2026 — 6/24 - Applicabilité de l’article 12.5 du RGPD aux demandes d’accès du plaignant, en ce que la défenderesse allègue que celles-ci seraient infondées ou, à tout le moins, excessives. Les conclusions du plaignant : 21. Le 30 avril 2025, la Chambre Contentieuse reçoit les conclusions du plaignant. Celui-ci sollicite de la Chambre Contentieuse de dire pour droit que la défenderesse a violé les articles 12 et 15 du RGPD, et d’enjoindre à la défenderesse de donner suite à la demande d’accès et de copie du plaignant, en ordonnant à la défenderesse de délivrer dans les huit jours suivant la décision, une copie de ses fiches de prestations des cinq dernières années, en réponse à sa demande du 10 mai 2021, sous peine d’une astreinte de 10.000 € par document manquant et par jour de retard. L’argumentation du plaignant peut être synthétisée comme ci-dessous. - À titre de premier moyen, le plaignant qualifie la défenderesse de responsable de traitement. La défenderesse ne le conteste pas ; - À titre de deuxième moyen, le plaignant soutient avoir exercé, à plusieurs reprises, son droit d’accès auprès de la défenderesse conformément à l’article 15.3 du RGPD, notamment le 10 mai 2021, en sollicitant la transmission d’une copie de ses fiches de prestations. - À titre de troisième moyen, le plaignant considère que la défenderesse viole les articles 12 et 15 du RGPD, dans la mesure où, premièrement, contrairement à ce qu’elle prétend pour la première fois dans ses conclusions, elle n’a pas donné suite à la demande de copie formulée par le plaignant ; et, deuxièmement, la défenderesse ne justifie pas légalement son refus de délivrer une copie des fiches de prestations. En effet, le plaignant estime que ce refus ne peut être justifié par le caractère fastidieux de cette délivrance, résultant des choix de classement propres à la défenderesse, ni par la prétendue impossibilité d’identifier les fiches de prestations. - À titre de quatrième moyen, et à titre surabondant, le plaignant soutient que la défenderesse l’a privé de tout accès aux fiches de prestations, et non seulement refusé de donner suite à la demande de copie qu’il avait formulée. Décision quant au fond 97/2026 — 7/24 Les conclusions de la défenderesse : 22. Le 13 mai 2025, la Chambre Contentieuse reçoit les conclusions de synthèse de la défenderesse. L’argumentation de la défenderesse peut être résumée comme ci-dessous : - La défenderesse soutient qu’elle n’a pas violé les articles 12.3 et 15.3 du RGPD. Elle estime avoir répondu favorablement à la demande d’accès et de copie du plaignant dans le mois de sa demande. - Elle considère également que, si elle n’a pas donné suite à une demande de copie, c’est parce qu’elle n’a pas été en mesure d’identifier les documents visés par la demande d’accès et de copie, et parce que la délivrance d’une telle copie constituerait un travail considérable nécessitant le respect d’une procédure particulière. C’est pour ces raisons que, sans refuser de répondre à la demande, la défenderesse a invité le plaignant à prendre rendez-vous au moins sept jours ouvrables à l’avance pour une consultation des fiches de prestations sur place, au siège social de la société. La défenderesse estime que le plaignant n’a pas respecté cette procédure. - Enfin, la défenderesse considère que la demande du plaignant est manifestement infondée ou, à tout le moins, excessive, au sens de l’article 12.5, du RGPD et que dans un tel cas, elle peut refuser de faire droit à la demande d’accès aux fiches de prestations. II. Motivation II.1. Quant à la portée et à l'objet de la demande d'accès et de copie (art. 15.1 et 15.3 du RGPD) i. Principes applicables 23. Le droit d’accès prévu dans l’article 15 du RGPD se compose de trois éléments, à savoir (
  5. i)la confirmation du traitement ou non de données à caractère personnel (« composante Confirmation »), (
  6. ii)l’accès à ces données (ci-après « composante Accès ») et (iii) des informations sur le traitement (« composante Information »). Cette articulation est rappelée par le Comité européen de la protection des données (ci-après « EDPB » pour European Data Protection Board)6 dans ses Lignes directrices 01/2022 sur le droit d'accès 7. En effet, aux termes de l’article 15.1 du RGPD, la personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées. Lorsque c’est le cas, la personne concernée a le droit d’obtenir l’accès 6 Le Comité européen de la protection des données (ci-après « EDPB » pour European Data Protection Board) réunit les autorités de contrôle des États membres de l'Union européenne et vise à assurer une application cohérente du RGPD. 7 EDPB, Lignes directrices 01/2022 sur les droits des personnes concernées – droit d'accès, adoptées le 28 mars 2023 (ciaprès les « Lignes directrices 01/2022 sur le droit d'accès »), disponibles à l'adresse : https://www.edpb.europa.eu/system/files/2024-04/edpb guidelines 202201 data subject rights access v2 fr.pdf . Décision quant au fond 97/2026 — 8/24 auxdites données à caractère personnel ainsi qu’à une série d’informations listées à l’article 15.1
  7. a)à
  8. h)telles que la finalité du traitement de ses données, les destinataires éventuels de ses données ainsi que des informations relatives à l’existence de ses droits, dont celui de demander la rectification ou l’effacement de ses données ou encore celui de déposer plainte auprès de l’APD. 24. Aux termes de l’article 15.3 du RGPD, la personne concernée a le droit d’obtenir une copie des données à caractère personnel qui font l’objet du traitement. Cette possibilité d’obtenir une copie des données à caractère personnel traitées n’est pas un droit supplémentaire de la personne concernée, mais simplement la modalité de l’accès aux données8. Aussi, cette disposition précise que lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d'usage courant, à moins que la personne concernée ne demande qu'il en soit autrement. L’article 15.4 du RGPD prévoit que ce droit à la copie ne peut porter atteinte aux droits et libertés d’autrui. 25. En ce qui concerne les modalités qu'un responsable du traitement doit respecter suite à une demande d'accès d'une personne concernée, la Chambre Contentieuse rappelle que l'obligation de fournir une copie prévue par l'article 15.3 du RGPD ne doit pas être comprise comme un droit complémentaire de la personne concernée, mais comme une manière de donner accès aux données. Dès lors, l'accès aux données en vertu de l'article 15.1 du RGPD doit comporter toutes les informations concernant toutes les données et cet accès ne peut donc pas être compris comme l'octroi d'un accès uniquement à un résumé des données. L'obligation de fournir une copie sert les finalités du droit d'accès, à savoir permettre à la personne concernée de prendre connaissance de la licéité du traitement et de la contrôler (considérant 63 du RGPD). Pour atteindre ces finalités, il n'est dans la plupart des cas pas suffisant que la personne concernée puisse consulter temporairement les informations et elle doit pouvoir accéder à ses données par la remise d'une copie de celles-ci. 26. Dans un arrêt C-487/21 du 4 mai 2023, la Cour de Justice de l’Union européenne (CJUE) a considéré que l’article 15.3 du RGPD doit être interprété en ce sens que « le droit d’obtenir de la part du responsable du traitement une copie des données à caractère personnel faisant l’objet d’un traitement implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Ce droit suppose celui d’obtenir la copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits 8 EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 3. Décision quant au fond 97/2026 — 9/24 qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui »9. ii. Positions des parties 27. La défenderesse soutient essentiellement que la demande d’accès du plaignant n’a jamais été suffisamment précise pour permettre d’y donner une suite utile et qu’elle estime, en outre, y avoir valablement répondu. Elle fait valoir que la première demande, formulée le 10 mai 2021 dans le cadre des fonctions syndicales du plaignant, portait sur les corrections de feuilles de route, demande à laquelle elle affirme avoir répondu le jour même. Par la suite, lorsque le plaignant a réitéré ses demandes en 2023, la défenderesse indique qu'elle ignorait de quels documents il s'agissait précisément, notamment parce qu'elle lui avait déjà transmis, dans le cadre de la procédure judiciaire, un relevé des fiches de prestations couvrant la période demandée, et que le plaignant n'avait à aucun moment précisé quels documents faisaient encore défaut. La défenderesse soutient que c'est seulement dans le cadre de la procédure devant la Chambre Contentieuse que la demande aurait été clarifiée, à savoir qu'elle portait sur les fiches manuscrites individuelles et non sur les relevés informatiques, alors que cette distinction n'aurait jamais été exprimée clairement auparavant. C'est dans ce contexte que la défenderesse dit avoir proposé une consultation sur place au siège social avec prise de rendez-vous préalable, solution qu'elle présente comme raisonnable dans la mesure où elle permettrait au plaignant d'identifier lui-même les documents dont il a besoin, compte tenu du volume considérable de fiches classées non par travailleur mais par journée de prestation. 28. Le plaignant conteste fermement ces affirmations. Il considère que ses demandes ont toujours été claires et que la défenderesse n’y a jamais donné suite. Il relève à cet égard que les documents effectivement fournis par la défenderesse ne satisfont nullement à sa demande de copie, laquelle portait sur l’ensemble des feuilles de prestations depuis son entrée en service. Or, il n’a reçu de la défenderesse qu’une fiche de prestation suite à sa demande le 10 mai 2021, ainsi qu’un relevé informatique incompréhensible selon lui et ne reprenant qu’une partie des interventions réellement effectuées. 9 CJUE, arrêt du 4 mai 2023, Österreichische Datenschutzbehörde et CRIF GmbH, C-487/21, ECLI:EU:C:2023:369, § 45. C’est la Chambre Contentieuse qui souligne. Décision quant au fond 97/2026 — 10/24 iii. Position de la Chambre Contentieuse 29. S'agissant en premier lieu de la demande du 10 mai 2021, la Chambre Contentieuse est d'avis que, nonobstant l'absence de référence explicite à l'article 15 du RGPD, la demande formulée par le plaignant tendant à recevoir les corrections de toutes ses feuilles de route afin de contrôler l'existence d'éventuelles anomalies au cours des cinq dernières années, peut être interprétée comme une demande d'accès et de communication de copie au sens des articles 15.1 et 15.3 du RGPD, suffisamment claire dans son objet. La réaction même de la défenderesse le confirme puisqu’en réponse à cette demande, celle-ci (
  9. i)a, le 10 mai 2021, fourni au plaignant une copie d’une fiche de prestations « corrigée » qui faisait l’objet d’une discussion entre les parties (ayant, à raison, refusé de fournir les fiches de prestation d’autres personnes) et (
  10. ii)a, le 31 mai 2021, demandé au plaignant soit d’identifier les fiches de prestations qu’il souhaitait spécifiquement obtenir (auquel cas il pouvait recevoir un scan de la fiche en question), soit de suivre une procédure spécifique pour obtenir copie de l'ensemble de ses fiches de prestations, ce qui démontre qu'elle avait bien compris que le plaignant cherchait bien à obtenir des copies des fiches de prestation en tant que telles (point 4). 30. S'agissant en second lieu de la demande du 17 janvier 2022, toute ambiguïté résiduelle a, en tout état de cause, été dissipée. En effet, à cette date, le conseil du plaignant a expressément sollicité la production de l'ensemble des fiches de prestations en invoquant le RGPD (point 5), en précisant que cette demande, portant sur les cinq dernières années, s'inscrivait dans le cadre de la vérification de la comptabilisation des heures de son client. Une telle formulation ne souffre d'aucune ambiguïté, ni quant à son objet, ni quant à son fondement juridique. La Chambre Contentieuse relève en particulier que le plaignant entendait obtenir les fiches de prestations en tant que telles, afin de vérifier si les heures qu'il avait lui-même déclarées correspondaient à celles qui avaient effectivement été comptabilisées par la défenderesse. 31. La Chambre Contentieuse ne saurait donc retenir l'argument selon lequel la défenderesse aurait ignoré, jusqu'à la procédure devant elle, que la demande portait sur l'ensemble des fiches de prestations manuscrites individuelles et qu'une confusion aurait existé quant à l'objet précis de la demande, au motif qu'elle avait produit, dans le cadre de la procédure judiciaire, un relevé informatique des fiches de prestations couvrant la période demandée, relevé qui, selon elle, aurait satisfait à la demande. Or, la demande du plaignant visait non pas un relevé retranscrivant les données figurant sur les fiches, mais bien l'ensemble des fiches de prestations en elles-mêmes. Cette demande a été exprimée de manière constante et non équivoque lors des demandes répétées du plaignant. Le plaignant a d’ailleurs expliqué à la défenderesse, dès la première demande, qu’il entendait obtenir ces copies afin de vérifier la comptabilisation de ses heures, eu égard aux irrégularités qu’il avait constatées. Or, il ne Décision quant au fond 97/2026 — 11/24 pouvait échapper à la défenderesse que la communication d'un relevé informatique ne permettait nullement au plaignant de procéder à cette vérification, laquelle ne pouvait s'effectuer que par confrontation aux documents sources, à savoir les fiches manuscrites que le plaignant avait lui-même remplies. 32. Par ailleurs, la proposition de consultation sur place formulée par la défenderesse ne saurait constituer une réponse adéquate à la demande du plaignant. Celle-ci portait en effet clairement sur la remise d'une copie au sens de l'article 15.3 du RGPD, et non sur une simple consultation temporaire des documents. La Chambre Contentieuse rappelle à cet égard que la fourniture d'une copie des données traitées constitue la modalité d'accès consacrée par cette disposition et confère à la personne concernée la possibilité d'obtenir la remise d'une reproduction fidèle de ses données, sous une forme lui permettant d'en disposer librement et durablement. Inviter le plaignant à consulter les classeurs dans les locaux de la défenderesse ne saurait dès lors être assimilé à une réponse adéquate à une demande de copie, quand bien même cette consultation aurait pu, en pratique, s'accompagner d'une possibilité de photocopie sur place. 33. Au surplus, si un doute avait réellement existé dans le chef de la défenderesse quant à la portée de la demande d'accès, il lui aurait incombé de le clarifier auprès du plaignant, conformément à l'obligation de facilitation prévue par l'article 12.2 du RGPD. 34. Quant à l'étendue temporelle de la demande, la Chambre Contentieuse ne décèle pas davantage d'incertitude. Plusieurs des demandes successives visaient expressément les cinq dernières années d'activité du plaignant au sein de la défenderesse, à compter de la première demande du 10 mai 2021. 35. Il résulte en définitive de l'ensemble des éléments du dossier que la demande de copie avait été clairement formulée par le plaignant dès le 10 mai 2021 et qu'elle avait manifestement été comprise comme telle par la défenderesse. Le maintien des réticences de la défenderesse à délivrer la copie révèle que la prétendue incompréhension de la demande n'était pas la véritable raison de son inaction. Celle-ci tenait, en réalité, au volume de travail que représentait, à ses yeux, l'exécution de la demande. La Chambre Contentieuse estime que c'est cette considération, et non un quelconque défaut de clarté, qui explique que la défenderesse ait systématiquement cantonné le plaignant à une consultation sur place plutôt que de lui communiquer la copie de l'ensemble des documents sollicités. Il convient, dès lors, d'examiner si ce motif, tiré du caractère prétendument excessif de la demande, est de nature à justifier l'absence de réponse de la défenderesse. Décision quant au fond 97/2026 — 12/24 II.2. Quant au prétendu caractère excessif de la demande de copie (art. 12.5 du RGPD) i. Principes applicables 36. L'article 12.5 du RGPD pose avant tout le principe selon lequel l'exercice du droit d'accès n'entraîne aucun frais pour la personne concernée 10. Cette disposition envisage toutefois deux circonstances dans lesquelles un responsable du traitement peut soit facturer des frais raisonnables tenant compte des coûts administratifs, soit refuser de donner suite à une demande d'accès11. Ces circonstances ont trait à des cas d'abus de droit, dans lesquels les demandes de la personne concernée doivent être regardées comme étant « manifestement infondées » ou « excessives »12, le caractère répétitif de la demande pouvant notamment être pris en considération13. L'article 12.5 du RGPD poursuit, à cet égard, le même objectif que l'article 57.4 du même règlement et constitue une expression du principe général de droit de l'Union en vertu duquel les justiciables ne sauraient frauduleusement ou abusivement se prévaloir des normes de l'Union14. 37. L'article 12.5 du RGPD institue une exception à l'obligation de facilitation des droits de la personne concernée, et notamment du droit d'accès, qui doit être interprétée de façon restrictive15. De même, les principes de transparence et de gratuité des droits des personnes concernées ne peuvent être compromis que dans des circonstances exceptionnelles. Il en résulte que le responsable du traitement ne peut se prévaloir du caractère manifestement infondé ou excessif d'une demande qu'à titre exceptionnel et selon des critères élevés, l'article 12.5, alinéa 2, du RGPD lui faisant explicitement supporter la charge de cette démonstration, qu'il lui appartient d'apporter au cas par cas, à la lumière du contexte dans lequel la demande a été présentée. En dehors des limites, dérogations et limitations expressément prévues, le RGPD n'autorise aucune autre exemption ou dérogation au droit d'accès. 38. Dans les Lignes directrices 01/2022 sur le droit d'accès précitées, l’EDPB précise ce qu’il faut entendre par « manifestement infondé » et « excessif » au sens de l’article 12.5 du 10 L’article 12.5 du RGPD dispose que « Aucun paiement n'est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l'article 34 ». 11 L’article 12.5 du RGPD dispose que « lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :
  11. a)exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou
  12. b)refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande ». 12 CJUE, arrêt du 26 octobre 2023, FT (Copies du dossier médical), C-307/22, EU:C:2023:811, point 31. 13 Voy. CJUE, arrêt du 19 mars 2026, Brillen Rottler, C-526/24, EU:C:2026:216, points 26 à 35, par lequel la Cour juge qu'une première demande d'accès peut, en principe, être qualifiée d'excessive au sens de l'article 12.5 du RGPD. 14 15 CJUE, Brillen Rottler, op.cit., points 23 à 30. CJUE, arrêt du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives), C-416/23, EU:C:2025:3, point 33 ; CJUE, Brillen Rottler, op.cit., point 29. Décision quant au fond 97/2026 — 13/24 RGPD16. S'agissant du caractère « manifestement infondé », une telle qualification suppose que les exigences de l'article 15 du RGPD ne sont, suivant une approche objective, clairement pas remplies. Dès lors qu’il n’existe que très peu de conditions préalables au droit d’accès, les cas dans lesquels une demande pourra être jugée « manifestement infondée » sont très réduits17. S'agissant du caractère « excessif », l'EDPB estime que, outre l'hypothèse d'une demande répétitive, une demande ne peut être qualifiée d'excessive qu'en cas de recours abusif à l'article 15 du RGPD, c'est-à-dire lorsque la personne concernée fait un usage de son droit d'accès dans le seul but de causer un préjudice au responsable du traitement18. 39. Cette interprétation s'inscrit dans la jurisprudence constante de la CJUE relative à la prohibition de l'abus de droit. La preuve d'une pratique abusive nécessite la réunion de deux éléments : d'une part, un élément objectif, consistant en un ensemble de circonstances objectives dont il résulte que, malgré un respect formel des conditions prévues par la réglementation de l'Union, l'objectif poursuivi par cette réglementation n'a pas été atteint ; d'autre part, un élément subjectif, consistant en la volonté de la personne concernée d'obtenir un avantage résultant de la réglementation de l'Union en créant artificiellement les conditions requises pour son obtention19. 40. S'agissant plus spécifiquement de l'élément subjectif, la Cour précise qu'une intention abusive peut être constatée lorsque la personne concernée introduit sa demande d'accès « pour une finalité autre que celle de prendre connaissance du traitement de ces données et d’en vérifier la licéité, afin de pouvoir, par la suite, obtenir une protection des droits qu’elle tire de ce règlement »20. Il incombe au responsable du traitement de démontrer de façon non équivoque que la personne concernée a introduit une demande d’accès afin non pas de prendre connaissance de ce traitement, mais de créer artificiellement les conditions requises pour l’obtention d’une réparation de la part dudit responsable du traitement21. Aux fins de cette appréciation, la Cour invite à prendre en compte l'ensemble des circonstances de l'espèce, et notamment le fait que la personne concernée ait fourni des données à caractère personnel sans y être contrainte, le but de la fourniture de ces données, le temps écoulé entre celle-ci et la demande d'accès, ainsi que le comportement de cette personne 22. 16 EDPB, Lignes directrices 01/2022 sur le droit d'accès. 17 Pour introduire une demande d’accès, il suffit en effet que les personnes demandeuses précisent qu’elles souhaitent connaître les données à caractère personnel les concernant qui seraient traitées par le responsable de traitement. Aucune exigence formelle n’est requise par le RGPD. Pour plus de détails, voir Lignes directrices 01/2022 sur le droit d'accès, section 3. 18 EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 188 (la Chambre Contentieuse souligne), voir également les exemples cités aux points 189 et 190. 19 CJUE, Brillen Rottler, op.cit., point 36 et jurisprudence citée. 20 CJUE, Österreichische Datenschutzbehörde (Demandes excessives), op.cit., points 50 et 56. 21 CJUE, Brillen Rottler, op.cit., point 41. 22 CJUE, Brillen Rottler, op.cit., point 42. Décision quant au fond 97/2026 — 14/24 ii. Positions des parties 41. En l’espèce, la défenderesse fait valoir en substance que la demande du plaignant est excessive, car la fourniture de la copie sollicitée représenterait une charge de travail considérable, eu égard à son système d’archivage 23. Elle expose à cet égard que les fiches de prestations sont classées par journée de travail dans plusieurs dizaines de classeurs et non par travailleur, de sorte qu'il lui faudrait affecter un ou deux membres de son personnel pendant plusieurs heures, voire plusieurs jours, pour isoler les fiches du plaignant, en faire des copies, les scanner et les lui transmettre. Elle ajoute qu'une société comptant plus de cinquante techniciens devrait, si pareille demande devait être satisfaite, engager du personnel spécifiquement à cette fin. C'est pour ces raisons qu'elle a proposé au plaignant de se rendre sur place afin d'identifier lui-même, dans les classeurs, les fiches dont il souhaiterait obtenir copie, à charge pour le personnel administratif de la société de procéder ensuite à la photocopie des documents sélectionnés. 42. Le plaignant conteste cette qualification. Il relève tout d’abord que la défenderesse n’a, à aucun moment au cours des échanges ayant précédé la plainte, invoqué le caractère manifestement infondé ou excessif de la demande au sens de l’article 12.5 du RGPD. Le plaignant fait ensuite valoir que les difficultés pratiques invoquées par la défenderesse résultent exclusivement de ses propres choix en matière d’archivage (classement par jour et non par travailleur), dont elle ne saurait se prévaloir pour éluder ses obligations au titre du RGPD. Il suffirait, selon lui, de trier les fiches concernées et de les scanner pour en transmettre une copie. iii. Position de la Chambre Contentieuse 43. À la lumière des principes rappelés ci-dessus, la Chambre Contentieuse considère que la défenderesse n'établit pas le caractère manifestement infondé ou excessif de la demande du plaignant au sens de l'article 12.5 du RGPD, et ce pour les motifs suivants. 44. En premier lieu, la Chambre Contentieuse constate que la demande du plaignant ne saurait être qualifiée de manifestement infondée au sens de l'article 12.5 du RGPD. Ainsi qu'il a été rappelé ci-dessus, une telle qualification ne peut être retenue que dans des cas exceptionnels où, suivant une approche objective, les exigences de l'article 15 du RGPD ne sont clairement pas remplies. Or, en l'occurrence, la demande du plaignant remplit l'ensemble des conditions auxquelles est soumis l'exercice du droit d'accès. En effet, la demande d’accès émane d'une personne concernée identifiée, qui sollicite la communication de données à caractère personnel la concernant et qui sont effectivement traitées par la défenderesse en sa qualité de responsable du traitement, à savoir les fiches 23 Page 11 des conclusions de la défenderesse : « Les feuilles de prestations sont classées par jour de prestations dans plusieurs dizaines de classeurs. Elles ne sont pas classées par travailleur. La S.A. Y doit donc isoler les feuilles de prestations de Monsieur X avant que Monsieur X puisse les consulter et le cas échéant, en prendre copie » . Décision quant au fond 97/2026 — 15/24 de prestations qu'elle a elle-même remplies dans le cadre de l'exécution de sa relation de travail. La défenderesse n'apporte, au demeurant, aucun élément susceptible d'étayer que la demande aurait été manifestement infondée, l'ensemble de son argumentation étant en réalité tiré du caractère prétendument excessif de la demande, examiné ci-après. 45. En deuxième lieu, en ce qui concerne le caractère excessif, la Chambre Contentieuse observe que la défenderesse n'allègue ni a fortiori ne démontre que la demande du plaignant aurait été formulée dans une intention abusive au sens de la jurisprudence précitée (points 36 à 40). Il convient de rappeler qu'en vertu de l'article 12.5, alinéa 2, du RGPD, c'est au responsable du traitement qu'il incombe d'établir le caractère manifestement infondé ou excessif de la demande, selon les exigences strictes rappelées ci-dessus. Or la défenderesse s'est exclusivement prévalue, à l'appui de son refus, de la charge de travail qu'engendrerait la satisfaction de la demande, en raison de son propre système d'archivage. La Chambre Contentieuse relève au demeurant que la défenderesse n'a soulevé le moyen tiré de l'article 12.5 du RGPD qu'au stade de ses conclusions devant la Chambre Contentieuse, sans avoir invoqué cette qualification au cours des échanges ayant précédé la plainte. 46. En troisième lieu, l'application au cas d'espèce du test de l'abus de droit ne permet pas d’établir une intention abusive dans le chef du plaignant, et ce tant au regard de son élément objectif qu'au regard de son élément subjectif. - S'agissant de l'élément objectif, l'objectif poursuivi par l'article 15 du RGPD ne peut être considéré comme n'ayant pas été atteint en l'espèce. La demande du plaignant tend précisément à prendre connaissance des données à caractère personnel le concernant qui sont traitées par la défenderesse et à en vérifier l'exactitude24, à savoir la concordance entre les prestations qu'il avait lui-même renseignées sur les fiches manuscrites et celles retranscrites dans le système informatique de la défenderesse. À supposer même que le plaignant ait, en outre, été motivé par un motif étranger aux finalités visées par le considérant 63 du RGPD — quod non —, cette circonstance demeurerait sans incidence dès lors que la CJUE a jugé que l'obligation de fournir une copie s'impose au responsable du traitement, même lorsque cette demande est motivée par un but étranger à ceux visés par ce considérant25, de sorte que la poursuite éventuelle d'une finalité étrangère, à la supposer établie, ne serait pas de nature à priver la demande de l'objectif que l'article 15 du RGPD est appelé à servir. 24 EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 10 : « la finalité du droit d’accès est de permettre aux personnes concernées de comprendre comment leurs données à caractère personnel sont traitées ainsi que les conséquences de ce traitement, et de vérifier l’exactitude des données traitées sans avoir à justifier leur intention. En d’autres termes, l’objectif du droit d’accès est de fournir aux personnes physiques des informations suffisantes, transparentes et facilement accessibles sur le traitement des données, quelles que soient les technologies utilisées, et de leur permettre de vérifier différents aspects d’une activité de traitement particulière au titre du RGPD (par exemple, la licéité, l’exactitude) ». 25 CJUE, ordonnance du 27 mai 2024, Addiko Bank, C-312/23, EU:C:2024:458. Décision quant au fond 97/2026 — 16/24 - S'agissant de l'élément subjectif, la défenderesse demeure en défaut d'apporter le moindre élément susceptible d'établir que le plaignant aurait entendu créer artificiellement les conditions requises en vue d'obtenir un avantage tiré du RGPD. Le plaignant n'a, en effet, pas fourni ses données à caractère personnel à la défenderesse de sa propre initiative en vue de provoquer un traitement et de pouvoir s'en prévaloir ultérieurement : les fiches de prestations litigieuses ont été établies dans le cadre normal de l'exécution d'une relation de travail préexistante. La fourniture de ces données et l'introduction de la demande d'accès sont, en outre, séparées par plusieurs années — la demande du 10 mai 2021 portant sur des fiches établies depuis le 10 mai 2016. Aucun des deux éléments cumulatifs de l’abus de droit n'est dès lors réuni en l'espèce. 47. En quatrième lieu, et contrairement à ce qu'affirme la défenderesse, la Chambre Contentieuse relève que le volume des documents visés par la demande demeure, en l'occurrence, limité et aisément identifiable. Les fiches de prestations étant établies à raison d'une fiche hebdomadaire par travailleur, la demande du plaignant, portant sur la période du 10 mai 2016 au 10 mai 2021, concerne approximativement 250 documents, tous strictement identifiés par travailleur et par période temporelle. Il ne s’agit donc nullement d’une demande générale et indifférenciée visant l’ensemble des données éventuellement traitées par la défenderesse (tels que courriels, documents RH, etc.), mais bien d’une demande ciblée sur une catégorie unique de documents. 48. En cinquième lieu, à supposer même que la charge de travail invoquée par la défenderesse soit avérée, celle-ci ne saurait, à elle seule, conférer à la demande un caractère excessif au sens de l'article 12.5 du RGPD. L'EDPB le souligne expressément dans ses Lignes directrices 01/2022 précitées, en énonçant que « le fait qu'il faudrait beaucoup de temps et d'efforts au responsable du traitement pour fournir les informations ou la copie à la personne concernée ne saurait, à lui seul, rendre une demande excessive »26, dès lors que de nombreuses activités de traitement impliquent, par nature, le déploiement d'efforts importants pour satisfaire aux demandes des personnes concernées. Par ailleurs, le droit d’accès ne comporte aucune réserve générale quant à la proportionnalité en ce qui concerne les efforts que le responsable du traitement doit prendre pour répondre à la demande des personnes concernées au titre de l’article 15 du RGPD 27. En outre, le terme « approprié » figurant notamment à l'article 12.1 du RGPD ne saurait être interprété comme « un moyen de limiter la portée des données couvertes par le droit d'accès » 28. Il en résulte que la charge alléguée ne saurait justifier à elle seule un refus, et ce d'autant moins lorsque celle-ci résulte, comme 26 EDPB, Lignes directrices 01/2022 sur le droit d'accès, point 188. 27 Ibid., point 166. 28 Ibid., point 129. Décision quant au fond 97/2026 — 17/24 en l'espèce, des contraintes organisationnelles et administratives découlant du système d'archivage que la défenderesse s'est elle-même imposé. Un tel refus n'est susceptible d'intervenir qu'en présence d'une intention abusive établie selon les exigences rappelées cidessus. Toute autre interprétation viderait de sa substance le droit consacré à l'article 15 du RGPD et serait contraire tant à l'article 12.2 qu'à l'article 25 du même règlement, lesquels imposent au responsable du traitement, respectivement, de faciliter l'exercice du droit d'accès de la personne concernée et de mettre en œuvre, dès la conception du traitement, les mesures techniques et organisationnelles propres à en garantir l'exercice effectif. 49. En dernier lieu, il ressort des échanges entre les parties que la défenderesse a entendu reprocher au plaignant l'absence de motivation de sa demande de copie (voir notamment point 7). La Chambre Contentieuse rappelle à cet égard que la personne concernée n'est nullement tenue de justifier les raisons pour lesquelles elle entend exercer son droit d'accès. La CJUE a expressément jugé que ni l'article 12.5 ni l'article 15.1 et 15.3 du RGPD ne subordonnent la fourniture, à titre gratuit, d'une première copie à l'invocation par la personne concernée d'un motif justifiant sa demande29. La défenderesse ne pouvait, dès lors, subordonner sa réponse à la communication de tels motifs. 50. Au regard de l'ensemble de ces éléments, la Chambre Contentieuse considère que la défenderesse n'a établi ni le caractère manifestement infondé, ni le caractère excessif de la demande du plaignant au sens de l'article 12.5 du RGPD. Elle ne pouvait, dès lors, légitimement se prévaloir de cette disposition pour s'abstenir de donner suite à la demande de copie. II.3. Quant au respect des autres modalités d’exercice du droit d’accès (article 12.2, 12.3 et 12.4 du RGPD) 51. L’article 12 du RGPD relatif aux modalités d’exercice de leurs droits par les personnes concernées prévoit quant à lui notamment que le responsable de traitement doit faciliter l’exercice des droits par la personne concernée (article 12.2 du RGPD) et lui fournir des informations sur les mesures prises à la suite de sa demande dans les meilleurs délais et au plus tard dans le délai d’un mois à compter de sa demande (article 12.3 du RGPD). Lorsque le responsable de traitement n’a pas l’intention de donner suite à la demande, il doit notifier son refus dans un délai d’un mois accompagné de l’information selon laquelle un recours contre ce refus peut être introduit auprès de l’autorité de contrôle de protection des données (article 12.4 du RGPD). 52. Dans l’éventualité d’un refus de faire suite à une demande, la Chambre Contentieuse souligne l’importance de la motivation de ce refus. L’article 12.4 du RGPD doit être lu en 29 CJUE, FT (Copies du dossier médical), op.cit., points 38 à 52. Décision quant au fond 97/2026 — 18/24 combinaison avec l’article 12.2 : pour faciliter l’exercice des droits des personnes concernées, un responsable de traitement doit indiquer en des termes clairs et simples le motif de son refus. Si ce refus est fondé sur une disposition légale, la disposition légale pertinente doit être communiquée à la personne concernée. En effet, il serait difficile pour une personne concernée d’évaluer la pertinence d’un refus et d’exercer ses droits si la motivation d’un tel refus repose sur une base légale erronée ou manquante. 53. La défenderesse soutient ne pas avoir refusé de répondre à la demande du plaignant, mais avoir mis en place une procédure spécifique que celui-ci était tenu de respecter pour obtenir copie des documents litigieux. Cette procédure, communiquée au plaignant, prévoyait que celui-ci prenne rendez-vous au moins sept jours ouvrables à l'avance pour une consultation sur place au siège social de la défenderesse. Elle justifie cette démarche en ces termes : « Bien qu’isoler toutes les feuilles de route de Monsieur X sur plusieurs années demande un travail considérable, la S.A. Y est disposée à effectuer ce travail pour peu que Monsieur X respecte la procédure établie. La S.A. Y n’a pas refusé la demande de Monsieur X alors qu’elle était en droit de le faire mais a établi une procédure à suivre, vu l’ampleur du travail qu’engendre cette demande »30. 54. Tout en affirmant ne pas avoir refusé de donner suite à la demande, la défenderesse soutient parallèlement que celle-ci serait manifestement infondée ou, à tout le moins, excessive au sens de l'article 12.5 du RGPD, et qu'elle serait en droit de la rejeter à ce titre. 55. La Chambre Contentieuse ne peut retenir cette présentation des faits. Il a été établi que la demande du plaignant était claire et que la défenderesse a, dans les faits, refusé d'y donner suite depuis le 10 mai 2021, au motif de la charge de travail qu'elle impliquait. Ce faisant, la défenderesse n'a à aucun moment notifié au plaignant un refus formel comme l'exige l'article 12.4 du RGPD. Elle a au contraire laissé le plaignant dans l'expectative, en lui proposant des procédures alternatives faisant peser sur lui une charge qui incombait pourtant au responsable du traitement, méconnaissant ainsi par la même occasion l'obligation de facilitation de l’exercice des droits imposée par l'article 12.2 du RGPD. En subordonnant la remise des documents à la venue du plaignant dans ses locaux et en exigeant de celui-ci qu'il identifie lui-même les fiches dont il souhaite copie, la défenderesse lui transfère en réalité la charge qui lui incombe en tant que responsable du traitement. 56. La Chambre Contentieuse relève en outre que la solution de consultation sur place proposée par la défenderesse soulève une difficulté supplémentaire au regard du RGPD. Les fiches de prestations contiennent en effet non seulement les données personnelles du plaignant, mais également les noms et informations relatifs aux clients de la défenderesse. Or, laisser le plaignant consulter librement les classeurs dans les locaux de la société l'exposerait 30 Conclusions de la défenderesse, p. 13. Décision quant au fond 97/2026 — 19/24 nécessairement aux données personnelles de tiers, en méconnaissance de la réserve prévue à l'article 15.4 du RGPD, qui prévoit que le droit d'obtenir une copie ne peut porter atteinte aux droits et libertés d'autrui. Cet élément conforte l'analyse selon laquelle c'est à la défenderesse, en tant que responsable du traitement, qu'il incombait d'extraire elle-même les fiches pertinentes et, le cas échéant, d'en anonymiser préalablement les données relatives aux tiers avant de les communiquer au plaignant, plutôt que de déléguer cette tâche à la personne concernée. 57. Face à la demande d'accès du plaignant, si la défenderesse ne comptait pas y donner suite dans le délai d'un mois prescrit par l'article 12.3 du RGPD, plusieurs voies alternatives s'offraient à elle, pour autant que les conditions d'application en aient été réunies. Elle aurait notamment pu, conformément à ce même article, informer le plaignant d'une prolongation du délai de réponse de deux mois supplémentaires, à charge pour elle de l'en aviser dans le mois suivant la réception de la demande et d'en motiver les raisons. Elle aurait également pu notifier formellement au plaignant un refus motivé conformément à l'article 12.4 du RGPD, le cas échéant en invoquant et motivant le caractère manifestement infondé ou excessif de la demande au sens de l'article 12.5 du RGPD ou, sur ce même fondement, exiger le paiement de frais raisonnables pour y donner suite. Elle aurait enfin pu se prévaloir de l'article 15.4 du RGPD pour refuser, en tout ou en partie, la fourniture des copies sollicitées, dans la mesure où celle-ci porterait atteinte aux droits et libertés d'autrui. Or, la défenderesse n'a emprunté aucune de ces voies. Elle s'est bornée à proposer une consultation sur place, sans jamais notifier au plaignant de réponse formelle à sa demande de copie dans le délai prescrit par l'article 12.3 du RGPD, laissant ainsi la demande d’accès sans suite effective. 58. Il résulte de l'ensemble de ce qui précède que la défenderesse a méconnu les obligations qui lui incombaient au titre de l'article 12, paragraphes 2, 3 et 4, du RGPD, en s'abstenant de donner suite dans les délais prescrits à la demande de copie du plaignant, en omettant de lui notifier formellement les motifs de son inaction, et en ne facilitant pas l'exercice de son droit d'accès. II.4. Conclusions 59. Sur base des éléments précédents, la Chambre Contentieuse constate que la défenderesse a commis les violations suivantes : - La défenderesse a refusé, dans les faits, de donner suite à la demande de copie des fiches de prestations du plaignant, sans lui notifier formellement ce refus. En se bornant à proposer au plaignant une procédure de consultation sur place faisant peser sur lui la charge de l'identification et de la reproduction des documents, la défenderesse n'a pas facilité l'exercice du droit d'accès du plaignant et a méconnu les obligations qui lui Décision quant au fond 97/2026 — 20/24 incombaient. La défenderesse a ainsi violé les articles 12.2, 12.3 et 12.4, ainsi que les articles 15. 1 et 15.3 du RGPD. - La défenderesse n'a pas donné suite à la demande de copie dans les délais prescrits. Le plaignant a formulé une première demande d'accès le 10 mai 2021 et a réitéré celle-ci à plusieurs reprises, notamment le 17 janvier 2022 et au cours de l'année 2023, sans jamais obtenir communication de la copie sollicitée. À la date de la présente décision, la demande demeure sans suite, en violation de l'article 12.3 du RGPD. 60. La Chambre Contentieuse a donné à la défenderesse la possibilité de s'exprimer sur l'applicabilité de l'article 15.4 du RGPD aux demandes du plaignant (point 16). La défenderesse s'est toutefois exclusivement fondée sur le caractère prétendument excessif de la demande et le prétendu manque de précision de celle-ci, sans invoquer ni démontrer que l'exception prévue à l'article 15.4 du RGPD trouverait à s'appliquer pour justifier un refus de communiquer la copie sollicitée, en tout ou en partie. 61. La Chambre Contentieuse estime néanmoins ne pas pouvoir exclure que cette disposition soit susceptible de s'appliquer en l'espèce, eu égard à la nature des documents en cause. Il appartiendra dès lors à la défenderesse, lors de l'exécution de la présente décision, d’examiner s’il y a lieu de procéder l’anonymisation partielle des informations relatives à des tiers figurant sur les fiches de prestations. 62. La Chambre Contentieuse rappelle que l'article 15.4 du RGPD prévoit que le droit d'obtenir une copie au sens de l’article 15.3 du RGPD ne peut porter atteinte aux droits et libertés d'autrui. La notion d'« autrui » doit être entendue de manière large : elle vise toute personne ou entité autre que la personne concernée qui exerce son droit d'accès, de sorte que peuvent notamment être pris en considération les droits et libertés du responsable du traitement lui-même, tels que la préservation de la confidentialité de ses secrets d'affaires ou la protection de sa propriété intellectuelle, ainsi que les droits des tiers dont les données personnelles figureraient dans les documents sollicités. 63. La Chambre Contentieuse souligne toutefois que cette exception prévue à l’article 15.4 du RGPD doit, comme toute exception, être interprétée et appliquée de manière restrictive. Le considérant 63 du RGPD le précise expressément : « ces considérations ne devraient pas aboutir à refuser toute communication d’informations à la personne concernée ». En d'autres termes, l'article 15.4 du RGPD ne saurait fonder un refus global et indifférencié de donner une copie, mais tout au plus justifier, le cas échéant, des mesures ciblées telles qu'une anonymisation partielle des informations relatives à des tiers, lorsque leur divulgation porterait une atteinte disproportionnée aux droits de ceux-ci. Décision quant au fond 97/2026 — 21/24 III. Sanctions et mesures correctrices 64. Aux termes de l’article 100, § 1er, de la LCA, la Chambre Contentieuse a le pouvoir de : « 1° classer la plainte sans suite ; 2° ordonner le non-lieu ; 3° prononcer une suspension du prononcé ; 4° proposer une transaction ; 5° formuler des avertissements et des réprimandes ; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits; 7° ordonner que l'intéressé soit informé du problème de sécurité ; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement ; 9° ordonner une mise en conformité du traitement ; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données ; 11° ordonner le retrait de l'agréation des organismes de certification ; 12° donner des astreintes ; 13° donner des amendes administratives ; 14° ordonner la suspension des flux transfrontières de données vers un autre État ou un organisme international ; 15° transmettre le dossier au parquet du Procureur du Roi de Bruxelles, qui l'informe des suites données au dossier ; 16° décider au cas par cas de publier ses décisions sur le site internet de l'Autorité de protection des données. » 65. La Chambre Contentieuse estime que sur la base des faits susmentionnés, il y a lieu de conclure que la défenderesse a violé les articles 12.2, 12.3, 12.4, 15.1 et 15.3 du RGPD, l'article 12.5 du RGPD ne pouvant en l'occurrence justifier le refus opposé à la demande du plaignant. Ces violations justifient qu’elle procède à la prise d’une décision conformément à l’article 100, § 1er, 5° de la LCA, plus précisément, qu’elle adresse une réprimande à la défenderesse. 66. S’agissant de la violation de l’article 12.2 du RGPD, la Chambre Contentieuse souligne que cette disposition, qui impose au responsable du traitement de faciliter l’exercice des droits des personnes concernées, entretient un lien d’étroite connexité avec les articles 12.3, 12.4, 15.1 et 15.3 du RGPD, sur lesquels la Chambre Contentieuse a invité les parties à conclure par sa lettre du 25 février 2025 (point 20). Les articles 12 et 15 du RGPD étant intrinsèquement liés en ce qu’ils régissent conjointement les modalités d’exercice du droit d’accès, la qualification d’une violation de l’article 12.2 ne porte pas atteinte aux droits de la défense de la défenderesse, dès lors que celle-ci a été expressément invitée à se prononcer sur le respect des modalités d’exercice du droit d’accès par la personne concernée dans sa Décision quant au fond 97/2026 — 22/24 globalité, et qu’elle pouvait raisonnablement s’attendre à devoir se défendre sur cet aspect, qui constitue une modalité d’exécution de ce droit. 67. La Chambre Contentieuse assortit cette réprimande d’un ordre de donner suite, dans le mois de la notification de la présente décision, à l’exercice du droit d’accès et de copie du plaignant en exécution de l’article 15.3 du RGPD sur la base de l’article 100,6° de la LCA. Lors de l’exécution de cet ordre, la défenderesse pourra utilement tenir compte des considérations ci-avant concernant la portée et les modalités d’application de l’article 15.4 du RGPD (voy. les points 60 à 63). 68. La défenderesse dispose d'un délai d'un mois à compter de la notification de la présente décision pour communiquer au plaignant une copie de l'ensemble des fiches de prestations pour la période du 10 mai 2016 au 10 mai 2021, conformément à l'article 12.3 du RGPD. Si la défenderesse entend se prévaloir de la complexité de la demande pour bénéficier du délai prolongé de trois mois prévu par cette même disposition, il lui appartient d'en apporter la démonstration et d'en informer sans délai la Chambre Contentieuse, ainsi que le plaignant, dans le délai d'un mois susmentionné. 69. Dans tous les cas, la défenderesse est tenue de communiquer à la Chambre Contentieuse, dans le délai qui lui est imparti, la preuve de la transmission effective des documents au plaignant, afin de permettre à celle-ci de vérifier la bonne exécution de la présente décision. 70. La Chambre Contentieuse estime qu'une réprimande, assortie de l'ordre de se conformer à la demande d'accès et de copie du plaignant, constitue en l'espèce la mesure proportionnée et suffisante. Cette appréciation tient compte de l'ensemble des circonstances de l'espèce, et notamment de l'organisation interne et des ressources de la défenderesse, telles qu'elle les a elle-même décrites tout au long de la procédure, en faisant valoir que la satisfaction de la demande d'accès représenterait pour elle une charge de travail considérable. Si cette circonstance est, comme rappelé ci-dessus, sans incidence sur l'existence des violations constatées, elle n'en demeure pas moins pertinente à ce stade de l'appréciation de la mesure corrective. En effet l'imposition d'une amende administrative cumulée à l'ordre de mise en conformité, lequel mobilisera lui-même des moyens internes pour son exécution, apparaîtrait disproportionnée au regard de l'objectif poursuivi, qui est avant tout d'assurer le rétablissement du droit du plaignant et la conformité future de la défenderesse aux exigences du RGPD. Décision quant au fond 97/2026 — 23/24 IV. Publication de la décision 71. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre Contentieuse, la présente décision est publiée sur le site Internet de l’APD. Toutefois, il n’est pas nécessaire à cette fin que les données d’identification des parties soient directement communiquées. PAR CES MOTIFS, la Chambre Contentieuse de l'Autorité de protection des données décide, après délibération : - En vertu de l’article 58.2.
  13. c)du RGPD et de l’article 100, § 1er, 6° de la LCA, d’ordonner à la défenderesse de donner suite, dans le mois de la notification de la présente décision, à l’exercice du droit d’accès du plaignant en exécution de l’article 15.3 du RGPD, selon les modalités précisées aux points 67 à 69 et les considérations soulevées aux points 60 à 63 de la présente décision. - En vertu de l’article 100, § 1er, 5°de la LCA, d’adresser une réprimande à la défenderesse pour la violation des articles 12.2, 12.3, 12.4, 15.1 et 15.3 du RGPD, l'article 12.5 du RGPD ne pouvant en l'occurrence justifier le refus opposé à la demande du plaignant. Conformément à l'article 108, § 1 de la LCA, un recours contre cette décision peut être introduit, dans un délai de trente jours à compter de sa notification, auprès de la Cour des Marchés (cour d'appel de Bruxelles), avec l'Autorité de protection des données comme partie défenderesse. Un tel recours peut être introduit au moyen d'une requête interlocutoire qui doit contenir les informations énumérées à l'article 1034ter du Code judiciaire31 (« C. jud. »). La requête interlocutoire doit être déposée au greffe de la Cour des Marchés conformément à l'article 1034quinquies du C. 31 La requête contient à peine de nullité: l'indication des jour, mois et an; les nom, prénom, domicile du requérant, ainsi que, le cas échéant, ses qualités et son numéro de registre national ou numéro d’entreprise; 3° les nom, prénom, domicile et, le cas échéant, la qualité de la personne à convoquer; 4° l'objet et l'exposé sommaire des moyens de la demande; 5° l'indication du juge qui est saisi de la demande; 6° la signature du requérant ou de son avocat. 1° 2° Décision quant au fond 97/2026 — 24/24 jud.32, ou via le système d'information e-Deposit du Service Public Fédéral Justice (article 32ter du C. jud.). (Sé). Hielke HIJMANS Directeur de la Chambre Contentieuse 32 La requête, accompagnée de son annexe, est envoyée, en autant d'exemplaires qu'il y a de parties en cause, par lettre recommandée au greffier de la juridiction ou déposée au greffe.

🔗 Vers la source officielle

AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.