Décision, Autorité de protection des données, 2025-01-07

Chambre Contentieuse
Décision quant au fond 02/2025 du 7 janvier 2025
Numéro de dossier : DOS-2024-01344
Objet : Plainte relative à un traitement illicite de données à caractère personnel par un employeur.
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Hielke HIJMANS, président, et de messieurs Romain Robert et Christophe Boeraeve, membres;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, représenté par Me Alexandre Cassart, ci-après « le plaignant » ;
La défenderesse : L’Institut Belge Y, représenté par Me Mireille Buydens et Me Charles Bernard, ci-après « la défenderesse ».
I. Faits et procédure
1. Le 5 mars 2024, le plaignant a introduit une plainte auprès de l’Autorité de protection des données contre la défenderesse.
2. L'objet de la plainte concerne un traitement illicite de données à caractère personnel.
3. Le 24 octobre 2024, le supérieur hiérarchique, après avoir reçu la décision motivée du refus de prolongation de l’habilitation de sécurité du plaignant (ci-après, « décision motivée »), l’a informé qu’une enquête disciplinaire avait été ouverte à son encontre. Cette décision motivée reprend de manière explicite le dossier en cours d’information auprès du Procureur du Roi (ci-après, « Procureur ») dans lequel le plaignant est suspecté d’attentat à la pudeur sur mineur.
4. L’octroi et le retrait des habilitations de sécurité sont encadrés par la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé (ci-après, « loi du 11 décembre 1998 »)1.
5. Le 19 janvier 2023, l’officier de sécurité demande à l’Autorité nationale de sécurité (ci-après, « ANS ») de prolonger l’habilitation de sécurité du plaignant.
6. Le 7 juillet 2023, l’ANS notifie à l’officier de sécurité de la défenderesse son refus de prolongation de l’habilitation de sécurité du plaignant (ci-après, « notification de la décision ») (pièce 2), y attache la décision motivée (pièce 1) et demande à l’officier de sécurité de la communiquer à ce dernier2.
7. Le 24 juillet 2024, le plaignant réceptionne la décision motivée, conformément à l’article 22 alinéas 3 et 5 de la loi du 11 décembre 1998.
8. Au moment des faits3, l’officier de sécurité est chargé du suivi des éléments relatifs aux habilitations de sécurité qui peuvent mener à leur révision4. Dans le cadre de cette obligation, il fait rapport à son fonctionnaire dirigeant 5, le Conseil de la défenderesse6, en lui communiquant la décision motivée.
9. A son tour, le Conseil de la défenderesse communique la décision motivée au supérieur hiérarchique du plaignant pour qu’il puisse initier une enquête disciplinaire à l’encontre de ce dernier7.
10. Enfin, le Conseil de la défenderesse communique la décision motivée à ses avocats pour demander l’accès au dossier en cours d’information devant le Procureur.
11. Le 27 mars 2024, la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA.
12. Le 3 mai 2024, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond. En vertu de l’article 92, 1° de la LCA, la Chambre Contentieuse prendra une décision sur le fond en ce qui concerne l’objet de la plainte.
13. Le 15 mai 2024, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions. Les griefs constatés par la Chambre Contentieuse portent sur des violations présumées des articles suivants :
- Violation présumée des articles 5.1.a), 6 et 10 du RGPD, en raison de l’absence de base légale prévoyant le traitement des données judiciaires du plaignant, ce qui a mené à l’ouverture d’une procédure disciplinaire à son encontre.
- Violation présumée des articles 5.1.b) et 6 du RGPD, en raison du manque d’information relatif à la compatibilité des finalités des traitement concernés, à savoir d’une part, la transmission de la décision motivée au Conseil de la défenderesse et d’autre part, la transmission de cette décision au supérieur hiérarchique du plaignant.
- Violation présumée des articles 12.1, 12.3, 12.4 et 15 du RGPD, en raison du refus de se soumettre à l’exercice du droit d’accès du plaignant pour des motifs qui entreraient sous l’exception de l’article 23.1.d) du RGPD.
- Violation présumée des articles 5.1.f) et 32 du RGPD, en raison de l’absence de mesures techniques et organisationnelles appropriées afin de garantir la confidentialité des données à caractère personnel du plaignant, par l’envoi de la décision motivée à son supérieur hiérarchique.
- Violation présumée des articles 5.2, 24.1 et 25.2 du RGPD, en raison de manquements aux responsabilités mentionnées ci-dessus, ce qui a entrainé la transmission de la décision motivée, l’ouverture d’une procédure disciplinaire à l’égard du plaignant, et la transmission d’un dossier au Procureur.
Pour les constatations relatives à l’objet de la plainte, la date limite pour la réception des conclusions en réponse de la défenderesse a été fixée au 26 juin 2024, celle pour les conclusions en réplique du plaignant au 24 juillet 2024 et enfin celle pour les conclusions additionnelles de synthèse de la défenderesse au 21 août 2024.
14. Le 29 mai 2024, la défenderesse demande une copie du dossier (art. 95, §2, 3° LCA), laquelle lui est transmise le 10 juin 2024.
15. Le 26 juin 2024, la Chambre Contentieuse reçoit les conclusions en réponse de la défenderesse en ce qui concerne les constatations relatives à l'objet de la plainte.
16. Le 23 juillet 2024, la Chambre Contentieuse reçoit les conclusions en réplique du plaignant en ce qui concerne les constatations relatives à l’objet de la plainte.
17. Le 13 aout 2024, la Chambre Contentieuse accuse réception de la demande de la défenderesse visant à inclure l’ANS comme partie tierce intéressée. Le même jour, la Chambre Contentieuse invite la défenderesse à étayer sa demande en fournissant des éléments démontrant que l’ANS serait susceptible de subir un préjudice personnel, direct, certain, actuel et légitime en raison de la procédure quant au fond.
18. Le 20 août 2024, la Chambre Contentieuse reçoit les conclusions additionnelles de synthèse de la part de la défenderesse concernant les constatations relatives à l’objet de la plainte.
19. Le 12 septembre 2024, la Chambre Contentieuse reçoit les arguments de la défenderesse quant à l’implication de l’ANS comme partie tierce intéressée.
20. Le 18 septembre 2024, la Chambre Contentieuse estime ne pas avoir reçu suffisamment d’arguments indiquant que l’ANS serait susceptible de subir un préjudice personnel, direct, certain, actuel et légitime en raison de la procédure en cours et décide de ne pas l’inviter comme partie tierce intéressée.
II. La décision du refus de prolongation de l’habilitation de sécurité
21. La Chambre Contentieuse considère important de détailler le cadre légal de ce refus de prolongation de l’habilitation de sécurité du plaignant.
22. Au vu de l’ingérence flagrante des enquêtes de sécurité pour la vie privée des personnes concernées, le législateur a encadré leur retrait par la loi du 11 décembre 1998, conformément à l’article 8.2 de la Charte des droits fondamentaux de l’Union Européenne (ci-après, « Charte »)8. Il s’ensuit que la loi du 11 décembre 1998 consiste en une autorisation officielle d’accéder à des données classifiées dans les limites prévues par cette loi.
23. Lorsque l’ANS décide, sur base d’une enquête de sécurité, de ne pas prolonger une habilitation de sécurité, elle en notifie, par l’intervention de l’officier de sécurité, la personne concernée, en y attachant les motifs 9. Cette obligation de notifier la décision motivée à la personne concernée, exclut de jure toute autre récipiendaire10.
24. L’obligation de l’officier de sécurité de l’article 13/1 de la loi du 11 décembre 199811 implique le suivi des individus soumis à une habilitation de sécurité afin de détecter à temps des changement inquiétants comme la radicalisation et les communiquer à l’ANS12.
25. Ce même article oblige l’officier à faire rapport, auprès des dirigeants de l’autorité administrative auprès de laquelle ce dernier est attaché, des nouveaux éléments ou des irrégularités tels que repris au point précédent à ses responsables.
III. Motivation
III.1. Quant à la violation présumée des articles 5.1.a), 6 et 10 du RGPD
III.1.1. Position du plaignant
26. En l’espèce, le plaignant estime que l’ouverture de l’enquête disciplinaire est le résultat d’une chaine de cinq traitements :
- Traitement 1) : La collecte initiale de ses données à caractère personnel par l’ANS ;
- Traitement 2) : La communication de la décision motivée attachée à la notification de la décision par l’ANS à l’officier de sécurité de la défenderesse;
- Traitement 3) : la communication de la décision motivée par l’officier de sécurité de la défenderesse au Conseil de cette dernière;
- Traitement 4) : La transmission de la décision motivée par le Conseil de la défenderesse au supérieur hiérarchique du plaignant ; et
...