Décision, Autorité de protection des données, 2025-04-24

Chambre Contentieuse
Décision quant au fond 79/2025 du 24 avril 2025
Numéro de dossier : DOS-2021-00068
Objet : Plainte relative au transfert par le Service Public fédéral (SPF) Finances de données personnelles vers les autorités fiscales américaines (IRS) en exécution de l’accord « FATCA »
La Chambre Contentieuse de l'Autorité de protection des données, constituée de monsieur Yves Poullet, président, et de messieurs Christophe Boeraeve et Jelle Stassijns, membres, reprenant l’affaire en cette composition à la suite de l’arrêt de la Cour des marchés du 20 décembre 2023 (2023/AR/801)1;
Vu l’arrêt de la Cour des marchés du 20 décembre 2023 (2023/AR/801) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après « LCA ») ;
Vu le règlement d'ordre intérieur (ci-après « RoI ») de l’Autorité de protection des données tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 20192 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Les plaignants : Monsieur X, Ci-après « le premier plaignant » ;
L’ASBL Accidental Americans Association of Belgium (AAAB), dont le siège social est établi clos Albert Crommelynck, 4 bte 7 à 1160 Bruxelles, Ci-après « la seconde plaignante » ;
Ci-après désignés ensemble comme « les plaignants » ;
Ayant tous deux pour conseils Maître Vincent Wellens et Maître Maxime Vanderstraeten, avocats, dont le cabinet est établi chaussée de la Hulpe, 120 à 1000 Bruxelles.
La défenderesse : Le Service Public fédéral Finances (SPF Finances) dont le siège est établi boulevard du Roi Albert II, 33 à 1030 Bruxelles, Ci-après « la défenderesse » ;
Ayant pour conseil Maître Jean-Marc Van Gyseghem, avocat, dont le cabinet est établi boulevard de Waterloo, 34 à 1000 Bruxelles.
Table des matières
I. Faits et rétroactes de la procédure ......................................................................................... 5
I.1. Les faits pertinents ................................................................................................................ 5
I.2. Rétroactes de la procédure ayant abouti à la décision annulée 61/2023 ......................... 11
I.2.1. Recevabilité de la plainte ......................................................................................................11
I.2.2. L’objet de la plainte ............................................................................................................. .12
I.2.3. L’enquête du Service d’Inspection (SI) ............................................................................... 13
I.2.4. L’enquête complémentaire du Service d’Inspection (SI) .................................................. 15
I.2.5. L’examen quant au fond par la Chambre Contentieuse .................................................... 16
I.2.6. L’audition des parties du 10 janvier 2023 ........................................................................... 19
I.3. La décision 61/2023 ................................................................................................................. 19
I.4. Le recours contre la décision 61/2023 devant la Cour des marchés ....................................20
I.5. Les arrêts de la Cour des marchés des 28 juin et 20 décembre 2023 .................................21
I.6. Rétroactes de la procédure de reprise aboutissant à la présente décision ..........................23
I.6.1. La décision du 20 mars 2024 sur la composition ................................................................. 23
I.6.2. La reprise de l’examen quant au fond .................................................................................... 24
I.6.3. L’invitation à l’audition et l’audition des parties ..................................................................... 27
II. Motivation ...................................................................................................................................... 29
II.1. Quant à la compétence de la Chambre Contentieuse de l’APD ............................................. 29
II.2. Quant à la composition de la Chambre Contentieuse ............................................................ 31
II.3. Quant à l’absence des institutions financières à la procédure .............................................. 36
II.4. Quant à la qualité de responsable de traitement de la défenderesse .................................. 40
II.5. Quant à l’article 96 du RGPD ..................................................................................................... 43
II.6. Quant aux griefs invoqués ................................................................. ....................................... 54
II.6.1. La défenderesse peut-elle s’appuyer sur l’article 96 du RGPD ?.......................................... 55
II.6.1.1. Introduction ............................................................................................................................. 55
II.6.1.2. Quant au principe de finalité ................................................................................................. 57
II.6.1.3. Quant au principe de proportionnalité .................................................................................. 61
II.6.1.4. Les autres garanties au bénéfice des personnes concernées .......................................... 68
II.6.1.5. Conclusion sur la conformité au droit de l’UE applicable au 24 mai 2016 ....................... 69
II.6.2. Les transferts vers l’IRS et le respect du RGPD .................................................................... 69
II.6.2.1. Principes ................................................................................................................................. 69
II.6.2.2. Application des articles 46.1 et 46.2. a) du RGPD ..............................................................70
II.6.2.3. Conclusion ............................................................................................................................. 75
II.6.2.4. Quant à l’article 49 du RGPD ............................................................................................... 77
II.6.3. Quant au respect de l’obligation d’information ...................................................................... 78
II.6.4. Quant au manquement à l’obligation de réaliser une AIPD .................................................. 84
II.6.5. Quant au manquement à l’article 20 de la LTD ...................................................................... 89
II.6.6. Quant au manquement à l’accountability ............................................................................... 90
III. Mesures correctrices et sanctions ............................................................................ .................. 91
IV. Publication de la décision ............................................................................................................. 93
I. Faits et rétroactes de la procédure
1. Le 22 décembre 2020, les plaignants introduisent une plainte auprès de l’Autorité de protection des données (APD) contre la défenderesse. La plainte dénonce l’illicéité du transfert de données personnelles relatives au premier plaignant ainsi que relatives aux Américains accidentels belges (dont la seconde plaignante défend les intérêts) par la défenderesse vers les autorités fiscales américaines dans le contexte de l’application de l’accord intergouvernemental « FATCA » conclu entre l’Etat belge et les Etats-Unis ainsi que d’autres manquements au RGPD imputables à la défenderesse dans ce contexte.
2. Les faits à l’origine de la plainte sont détaillés ci-dessous aux points 3 à 19 (titre I.1.) . Ils sont suivis des rétroactes de la procédure ayant abouti à la décision 61/2023 de la Chambre Contentieuse annulée par la Cour des marchés le 20 décembre 2023 aux points 20 à 59 (titre I.2.) ainsi qu’ensuite, des rétroactes relatifs à la reprise de l’affaire aboutissant à la présente décision aux points 60 à 94 (titres I.3 à I.6).
I.1. Les faits pertinents
3. Le premier plaignant réside en Belgique et possède la double nationalité belge et américaine.
Pour ce qui concerne cette dernière nationalité, le premier plaignant se décrit comme un ce qu’il est convenu d’appeler un « Américain accidentel » car il n’a la nationalité américaine que du fait de sa naissance à Stanford sur le territoire des Etats-Unis sans avoir conservé aucun lien significatif avec ce pays. La Chambre Contentieuse précise ici d’emblée que la notion « d’Américain accidentel » n'est pas définie en droit comme l’a souligné la Cour des marchés dans son arrêt interlocutoire du 28 juin 2023 3. Les plaignants exposent quant à eux que pour les besoins de la procédure, cette notion recouvre les membres de l’AAAB.
4. La seconde plaignante est une association sans but lucratif de droit belge (ASBL) composée d’Américains accidentels qui a pour objet de défendre et de représenter les intérêts des personnes de nationalité belgo-américaine - tel le premier plaignant - qui résident en-dehors des Etats-Unis et ne gardent aucun lien significatif avec ce pays. L’objet de l’association est décrit à l’article 4 de son acte constitutif du 28 septembre 2019:
« L’association a pour objet la défense des intérêts des personnes physiques de nationalité américaine résidant hors des Etats-Unis, contre les effets néfastes du caractère extraterritorial de la législation américaine.
L’association poursuit la réalisation de son objet par tous les moyens d’action et notamment par :
- des actions de représentation d’intérêt auprès des pouvoirs publics belge et américain et...