Autorité de protection des données (chambre contentieuse), 23 décembre 2020, décision au fond n° 81/2020

Zoek in bibliotheek

Zoek naar boeken en tijdschriften in de bibliotheek.

Zoek in full text

Zoek naar specifieke inhoud op basis van zoektermen en filters.

Full text
Tijdschrift
Nummer 2-3
Artikel
Autorité de protection des données (chambre contentieuse), 23 décembre 2020, décision au fond n° 81/2020

Jaar 2020 Volume 2020 Nummer 2-3 Pagina 713 Taal Frans Rechtscollege Gegevensbeschermingsautoriteit - Privacycommissie - Autorité de Protection des Données - Commission de la Protection de la vie privée, 23/12/2020 Referentie “Autorité de protection des données (chambre contentieuse), 23 décembre 2020, décision au fond n° 81/2020”, IA 2020, nr. 2-3, 713-723 Samenvatting Lorsqu'à la suite d'une concession qui lui a été attribuée par une commune pour gérer le contrôle du stationnement sur la voie publique, une société confie le recouvrement des redevances impayées à une étude d'huissiers, chacune d'elles a la qualité de responsable de traitement de données personnelles. En effet, même si leurs interventions se succèdent dans le cadre du recouvrement amiable de dettes et même si elles opèrent successivement des traitements sur des données qui sont identiques jusqu'à un certain stade la procédure, l'une et l'autre déterminent distinctement, au départ de la mission propre qui lui a été attribuée, la finalité et les moyens de traitement qu'il lui incombe de mettre en œuvre. Partant, leur relation ne doit être régie ni par un contrat de sous-traitance, ni par un accord de responsabilité conjointe. Le responsable d'un traitement de données à caractère personnel est tenu de fournir à la personne concernée des informations non seulement sur l'existence du traitement, son caractère licite, ses modalités et ses finalités mais aussi sur les droits dont elle dispose. Lorsque ces données à caractère personnel ne sont pas collectées auprès de la personne concernée, le responsable du traitement est tenu de fournir ces informations: a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois; b) ou, si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ; c) ou, s'il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois. Aux termes de l'article 14.5.c) du règlement général sur la protection des données («RGPD»), le responsable de traitement est dispensé de son obligation d'information lorsque et dans la mesure où «l'obtention [et] la communication des informations sont expressément prévues par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ». Cette exception à l'obligation d'information prévue par le droit fondamental à la protection des données doit être interprétée de manière restrictive car elle prive la personne concernée d'une information sur l'existence et les modalités d'exercice de ses autres droits qui eux ne sont pas soumis à cette exception, tel que le droit d'accès (article 15 du RGPD) qui ouvre à son tour la voie à l'exercice d'autres droits tels le droit à la rectification, d'opposition ou encore d'effacement notamment. En outre, cette exception ne peut être invoquée que si des garanties appropriées visant à protéger les intérêts légitimes des personnes concernées sont prévues par la réglementation elle-même. L'encadrement légal de la profession d'huissiers et le respect dû à leurs règles déontologiques ne suffisent pas en elles-mêmes à constituer des garanties appropriées en termes de protection des données au sens de l'article 14.5.c) du RGPD. Ces garanties légales doivent consister en un ensemble d'informations minimales relatives aux traitements de données lesquelles doivent figurer dans l'acte réglementaire en exécution duquel la communication des informations a lieu. Ces informations minimales sont les suivantes: finalité du traitement, catégories de données à caractère personnel traitées, identité du responsable de traitement, durée de conservation et référence aux droits des personnes concernées. Lorsque la collecte de données personnelles se fonde sur le consentement de la personne concernée, ce consentement ne peut être valable que si la personne concernée est véritablement en mesure d'exercer un choix et s'il n'y a pas de risque de tromperie, d'intimidation, de coercition ou de conséquences négatives importantes (par ex. coûts supplémentaires importants) si elle ne donne pas son consentement. Pour déterminer si le consentement est donné librement, il faut en outre tenir compte d'un éventuel déséquilibre des rapports de force entre la personne concernée et le responsable de traitement. Un formulaire joint à une mise en demeure émanant d'un huissier de justice, intitulé «Formulaire à nous retourner » et mentionnant que seul le formulaire dûment complété ainsi que ses annexes seront prises en compte pour le traitement des demandes de paiement ou contestations peut raisonnablement donner à penser qu'il n'y a pas d'alternative à la fourniture par le débiteur des informations demandées. Partant, l'huissier ne peut en ce cas prendre pour fondement de licéité à son traitement le consentement libre et éclairé du débiteur, avec cette conséquence que le principe de minimisation7 est également susceptible d'être violé si, au regard des différentes données demandées au titre de « vos coordonnées», aucun astérisque ou autre mention n'indique que certaines données sont facultatives et que la personne concernée est donc libre de choisir un des modes de communication (numéro de téléphone, numéro de GSM, adresse e-mail). Dès la première communication du responsable du traitement avec elle, la personne concernée doit être informée à tout le moins des éléments suivants: ? l'identité du responsable du traitement; ? l'identification exacte de la base de licéité du traitement; ? les détails de la finalité du traitement concerné ; ? les droits dont la personne concernée dispose ; ? les coordonnées du DPO ou l'indication de toute autre adresse de contact dédiée à l'exercice des droits de la personne concernée ; ? l'existence d'une politique de confidentialité et les modalités de consultation de celle-ci. Partant, lorsqu'elle constitue le premier contact avec la personne dont les données personnelles sont traitées, la mise en demeure envoyée par un huissier dans le cadre d'un recouvrement amiable doit, quelle que soit la base de licéité revendiquée, comporter une clause spécifique «protection des données» mentionnant à la fois les éléments requis pour un consentement éclairé, une information succincte directement utile au regard des traitements concernés et un renvoi explicite pour le surplus vers la politique de confidentialité disponible sur le site Internet. À cet égard, la simple mention dans la lettre de mise en demeure d'un site Internet – site contenant une déclaration de confidentialité qui peut être consultée – n'est pas suffisante. Lorsqu'un huissier, en sa qualité de responsable de traitement, manque à son obligation d'information, invoque une base de licéité non valable et ne respecte pas le principe de minimisation, il est aussi en défaut d'avoir mis en œuvre les mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que les traitements de données qu'il opère sont, compte tenu tout particulièrement de leur nature, du contexte et des finalités poursuivies, effectués conformément au RGPD. Dans l'appréciation de la sanction, la qualité du responsable du traitement peut être un facteur aggravant au sens de l'article 83.2. k) du RGPD, ce qui est le cas notamment pour un mandataire public et pour un huissier de justice. En effet, un huissier de justice est notamment un fonctionnaire ministériel disposant d'une autorité publique, qui peut exercer des compétences dites «monopolistiques», qui lui sont conférées par la loi. En tant que profession libérale, l'huissier de justice exerce [également] quelques activités extrajudiciaires dont le recouvrement amiable de dettes. La fonction est réglementée et les huissiers de justice sont nommés par le Roi. Leur nombre est limité. Eu égard à ce statut, tout huissier se doit d'adopter une attitude exemplaire quelle que soit la casquette avec laquelle il exécute ses missions. Le contexte «infractionnel» dans le cadre duquel interviennent les traitements de données qu'il opère exige également, eu égard à leur finalité, un respect tout particulièrement rigoureux des droits des personnes concernées. Le traitement de données constitue par ailleurs une part substantielle de l'activité d'un huissier de justice.

Geachte bezoeker

Deze pagina is gereserveerd voor de Jurisquare leden.

Bent u reeds lid van Jurisquare, gelieve u aan te melden via de knop 'Inloggen' hieronder. Bent u nog geen lid, klik dan op de knop 'Abonneren'. Vanaf € 422,57 (BTW excl.) per jaar bent u reeds lid van Jurisquare en heeft u toegang tot de grootste digitale bibliotheek van België!

Inloggen Registreren