La Chambre Contentieuse de l'Autorité de protection des données (APD) a prononcé une réprimande à l'encontre d'une commune pour manquement à ses obligations de responsable du traitement, suite à des consultations illicites de données du Registre national par ses agents.

L'affaire trouve son origine dans une plainte déposée le 4 février 2020, dénonçant deux consultations non autorisées du Registre national effectuées à des fins privées par des employés communaux en décembre 2019. L'enquête a révélé que la commune n'avait pas mis en place les mesures techniques et organisationnelles adéquates pour prévenir ces accès illicites, notamment en matière de traçabilité et d'enregistrement des motifs de consultation. La Chambre Contentieuse a estimé que si les agents agissant à des fins personnelles devaient être considérés comme responsables de traitement pour ces consultations spécifiques, la commune restait coupable d'un manquement à ses propres obligations de sécurisation des données, en violation des article 5, paragraphe 2 et article 24, paragraphe 1 du RGPD. Compte tenu des mesures correctrices prises par la commune en cours de procédure, notamment la sanction des agents et la mise en place d'une politique de contrôle, et de l'impossibilité légale d'infliger une amende à une autorité publique dans ce contexte, une réprimande a été jugée comme la sanction appropriée.