1/76
Chambre Contentieuse
Décision quant au fond 103/2022 du 16 juin 2022
Cette décision a été annulée par l’arrêt 2022/AR/953 de la
Cour des marchés du 22 février 2023
Numéro de dossier : DOS-2020-02998
Objet : Rapport d’Inspection concernant l’utilisation de cookies sur le site web
www.lesoir.be, www.sudinfo.be, www.sudpressedigital.be du groupe Rossel
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke
Hijmans, président, et de Messieurs Christophe Boeraeve et Frank De Smet;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après "RGPD" ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA) ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
.
La défenderesse : la SA Rossel & Cie, dont le siège social est situé rue royale, 100, 1000 Bruxelles, .
inscrite sous le numéro d'entreprise 0428.201.847, ci-après : .
« la défenderesse ».
Décision quant au fond 103/2022 - 2/76
I. Faits et procédure
I.1. Enquête du Service d’Inspection
1. Le 16 janvier 2019, le Comité de Direction a décidé de saisir le Service d’Inspection au
sujet de « la problématique de l’utilisation des cookies sur les sites web des médias, sur
base de l’article 63, 1° de la loi APD. Sur proposition du Comité de Direction, le Service
d’Inspection a diligenté plusieurs enquêtes dirigées envers les médias d’information
belges les plus consultés en ligne.1
1 HLN DPG Media nv http://hln.be/ NL
2 Het Nieuwsblad Mediahuis http://nieuwsblad.be/ NL
3 VRT VRT http://deredactie.be/ NL
4 Sudinfo Groupe Rossel http://sudinfo.be/ FR
5 La DH IPM Group SA http://dhnet.be/ FR
6 De Standaard Mediahuis http://standaard.be/ NL
7 RTBF RTBF http://rtbf.be FR
8 Gazet van Antwerpen Mediahuis http://gva.be/ NL
9 RTL Groupe RTL http://RTL.be FR
10 Het Belang van Limburg Mediahuis http://hbvl.be/ NL
11 Le Soir Groupe Rossel http://lesoir.be/ FR
12 7 sur 7 DPG Media nv http://7sur7.be/ FR
13 La Libre IPM Group SA http://lalibre.be/ FR
14 De Morgen DPG Media nv http://demorgen.be/ NL
15 De Tijd MEDIAFIN NV http://tijd.be/ NL
16 l'Avenir Nethys.sa http://lavenir.net/ FR
17 VTM DPG Media nv http://vtm.be NL
18 Sudpresse Editions Groupe Rossel http://www.sudpressedigital.be/ FR
Digitales
19 Knack Roularta Media http://knack.be/ NL
group
20 Le Vif Roularta Media http://levif.be/ FR
group
1
Ceci est la deuxième décision suite à cette décision du Comité de Direction. Voir également Décision 85/2002 de la
Chambre Contentieuse du 25 mai 2022..
Décision quant au fond 103/2022 - 3/76
2. Le 7 octobre 2020, l’enquête du Service d’Inspection est clôturée, le rapport est joint au
dossier et celui-ci est transmis par l’Inspecteur général au Président de la Chambre
Contentieuse (art. 91, § 1er et § 2 de la LCA).
3. Le rapport d’Inspection se réfère au « dossier thématique sur les cookies » publié sur le
site web de l’APD2. L’analyse technique accompagnant le rapport se réfère aux principes
d’utilisation conforme des cookies selon le RGPD et la directive ePrivacy3, et
synthétisés comme suit par le Service d’Inspection :
▪ Recueillir le consentement de la personne concernée avant toute utilisation de cookies
à l’exception des cookies strictement nécessaires ;
▪ Fournir des informations précises et spécifiques sur les données suivies par chaque
cookie et leur objectif dans un langage simple avant la réception du consentement ;
▪ Documenter et stocker les consentements des personnes concernées ;
▪ Permettre aux personnes concernées d’accéder au service même si elles refusent
d’autoriser l’utilisation de certains cookies ;
▪ Faire en sorte qu’il soit aussi facile pour les personnes concernées de retirer leur
consentement que de donner leur consentement.
4. A cet égard, le rapport d’Inspection précise qu’il y a lieu de tenir particulièrement compte
des aspects suivants :
▪ Le « further browsing » n’est plus accepté car contraire au RGPD ;
▪ Afin de rencontrer l’exigence de consentement qui implique une liberté de choix, il est
nécessaire d’avoir une possibilité de paramétrage des cookies et une information claire
sur les finalités des catégories de cookies ;
▪ Pour les sites web qui utilisent à l’heure actuelle un paramétrage, il faut vérifier au
niveau technique l’effectivité de ce paramétrage.
5. Les constatations du Service d’Inspection relatives à l’usage des cookies sur les sites
web de la défenderesse comprennent les constats suivants :
2
https://www.autoriteprotectiondonnees.be/citoyen/themes/internet/cookies .
3
https://gdpr.eu/cookies. ”GDPR.EU is a website operated by Proton Technologies AG, which is co-funded by Project REP-
791727-1 of the Horizon 2020 Framework Programme of the European Union. “
Décision quant au fond 103/2022 - 4/76
▪ « Constatation 1 » : « le dépôt de cookies non strictement nécessaires
avant le recueil du consentement » (atteinte à l’article 6.1.a du RGPD)
o D’une lecture combinée de l’article 6.1.a du RGPD et de l’article 129 de la loi
communications électroniques qui complète et précise les dispositions du RGPD 4,
le placement et/ou la lecture de cookies nécessitent le consentement de la
personne concernée, sauf s’ils sont strictement nécessaires pour réaliser l’envoi
d’une communication via un réseau de communications électroniques ou pour
fournir un service expressément demandé par l’utilisateur.
o Les analyses techniques montrent que des cookies (47 pour Sudinfo, 104 pour Le
Soir, 23 pour Sudpresse Editions Digitales) sont installés avant que la personne n’ait
pu donner son consentement. Parmi ceux-ci figurent des cookies tierce partie (27
pour Sudinfo, 104 pour Le Soir, 23 pour Sudpresse Editions Digitales), alors qu’en
principe les cookies strictement nécessaires sont des cookies de première partie 5.
o Dans le relevé des cookies présents de chaque site figurent clairement des cookies
comportementaux6 (Outbrain et Rubicon pour Sudinfo et Le Soir, Doubleclick pour
Sudpresse Editions Digitales), de réseaux sociaux (Facebook) et statistiques
(Google Analytics, Gemius).
o Seuls 3 cookies pour le site de Sudinfo, 2 cookies pour le site du Soir et 1 cookie
pour le site de Sudpresse Editions Digitales ont pu être identifiés comme
strictement nécessaires.
▪ « Constatation 2 » : « utilisation du ‘further browsing’ » (atteinte aux
articles 4.11 et 6.1.a , et 7.1 du RGPD)
o Les analyses techniques montrent que les sites de Sudinfo, du Soir et de Sudpresse
Editions Digitales utilisent la technique du « further browsing » au moyen d’une
bannière volatile relative aux cookies qui disparaît si l’utilisateur poursuit sa
navigation sans opérer d’action.
o La poursuite de la navigation ne peut être considérée comme donnant lieu à un
consentement valide au sens de l’article 4.11 du RGPD pour l’installation et la lecture
de cookies non strictement nécessaires. Suivant cette disposition, le
consentement doit en effet consister en « une déclaration ou un acte positif clair »,
4
Voir l’analyse de la Chambre Contentieuse quant à la compétence de l’APD en matière de cookies dans sa décision quant
au fond 12/2019 du 17 décembre 2019, pp. 17-20, disponible via la page web
https://www.autoritéprotectiondonnes.be/professionnel/publications/decisions.
5
Voir « Comprendre ce qu’est un cookie » dans le dossier thématique « cookies » du site web de l’APD,
https://www.autoritéprotectiondesdonnées.be/professionnel/themes/cookies.
6
Cf. la terminologie utilisée dans la politique relative aux cookies du site « lesoir.be ».
Décision quant au fond 103/2022 - 5/76
ce qui ne peut pas être déduit du simple fait que l’internaute poursuive sa
navigation. Le silence ou l’inactivité de la personne concernée, ainsi que le simple
fait qu’elle continue à utiliser un service, ne peuvent être considérés comme une
indication active de choix7.
o Le responsable de traitement se met également en porte-à-faux avec l’obligation
de l’article 7.1 du RGPD qui lui impose de démontrer que la personne concernée a
donné son consentement au placement de cookies non strictement nécessaires.
▪ « Constatation 3 » : « cookie de réseaux sociaux et de mesure d’audience
sans consentement » (atteinte à l’article 6.1.a du RGPD)
o L’écran de paramétrage des cookies des sites de Sudinfo et du Soir ne reprend pas
les cookies de réseaux sociaux empêchant l’utilisateur de pouvoir consentir à leur
utilisation.
o La politique relative aux cookies du groupe Rossel mentionne par ailleurs que les
cookies d’analyse d’audience et de performance sont des cookies de
fonctionnement qui sont essentiels et ne peuvent donc pas être désactivés. Ils ne
nécessitent pas le consentement de l’utilisateur et ne sont pas désactivables ainsi
qu’il ressort de l’écran de paramétrage des cookies de Sudinfo et du Soir. L’écran
de paramétrage des cookies des sites de Sudinfo et du Soir proposent quant à eux
de les désactiver.
o Il ressort de l’article 6.1.a du RGPD et de l’article 129 de la loi communications
électroniques qui complète et précise des dispositions du RGPD, le placement
et/ou la lecture de cookies nécessitent le consentement de la personne concernée,
sauf s’ils sont strictement nécessaires pour réaliser l’envoi d’une communication
via réseau de communications électroniques ou pour fournir un service
expressément demandé par l’utilisateur.
o En l’état actuel de la législation, il n’y a pas d’exemption à l’obligation d’obtenir le
consentement des personnes concernées pour les cookies de mesure d’audience,
même quand il s’agit de cookies de « première partie ». Le traitement de données à
caractère personnel dans le cadre de l’installation et de la lecture de cookies
statistiques ne peut pas se fonder sur l’intérêt légitime du propriétaire du site
Internet ou de l’application8.
7
CJUE, 1er octobre 2019, Planet49, C-673/17, ECLI :EU :C :2019 :801, § 61 et 62.
8
V. les « Questions » dans le dossier thématique « cookies » du site web de l’APD,
https://www.autoritéprotectiondonnees.be/professionnel/themes/cookies.
Décision quant au fond 103/2022 - 6/76
o Dans sa décision quant au fond 12/2019 du 17 décembre 2019 9, la Chambre
Contentieuse estime que les cookies statistiques de « première partie » ne relèvent
pas de l’exception des « cookies strictement nécessaires » de l’article 5.3, alinéa 2
de la directive ePrivacy, exception qui pourrait reposer sur le fondement juridique
de l’ « intérêt légitime » du RGPD dans la mesure où la directive ePrivacy précise et
complète le RGPD sur ce point10. La Chambre Contentieuse n’exclut pas que dans
certaines conditions, certains cookies statistiques soient bel et bien nécessaires
pour fournir un service (par exemple informatif) demandé par la personne
concernée, pour détecter par exemple des problèmes de navigation. Il n’en est
toutefois pas question en l’espèce.
▪ « Constatation 4 » : « cases pré-cochées pour les types de cookies non
strictement nécessaires pour les partenaires » (4.11, 6.1.a et 7.1 du RGPD)
o Dès lors que le RGPD requiert une « déclaration ou un acte positif clair » (article 4.11),
tous les consentements présumés fondés sur une forme d’action plus implicite de
la part de la personne concernée (par ex. une case cochée par défaut), ne seront pas
conformes aux normes de consentement RGPD11.
o Suivant la Cour de Justice de l’Union européenne12, l’article 2.f) (définition du
consentement) et l’article 5.313 (consentement aux cookies) de la directive
ePrivacy, lus conjointement avec l’article 4.11 et l’article 6.1.a du RGPD doivent être
interprétés en ce sens que le consentement visé à ces dispositions n’est pas
valablement donné lorsque le stockage d’informations ou l’accès à des
informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site
Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée
par défaut que cet utilisateur doit décocher pour refuser de donner son
consentement.
o Il ressort des analyses techniques que l’écran de paramétrage des cookies prévoit
l’activation par défaut des différents types de cookies non strictement nécessaires.
De même, l’écran de sélection des partenaires est par défaut en mode « Autoriser »
pour les quelques 500 partenaires listés.
9
Disponible via la page web https://www.autoriteprotectiondonnees.be/professionnel/publications/decisions.
10
V. l’analyse de la Chambre Contentieuse quant à la compétence de l’APD en matière de cookies dans sa décision quant au
fond 12/2019 du 17 décembre 2019, pp. 17-20, disponible sur la page web https://www.autoriteprotection
donnees.be/professionnel/publications/decisions.
11
V. les « Lignes directrices sur le consentement au sens du règlement 2016/679 » du Groupe de travail sur la protection des
données, p. 36, https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051, et les « Lignes directrices
05/2020 sur le consentement au sens du règlement (UE) 2016/679 » de l’EDPB, point 166,
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_fr.pdf.
12
CJEU, 1er octobre 2019, Planet49, C-673/17, ECLI :EU :C :2019 :801.
13
Disposition transposée en droit belge à l’article 129 de la loi relative aux communications électroniques du 13 juin 2005,
M.B. 20.06.2005.
Décision quant au fond 103/2022 - 7/76
o Par cette pratique, le Service d’Inspection constate par ailleurs que le responsable
du traitement se met également en porte-à-faux avec l’obligation de l’article 7.1 du
RGPD qui lui impose de démontrer que la personne concernée a donné son
consentement au placement de cookies non strictement nécessaires.
▪ « Constatation 5 » : « politique relative aux cookies déficiente et
informations en anglais » (article 4.11, 12.1, 13 et 14 du RGPD)
o L’article 12.1 du RGPD dispose que le responsable du traitement doit prendre des
mesures appropriées pour fournir à la personne concernée toute information visée
aux articles 13 et 14 du RGPD d’une façon concise, transparente, compréhensible
et aisément accessible, en des termes clairs et simples. Parmi les informations à
fournir, le responsable du traitement doit notamment communiquer les catégories
de données à caractère personnel traitées et les éventuels destinataires ou
catégories de destinataires des données à caractère personnel.
o On constate que la bannière et les différents écrans relatifs aux cookies sur les sites
de Sudinfo et du Soir sont en anglais, ce qui ne facilite pas la compréhension
s’agissant de médias francophones.
o S’agissant des catégories de données à caractère personnel traitées, il est difficile
de concilier les informations figurant dans la politique relative aux cookies et dans
l’écran de paramétrage des cookies – l’outil de paramétrage des cookies n’étant
d’ailleurs même pas évoqué dans la politique relative aux cookies. Les cookies de
réseaux sociaux ne sont pas repris dans l’écran de paramétrage des cookies. On
constate également que les cookies publicitaires qui constituent un type de
cookies suivant la politique relative aux cookies font l’objet de pas moins de quatre
choix dans l’écran de paramétrage des cookies selon une gradation dans le degré
accepté de profilage publicitaire. Les cookies ne sont pas documentés
individuellement empêchant l’utilisateur de pouvoir contrôler ce qui est fait de ses
données.
o S’agissant des destinataires, le Service d’Inspection constate que seuls 13
partenaires utilisant des cookies comportementaux sont cités dans la politique
relative aux cookies. Or, l’écran de sélection des partenaires qui est accessible
uniquement via la bannière volatile relative aux cookies référence quelques 500
partenaires de ce type.
o S’agissant de la durée de conservation, la politique relative aux cookies se contente
de donner une définition des cookies de session et des cookies permanents sans
Décision quant au fond 103/2022 - 8/76
fournir d’information concrète sur les durées de conservation des cookies placés
en visitant les sites concernés.
o L’information fournie ne répond dès lors pas aux exigences des articles 12.1, 13 et
14 du RGPD. Par conséquent, la personne concernée n’est pas en mesure de donner
un consentement réellement éclairé au sens de l’article 4.11 du RGPD.
▪ « Constatation 6 » : « retrait du consentement non respecté » (atteinte à
l’article 7.3 du RGPD)
o L’article 7.3 du RGPD dispose que la personne concernée a le droit de retirer son
consentement à tout moment.
o Les analyses techniques montrent que le retrait du consentement n’est pas
effectif. De nombreux cookies sont encore présents dont des cookies tiers de type
comportemental et social, et cela n’empêche pas non plus l’ajout de nouveaux
cookies.
6. En complément du rapport d’Inspection synthétisé ci-dessus, 3 rapports techniques sont
fournis par le Service d’Inspection comme pièces séparées se rapportant aux sites
« lesoir.be »; « sudinfo.be » et « sudpressedigital.be », ainsi que trois formulaires de
« traçabilité de la chaîne de traitement » listant chacun plus de 100 pièces (noms de
fichiers) recueillies par le Service d’Inspection et produites aux dossiers14. La Chambre
Contentieuse reflète ci-dessous les constats opérés sur le site « lesoir.be », et se réfère
aux pièces pour ce qui concerne les constats effectués sur les sites « sudinfo.be » et
« sudpressedigital.be », lesquels constats sont similaires.
▪ Premier constat technique : « nombre de cookies placés avant le recueil du
consentement de la personne concernée » :
o Le Service d’Inspection constate le chargement de 104 cookies avant que la
personne concernée n’ait donné son consentement, avec plus de 76% des cookies
provenant de parties tierces .
o Le rapport technique fournit ensuite la liste des cookies repérés et indique le nom
des deux seuls cookies considérés comme strictement nécessaire qui ont été
repérés sur le siste « lesoir.be ». Il s’agit de « dc_gtm_UA-49487766-1 »
et « Euconsent » (cookie utilisé par IAB Europe Transparency & Consent
14
Pièces 6-7-8-9-10-11 du dossier de l’APD.
Décision quant au fond 103/2022 - 9/76
Framework pour stocker le consentement de l’utilisateur)15. Le fait que le
consentement est sollicité après le placement de cookies et la manière de collecter
ce consentement, et le fait que ce consentement n’influe pas sur le nombre de
cookies placés sur le site est illustré par les print-screens ci-dessous extraits du
rapport technique « lesoir.be ».
15
Sur la qualification du cookie « euconsent », voir la Décision sur le fond 21/2022 du 2 février 2022 de la Chambre
Contentieuse, § 409-423, d’où il ressort que la Chambre Contentieuse ne considère pas qu’un tel cookie, tel que mis en
œuvre par IAB Europe, était strictement nécessaire ou justifié par un intérêt légitime au sens de l’article 6.1.f du RGPD,
compte tenu des circonstances particulières du cas spécifique examiné dans le cadre de cette décision.
Décision quant au fond 103/2022 - 10/76
Décision quant au fond 103/2022 - 11/76
▪ Second constat technique : « détermination des cookies strictement
nécessaires parmi ceux placés avant recueil du consentement et
pourcentage des cookies non documentés »
▪ Troisième constat technique : « techniques utilisées pour la demande de
consentement»
« Ce constat montre que la technique du « further browsing » est utilisée et que
les Consent Management Platforms ne donnent pas satisfaction. La bannière
volatile fait partie intégrante de la technique du « further browsing » et disparait
en général dès que la navigation est entamée. Les Consent management
platforms ne donnent pas satisfaction […] . Cela se voit par le nombre de
partenaires à qui les autorisations y sont données par défaut […] »16 En
complément du rapport technique, le rapport juridique du Service d’Inspection
décrit comme suit le mécanisme de déploiement de la technique de « further
browsing » :
16
Rapport d’analyse technique relatif au site « Lesoir.be », p. 18.
Décision quant au fond 103/2022 - 12/76
Décision quant au fond 103/2022 - 13/76
Décision quant au fond 103/2022 - 14/76
Décision quant au fond 103/2022 - 15/76
Décision quant au fond 103/2022 - 16/76
Décision quant au fond 103/2022 - 17/76
▪ Quatrième constat technique: « la clarté des politiques de cookies »
o Extraits du rapport relatif au site « lesoir.be » :
« Nous analysons à présent un autre élément essentiel qui permet une information
transparente et claire au profit des personnes concernées. Ce sont les politiques
d’utilisation et de gestion des cookies. Pour évaluer cet élément on se basera sur la
facilité d’accès à l’information, la structure de l’information et la justesse de
l’information. Pour évaluer la facilité d’accès, l’on considère l’écart entre l’idéal, à
savoir la présentation de la politique de cookies à l’entrée sur le site, et la situation
réelle pour y accéder. Pour ce qui est de la clarté, le fait que la structure soit claire,
logique et organisée, permettra à la personne concernée d’avoir la possibilité de
localiser facilement l’information dont il a besoin pour lui permettre de déterminer
en connaissance de cause s’il permet ou non l’utilisation de telle ou telle autre
donnée. En ce qui concerne la justesse des informations, une analyse du contenu
des informations est réalisée, sur base de nos connaissances techniques du
domaine. »
Décision quant au fond 103/2022 - 18/76
o Le Service d’Inspection fournit ensuite les explications suivantes en ce qui
concerne la transparence de l’information fournie en ce qui concerne la clarté
(structure) et l’accessibilité de la politique de cookies:
Décision quant au fond 103/2022 - 19/76
« […] On retourne à la page d’accueil avec la bannière d’avertissement sur
l’utilisation des cookies qui a disparu et en faisant dérouler la page jusqu’à la fin,
on obtient en bas de page le lien « Politique de cookies ». Par rapport au contenu,
tout d’abord la structure, elle est considérée comme acceptable. Par contre le
contenu laisse à désirer. » « La politique n’étant pas reprise dans un fichier, on
trouve ci-après la copie du contenu en français. Une version dans les 3 langues
nationales est donc disponible ainsi qu’une version anglaise.
Information quant à la finalité des cookies :
À la lecture de la politique, on apprend que de façon globale, les cookies sont
utilisés soit :
À des fins de fonctionnement,
À des fins d’analyses comportementales,
À des fins de partages sur les réseaux sociaux.
Il est à remarquer que la description de ces finalités sont sommaires et qu’en
réalité un groupement non justifié et non justifiable est fait.
En effet, sous le vocable fonctionnement, sont ici visés :
Les cookies nécessaires à une connexion aisée
Les cookies nécessaires à une connexion sécurisée
Les cookies d’analyse d’audience
Les cookies d’analyse de performance
Les cookies d’analyse comportementale pour amélioration de l’expérience de
l’utilisateur.
Ces cookies sont considérés comme strictement essentiel par le groupe Rossel,
et donc ne peuvent pas être désactivés et ne nécessite donc pas le
consentement de l’utilisateur. Sous le vocable d’analyses comportementales,
sont ici visés :
Les cookies publicitaires à caractère personnel (ciblage)
Les cookies d’analyse comportementale pour amélioration de l’expérience de
l’utilisateur.
On constate que les cookies d’analyse comportementale pour amélioration de
l’expérience de l’utilisateur se retrouvent et dans les cookies d’analyse
comportementales mais aussi dans les cookies de fonctionnement, ce qui n’est
pas du plus clair.
Un autre point qui ne contribue pas du tout à la clarté du contenu de cette
politique des cookies est le fait de mettre les liens vers les politiques de cookies
Décision quant au fond 103/2022 - 20/76
partenaires. Si je suis le lien du premier d’entre eux, Outbrain, je me trouve sur
face à l’écran suivant :
Ou plutôt que d’avoir la politique de cookies de outbrain, la personne concernée
se retrouve avec de nouveau cookies placés sans avoir donné son accord, où elle
doit aller donner ou pas son consentement pour l’utilisation de cookies pour sa
navigation sur le site d’Outbrain qui elle aussi va la rediriger vers les politiques de
cookies de ses partenaires et ainsi de suite, une réelle histoire sans fin.
Ce mécanisme est tout simplement contraire à la protection des données à
caractère personnel de la personne concernée.
La politique présente 13 partenaires alors que si l’on déroule l’outil CMP de
DIDOMI, on se rend compte qu’il y est fait référence à environ 500 sociétés
partenaires qui sont sélectionnées par défaut.
Via le CMP, il est également possible d’accéder aux politiques de cookies de
chaque partenaire (506) individuellement, rendant la liste des 13 partenaires
totalement incomplète, inutile et trompeuse.
Ci-après est présentée la liste des partenaires sélectionnés par défaut avec les
partenaires repris dans la politique (encadré rouge avec la flèche). »
Décision quant au fond 103/2022 - 21/76
« Le Service d’Inspection fournit ensuite une liste de partenaires sélectionnés
par défaut, dont certains sont entourés en rouge (Twitter, Teads, Sharethrough,
Outbrain UK, Ligatus GmbH, Facebook, Digiteka Technologie, Dailymotion,
AppNexus, ) »
« Le dernier point constaté est le fait que les cookies et leurs finalités réelles et
précises, pas globales, ne sont pas documentées. Le choix est à faire sur les
finalités génériques et les sociétés partenaires et pas les cookies. La seule façon
acceptable de faire est de citer nommément chaque cookies et d’expliquer sa ou
ses réelles finalités. » « Le Service d’Inspection fournit une copie de la Police
« cookie » en vigueur à la date du constat. »
o Le rapport juridique du Service d’Inspection précise à cet égard qu’il ne
« s’attarde pas » à « l’accessibilité de la politique des cookies » qui est amplement
décrite dans le rapport technique17.
17
Rapport juridique du Service d’Inspection, pièce 13 du dossier administratif, p. 4.
Décision quant au fond 103/2022 - 22/76
▪ Cinquième constat technique : « accès aux services de base si refus du
consentement »
▪ Sixième constat technique : « résultat de la possibilité de modifier son
consentement une fois celui-ci donné, et de façon aussi simple que le
mécanisme utilisé pour le donner »
Décision quant au fond 103/2022 - 23/76
▪ Septième constat technique : « utilisation de biais cognitifs dans la
présentation non neutre des choix ».
- « Le dernier contrôle qui tend à démontrer la loyauté de l’éditeur sera
l’utilisation de biais cognitifs dans la présentation non neutre des choix que
la personne concernée doit faire pour marquer son consentement […].18 »
- Les constats repris dans les rapports d’analyse technique relatifs au site
Sudinfo19, et dans le rapport d’analyse technique du site
www.sudpressedigital.be20 sont similaires et tout autant étoffés.
o Le rapport d’Inspection précise que
- « contrairement aux rapports d’analyse techniques (pièces 6, 7 et 8), » le
rapport d’enquête « n’aborde pas la problématique des biais cognitifs
destinés à inciter l’utilisateur à autoriser inconsciemment les cookies »
- le rapport d’Inspection « ne s’intéresse pas non plus au choix et à
l’information proposés à la personne concernée pour chaque cookie
mais bien pour chaque type de cookies en fonction des finalités
poursuivies » et
- le rapport d’Inspection « ne s’attarde pas davantage à l’accessibilité de
la politique des cookies, de l’outil de recueil du consentement et de la
visualisation des vidéos pour un utilisateur qui aurait empêché tous
dépôts de cookies et l’affichage de bannières et de fenêtre
contextuelles au moyen de la configuration des navigateurs » car « des
cookies peuvent être strictement nécessaires pour fournir ces
fonctionnalités et ne pas nécessiter le consentement préalable de
l’utilisateur ».
7. Le 18 novembre 2020, la Chambre Contentieuse adresse une demande de rapport
complémentaire au Service d’Inspection au sujet des pièces 9, 10 et 11 qui contiennent la
liste de l’ensemble des fichiers de pièces recueillies par le Service d’Inspection à la base
de ses différents constats et captures d’écran. La demande de la Chambre Contentieuse
est formulée comme suit :
18
Article 25 du RGPD.
19
Pièce 7 du dossier administratif de l’APD.
20
Pièce 8 du dossier administratif de l’APD.
Décision quant au fond 103/2022 - 24/76
8. Le 20 novembre 2020, le Service d’Inspection adresse son rapport complémentaire à la
Chambre Contentieuse. Ce rapport comprend une explication quant à la méthodologie
du document « formulaire de traçabilité » et un descriptif du formulaire de traçabilité.
9. La Chambre Contentieuse reproduit ci-après
(1) le début du rapport relatif à la méthodologie du document « formulaire de
traçabilité » :
10. Le Service d’Inspection précise que ce document concerne le processus de préservation
de la chaîne de contrôle, et vise à s’assurer que la chaîne de possession de la preuve soit
préservée, et que c’est dans cette optique que 3 « Formulaires de traçabilité de la chaîne
de traitement » ont été établis.
Décision quant au fond 103/2022 - 25/76
(2) Un extrait du rapport complémentaire du Service d’Inspection :
11. Ultérieurement, dans le cadre de la note déposée en amont de son intervention à
l’audition sur pied de l’article 48 du Règlement d’Ordre Intérieur, le Service d’Inspection
y précise que « Le devoir d’enquête complémentaire sollicité par la Chambre
contentieuse avait pour objectif de comprendre à quoi les formulaires de traçabilité de la
chaine de traitement des sites web servent. Cela n’a pas d’influence sur les constats
techniques dès lors que ces formulaires servent essentiellement à garantir que les
fichiers probants utilisés pour les constats demeurent intègres. ».
12. La Chambre Contentieuse décide le 23 décembre 2020, en vertu de l’article 95, § 1er, 1°
et de l’article 98 de la LCA, que le dossier peut être traité sur le fond.
13. Le 22 décembre, la partie défenderesse est informée par courrier recommandé des
dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elle est
également informée, en vertu de l'article 99 de la LCA, des délais pour transmettre ses
conclusions.
14. La date limite pour la réception des conclusions en réponse de la défenderesse est fixée
au 9 février 2021.
15. Le 14 janvier 2021, la défenderesse accepte le principe d’une communication ultérieure
par courrier électronique et demande une copie du dossier (art. 95, §2, 3° LCA), laquelle
lui est transmise le 19 janvier 2021. Le plaignant manifeste à la même date son intention
de recourir à la possibilité d’être entendu, conformément à l’article 98 de la LCA.
Décision quant au fond 103/2022 - 26/76
16. Le 21 janvier, la défenderesse demande un délai supplémentaire de deux mois pour
remettre ses conclusions.
17. Le 26 janvier 2021, la Chambre Contentieuse accorde un délai d’un mois
complémentaire, portant le délai de conclusion au 29 février 2021.
18. Le 23 février, la Chambre Contentieuse reçoit les conclusions de la défenderesse.
19. Le 20 janvier 2022, la défenderesse est informée du fait que l'audition aura lieu le 24
février 2022. L’audition doit ensuite être reportée pour des motifs d’organisation interne
de l’APD.
20. Le 23 février 2022, la Chambre contentieuse notifie une nouvelle date d’audience à la
défenderesse, à savoir le 31 mars 2022. Le 8 mars, la Chambre contentieuse informe la
défenderesse du fait qu’elle a invité le Service d’Inspection à être présent à l’audition,
qu’une copie des conclusions de la défenderesse a été adressée à ce Service avec
invitation à y répondre avant le 15 mars suivant.
21. Le 14 mars 2022, la Chambre Contentieuse reçoit la note complémentaire du Service
d’Inspection, et la transmet le 16 mars 2022 à la défenderesse.
22. Le 31 mars 2022, la défenderesse est entendue par la Chambre Contentieuse.
23. Le 13 mai 2022, le procès-verbal de l’audition est soumis aux parties pour commentaire
dans un délai d’une semaine après réception du document.
24. A la date du 27 mai 2022, la Chambre Contentieuse a reçu les commentaires de la
défenderesse, qu’elle a annexés au PV.
II. Motivation
II.1. Sur la compétence de l’APD en matière de cookies
25. En application de l’article 4 § 1er LCA, l'APD est responsable du contrôle du respect des
principes fondamentaux de la protection des données, tels qu’affirmés par le RGPD et
d’autres lois contenant des dispositions relatives à la protection du traitement des
données à caractère personnel.
26. En application de l’article 33 § 1er LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est, entre autres, saisie des plaintes qui lui sont
transmises via le système IMI, sur base de l’article 56 du RGPD.
27. En application des articles 51 et s. du RGPD et de l’article 4.1 LCA, il revient à la Chambre
Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer un
contrôle effectif de l‘application du RGPD, protéger les libertés et droits
Décision quant au fond 103/2022 - 27/76
fondamentaux des personnes physiques à l'égard du traitement et faciliter le libre flux
des données à caractère personnel au sein de l'Union.
28. En l’occurrence, en ce qui concerne la législation applicable et la compétence de l’APD en
matière de cookies, la Chambre Contentieuse se réfère aux explications fournies dans
ses décisions ci-après : décision nr. 11/2022 du 21 janvier 2022 ; décision nr. 12/2019 du
17 décembre 2019, décision nr. 24/2021 du 19 février 2021, décision nr. 19/2021 du 12
février 2021, et en particulier la décision nr. 11/2022 du 21 janvier 2022.
29. A titre pédagogique, la Chambre Contentieuse précise qu’elle est compétente pour
statuer dans des affaires concernant le traitement de données à caractère personnel, en
vertu de l'article 4, § 1 de la LCA , de l'article 55 du RGPD et dans le respect de l'article 8
de la Charte des droits fondamentaux de l’Union européenne.
30. Par ailleurs, en vertu du droit belge, l’Institut belge des services postaux et des
télécommunications (IBPT) était le contrôleur désigné pour la Loi sur les
Communications Electroniques (LCE ci-après), y compris pour l'article 129 de la LCE qui
exécute l'article 5.3 de la Directive 2002/581 (ci-après, la "Directive e-privacy"),
conformément à l'article 14, § 1 de la loi du 17/01/2003 relative au statut du régulateur
des secteurs des postes et des télécommunications belges.
31. En outre, le prédécesseur en droit de l'EDPB (le groupe de travail article 29 sur la
protection des données, ci-après : Groupe 29) a également précisé que les exigences du
RGPD pour l'obtention d'un consentement valables'appliquent aux situations qui
relèvent du champ d'application de la Directive e-Privacy21.
32. Dans l'arrêt « Planet49 », la Cour de Justice de l'Union Européenne a notamment
confirmé que la collecte de données par le biais de cookies pouvait être qualifiée de
traitement de données à caractère personnel22. Dès lors, la Cour a interprété l'article 5.3
de la Directive Vie privée et communications électroniques à l'aide du RGPD 23, plus
particulièrement sur la base de l'article 4.11, de l'article 6.1.a du RGPD (exigence de
consentement) et de l'article 13 du RGPD (informations à fournir).
33. Dans son avis 5/2019 relatif à l'interaction entre la Directive ePrivacy et le RGPD24 , le
Comité européen de la protection des données (ci-après "EDPB") a confirmé que les
autorités de protection des données sont compétentes pour appliquer le RGPD aux
traitements de données, également dans le contexte où d'autres autorités seraient
21
Groupe de travail sur la protection des données article 29, Lignes directrices sur le consentement au sens du règlement
2016/679, WP259, p. 4.
22
CJEU, 1er octobre 2019, Planet49, C-673/17, ECLI :EU :C :2019 :801, § 45.
23
Ainsi qu’à l’aide de la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
24
EDPB, Avis 5/2019 relatif aux interactions entre la directive Vie privée et communications électroniques et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, § 69.
Décision quant au fond 103/2022 - 28/76
compétentes, en vertu de la transposition nationale de la Directive e-Privacy, et ce, pour
contrôler « certains éléments du traitement de données à caractère personnel ».
34. Comme indiqué supra, la compétence de l'IBPT de surveiller certains éléments du
traitement – comme le placement de cookies sur les équipements terminaux de
l'internaute – ne porte pas préjudice à la compétence générale de l'APD. Comme précisé
par l’EDPB, les autorités de protection de données restent compétentes pour des
traitements (ou éléments de traitement) pour lesquelles la Directive e-Privacy ne prévoit
pas de règles spécifiques 25. Il y a bien une complémentarité des compétences entre
l’IBPT et l’APD dans le cas d’espèce, dans la mesure où sur base de l’article 4 de la LCA,
l'APD est responsable du contrôle du respect des principes fondamentaux de la
protection des données (tels qu’affirmés par le RGPD et dans les autres lois contenant
des dispositions relatives à la protection des données à caractère personnel), et que le
consentement constitue bien un principe fondamental en ce domaine.
35. Par ailleurs, l’avis 5/2019 relatif à l'interaction entre la Directive e-Privacy26 et le RGPD
susmentionné de l’EDPB indique aussi que le droit procédural national détermine ce qui
doit se passer lorsqu’une personne concernée dépose une plainte auprès de l’autorité de
protection des données concernant un traitement de données personnelles (comme par
exemple la collecte de données au moyen de cookies), sans se plaindre également de
violations (potentielles) du RGPD. Ceci correspond bien au présent cas.
36. Il ressort également de l’avis ePrivacy 5/2019 de l’EDPB que la Directive e-Privacy vise à
«préciser et compléter» les dispositions du RGPD en ce qui concerne le traitement de
données à caractère personnel dans le secteur des communications électroniques, et ce
faisant à garantir le respect des articles 7 et 8 de la Charte des droits fondamentaux de
l’UE.
37. La Chambre Contentieuse relève, à cet égard, que l’article 8.3 de la Charte prévoit que le
traitement des données à caractère personnel est soumis au contrôle d’une autorité
indépendante, chargée de la protection des données.
38. A cet égard, le Tribunal de Première Instance de Bruxelles a clairement indiqué que le
prédécesseur en droit de l'APD était compétent pour soumettre une réquisition à un
tribunal "dans la mesure où elle concerne des violations présumées de la loi vie privée du
8 décembre 1992, à laquelle l'article 129 de la LCE, qui la précise et la complète, se réfère
25
EDPB, Avis 5/2019 relatif aux interactions entre la directive Vie privée et communications électroniques et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, § 69.
26
EDPB, Avis 5/2019 relatif aux interactions entre la directive Vie privée et communications électroniques et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données,
12/03/2019,
§ 70.
Décision quant au fond 103/2022 - 29/76
d'ailleurs expressément"27. Comme indiqué infra, l’article 129 LCE est l’implémentation
en droit belge de l’article 5.3 de la directive vie privée.
39. L'APD est ainsi compétente pour vérifier si l'exigence du principe fondamental que
constitue le consentement autour du cookie contesté est ou non conforme aux
conditions de consentement du RGPD.
40. L'APD est aussi compétente pour vérifier le respect de toutes les autres conditions
rendues obligatoires par le RGPD – comme la transparence du traitement (article 12 du
RGPD) ou les informations à communiquer (article 13 du RGPD).
41. Comme confirmé par la Cour de Justice dans l’arrêt Facebook e.a., seul l’enregistrement
et la lecture de données à caractère personnel au moyen de cookies relève du champ
d’application de la directive 2002/58/CE, tandis que « toutes les opérations antérieures
et les activités ultérieures de traitement de ces données à caractère personnel au moyen
d’autres technologies relèvent bien du champ d’application du [RGPD] »28.
42. L’APD a entretemps vu ses compétences en matière de contrôle du placement de
« cookies » confirmées à travers la loi du 21 décembre 2021 transposant le Code
européen des communications électroniques29. A l’heure où les constats de la présente
enquête ont été réalisés, la compétence de l’APD en ce qui concerne le placement de
« cookies » impliquant des données à caractère personnel n’était pas encore ancrée en
droit belge.
43. Sans aucune contestation possible, l’APD est compétente pour le contrôle des
traitements de données effectués à partir de données personnelles collectées par voie
de cookies, comme par exemple les transferts de telles données vers des pays tiers. Il y
a lieu de distinguer le cadre légal et les règles de compétences pour le placement des
cookies sur un équipement terminal, comme exposé ci-dessus, d’une part, et le cadre
légal applicable au traitement des données collectées par cookies, à savoir, le RGPD et le
cadre légal national relatif aux traitements de données, comme il ressort de l’arrêt de la
Cour de Justice « Fashion ID ».30
27
Tribunal Bruxelles, 24e chambre affaires civiles, 16 février 2018, n° de rôle 2016/153/A, point 26, p. 51, disponible à
l'adresse :
https://www.autoriteprotectiondonnees.be/news/lautorite-de-protection-des-donnees-defend-son-argumentation-
devant-
lacour- dappel-de-bruxelles.
28
CJUE, 15 juin 2021, C-645/19, ECLI:EU:C:2021:483, § 74.
29
Articles 10/2 de la loi du 21 décembre 2021 portant transposition du code des communications électroniques européen
et modification de diverses dispositions en matière de communications électroniques, MB. 31 décembre 2021.
30
CJUE, 29 juillet 2019, C-40/17, ECLI:EU:C:2019:629, § 87 et suivants.
Décision quant au fond 103/2022 - 30/76
II.2. Rappel des principe de base et législation applicable concernant l’utilisation des outils
de traçage et cookies
44. Avant d’examiner les manquements correspondants relevés par le rapport du SI, la
Chambre Contentieuse estime utile, à titre pédagogique, de procéder à une courte
introduction en matière de cookies et de rappeler les principes légaux de base
concernant les outils de traçage des internautes, dont font partie les cookies. 31
45. Le terme de traceurs englobe les cookies et des variables HTTP, qui peuvent notamment
transiter par des pixels invisibles ou des « web beacon », les cookies « flash », les accès
aux informations du terminal depuis des API (LocalStorage, IndexedDB, identifiants
publicitaires tels que l’IDFA ou l’Android ID, l’accès au GPS, etc.), ou tout autre identifiant
généré par un logiciel ou un système d'exploitation (numéro de série, adresse MAC,
identifiant unique de terminal (IDFV), ou tout ensemble de données qui servent à calculer
une empreinte unique du terminal (par exemple via fingerprinting).
46. Ces cookies et autres traceurs peuvent être distingués selon différents critères, comme
la finalité qu’ils poursuivent, le domaine qui les place ou encore leur durée de vie. Les
cookies peuvent ainsi être utilisés pour de nombreuses finalités différentes (entre autres,
pour soutenir la communication sur le réseau - « cookie de connexion » -, pour mesurer
l’audience d’un site internet - « cookies de mesure d’audience, analytiques ou cookies
statistiques »-, à des fins de marketing et/ou de publicités comportementales, à des fins
d’authentification...).
47. On peut également distinguer les cookies selon le domaine qui les place, ils sont ainsi «
de première partie » ou « tiers ». Les cookies « de première partie » sont placés
directement par le propriétaire du site web visité, à l’inverse des « cookies tiers », mis en
place par un domaine différent de celui visité (par exemple lorsque le site incorpore des
éléments d’autres sites comme des images, des plug ins de médias sociaux -le bouton «
J’aime » de Facebook par exemple- ou des publicités). Lorsque ces éléments sont extraits
par le navigateur ou par un autre logiciel au départ d’autres sites, ceux-ci peuvent
également placer des cookies qui pourront, ensuite, être lus par les sites qui les ont
placés. Ces «cookies tiers» permettent, à ces tiers, de suivre le comportement des
internautes dans le temps et au travers de nombreux sites et de créer, à partir de ces
données, des profils des internautes.
48. On peut aussi distinguer les cookies selon leur durée de validité, selon qu’il s’agit de
cookies « de session » ou de cookies « persistants ». Les « cookies de session » sont
effacés automatiquement à la fermeture du navigateur tandis que les « cookies
31
La Chambre Contentieuse reproduit dans cette partie les explications prodiguées dans sa décision 85/2022 du 25 mai
2022.
Décision quant au fond 103/2022 - 31/76
persistants » restent stockés sur l’appareil utilisé jusqu’à leur date d’expiration (qui peut
être exprimée en minutes, en jours ou en années).
49. D’un point de vue légal, il convient de distinguer les traceurs devant faire l’objet d’un
consentement par l’utilisateur, de ceux ne devant pas en faire l’objet.
50. Les traceurs ne devant pas faire l’objet d’un consentement sont ceux strictement
nécessaires à la fourniture d'un service de communication en ligne expressément
demandé par l'utilisateur, ou les traceurs qui visent à permettre la transmission de la
communication par voie électronique. Ces traceurs ne nécessitent pas de consentement
des utilisateurs. Le traitement de données à caractère personnel par ces derniers
traceurs se base en règle générale sur l’intérêt légitime du responsable de traitement
(article 6.1.f) du RGPD).
51. Parmi les cookies ne devant pas faire l’objet d’un consentement avant leur placement sur
l’équipement de l’utilisateur, on retrouve ceux conservant le choix exprimé par les
utilisateurs sur le dépôt de traceurs, ceux destinés à l’authentification auprès d’un
service, ceux permettant de conserver le contenu d’un panier d’achat, ou encore ceux
personnalisant l'interface utilisateur (par exemple, pour le choix de la langue ou la
présentation d’un service), lorsqu’une telle personnalisation constitue un élément
intrinsèque et attendu du service.
52. Le placement des autres traceurs et cookies doivent faire l’objet d’un consentement
préalable. Le traitement sur base de l’intérêt légitime est par ailleurs proscrit pour ces
cookies. Tous les cookies n’ayant pas pour finalité exclusive de permettre ou faciliter une
communication par voie électronique ou n’étant pas strictement nécessaires à la
fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur,
nécessitent donc un consentement préalable. Ceux-ci peuvent par exemple être liés à
l’affichage de la publicité personnalisée ou non personnalisée (dès lors que des traceurs
sont utilisés pour mesurer l’audience de la publicité affichée dans ce dernier cas). Ce type
de cookie peut également être lié à des fonctionnalités de partage sur les réseaux
sociaux. En l'absence de consentement (dans l’hypothèse donc d’un refus de l'utilisateur),
ces traceurs ne peuvent être déposés et/ou lus sur son terminal.
53. En ce qui concerne plus précisément les règles de droit applicables au placement de
cookies sur l’équipement terminal d’un sujet de droit, l’article 6.1 du RGPD doit être lu en
combinaison avec l’article 129 de la Loi du 13 juin 2005 relative aux Communications
électroniques (ci-après LCE32) applicable au moment des faits et qui constitue une
32
Loi du 13 juin 2005 relative aux communications électroniques, M.B. 20.06.2005.
Décision quant au fond 103/2022 - 32/76
précision et spécification de l’article 6 du RGPD.33 L’article 6.1 du RGPD prévoit qu’un
traitement de données n’est licite que si et dans la mesure où il est basé sur une des bases
de licéité du traitement prévues à cet article. L’article 129 de la LCE prévoit que le
consentement de la personne concernée est nécessaire pour le placement et/ou la
lecture de cookies, sauf lorsque ces cookies sont strictement nécessaires pour assurer
l'envoi d'une communication via un réseau de communications électroniques ou fournir
un service de la société de l'information requis expressément par l'abonné34.
54. Dans son arrêt “Planet49”, la Cour de Justice a jugé que le terme “consentement” repris
à l’article 5.3 de la Directive ePrivacy 2002/58 (transposé en droit belge via l’article 129
LEC) doit être compris comme le « consentement de la personne concernée » tel que
défini à la Directive 95/46 (prédécesseur en droit du RGPD).35
55. La Chambre Contentieuse apporte ci-dessous des précisions quant aux règles
applicables aux cookies de finalité « analytique », également dénommés cookies
« statistiques », lorsque les constatations du Service d’Inspection font appel à ces
notions.
II.3. Le IAB “Transparency and Consent Framework” (“IAB TCF”)
56. La Chambre Contentieuse se réfère aux explications fournies dans sa décision sur le fond
21/2022 du 2 février 2022 :
« IAB Europe est une fédération qui représente le secteur de la publicité et du
marketing numériques au niveau européen. Elle comprend des entreprises
membres ainsi que des associations nationales, avec leurs propres entreprises
membres. Indirectement, IAB Europe représente environ 5.000 entreprises, dont
des grandes entreprises et des membres nationaux14 »
33
Voir Projet de loi concernant les communications électroniques, Doc. Parl. Chambre, DOC 51 1425/001, p. 73. Le présent
article 129 est repris à l’article 138 du projet de loi; voir également l’avis 5/2019 de l’EDPB sur les interactions entre la
Directive ePrivacy et le Règlement général de protection des données, notamment, en ce qui concerne les tâches et
compétences des autorités de protection des données, 12 mars 2019, nr. 38.
34
L’article 129 LCE dispose comme suit: « L'utilisation de réseaux de communications électroniques pour le stockage des
informations ou pour accéder aux informations stockées dans les équipements terminaux d'un abonné ou d'un utilisateur
final est autorisée uniquement à condition que :
1° l'abonné ou l'utilisateur final concerné reçoive conformément aux conditions fixées dans la loi du 8 décembre 1992
relative à la protection de la vie privée et à l'égard des traitements de données à caractère personnel, des informations
claires et précises concernant les objectifs du traitement et ses droits sur la base de la loi du 8 décembre 1992;
2° le responsable du traitement donne, préalablement au traitement, de manière clairement lisible et non équivoque, la
possibilité à l'abonné ou à l'utilisateur final concerné de refuser le traitement prévu.
L'alinéa 1er est d'application sans préjudice de l'enregistrement technique des informations ou de l'accès aux informations
stockées dans les équipements terminaux d'un abonné ou d'un utilisateur final ayant pour seul but de réaliser ou de faciliter
l'envoi d'une communication via un réseau de communications électroniques ou de fournir un service de la société de
l'information demandé expressément par l'abonné.
L'absence de refus au sens de l'alinéa 1er ou l'application de l'alinéa 2, n'exempte pas le responsable du traitement des
obligations de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à
caractère personnel qui ne sont pas imposées par le présent article. »
35
CJUE, 1 octobre 2019, Planet 49, C-673/17, ECLI:EU:C:2019:801, § 50.
Décision quant au fond 103/2022 - 33/76
57. IAB Europe décrit le TCF comme suit :
« Dans sa forme actuelle, le TCF est une norme de bonnes pratiques
intersectorielles qui facilite la mise en conformité du secteur de la publicité
numérique avec certaines règles de l'UE en matière de vie privée et de protection
des données et qui vise à apporter aux individus une transparence et un contrôle
accrus sur leurs données à caractère personnel. Plus précisément, il s'agit d'un «
cadre » au sein duquel les entreprises fonctionnent de manière indépendante et qui
les aide à satisfaire à l'obligation de disposer d'une base juridique RGPD pour tout
traitement de données à caractère personnel et à l'obligation d'obtenir le
consentement de l'utilisateur pour le stockage et l'accès aux informations sur un
appareil de l'utilisateur en vertu de la directive vie privée et communications
électroniques »36.
58. Pour le TCF, il existe également des entreprises qui proposent des « plateformes de gestion
du consentement » (ci-après « Consent Management Platforms » ou « CMP »).
Concrètement, une CMP prend la forme d'un pop-up qui apparaît lors de la première
connexion à un site web pour recueillir entre autres le consentement de l'internaute au
placement de cookies et d'autres informations d'identification37.
II.4. Sur la procédure
59. La défenderesse a soulevé objections procédurales dont les principales visent la langue
utilisée dans le rapport d’Inspection, l’absence d’indices sérieux (saisine arbitraire),
l’absence de motivation de la saisine, la méthodologie du Service d’Inspection, les
incertitudes du cadre juridique. Pour ces motifs, la défenderesse réclame la nullité de la
procédure, le non-lieu des griefs soulevés, l’écartement des pièces et rapports du Services
d’Inspection, ainsi que le non-lieu pour absence de base légale, incompétence et excès de
pouvoir dans la mesure où les exigences de la Chambre Contentieuse dépasseraient les
exigences légales en matière de cookie.
➢ Langue utilisée
60. La défenderesse relève que le Service d’Inspection a été saisi sur la base de l’article 63.1 de
la LCA, au moyen d’une décision du Comité de Direction rédigée en néerlandais. La
défenderesse estime que ce document contrevient à l’article 57 de la loi du 3 décembre
2017 selon lequel : « l’Autorité de protection des données emploie la langue dans laquelle la
36
Chambre Contentieuse, Décision sur le fond 21/2022 du 2 février 2022, p. 14.
37
Ibid., p. 15.
Décision quant au fond 103/2022 - 34/76
procédure est menée selon les besoins propres à l’affaire ». La défenderesse invoque en
outre le droit pénal et réclame en l’occurrence une décision bilingue.
61. La Chambre Contentieuse fait remarquer que la défenderesse ne démontre pas en quoi ses
droits de la défense auraient été méconnus par cette décision de saisine rédigée en
néerlandais, dans la mesure où l’APD a interagi avec les sujets de droit en français, et n’a
utilisé le néerlandais que dans le cadre de la préparation de l’enquête visant des sites tant
francophones que néerlandophones. Le néerlandais est par ailleurs une des langues
disponibles sur les trois sites web investigués de la défenderesse. L’article 57 LCA
constitue en effet, selon la compréhension de la Chambre Contentieuse, une lex specialis
par rapport aux lois en vigueur en matière de langue et doit être appliqué de manière souple
en vue de ne pas faire obstacle indûment aux procédures menées par l’APD en vue
d’assurer la protection des données personnelles, tant que les défendeurs ont l’opportunité
de se défendre dans une langue qu’ils sont censés comprendre compte tenu de la langue
dans laquelle ils fournissent leurs produits et services. Le contenu du document de saisine
du Comité de Direction rédigé en néerlandais, se trouvait reflété en français dans le rapport
du Service d’Inspection.
62. La Cour des marchés a déjà jugé dans un contexte similaire qu’il n’y avait pas atteinte aux
droits de la défense pour autant que la partie défenderesse ait eu l’opportunité de se
défendre dans sa langue, ce qui est le cas en l’espèce38. Les communications entre l’APD et
la défenderesse ont eu lieu exclusivement en français par le biais de la Chambre
Contentieuse qui a adressé en français ses invitations à conclure sur le rapport d’Inspection
à la défenderesse.
➢ Indices sérieux et motivation de la saisine
63. La défenderesse se réfère à la décision prise par le Comité de Direction de l’APD,
transférant au Service d’Inspection le dossier « cookieproblematiek van mediawebsites »,
laquelle prévoit que le Service d’Inspection soumettra une proposition d’enquête à
l’Inspecteur général, sur base de laquelle ce dernier pourra décider de lancer ou non une
enquête thématique39. Le Service d’Inspection de l’APD a motivé l’enquête comme suit :
« Pourquoi les sites web des media : beaucoup de visiteurs/des sites web populaires […] »40.
La grande fréquentation des sites web a donc été choisie comme premier indice sérieux de
l'existence d'une pratique susceptible de donner lieu aux principes fondamentaux de la
protection des données à caractère personnel au sens de l’article 63.1 de la LCA (ci-après,
les « indices sérieux » ou « indices sérieux d’atteinte »).
38
Bruxelles (Cour des marchés), 7 juillet 2021, 2021/AR/320, p. 19.
39
Pièce 1 du dossier de l’APD.
40
Pièce 5 du dossier de l’APD.
Décision quant au fond 103/2022 - 35/76
64. Le RGPD confère aux APD des pouvoirs d’enquête (art. 58.1). L’article 63 impose des
indices sérieux de manière très large (vague) et doit être lu de manière souple et
pragmatique à la lumière du RGPD en vue de garantir l’effectivité des missions et pouvoirs
de l’APD, prévus dans le RGPD pour les autorités de contrôle dans les états membres. En
vertu des articles 51.1, 51.2 et 52.1 du RPGD, en effet, les Etats membres sont tenus de
confier à une ou plusieurs autorités publiques indépendantes la surveillance de l’application
du RGPD afin de protéger les libertés et droits fondamentaux des personnes physiques à
l’égard du traitement, et faciliter le libre flux des données à caractère personnel dans
l’Union.
Ces autorités de contrôle doivent exercer leurs pouvoirs dans une perspective de mise en
œuvre effective du droit européen de la protection des données, en ce compris le RGPD.
Assurer l’effet utile du droit européen est un des devoir principaux des autorités des états
membres sous le droit de l’Union européenne 41.
65. De plus, le Comité de Direction, dans sa note au Service d’Inspection 42 se réfère à une
plainte formelle reçue par la Chambre Contentieuse relative à l’utilisation de cookies sur le
site web de la RTBF, et à des rapports d’analyse réalisés par un conseiller en sécurité de
l’information qui « mettent en avant d’autres problèmes notamment le placement de
cookies non essentiels avant le recueil du consentement des internautes, ou encore
l’absence de possibilité (aisée) de paramétrage des cookies ». Le Comité de Direction
précise que « d’autres dossiers ont montré des problèmes relatifs à l’utilisation des cookies
sur d’autres médias belges ». Le Comité de Direction propose de « circonscrire
l’investigation aux médias d’information belges les plus consultés en ligne ». Le Comité de
Direction se réfère par ailleurs aux sites du groupe Mediahuis (Nieuwsblad, Standaard,
Gazet van Antwerpen, Het Belang van Limburg) ne proposent que les titres avec un résumé
si les cookies ne sont pas acceptés, ce qui diffère d’un système de paywall (« système qui
sert à bloquer tout ou partie de l’accès à un site web à l’aide d’un système de paiement »).
Au regard des éléments qui précèdent, le Comité de Direction a donc bien motivé
l’existence d’indices d’atteinte dans sa note à l’attention du Service d’Inspection,
conformément à l’exigence de l’article 63.1 de la LCA.
66. La défenderesse considère à tort que la saisine du Service d’Inspection ne serait pas
suffisamment étayée par la référence à de tels indices sérieux au sens de l’article 63.1 de la
LCA.
41
Voir Koen Lenaerts, Piet Van Nuffel, Europees recht (6e édition), Intersentia, 2017, pp 95-100, et, plus spécifiquement sur
les
de autorités de la protection des données, Hielke Hijmans, The European Union as Guardian of Internet Privacy, Springer
2016,
Chapitre 7.
42
Pièce 2 du dossier de l’APD.
Décision quant au fond 103/2022 - 36/76
67. La Chambre Contentieuse constate en outre que le volume des visiteurs de sites web est
suffisamment indicatif d’indices d’atteinte dans la mesure où ces sites, selon leurs propres
politiques de cookies, utilisent des cookies tiers susceptibles de profiler les internautes.
Ces deux caractéristiques publiquement disponibles sur les sites choisis sont indicatives
d’un traitement à haut risque tel que visé à l’article 35 (a) du RGPD, en ce qu’elles impliquent
un grand volume de données traitées et un risque de profilage.
68. A titre subsidiaire, la Chambre Contentieuse estime en outre que le rapport juridique du
Service d’Inspection est suffisamment motivé, en complément des indices relevées par le
Comité de Direction, en ce qu’il indique pourquoi la présence de cookies tiers sur les sites
constitue un indice d’atteinte en soi : les « cookie tiers permettent à ces tiers de suivre le
comportement des Internautes dans le temps et au travers de nombreux sites Internet, et
de créer, à partir de ces données, des profils de personnes (profilage), notamment dans le
but de pouvoir mettre en place un marketing plus précis et plus ciblé lors de la navigation
future de ces internautes ainsi tracés ». Le Service d’Inspection se réfère à cet égard au
site thématique cookie de l’APD43. Le Service d’Inspection pouvait donc déduire des indices
sérieux d’atteinte sur base de l’information publiquement disponibles sur les sites internet
investigués juncto leurs données de fréquentation. Le rapport d’Inspection contient donc
suffisamment d’éléments pour établir que la grande fréquentation de sites internet sur
lesquels des cookies tiers sont présents constitue en soi un indice d’atteinte suffisant au
sens de l’article 63.1 de la LCA.
69. La décision du Comité de Direction de l’APD est quant à elle suffisamment motivée, en ce
qu’elle renvoie à des problématiques de conformité au RGPD repérées sur des sites media
en matière de cookie, à travers (i) les rapports d’un conseiller en sécurité de l’information
de l’APD (ii) des problématiques soulevées dans la presse. La décision du Comité de
Direction de l’APD renvoie en outre à l’appréciation et la future décision de l’Inspecteur
général quant aux indices sérieux d’une atteinte aux principes de protection des données.
Ces motifs existaient au moment de la décision du Comité de direction, laquelle a été prise,
sur base de premiers indices (grande fréquentation, problèmes de placement de cookies
non essentiels avant le recueil du consentement, absence de possibilité aisée de
paramétrage des cookies), et sous condition que ces indices soient confirmés ou
complétés par le Service d’Inspection au cours de son enquête. La présence de tels indices
sérieux a donc pu être motivée de manière complémentaire et à bon droit dans le rapport
d’Inspection lui-même44.
43
V. « Comprendre ce qu’est un cookie » dans le dossier thématique « cookies » du site web de l’APD, voir la page
https://www.autoriteprotectiondonnees.be/professionnel/themes/cookies.
44
Sur les exigences en matière de motivation des décisions administratives, voir Bruxelles (Cour des marchés), 7 juillet 2021,
2021/AR/320, p. 37.
Décision quant au fond 103/2022 - 37/76
70. A tort, la défenderesse compare la saisine de la Chambre Contentieuse à « l’équivalent d’un
chef d’inculpation notifié à un prévenu par un juge d’instruction »45. La Cour des marchés a
bien souligné dans son arrêt du 7 juillet 2021 que la Chambre Contentieuse est un l’organe
d’une autorité administrative dont la procédure ne peut être comparée avec la procédure
pénale46.
71. La Chambre contentieuse estime que la saisine a été suffisamment motivée dans la
décision-même du Comité de Direction. A titre subsidiaire, la défenderesse ne démontre
pas en quoi la définition de la saisine du Service d’Inspection, telle que formulée dans la
décision du Comité de direction de l’APD juncto le rapport d’Inspection lui-même, aurait
nuit à ses droits de la défense du fait d’une absence de motivation de la saisine dans la
décision initiale du Comité de Direction de l’APD formulée sous condition suspensive. La
partie défenderesse a pu prendre connaissance des indices d’atteinte en temps utiles pour
développer son propre argumentaire au sujet de ces indices lorsqu’ils lui ont été soumis
pour contradiction.
72. La Chambre Contentieuse rappelle en outre qu’il est spécifiquement prévu dans la loi
organique de l’APD que « l’Autorité de protection des données peut procéder à une enquête
ou une consultation publique large ou à une enquête ou consultation plus ciblée des
représentants des secteurs concernés » (art. 52 § 2 LCA). Ainsi par exemple le Service
d’Inspection annonce de futures enquêtes sectorielles en matière de « cookies » dans son
plan stratégique 2022 « Après avoir publié un premier dossier thématique au sujet des
cookies sur les sites Internet des médias les plus populaires, le Service d’Inspection
souhaite examiner de plus près quelques autres secteurs ainsi que leurs sites Internet en
ce qui concerne les cookies ».47
73. In fine, l’identification de la présence d’indice sérieux de l’existence d’une pratique
susceptible de donner lieu à une infraction aux principes fondamentaux de protection des
données, ressort de la compétence d’appréciation discrétionnaire de l’APD, qu’il
n’appartient pas à la Cour des marchés d’évaluer, excepté en présence d’une
méconnaissance flagrante des principes de bonne administration en la matière ou erreur
manifeste d’appréciation, quod non en l’espèce48. La juridiction de la Cour des marchés est
en effet limitée à un contrôle de régularité et de légalité. L’APD dispose d’un large pouvoir
discrétionnaire à condition d’énoncer les faits qui donnent lieu à la décision prise. Plus le
pouvoir discrétionnaire est large, plus le raisonnement doit être détaillé : en l’occurrence, la
45
Conclusions de la défenderesse, p. 3-4.
46
Ibid, p. 13.
47
APD, Plan de Gestion 2022, p. 19, disponible sur le site à la page
https://www.autoriteprotectiondonnees.be/publications/plan-de-gestion-2022.pdf.
48
Cour d’appel de Bruxelles (Cour des marchés), 28 octobre 2020 (2020/AR/721), p. 16 ; Cour d’appel de Bruxelles (Cour
des marchés), 17 février 2021 (2020/AR/1111), p. 24.
Décision quant au fond 103/2022 - 38/76
justification des indice sérieux de l’existence d’une pratique attentatoire en liminaire du
rapport d’Inspection constitue une justification suffisante.
➢ Méthodologie de l’enquête réalisée par le Service d’Inspection
74. La défenderesse sollicite l’écartement de certaines pièces, notamment les rapports
d’enquête complémentaires, ainsi que les rapports d’enquêtes et rapports techniques du
Service d’Inspection au motifs que les constats techniques ne seraient pas fiables ou
compréhensibles, ou encore que les constatations humaines seraient également non
fiables ou insuffisantes. La défenderesse invoque également le fait que les constats et le
rapport d’enquête lui auraient été transmis tardivement. Pour ces motifs, la défenderesse
sollicite le non-lieu pour absence de preuve.
75. Le Service d’Inspection a répondu point par point aux arguments de la défenderesse visant
à faire écarter les pièces, reprenant les constats dans sa note d’audience
« Eclaircissements ICT suite aux conclusions de la SA Rossel & Cie» du 14 mars 2022 lequel
il a présenté en audience du 31 mars 2022 (ci-après le rapport complémentaire):
▪ Titre 1.2 du rapport complémentaire du Service d’Inspection : sur le logiciel
d’analyse utilisé
o Arguments de la partie défenderesse :
76. La partie défenderesse reproche au Service d’Inspection d’avoir utilisé pour réaliser ses
constats un logiciel particulier sans avoir mentionné lequel. La partie défenderesse déplore
avoir dû elle-même déduire la méthodologie employée sur bases des résultats de l’enquête.
«D’après la présentation des résultats, il semble qu’il s’agisse du logiciel WEC (website
evidence collector) édité par l’EDPS. » La défenderesse critique le choix de ce logiciel au
motif qu’il s’agirait d’une « version bêta2 (version 0.3.1) qui n’offre par définition pas les
mêmes garanties qu’une version considérée comme finale par l’éditeur. La version finale du
logiciel (1.0.0.) sera publiée le 07 janvier 2021, c’est-à-dire un an après les constats. »
77. Lors de l’audience, le directeur digital de Rossel s’étonne du grief qui est fait quant à une
information présentée erronément en anglais sur le site, et précise que la s’est assurée du
fait que l’ensemble du chaînage [de l’information] en française était correcte. Il précise que
quand Rossel a compris quelle était la méthodologie utilisée, et a refait les tests avec le
WEC en anglais, les résultats étaient différents. Il explique donc que l’apparition
d’information en anglais sur son site, selon les rapports d’Inspection, est due à l’utilisation
d’un logiciel WEC anglais. Il affirme en outre avoir été dans l’incapacité de reproduire les
éléments constatés dans le rapport d’inspection au moyen de ce logiciel.
Décision quant au fond 103/2022 - 39/76
o Réponse du Service d’Inspection :
78. Suivant l’article 64 §2 de la loi du 3 décembre 2017 portant création de l'Autorité de
protection des données, dans l'exercice des compétences visées dans le présent chapitre,
l'Inspecteur général et les inspecteurs veillent à ce que les moyens qu'ils utilisent soient
appropriés et nécessaires. Au sujet de la version du logiciel WEC utilisée, le Service
d’Inspection précise les raisons pour lesquelles il estime que l’utilisation d’une version Bêta
du logiciel WEC était selon lui appropriée pour effectuer les constats :
▪ « La Version Bêta désigne la Version du Produit écrite par ou pour le Développeur,
qui est un logiciel complet contenant toutes les fonctionnalités du Produit de
qualité finale, comme spécifié dans la Spécification 49, plus l'incorporation des
améliorations, des corrections et de toute autre erreur identifiée lors des tests de
la Version Alpha du Produit.
▪ La Version Bêta est une Version qui est prête à être testée par l'Editeur dans le
cadre de son assurance qualité et le Développeur est prêt à corriger les Erreurs qui
pourraient être trouvées par l'Editeur au cours de ses tests "QA". Elle comprend
également les informations et les instructions d'utilisation que l'éditeur peut
raisonnablement exiger pour terminer la production d'un manuel d'utilisation dans
la langue d'origine.» Les modifications apportées entre les versions 0.3.1 et 1.0.0
sont des ajouts de fonctionnalités et des corrections de bogues. »
▪ Dans le cadre d’un outil d’analyse et de détection, un disfonctionnement serait de
nature à ne pas détecter et mettre en évidence ce qui est cherché, à savoir le
dépôt de cookies dans le cas présent. Cela profiterait automatiquement aux
concluantes puisque le cookie placé ne serait pas détecté et non l’inverse, soit un
cookie non existant détecté. Ce qui est le cas en l’espèce, que le moyen utilisé soit
un logiciel ad hoc ou non, une version bêta ou non. »
79. Lors de l’audience, l’expert technique du Service d’Inspection précise en outre que
l’utilisation de l’une ou l’autre langue pour réaliser les constats n’a pas d’impact sur le
résultat de l’enquête et les constatations réalisées quant au dépôt de cookies sur la
machine de l’utilisateur.
▪ Titre 3 du rapport complémentaire : sur la fiabilité des constatations humaines
effectuées
49
Cf. définition d’une version bêta provenant de la source fournie par le SI dans sa note d’audience :
https://www.lawinsider.com/dictionary/beta-version.
Décision quant au fond 103/2022 - 40/76
o Arguments de la partie défenderesse :
80. La défenderesse allègue que les constatations humaines ne seraient pas fiables, au motif
que «l’inspecteur a doublé ses constats techniques de vérifications humaines, mais sans
préciser la date de celles-ci, ni l’environnement utilisé (le type et la langue du navigateur, la
version de l’OS, les logiciels installés, les détails de la machine et de sa connexion, la
présence ou non de proxy, la méthode suivie pour vider les cookies) avant le constat afin de
s’assurer qu’il n’y a pas d’interférence, etc. »
o Réponse du Service d’Inspection :
81. Les constats techniques ont été réalisés par des inspecteurs certifiés :
- en Audit des systèmes d’information depuis mars 2010 (CISA)
- en contrôle des risques et des systèmes d’information depuis juin
2011(CRISC)
- en gestion de la sécurité des informations depuis octobre 2012 (CISM)
- en ingénierie des solutions respectueuses de la confidentialité des données
depuis février 2021 (CDPSE).
82. Les dates des constats sont des métadonnées des fichiers générés, dont les empreintes
SHA256 peuvent être comparées pour s’assurer de l’intégrité des éléments probants.
▪ Titre 4 du rapport complémentaire: sur le nombre de constats effectués
o Arguments de la partie défenderesse :
83. La défenderesse estime qu’un constat unique est insuffisant : « Étant donné la matière et
les questions posées, il était élémentaire de procéder par constats multiples successifs
étalés sur une période temps suffisamment longue pour être représentative. Ce n’est que
moyennant des constats répétés dans le temps sur la base d’environnements différents
qu’une analyse pertinente peut être réalisée. »
o Réponse du Service d’Inspection :
84. « Un constat a été réalisé avec un outil automatisé (le Web Evidence Collector) sur une
machine Linux par un inspecteur en date du 08/01/2020 pour Le Soir, Sudinfo et
Sudpressedigital et le constat sur base manuelle a été effectué par un second inspecteur
sur une machine Windows10 le 20/01/2020 pour Le Soir, Sudinfo et Sudpressedigital pour
la partie analyse des cookies déposés. Les autres constats manuels ont été réalisés entre
Décision quant au fond 103/2022 - 41/76
le 14/01/2020 et le 14/02/2020 pour Le Soir, Le 14/01/2020 et le 03/02/2020 pour Sudinfo
et entre le 14/01/2020 et le 10/03/2020 pour Sudpressedigital. »
85. En audience, l’expert technique du Service d’Inspection précise que le Service d’Inspection
a utilisé une méthodologie automatisée sur un poste, combinée avec une approche
manuelle dans un second temps, sur un autre poste, et ce, afin d’éliminer les biais. Le fait de
dire que les constats sont faits à un certain temps et que le rapport vient plusieurs mois
après, fait abstraction du fait que les constats ont été faits en batterie, avec des rapports
rédigés a posteriori. C’est pour cela que les fichiers reprenant les constats ont été signés,
ce qui apporte une garantie suffisante quant à la qualité des constats, selon le Service
d’Inspection.
▪ Titre 5.2 du rapport complémentaire : sur le caractère vérifiable des
constatations
o Arguments de la partie défenderesse
86. « Les concluantes sont […] privées du droit élémentaire de pouvoir vérifier les constatations
effectuées qui servent de base au rapport d’enquête et aux poursuites, violant de façon
flagrante leur droit à un procès équitable. »
o Réponse du Service d’Inspection
87. « Si les concluantes suivaient les bonnes pratiques de gestion IT, tel ITIL V3 par exemple, le
processus de gestion des changements leur permettrait de pouvoir reconstituer
l’environnement pour faire leurs propres tests et amener les éléments factuels (constats) à
opposer à ceux mentionnés par le Service d’Inspection. Le service d’inspection ne peut être
tenu pour responsable de l’incapacité des concluantes à gérer leurs changements et de leur
incapacité à pouvoir reproduire l’environnement à la date des constats. »
88. En audience, l’expert technique du Service d’Inspection précise, eu égard au fait que les
informations par rapport à l’environnement ne sont pas spécifiées dans les rapports, que le
Service d’Inspection a fait choix de se reposer sur les informations reprises dans les
informations brutes constatées, et de ne pas prendre ni le risque ni le temps de reprendre
ces informations dans la synthèse des constatations (rapport technique).
o Décision de la Chambre Contentieuse
89. La Chambre Contentieuse ne peut suivre la défenderesse en ce qu’elle invoque la nullité de
la procédure pour des motifs liés à la langue utilisée et/ou la motivation de la saisine et/ou
Décision quant au fond 103/2022 - 42/76
les incertitudes du cadre juridique relatif aux cookies et/ou la méthodologie employée par
le Service d’Inspection pour les constats.
90. En ce qui concerne la demande d’écartement de pièces, au motif que l’enquête du Service
d’Inspection n’aurait pas été menée selon les règles de l’art, la Chambre Contentieuse
clarifie qu’il ne lui incombe pas d’apprécier la qualité des actes d’enquêtes au-delà d’un
pouvoir d’appréciation marginal, lequel consiste en un contrôle du caractère normalement
prudent et raisonnable des enquêtes du Service d’Inspection 50. En tant qu’organe de
résolution des litiges administratifs, la Chambre Contentieuse peut examiner, dans le cadre
de ses pouvoirs discrétionnaires, si l’administration, à travers le Service d’Inspection, a
exercé le pouvoir qui lui est attribué dans les limites de la légalité, et notamment, n’a pas
commis d’erreur manifeste d’appréciation.
91. A cet égard, la Chambre Contentieuse se réfère à l’article 72 LCA, selon lequel l’inspecteur-
général et les inspecteurs « peuvent procéder à toute enquête, tout contrôle et toute
audition, ainsi que recueillir toute information qu’ils estiment utile afin de s’assurer que les
principes fondamentaux de la protection des données à caractère personnel, dans le cadre
de la présente loi et des lois contenant des dispositions relatives à la protection du
traitement des données à caractère personnel, sont effectivement respectées ».
92. L’article 67 LCA prévoit notamment que « les mesures d’enquête peuvent donner lieu à un
procès-verbal de constat d’infraction lequel a force probante jusqu’à preuve du contraire. ».
93. Les actes effectués par le Service d’Inspection en vertu de la LCA constituent des actes
d’administration. La défenderesse fait valoir que la manière dont les rapports d’Inspection
sont formulés ne lui permet pas de se défendre correctement dans le cadre de la procédure
se déroulant devant la Chambre Contentieuse. La défenderesse invoque la qualité
insuffisante des actes d’investigation réalisés par l’Inspection, notamment l’utilisation de la
version bêta d’un logiciel qui détecte le placement de cookies sur les sites de la
défenderesse, ou encore le manque de fiabilité des enquêtes manuelles effectuées par le
Service d’Inspection du fait de leur caractère unique, et du fait de l’absence de précisions
quant à l’environnement technique de ces constats (type et langue du navigateur, version
de l’OS, logiciels installés, détail de la machine et de la connexion, présence ou non de proxy,
méthode suivie pour vider les cookies avant le constat afin de s’assurer qu’il n’y a pas
d’interférence).
94. A cet égard, la Chambre Contentieuse précise qu’il y a lieu de distinguer l’obligation de
motivation matérielle et formelle des actes administratifs, l’obligation de motivation
matérielle constituant un principe de bonne administration, tandis que l’obligation de
50
Cour d’appel de Bruxelles (Cour des marchés), 7 juillet 2021 (2021/AR/320), p. 18.
Décision quant au fond 103/2022 - 43/76
motivation formelle découle de la loi et ne constitue pas un principe de bonne
administration51. Aucune obligation légale n’impose au Service d’Inspection de telles
précisions quant à l’environnement technique des constats effectués. Il incombe donc à la
Chambre Contentieuse de vérifier si l’obligation de motivation matérielle a été remplie dans
son ensemble, à savoir, si la défenderesse peut trouver dans les actes du Service
d’Inspection, les motifs sur lesquels les constatations matérielles du Service d’Inspection
sont fondés, afin de lui permettre de préparer sa défense. Il incombe ensuite à la Chambre
Contentieuse de motiver sa propre décision, qui découle des constatations du Service
d’Inspection, dans le respect des obligations de motivation formelle et matérielle. Le
législateur belge a explicitement limité ce contrôle à un examen marginal puisqu’il laisse
à l’Inspecteur général et à ses inspecteurs le soin de s’assurer que « les moyens qu’ils
emploient sont appropriés et nécessaires » (article 65, § 2 LCA). Il importe à cet égard
que les constats soient étayés par des motifs vérifiables en droit et en fait 52, sans que cela
n’implique l’obligation d’expliciter la méthodologie suivie jusque dans le détail.
95. Pour le surplus, en ce qui concerne les pièces dont l’écartement est sollicité pour non-
respect des règles de l’art techniques, la Chambre Contentieuse se réfère aux explications
fournies par le Service d’Inspection dans sa note d’audience, laquelle est fondée sur l’article
48 du Règlement d’Ordre Intérieur et a été communiquée par avance à la partie
défenderesse afin de lui permettre d’exprimer ses arguments de défense à cet égard. Il
ressort du PV d’audience que la partie défenderesse a pu prendre connaissance de cette
note et préparer sa réplique à ce sujet en amont de l’audience.
96. Enfin, en ce qui concerne la charge de la preuve que les cookies placés par la défenderesse
sont bien des cookies strictement nécessaires ou acceptés, la Chambre Contentieuse
rappelle à la défenderesse son devoir de « responsabilité » en vertu de l’article 24 du RGPD :
« compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que
des risques », le responsable du traitement doit mettre en œuvre les mesures techniques
et organisationnelles appropriées pour « s’assurer et être en mesure de démontrer que le
traitement est effectué conformément au présent règlement ».
97. Lors de l’audience, la défenderesse a insisté sur le fait que son devoir d’inventorisation et
documentation de son propre site web en matière de cookies n’est pas aussi granulaire que
celui d’un site transactionnel ou bancaire53. La Chambre Contentieuse est prête à tenir
compte des spécificités des sites de média à cet égard mais note qu’à aucun moment de la
procédure la défenderesse n’a produit de listing des cookies utilisés au moment de
l’enquête. La défenderesse souligne également le temps écoulé entre les constats
51
I. Opdebeek & S. De Somer, Algemeen Bestuursrecht (2e édition), 2019, p. 436, § 949.
52
I. Opdebeek et A. Colsaet, Justification formelle des actes administratifs, 2013, p. 435, § 944.
53
Voir PV d’audience, p. 6.
Décision quant au fond 103/2022 - 44/76
d’Inspection faisant état du placement de cookies sur l’équipement terminal des
utilisateurs et les demandes de justification quant au caractère nécessaire de ces cookies
par la Chambre Contentieuse dans le cadre d’une invitation à conclure. La Chambre
Contentieuse prend par ailleurs note des précisions apportées par le Service d’Inspection
à cet égard dans sa note préalable à l’audience : « Si les concluantes suivaient les bonnes
pratiques de gestion IT, tel ITIL V3 par exemple, le processus de gestion des changements
leur permettrait de pouvoir reconstituer l’environnement pour faire leurs propres tests et
amener les éléments factuels (constats) à opposer à ceux mentionnés par le service
d’inspection. Le service d’inspection ne peut être tenu pour responsable de l’incapacité des
concluantes à gérer leurs changements et à leur incapacité de pouvoir reproduire
l’environnement à la date des constats. »
98. Il n’appartient pas à la Chambre Contentieuse de remettre en question l’appréciation
technique du Service d’Inspection quant à l’état de l’art requis par le RGPD en matière
d’inventorisation et documentation des cookies utilisés par les sites web, compte tenu des
limites de son contrôle marginal des actes d’enquête du Service d’Inspection.
99. La Chambre Contentieuse constate que sous le cadre légal de la LCA, le Service
d’Inspection a le libre choix de ses méthodes d’enquête. Seule une vérification marginale,
quant à l’éventuel non-respect des principes de bonne administration (e.g. absence de
détournement de pouvoir), quod non en l’occurrence, peut être effectuée par la Chambre
contentieuse.
➢ Incertitudes du cadre juridique
100. La défenderesse invoque enfin l’incertitude du cadre juridique en ce qui concerne les
postulats suivants pris par le Service d’Inspection à titre d’indices d’atteinte, et sollicite le
non-lieu pour absence de base légale sur ces points :
o Aucun cookie tiers ne serait susceptible d’être exempté de consentement ;
o Le « further browsing » ne permettrait pas de s’assurer du consentement du
visiteur ;
o Les cookies de réseaux sociaux et de mesure d’audience ne pourraient pas se
fonder sur l’intérêt légitime et seraient donc toujours soumis à consentement.
101. La Chambre Contentieuse se réfère à cet égard aux sections ci-dessous où il le cadre légal
applicable est explicité en détail. La Chambre Contentieuse souligne également qu’en
vertu du principe de responsabilité (article 24 du RGPD), il incombe à la partie
défenderesse de s’assurer et être en mesure de démontrer que le traitement de données
collectées via cookies est effectué conformément au RGPD, quelles que soient les
éventuelles incertitudes liées à certains aspects de la mise en œuvre du RGPD.
Décision quant au fond 103/2022 - 45/76
II.5. Sur le fond
▪ Constatation 1 : dépôt de cookies non strictement nécessaires avant le recueil
du consentement
o Rapport d’inspection :
102. Le Service d’Inspection constate le placement de cookies avant que les personnes
concernées n’aient pu donner leur consentement, parmi lesquels des cookies de tierce
partie.
103. Le placement et/ou la lecture de cookies nécessite le consentement de la personne
concernée sauf à démontrer qu’il s’agirait de cookies strictement nécessaires (article 6.1.a
RGPD juncto article 129 LEC. Le Service d’Inspection se réfère à cet égard à
l’interprétation de la notion de consentement reprise à l’arrêt « Planet 49 » de la Cour de
Justice54.
104. Le Service d’Inspection se réfère à la définition suivante des cookies « strictement
nécessaires » fournie sur le site web www.gdpr.eu subsidié par l’Union Européenne dans
le cadre du Programme Horizon 2020 :
« Strictly necessary cookies - These cookies are essential for you to browse the
website and use its features, such as accessing secure areas of the site. Cookies
that allow web shops to hold your items in your cart while you are shopping online
are an example of strictly necessary cookies. These cookies will generally be first-
party session cookies. While it is not required to obtain consent for these cookies,
what they do and why they are necessary should be explained to the user.55’ »
105. Le rapport d’Inspection relève que parmi les cookies présents figurent des « cookies
comportementaux » et se réfère à cet égard en matière de définition à la terminologie
utilisée dans la politique de cookies des sites eux-mêmes : « les cookies repris dans cette
catégorie nous permettent de fournir des annonces pertinentes et en lien avec les
centres d’intérêt de nos utilisateurs. Ils ont pour objectif d’améliorer et de personnaliser
leur expérience de navigation ».56 Ces cookies incluent Outbrain et Rubicon pour Sudinfo
et Le Soir, Doubleclick pour Sudpresse Editions Digitales, ainsi que des cookies de réseau
sociaux (Facebook) et statistiques (Google Analytics, Gemius).
54
CJUE, 1er octobre 2019, Planet49, C-673/17, ECLI :EU :C :2019 :801.
55
La Chambre Contentieuse note qu’il n’existe pas de définition officielle des différents types de cookies dans la législation
belge ou européenne et prend note de l’explication fournie par le Service d’Inspection sur base des sources disponibles.
56
Rapport d’Inspection, p. 16.
Décision quant au fond 103/2022 - 46/76
106. Ces cookies placés avant consentement sur les sites concernés sont des cookies :
▪ « tiers » en ce qu’ils sont « mis en place par un domaine différent de celui qui est visité
par l’utilisateur » ;
▪ et « non nécessaire » en ce que de tels cookies permettent « typiquement », « de suivre
le comportement des internautes aux travers de nombreux sites Internet et de créer, à
partir de ces données, des profils de personnes (profilage), notamment dans le but de
pouvoir mettre en place un marketing plus précis et plus ciblé lors de la navigation
future de ces internautes ainsi tracés », notamment lorsqu’il s’agit de cookies de médias
sociaux ou de publicités placées au départ d’autres sites Internet.
107. Le Service d’Inspection constate que la défenderesse n’a pas apporté la preuve du
caractère nécessaire de chaque cookie concerné par les constats, et conclut à une
atteinte aux articles 6.1.a du RGPD et à l’article 129 LEC57.
o Point de vue de la défenderesse :
108. La défenderesse ne conteste pas que parmi les cookies relevés par le Service
d’Inspection, certains impliquent un consentement, mais estime que le manquement
n’est pas établi, en raison de la méthodologie employée pour l’enquête (un constat en
situation réelle aurait donné un résultat différent, selon la défenderesse).
109. La défenderesse conteste que « le cookie qui échappe au consentement [soit] forcément
un cookie de première partie : aucun cookie tiers n’est susceptible d’être visé par
l’exemption ». Cette présomption ne suffit pas à établir que les cookies concernés
procèdent bien à de telles finalités de traitement en dehors de toute nécessité en lien
avec le service fourni par le site, selon la défenderesse.
110. La défenderesse avance que certains des cookies placés avant le consentement sont
des cookies statistiques, dont le défendeur estime qu’ils ne devraient pas être soumis
à consentement (La défenderesse produit à cet égard une lettre adressée par le secteur
au Président de l’Autorité de Protection des Données du 26 novembre 2020 dans
laquelle des représentants de secteur des entreprises digitales belges actives
notamment dans la publicité en ligne, demandent des clarifications en ce qui concerne
les règles applicables aux cookies analytiques 58).
57
Le Service d’Inspection se réfère à l’analyse de la Chambre Contentieuse quant à la compétence de l’APD en matière de
cookies dans sa décision au fond 12/2019 du 17 décembre 2019, pp. 17-20, disponible via la page web
https://autoriteprotectiondonnees.be/professionnel/publications/decisions. .
58
Pièce 9 de la défenderesse (lettre d’ACC, BAM, BeCommerce, etc. à l’APD, 26 novembre 2020.
Décision quant au fond 103/2022 - 47/76
o Décision de la Chambre Contentieuse
111. En ce qui concerne la présence de cookies non nécessaires avant consentement, la
Chambre Contentieuse note la reconnaissance préjudiciable de la défenderesse selon
laquelle certains cookies non nécessaires sont placés avant le consentement de
l’Internaute sur les sites web investigués.
112. En ce qui concerne l’argument de la défenderesse selon lequel les cookies statistiques
devraient être soumis à consentement, et les réfutations procédurales de relativement
aux constatations du Service d’Inspection, la Chambre Contentieuse renvoie à ses
développements ci-dessus en soutien des constats réalisés.
➢ Clarification en ce qui concerne les cookies de première partie/tierce partie
113. En ce qui concerne les conséquences attachées à l’origine des cookies concernés, la
Chambre Contentieuse précise que la qualification d’un cookie comme cookie « tiers » ou
de « première partie » n’implique pas de principe un lien de causalité direct avec le
caractère nécessaire ou non du cookie. La Chambre Contentieuse soutient le Service
d’Inspection dans son appréciation dans la mesure où il est vraisemblable que de
nombreux cookies tiers ne puissent être qualifiés de nécessaires car ils pourraient
permettre le suivi des personnes pour des finalités propres des entités juridiques tierces.
114. Comme indiqué dans sa première décision cookies, la Chambre Contentieuse clarifie qu’à
son estime, la qualification d’un cookie comme « de tierce partie » ou « de première
partie » exige « une analyse précise du site Internet en question ainsi que de
l’environnement IT et juridique sous-jacent »59.
115. A cet égard, la Chambre Contentieuse rappelle que du point de vue de sa compétence, à
savoir, le contrôle de traitements de données personnelles, et comme exposé par le
Groupe 29 à travers l’Opinion 04/2012 du 7 juin 2012 sur l’exemption du consentement
aux cookies, la notion de « cookie tiers » ou de « première partie » n’est pertinente dans la
mesure où elle fait référence à la distinction juridique entre les cookies placés par un
responsable de traitement identique au responsable de traitement du site visité (cookies
de première partie) versus les cookies placés par un responsable de traitement distinct
(cookie tiers)60. Il y a notamment lieu de déterminer si les données personnelles sont ou
59
Chambre Contentieuse, décision 12/2019 du 17 décembre 2019, p. 34.
60
WP29, Opinion 04/2012 sur l’exemption du consentement aux cookies, adoptée le 7 juin 2012, p. 4 : “L’expression
«cookie tiers» peut être trompeuse: Dans le contexte de la protection des données dans l’Union européenne, la directive
95/46/CE définit un tiers comme «la personne physique ou morale, l’autorité publique, le service ou tout autre organisme
autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous
l’autorité directe du responsable du traitement ou du sous -traitant, sont habilitées à traiter les données». Un
«cookie tiers» ferait donc référence à un cookie mis en place par un responsable du traitement différent de celui
qui exploite le site web consulté par l’utilisateur (tel que défi ni par l’URL apparaissant dans la barre d’adresse du
navigateur). En revanche, du point de vue des navigateurs, la notion de «tiers» est seulement définie par la
Décision quant au fond 103/2022 - 48/76
non traitées par des entités agissant comme « sous-traitant » pour le site pour des
finalités strictement nécessaires au service fourni par le site, ou comme responsables de
traitement pour des finalités propres 61. En soi, la distinction technique entre cookie
placés par le propriétaire du site et cookie placé par un domaine tiers, n’est pas
indicative du rôle des différents intervenants dans le traitement des cookies.
116. La distinction juridique entre des cookie « de tierce partie » ou « de première partie » peut
toutefois constituer un paramètre dans l’évaluation du caractère strictement nécessaire
d’un cookie en vue de la fourniture d’un service 62 : les cookies de première partie sont
effectivement bien plus susceptibles d’être nécessaires et exemptés de consentement
que les cookies de tierce partie. A cet égard, la Chambre Contentieuse suit le point de
vue du Service d’Inspection en ce que les cookies de tierce partie ne sont
« généralement » pas strictement nécessaires à la visite du site par l’utilisateur, vu qu’ils
sont généralement liés à un service distinct de celui qui a été explicitement requis par
l’utilisateur63.
117. La Chambre Contentieuse fait par ailleurs sienne la conclusion du Groupe 29 : au-delà de
la question de l’entité responsable du placement des cookies, la finalité de traitement
des données collectées par cookie est l’élément prépondérant dans cet exercice de
qualification quant à savoir si un cookie est ou non considéré comme « strictement
nécessaire » à la fourniture d’un service64.
118. Quelle que soit l’origine de chaque cookie concerné par les constats, à savoir, de première
ou de tierce partie, il incombe à la partie défenderesse d’en démontrer le caractère
nécessaire. Cette preuve n’étant pas rapportée, la Chambre Contentieuse conclut à une
atteinte aux articles 6.1.a du RGPD et à l’article 129 LEC.
119.Comme indiqué dans sa première décision cookie 12/2019 du 17 décembre 2019 65, dans
l'état actuel de la législation, il n'y a pas d'exception légale au consentement pour les
structure de l’URL apparaissant dans la barre d’adresse du navigateur. Dans ce cas, les «cookies tiers» sont les
cookies mis en place par des sites web appartenant à un domaine distinct du domaine dont relève le site web
consulté par l’utilisateur tel qu’il apparaît dans la barre d’adresse du navigateur, indépendamment du fait que
cette entité soit un responsable du traitement distinct ou non. Bien que ces deux conceptions se recoupent
souvent, elles ne sont pas toujours équivalentes.
Pour les besoins du présent avis, nous adopterons la première et nous utiliserons l’expression «cookie tiers» pour
désigner les cookies mis en place par les responsables du traitement qui n’exploitent pas le site web consulté par
l’utilisateur. Inversement, le terme «cookie d’origine» désignera le cookie mis en place par le responsable du
traitement (ou par l’un de ses sous-traitants) exploitant le site web visité par l’utilisateur, tel que défini par
l’adresse URL affichée habituellement dans la barre d’adresse du navigateur. »
61
Chambre Contentieuse, décision 12/2019 du 17 décembre 2019, p. 34.
62
Groupe de travail sur la protection des données article 29, Opinion 04/2012 sur l’exemption du consentement aux cookies,
adoptée le 7 juin 2012, p. 5.
63
Ibid.
64
Ibid.
65
Chambre Contentieuse, décision 12/2019 du 17 décembre 2019.
Décision quant au fond 103/2022 - 49/76
"cookies d'analyse de première partie", de sorte qu'un consentement préalable pour le
placement de tels cookies est bel et bien requis. La Chambre Contentieuse se réfère à
cet égard à un avis publié par la Commission de la protection de la vie privée qui affirmait
dans ses lignes directrices relatives aux cookies qu’ « il revient au législateur d’apporter
une clarification à la problématique posée par la non-exemption du consentement des
utilisateurs en
relation avec les cookies d’analyse d’origine."66
120. Dans sa première décision cookie 12/2019 susmentionnée, la Chambre Contentieuse
n’avait pas exclu que des cookies statistiques de première ou tierce partie puissent être
« nécessaires pour fournir un service (par exemple informatif) demandé par la
personne concernée, pour détecter par exemple des problèmes de navigation ». Le
Service d’Inspection a rappelé ce principe dans son rapport67. Le Service d’Inspection
estime qu’il n’est pas question d’un tel cas de figure en l’espèce et la défenderesse ne
fournit pas la démonstration d’une telle nécessité des cookies statistiques placés sur son
site sans consentement. L’absence de lignes directrices en Belgique à ce sujet n’a pas de
conséquence juridique vu le devoir de responsabilité qui repose sur les responsables de
traitement en vertu de l’article 24 du RGPD quant à la démonstration du caractère légal
et bien-fondé des traitements de données qu’ils opèrent. Ainsi par exemple, la
défenderesse n’invoque pas la nécessité de placer des cookies analytiques pour
répondre à des obligations légales ou contractuelles, telles qu’un contrat de gestion
conclu avec une autorité publique en charge des médias obligeant le média à procéder à
l’analyse de son audience68. Dans la mesure où un cookie d’audience serait strictement
nécessaire pour respecter une obligation légale (de mesure d’audience), le respect de
cette obligation serait nécessaire à la fourniture du service sollicité par l’utilisateur (à
condition de démontrer que le cookie ne traite pas les données au-delà du nécessaire
pour remplir cette obligation). Dans un tel cas, sous réserve d’examen des conditions
précises imposées par la loi belge au médias69, le recours à des cookies d’analyse
d’audience pourrait être considéré comme nécessaire à la fourniture du service public, à
charge pour le média concerné de démontrer que compte tenu des circonstances
particulières du traitement (ex. les conditions de son contrat de gestion), les cookies
placés sont bien nécessaires et proportionnés en vue de répondre à l’obligation de placer
de tels cookies afin de répondre à une exigence légale pesant sur le service réclamé par
66
CPVP, Recommandation d’initiative n°01/2015 du 4 février 2015 concernant l’utilisation des cookies, Ibid, point 311, p. 64,
https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/recommandation_01_2015.
67
Rapport d’Inspection, pièce 13 du dossier de l’APD, p. 21.
68
Voir par exemple les explications fournies par la RTBF sur son site au sujet des publicités commerciales organisées dans
le contrat de gestion conclu avec l’autorité publique de contrôle selon un arrêté du Gouvernement de la Communauté
française publié au Moniteur belge du 12 décembre 2018 (https://www.rtbf.be/article/comment-fonctionne-la-publicite-a-
la-rtbf-10910493).
69
Ibid.
Décision quant au fond 103/2022 - 50/76
l’utilisateur de la technologie concernée. Une telle démonstration n’a pas été fournie en
l’espèce.
121. Certaines autorités de protection des données ont développé des conditions selon
lesquelles des traceurs de mesure d’audience peuvent être exemptés de consentement.
La Chambre Contentieuse y fait référence en toute transparence dans ses décisions
sans toutefois être liée par le point de vue d’un homologue européen (voir notamment la
fiche pratique développée par la CNIL à ce sujet 70, à laquelle il est notamment fait
référence dans la décision 11/2022 du 21 janvier 2022 de la Chambre contentieuse)71.
122. La Chambre Contentieuse est en effet obligée de fournir une interprétation autonome,
pour autant qu’aucune norme harmonisée ne soit imposée au niveau européen en ce qui
concerne l’un ou l’autre type de cookie tel que les cookies statistiques ou analytiques..
123. Le Groupe 29 a certes déjà pris une position nuancée en 2012 en ce qui concerne
l’obligation de consentement applicable aux cookies statistiques de première partie. Le
Groupe 29 est clairement d’opinion que les “cookies analytiques de première partie” ne
sont pas exemptés de l’obligation de consentement, estimant qu’ils ne sont pas
strictement nécessaires pour fournir une fonctionnalité strictement nécessaire ou
expressément demandée par l’utilisateur de l’équipement terminal informatique. Le
Groupe 29 précise même que cet utilisateur peut accéder sans problème à toutes les
fonctionnalités du site web, alors même que de tels cookies seraient désactivés.72 Le
Groupe 29 estime qu’il est “peu probable que les cookies d’analyse d’origine présentent
un risque pour la vie privée lorsqu’ils sont strictement limités à
l'établissement de statistiques agrégées concernant l’origine et lorsqu’ils sont utilisés
par des sites web qui fournissent déjà des informations claires sur ces cookies dans leurs
dispositions relatives à la protection de la vie privée, ainsi que des garanties adéquates
en la matière. »
124. A cette occasion, le Groupe 29 a également précisé que « À cet égard, si l’article 5,
paragraphe 3, de la directive 2002/58/CE devait être révisé à
l’avenir, le législateur européen pourrait ajouter, d’une manière appropriée, un troisième
critère d’exemption de l’obligation de consentement pour les cookies strictement limités
à l'établissement de statistiques anonymisées et agrégées concernant le domaine
d’origine. L’analytique d’origine doit être clairement distinguée de l’analytique de tiers,
qui utilise un cookie tiers ordinaire pour collecter des informations de navigation liées à
70
https://www.cnil.fr/fr/cookies-et-traceurs-comment-mettre-mon-site-web-en-conformite.
71
Chambre Contentieuse, décision 11/2022 du 21 janvier 2022, note de bas de page nr. 10.
72
Groupe de travail sur la protection des données article 29, Avis 04/2012 sur l’exemption de l’obligation de consentement
pour certains cookies, 7 juin 2012, WP194, p. 11.
Décision quant au fond 103/2022 - 51/76
des utilisateurs sur des sites web distincts, et qui présente un risque nettement plus
élevé pour le respect de la vie privée. ».73
125. À cet égard, la Chambre Contentieuse ne peut pas anticiper l'issue des débats sur une
éventuelle future modification et un éventuel assouplissement au niveau européen des
règles reprises dans la Directive ePrivacy. La Chambre Contentieuse a toutefois bien pris
connaissance des demandes de clarifications adressées par divers acteurs du secteur de
la publicité en ligne au Comité de Direction de l’APD. La Chambre Contentieuse, à travers
la présente décision, attire l’attention du Comité de Direction de l’APD sur la
problématique des cookies analytiques, ne bénéficiant pas encore d’une approche
harmonisée au niveau de l’EDPB, à charge pour le Comité de Direction de solliciter les
explications et clarifications nécessaires par le biais des groupes de travail de l’EDPB, en
vue de fournir des lignes directrices bien comprises et bien acceptées de tous les acteurs
concernés en matière de technologies de tracking à des fins analytiques. Dans le futur, la
Chambre Contentieuse n’exclut pas de soumettre de telles décisions aux mécanismes
de cohérence EDPB. En l’état actuel de la législation européenne et belge en matière de
placement de cookies, que l’APD est maintenant explicitement chargée de contrôler et
interpréter, le consentement est encore toujours requis pour le placement de cookies
d'analyse, de sorte que le défaut de consentement constitue une violation de l'article 6
et de l'article 7 juncto article 4.11 du RGPD, lus conjointement avec l'article 129 de la LCE.
126. En l’occurrence, le dossier soumis à la Chambre Contentieuse ne contient pas d’élément
tendant à démontrer que le consentement des utilisateurs du site aurait été obtenu
avant le placement de cookies analytiques.
127. La Chambre Contentieuse retient donc une atteinte à l’article 6.1.a du RGPD dans le chef
de la défenderesse, du fait du dépôt de cookies non nécessaires, y compris des cookies
analytiques, avant le recueil du consentement.
128. La Chambre Contentieuse tiendra compte, au moment de la détermination de la sanction,
du fait que la défenderesse déclare avoir développé entretemps une solution de
consentement visant à assurer une base légale au placement de cookies statistiques
sans consentement préalable sur ses sites74.
73
Groupe de travail sur la protection des données article 29, Avis 04/2012 sur l’exemption de l’obligation de consentement
pour certains cookies, 7 juin 2012, WP194, p. 12.
74
Conclusions de la défenderesse, p. 25.
Décision quant au fond 103/2022 - 52/76
▪ Constatation 2 : utilisation du ‘further browsing’
o Le rapport d’Inspection
129. Le rapport d’analyse technique indique que les sites de Sudinfo, du Soir et de Sudpresse
Editions Digitales utilisent aux fins de recueillir un consentement préalable au placement
de cookies, la technique du « further browsing » (poursuite de navigation) au moyen d’une
bannière volatile relative aux cookie%
130. Cette barrière disparaît si l’utilisateur poursuit sa navigation sans opérer d’action. Une
capture d’écran du site « Sudinfo.be » est fournie à titre d’illustration.
131. Le rapport d’Inspection lui-même précise que la poursuite de la navigation ne peut être
considérée comme donnant lieu à un consentement valide au sens de l’article 4.11 du
RGPD pour l’installation et la lecture de cookies non strictement nécessaires. Suivant
cette disposition, le consentement doit en effet consister en « une déclaration ou un acte
positif clair », ce qui ne peut pas être déduit du simple fait que l’internaute poursuive sa
navigation. Le silence ou l’inactivité de la personne concernée, ainsi que le simple fait
qu’elle continue à utiliser un service, ne peuvent être considérés comme une indication
active de choix, selon le Service d’Inspection, qui se réfère en l’occurrence aux Lignes
directrices sur le consentement au sens du Règlement 2016/679 du Groupe 2975, et aux
Lignes directrices 05/2020 de l’EDPB sur le consentement 76. Le Service d’Inspection
rappelle à cet égard que l’arrêt « Planet49 » de la Cour de Justice de l’Union européenne
a précisé l’exigence de consentement pour le placement de cookies et prescrit « un
consentement actif » en ce sens que le considérant 32 du règlement exclut
expressément qu’il y ait consentement en cas de silence ou de cases cochées par défaut
ou en cas d’inactivité.
132. Le Service d’Inspection constate par ailleurs que le responsable de traitement, par la
pratique du « further browsing », se met en porte-à-faux avec l’obligation de l’article 7.1
du RGPD qui impose de démontrer que la personne concernée a donné son
consentement, en l’occurrence, au placement de cookies non strictement nécessaires.
o Point de vue de la défenderesse
133. La partie défenderesse conteste avoir mal usé d’une technique de « further browsing »
pour recueillir un consentement préalable au placement de cookies, et ce, pour les motifs
techniques et juridiques suivants :
75
Groupe de travail article 29, Lignes directrices sur le consentement au sens du Règlement 2016/679, 28 novembre 2017,
p. 18.
76
EDPB, Lignes directrices 05/2020 sur le consentement au sens du Règlement 2016/679, point 79 (version anglaise).
Décision quant au fond 103/2022 - 53/76
- argument technique : l’utilisation d’un outil « WEC » pour les constatations aurait
été interprétée par le système comme l’expression d’un consentement, avec pour
corollaire, des cookies soumis à « opt-out » (refus a posteriori) et non plus à « opt-in »
(acceptation préalable) ;
- argument juridique : la Cour de Justice, dans son arrêt « Planet 49 »77 exige un
« comportement actif » ce qui exclut de le recueillir au moyen de cases pré-cochées,
mais n’exclut pas qu’un tel consentement soit donné « au moyen d’une autre
déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la
personne concernée accepte le traitement proposé de ses données à caractère
personnel »78.
134. Selon la partie défenderesse, l’arrêt « Planet 49 » n’implique pas que le fait de continuer
à surfer sur un site ne puisse être considéré comme un comportement actif marquant le
consentement, pour les raisons suivantes : « Dans la mesure où l’arrêt Planet49 place le
comportement actif et l’objectivation du consentement au centre de l’appréciation, on
ne peut exclure que le further browsing soit admis car il implique – au contraire de la case
pré-cochée – un comportement actif objectivable : averti par le bandeau des
conséquences juridiques de son comportement, le visiteur décide de poursuivre en
passant de lien en lien ou en déroulant la page sur laquelle il est actif , tout au long de sa
navigation sur le site. Dans une telle situation, en fonction de la taille du bandeau, de la
longueur d’affichage et du contenu du texte, on ne peut exclure que le comportement du
visiteur soit considéré comme un consentement valide. La situation est similaire au
consentement obtenu par l’affichage d’un écriteau à l’entrée d’un commerce, que la
jurisprudence confirme régulièrement. »
o Décision de la Chambre Contentieuse
135. Sur la question des principes applicables, la Chambre Contentieuse rappelle que selon
les lignes directrices de l’EDPB sur le consentement, le « further browsing » ne constitue
pas une manifestation adéquate du consentement au sens du RGPD au motif qu’il ne
pourrait être considéré comme une indication active de choix. 79. La Chambre
Contentieuse observe que l’exigence du caractère suffisamment « actif » du
consentement ne permet pas à elle seule d’exclure le « further browsing » comme forme
de consentement acceptable au sens du RGPD et se réfère principalement au deuxième
critère développé par l’EPDB dans ses guidelines à savoir, l’exigence d’un acte positif clair
77
CJUE, 1er octobre 2019, Planet49, C-673/17, ECLI :EU :C :2019 :801.
78
Ibid, § 11..
79
Lignes directrices 5/2020 sur le consentement au sens du règlement 2016/679, § 79.
Décision quant au fond 103/2022 - 54/76
(non ambigu) permettant d’exprimer un consentement libre au sens de l’article 7.1 du
RGPD.
136. A cet égard, la Chambre Contentieuse partage le doute de la défenderesse concernant
la possibilité ou non de manifester un choix actif par poursuite de la navigation sur un site.
La Chambre Contentieuse n’exclut pas, à titre d’exception à la ligne de conduite
interprétative donnée par l’EDPB, que le caractère actif ou non de la démarche « further
browsing » ne puisse être influencé par le lay-out de l’information (ex. taille du banner et
mode de présentation des informations fournies en vue d’obtenir le consentement par la
poursuite de la navigation), et la manière dont le refus des cookies peut être exprimé par
ailleurs.
137. La Chambre Contentieuse ne peut en outre exclure que le fait de continuer à surfer sur
un site ne puisse être considéré comme un comportement actif compte tenu également
de la manière dont s’exprime le « further browsing » : ainsi par exemple, là où faire défiler
la molette d’une souris ne constituerait pas un acte suffisamment clair et
incontestablement volontaire de la part de l’utilisateur, le fait que ce « further browsing »
impliquerait au minimum une action informatique (clic de souris) pourrait influencer
l’appréciation du caractère actif ou non du consentement.
138. Le dossier de pièces fourni à la Chambre Contentieuse ne permet toutefois pas d’établir
que le consentement sollicité par la défenderesse au moyen d’un « further browsing »
serait « actif » pour des motifs liés à la présentation de l’information in concreto.
139. Dans tous les cas, la Chambre Contentieuse se réfère au principe selon lequel le
consentement doit être « donné par un acte positif clair par lequel la personne concernée
manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des
données à caractère personnel la concernant » (cf. considérant 32 du RGPD) si bien que
la poursuite de l’utilisation d’un site par simple déroulement d’une page web ne constitue
pas un acte suffisamment clair qui puisse être distingué d’un acte de consentement :
« Les responsables du traitement devraient élaborer des mécanismes de consentement
clairs pour les personnes concernées. Ils doivent éviter toute ambiguïté et veiller à ce que
l’acte par lequel le consentement est accordé puisse se distinguer de tout autre acte.
Aussi la simple poursuite de l’utilisation ordinaire d’un site Internet n’est-elle pas un
comportement qui permet de supposer une manifestation de volonté de la part de la
personne concernée visant à donner son accord à une opération de traitement
envisagée. »80.
140. Ce deuxième critère lié à la nécessité d’un consentement spécifique appliqué au « further
browsing » exclut la possibilité d’exprimer un consentement par cette technique. La
80
Ibid., § 84.
Décision quant au fond 103/2022 - 55/76
nécessité d’exprimer un consentement « spécifique » fait partie en effet des conditions
du consentement selon l’article 4.11 du RGPD.
141. Rappelons que le consentement est défini dans l’art 4.11 du RGPD comme « toute
manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne
concernée accepte, par une déclaration ou par un acte positif clair, que des données à
caractère personnel la concernant fassent l’objet d’un traitement ». . Dans son arrêt
« Planet 49 » du 1er octobre 2019, la Cour de Justice a précisé que « la manifestation de
volonté » visée à l’article 2.h de la Directive 95/46 doit être « spécifique » en ce sens
qu’elle « doit porter précisément sur le traitement de données concerné et ne saurait être
déduite d’une manifestation de volonté ayant un objet distinct »81.
142. En l’occurrence, comme la Chambre Contentieuse l’a relevé précédemment dans sa
décision 19/2021 du 12 février 2021 82, le fait de continuer à surfer sur un site marque à la
fois la volonté de bénéficier des services d’information (ou autres) offerts par le site,
d’une part, et, le cas échéant, l’acceptation de conditions liées au placement de cookies.
Un tel consentement n’est pas spécifique, vu que l’utilisateur, au moyen d’un seul acte,
donne son consentement pour l’utilisation d’informations ou de services proposés sur le
site Internet et pour que ses données à caractère personnel soient traitées via des
cookies.
143. En l’occurrence, la Chambre Contentieuse estime que cette technique d’acceptation des
cookies, telle que déroulée initialement sur le site des défenderesses et reflétée dans le
rapport d’Inspection, ne permettait pas à l’utilisateur du site d’exprimer un consentement
« spécifique » tel que prescrit à l’article 4.11 du RGPD.
144. En résumé, le fait de coupler le consentement de l’internaute avec son choix de
poursuivre l’utilisation du service ne permet pas un consentement distinct et spécifique
comme requis à l’article 4.11 du RGPD. Pour cette raison, la Chambre Contentieuse
constate une atteinte aux articles 4.11) juncto 6.1.a et 7.1 du RGPD.
▪ Constatation 3 : cookies de réseaux sociaux et de mesure d’audience sans
consentement
o Cookies de réseaux sociaux
145. Le Service d’Inspection a constaté l’absence de consentement préalable sur les sites de
la défenderesse avant le placement de cookies de réseaux sociaux. Les captures d’écran
réalisées par le Service d’Inspection dans ses rapports techniques sont claires à cet
égard : ainsi par exemple, sur le site de Sudpresse, la page d’accueil invite l’internaute à
81
CJUE, 1er octobre 2019, C-673/17, ECLI :EU :C :2019 :801.
82
Chambre Contentieuse, décision 19/2021 du 12 février 2021, § 103-109.
Décision quant au fond 103/2022 - 56/76
modifier les réglages ou cliquer pour en savoir plus. En sélectionnant le choix « cliquer ici »
à partir de l’écran initial, l’internaute aboutit à une fenêtre « Gérez ici vos cookies » où il lui
est proposé de désactiver les cookies sociaux (« désactiver ces cookies dégrade les
partages sur réseaux sociaux »). Le même cheminement est offert sur le site en ce qui
concerne les cookies comportementaux (« désactiver ces cookies ne nous permet pas
de vous offrir une personnalisation des annonces ».). Enfin, des constats similaires sont
fait sur les deux autres sites investigués en ce qui concerne l’absence de consentement
préalable avant placement de cookies décrits comme « cookies de réseau sociaux » ou
« cookies comportementaux ».
146. La Chambre Contentieuse relève que la défenderesse ne développe pas de défense
explicite sur ce point à titre subsidiaire, en plus des arguments principaux liés à la
méthodologie employée par le Service d’Inspection. La Chambre Contentieuse estime
donc pouvoir se fonder sur une reconnaissance préjudiciable de la défenderesse, et
conclut à une atteinte à l’article 6.1.a du RGPD. Les motifs de nullité soulevés par la
défenderesse en ce qui concerne la procédure n’entachent pas les constats très clairs du
Service d’Inspection sur ce point, non contredits de manière expresse dans les
conclusions de la défenderesse.
147. La défenderesse allègue de manière générale que le traitement de données personnelles
par des cookies de réseau sociaux peut être fondé sur un intérêt légitime. A l’appui de cet
argument, elle invoque l’arrêt « Fashion ID » de la Cour de Justice de l’Union
européenne du 29 juillet 201983, dans lequel la Cour de justice n’exclut pas que l’intérêt
légitime puisse suffire comme base légale au traitement de données personnelles par
des cookies de réseaux sociaux, tout en précisant qu’elle se prononce dans l’hypothèse
où le cookie de réseau social concerné vise à permettre au réseau social d’afficher du
contenu sur le site partenaire. La défenderesse observe elle-même dans ses conclusions
que cette hypothèse est « sans aucun rapport avec le cas d’espèce et sans lien avec le
cookie de mesure d’audience »84.
148. A cet égard, la Chambre Contentieuse tient à préciser que l’invocation de l’intérêt
légitime comme base légale par la Cour de justice dans l’affaire « Fashion ID » cadre dans
le contexte du transfert de données personnelles collectées au moyen de cookies : un tel
traitement est effectivement soumis aux exigences d’une base légale sur pied de l’article
6 du RGPD. La Cour de justice indique toutefois explicitement dans ce même arrêt que la
question de la base légale pour le traitement ultérieur de données collectées via cookies
n’est pertinente qu’à la condition que le consentement requis par l’article 5.3 de la
Directive ePrivacy 2002/58 ait été recueilli, ce qui n’était pas démontré en l’espèce.
83
CJUE, 29 juillet 2019, Fashion ID, C-40/17, ECLI:EU:C:2019:629.
84
Conclusions de la défenderesse, p. 8.
Décision quant au fond 103/2022 - 57/76
149. Dans un souci pédagogique, la Chambre Contentieuse reproduit ci-après le
raisonnement développé par la Cour de Justice dans l’arrêt Fashion ID, et d’où il ressort
que les responsables de traitement restent en charge de s’assurer l’obtention d’un
consentement pour le placement de cookies, conformément à la Directive ePrivacy,
tandis que l’extraction de données extraction de données personnelles collectées via
cookies et leur transfert à des tiers pourrait être couverte par la base légale de l’intérêt
légitime le cas échéant :
« Par sa quatrième question, la juridiction de renvoi demande, en substance, si,
dans une situation telle que celle en cause au principal, dans laquelle le gestionnaire
d’un site Internet insère sur ledit site un module social permettant au navigateur du
visiteur de ce site de solliciter des contenus du fournisseur dudit module et de
transmettre à cet effet à ce fournisseur des données à caractère personnel du
visiteur, il convient de prendre en compte, aux fins de l’application de l’article 7, sous
f), de la directive 95/46, l’intérêt légitime poursuivi par ce gestionnaire ou l’intérêt
légitime poursuivi par ledit fournisseur.
À titre liminaire, il convient de relever que, selon la Commission, cette question n’est
pas pertinente pour la résolution du litige au principal, dans la mesure où le
consentement des personnes concernées, exigé par l’article 5, paragraphe 3, de la
directive 2002/58, n’a pas été recueilli.
À cet égard, il convient de constater que l’article 5, paragraphe 3, de cette dernière
directive prévoit que les États membres garantissent que le stockage
d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans
l’équipement terminal d’un abonné ou d’un utilisateur n’est permis qu’à condition
que l’abonné ou l’utilisateur ait donné son accord, après avoir reçu, dans le respect
de la directive 95/46, une information claire et complète, entre autres sur les
finalités du traitement.
Il appartient à la juridiction de renvoi de vérifier si, dans une situation telle que celle
en cause au principal, le fournisseur d’un module social, tel que Facebook Ireland,
accède, comme le soutient la Commission, à des informations stockées dans
l’équipement terminal, au sens de l’article 5, paragraphe 3, de la directive 2002/58,
du visiteur du site Internet du gestionnaire de ce site. »85
150. La Chambre Contentieuse rappelle que les rapports d’Inspection se focalisent en
l’occurrence sur le placement de cookies dans l’équipement terminal des utilisateurs,
85
Ibid, § 87 et suivants.
Décision quant au fond 103/2022 - 58/76
lequel requiert en principe un consentement préalable en vertu de l’article 5.3 de la
Directive ePrivacy.
151. La Chambre Contentieuse estime donc non pertinent l’argument de la défenderesse
basé sur l’arrêt Fashion ID de la Cour de Justice de l’Union européenne, dans la mesure
où la défenderesse ne démontre pas avoir obtenu le consentement des internautes
concernés pour le placement des cookies de réseau sociaux dont la présence a été
détectée par le Service d’Inspection de l’APD. La Chambre Contentieuse estime que la
défenderesse, du point de vue de son devoir de responsabilité sur pied de l’article 24 du
RGPD, est tenue d’apporter une telle preuve afin de permettre à la Chambre
Contentieuse d’évaluer le bien-fondé de l’invocation d’un intérêt légitime pour le
traitement de données récoltées par cookies, après obtention d’un consentement
adéquat pour le placement de tels cookies. Une telle preuve n’est pas apportée.
152. La Chambre Contentieuse tiendra compte, au moment de la détermination de la sanction,
du fait que la défenderesse déclare avoir développé entretemps une solution de
consentement visant à assurer une base légale au placement de cookies de réseaux
sociaux sans consentement préalable sur ses sites 86.
o Cookies analytiques
153. Selon le rapport d’Inspection, des cookies dits « analytiques » sont déposés par défaut
sur le terminal de l’utilisateur avant qu’il ne soit procédé au recueil du consentement.
154. Selon la défenderesse, les cookies analytiques devraient pouvoir être placés sur base de
l’intérêt légitime et non soumis à consentement préalable (cf. point de vue reflété sous le
titre II.5, Constatation 1 «dépôt de cookies non strictement nécessaires avant le recueil
du consentement »).
155. La Chambre Contentieuse renvoie à ses développements et sa décision concernant les
cookies analytiques sous le titre II.5 3.1 « dépôt de cookies non strictement nécessaires
avant le recueil du consentement »87. Sur cette base, la Chambre Contentieuse retient
une atteinte à l’article 6.1.a du RGPD dans le chef de la défenderesse, du fait du dépôt de
cookies non nécessaires, y compris des cookies analytiques, sur l’appareil de la personne
concernée, avant le recueil de son consentement.
86
Conclusions du défenderesse, p. 25.
87
Voir titre Clarification en ce qui concerne le placement de cookies statistiques sans consentement, Pt. 119 et suivants.
Décision quant au fond 103/2022 - 59/76
▪ Constatation 4 (cases pré-cochées pour les partenaires) et constatation 5
(informations relatives à ces partenaires)
o Le rapport d’Inspection
156. Dans le cadre de sa constatation 4, le Service d’Inspection relève dans son rapport que
« l’écran de sélection des partenaires est par défaut en mode ‘autoriser’ pour les quelques
500 partenaires listés ».88 Ainsi par exemple, sur le site Le Soir, l’écran de sélection
apparaît comme suit :
157. Le rapport technique relatif au site du Soir indique également que les « Consent
Management Platforms » ne donnent pas satisfaction « puisque le principe est celui du
Transparency and consent framework d’IAB Europe et est donc orienté intérêts éditeurs
et publicitaires mais pas du tout au profit de la protection des personnes concernées.
Cela se voit par le nombre de partenaires à qui, les autorisations y sont données par
défaut […] ». Les rapports techniques relatifs aux autres sites web inspectés rapportent
des constats similaires.
158. Sur cette base, le Service d’Inspection retient une violation aux règles du consentement
et une violation des articles 4.11, 6.1.a et 7.1 du RGPD dans le chef des défenderesses,
88
Rapport d’Inspection, p. 22.
Décision quant au fond 103/2022 - 60/76
dans la mesure où les cases pré-cochées ne sont pas une manière valable de recueillir le
consentement selon la définition du consentement reprise à l’article 4.11 du RGPD
(définition du consentement) juncto l’interprétation développée par la Cour de Justice
dans son arrêt « Planet 49 » clarifiant le consentement exigé pour les cookies (article 5.3
de la Directive ePrivacy) sur base des règles de consentement prévues dans la Directive
95/46/CE, prédécesseur du RGPD89.
159. Le Service d’Inspection rappelle que le RGPD impose une “déclaration” ou “un acte positif
clair” (article 4.11 du RGPD), si bien qu’il n’est pas possible de recueillir le consentement
de la personne concernée pour l’envoi à tous les destinataires envisagés par une simple
acceptation implicite et passive (cases pré-cochées). Le Service d’Inspection rappelle
également que la Cour de Justice, dans son arrêt “Planet 49”90, a confirmé que le
consentement n’était fourni valablement qu’à condition qu’il soit sollicité au moyen de
cases pré-cochées que l’internaute devrait désélectionner pour marquer son refus de
consentir à la collecte de ses données personnelles. En outre, le Service d’Inspection
précise que cette manière de recueillir le consentement place la défenderesse en
indélicatesse par rapport à l’obligation faite à l’article 7.1 du RGPD lui imposant de pouvoir
démontrer que la personne concernée a donné son consentement au traitement de ses
données, en l’occurrence, en vue de placer des cookies non strictement nécessaires.
160. Sur base de ces éléments, le Service d’Inspection constate que le prescrit des articles
4.11 juncto 6.1.a et 7.1 du RGPD ne sont pas respectés.
161. Dans le cadre de sa constatation 5, le Service d’Inspection pointe également une atteinte
aux articles 4.11 juncto 12.1, 13 et 14 du RGPD sur base du constat que seuls 13 de ces
500 partenaires sont cités dans la politique relative aux cookies, alors que l’écran de
sélection des partenaires accessible via la bannière volatile relative aux cookies
référence quelques 500 partenaires de ce type. Le rapport technique précise en effet
« la politique présente 13 partenaires alors que si l’on déroule l’outil CMP de DIDOMI, on
se rend compte qu’il y est fait référence à environ 500 sociétés partenaires qui sont
sélectionnées par défaut. Via le CMP, il est également possible d’accéder aux politiques
de cookies de chaque partenaire individuellement, rendant la liste des 13 partenaires
totalement incomplète, inutile et trompeuse ».
89
CJUE, 1er octobre 2019, Planet49, C-673/17, ECLI :EU :C :2019 :801.
90
Ibid.
Décision quant au fond 103/2022 - 61/76
o Le point de vue de la défenderesse
162. Sur l’atteinte aux articles 4.11, 12.1, 13 et 14 du RGPD, la défenderesse expose que le
rapport d’enquête ne reflète pas la réalité du système de consentement mis au point par
IAB :
a. Le chiffre de 500 partenaires est un maximum et indique le maximum
d’annonceurs susceptibles d’annoncer sur les sites de la défenderesse parce qu’ils
sont affiliés à IAB Europe et participent à son réseau TCF ;
b. Quand un visiteur se présente sur le site de la défenderesse, elle ne sait pas quel
partenaire le système choisira pour afficher une annonce de sorte qu’il leur est
impossible de donner cette information aux visiteurs ;
c. Le système évolue en permanence et ne correspond plus aujourd’hui à la
description lors des constats.
d. La défenderesse invite la Chambre Contentieuse à apporter clarification quant à la
légalité du système de collecte de consentement IAB.
163. Selon la défenderesse, le grief ici examiné, à savoir, l’obtention d’un consentement pour
le transfert de données aux tiers, ne peut être examiné de manière séparée de l’ensemble
des mécanismes de collecte du consentement fournis par IAB en amont de la page par
laquelle la défenderesse offre à l’internaute la possibilité de sélectionner des tiers
destinataires des données personnelles, et ces mécanismes évoluent en permanence.
164. Sur l’atteinte aux articles 4.11 juncto 12.1, 13 et 14 du RGPD, la défenderesse ne développe
pas de défense spécifique91.
o Décision de la Chambre Contentieuse
165. Sur l’atteinte aux articles 4.11 juncto 12.1, 13 et 14 du RGPD, la Chambre contentieuse
rejoint les constatations du Service d’Inspection et retient une atteinte au devoir
d’information du fait que la politique vie privée ne reflète pas correctement le nombre de
partenaires potentiels qui sont susceptibles de traiter les données de l’internaute pour
leurs propres finalités (par exemple, via placement de leurs cookies sur le site concerné).
.
166. Sur l’atteinte aux articles 4.11, 12.1, 13 et 14 du RGPD, la Chambre Contentieuse a bien pris
note de la réfutation de la défenderesse quant au fait que le consentement ne serait pas
recueilli au moyen de cases pré-cochées mais bien au moyen du système de collecte de
91
Conclusions du défenderesse, p. 25.
Décision quant au fond 103/2022 - 62/76
consentement IAB en amont de la page informant la défenderesse des partenaires
destinataires de ses données, au moyen de cases pré-cochées.
167. La Chambre Contentieuse a bien noté l’argument de la défenderesse, selon lequel le
mécanisme d’obtention du consentement pour le traitement des données captées sur le
site du défendeur par des partenaires, ne peut être examiné de manière séparée de
l’ensemble des mécanismes de collecte du consentement fournis par IAB en amont de la
page par laquelle la défenderesse offre à l’internaute la possibilité de sélectionner des
tiers susceptibles de traiter ses données pour des finalités propres. De plus, ces
mécanismes d’obtention du consentement évoluent en permanence, selon la
défenderesse.
168. La Chambre Contentieuse rappelle que son appréciation se limite à un contrôle marginal
des moyens d’enquête mis à l’œuvre par le Service d’Inspection (cf. titre II.4 Sur la
procédure, point 94 et suivants). En l’occurrence, le Service d’Inspection a constaté des
manquements relatifs au traitement de données personnelles effectués par des
partenaires tiers sur le site de la défenderesse, sans juger utile d’examiner le mécanisme
de consentement de ces données tel que fourni par l’IAB en amont de cette page relative
aux tiers. La Chambre Contentieuse se réfère donc à l’appréciation technique du Service
d’Inspection selon laquelle le mécanisme de consentement au traitement de données
collectées sur le site par des tiers ne pouvait être apprécié de manière séparée du
mécanisme de consentement en amont. Dans cette mesure, le mécanisme de transfert
de données à des tiers par le biais de cases pré-cochés, constitue bien une atteinte aux
articles 4.11, 12.1, 13 et 14 du RGPD.
169. En réponse aux questions de la défenderesse à ce sujet, qui l’invite par voie de
conclusions à apporter ses clarifications quant à la légalité du système de collecte de
consentement IAB, la Chambre Contentieuse attire l’attention de la défenderesse sur sa
décision 21/2022 du 2 février 2022, intervenue entretemps, laquelle sanctionne certains
traitements de données effectués par IAB Europe au départ de données collectées par
les Consent Management Platforms au moyen du système TCF (Transparency and
Consent Framework).
➢ Légalité du système TCF et OpenRTB
170. La Chambre Contentieuse se réfère aux appréciations suivantes concernant la légalité
du système de collecte de consentement de l’IAB, à savoir, la solution de consentement
« Transparency & Consent Framework » ou « TCF », étant entendu que ce TCF collecte un
signal de consentement, d’éventuels choix de préférence ou d’exclusion exprimés par les
Décision quant au fond 103/2022 - 63/76
utilisateurs du site , pour ensuite permettre un système d’enchère en temps réel (« Open
Real-time bidding » ou « Open RTB »)92:
« la Chambre Contentieuse juge qu'aucune des bases proposées et mises en
œuvre par le TCF ne peut être légalement invoquée par les participants au TCF. Tout
d'abord, la Chambre Contentieuse estime que le consentement des personnes
concernées
obtenu par le biais des CMP n'est pas valide (i) et que la nécessité (pré)contractuelle
n'est
pas applicable (ii). En outre, la Chambre Contentieuse estime que l'intérêt légitime ne
répond pas au triple critère de la CJUE (iii). L'article 6 du RGPD est donc enfreint . »93
171. La Chambre Contentieuse souligne que l’IAB a été invitée à développer une solution de
consentement (« Transparency & Consent Framework ») adéquate dans les six mois
après validation d’un plan d’action par l’Autorité de protection des données.
172. Dans la mesure où
(i) la défenderesse, selon ses propres arguments, s’appuie sur le mécanisme
de consentement IAB;
(ii) il a été constaté postérieurement aux faits du dossier que le système TCF
version 2 de IAB n’offre pas une solution de consentement adéquate pour
les traitements dans le « OpenRTB »;
(iii) le système TCF utilisé par Rossel procède de la même version que celle
examinée par le Service d’Inspection dans le cadre de sa décision IAB du 2
février 202294,
173. la Chambre Contentieuse estime qu’il y a grand risque que le système de consentement
mis en œuvre par la défenderesse au moment des faits constatés dans le rapport, ne
réponde pas aux exigences de consentement prévues aux articles 4.11, 6.1.a et 7.1 du
RGPD.
➢ Responsabilité de la défenderesse
174. La Chambre Contentieuse attire l’attention de la défenderesse sur le fait qu’il porte la
responsabilité de fournir un système de consentement adéquat. A cet égard, la
responsabilité de IAB Europe pour le système de consentement qu’elle a conçu et
92
Pour une définition du système d’enchères en temps réel « Open RTB, voir le point B.4.1 (b) de la décision 21/2022 du 2
février 2022 de la Chambre Contentieuse.
93
Décision 21/2022 du 2 février 2022 de la Chambre contentieuse, point B.4.1 (a) et (b), en particulier le § 428.
94
“IAB Europe, in partnership with IAB Tech Lab, announced on 21 August 2019 the launch of the second iteration of
Transparency and Consent Framework” (TCF) v2.0. (https://iabeurope.eu/tcf-2-0/). » C’est cette version qui a fait l’objet du
rapport d’enquête dans la décision IAB (https://iabeurope.eu/tcf-2-0/).
Décision quant au fond 103/2022 - 64/76
commercialise n’exclut pas la responsabilité d’autres intervenants-responsables de
traitement au sein du système TCF.95 Sur base des enseignements généraux tirés de
l’examen du système TCF effectué dans le cadre de la décision IAB du 2 février 2022, il
est vraisemblable que (i) la défenderesse se voit offrir par le système la possibilité de
déterminer quels annonceurs peuvent offrir des publicités sur base de données
personnelles dans le cadre d’un site web ou d’une application ainsi que le choix de
travailler ou non avec une “Consent Management Platform”96, partant, il est également
vraisemblable que (ii) la défenderesse doive être considérée comme un responsable de
traitement dans le cadre du TCF et de l’Open RTB.
175. La Chambre Contentieuse attire l’attention de la défenderesse au sujet de l’arrêt
Wirtschaftsakademie de la Cour de Justice de l’Union européenne97 dans lequel il a été
décidé que le propriétaire d’un site est responsable du traitement de données
personnelles collectées sur son site à partir de cookies installés sur ou lus par leur site,
dans la mesure où le propriétaire du site prend part à la détermination des finalités et des
moyens de traitement des données de son site (par exemple, en définissant, à l’aide de
filtres mis à disposition par Facebook, les catégories de personnes qui vont faire l’objet
de l’exploitation de leurs données).
176. Dans cette mesure, la défenderesse est susceptible de porter une responsabilité quant à
l’utilisation du système TCF en vue de recueillir le consentement nécessaire aux
traitement de données personnelles via les sites web investigués, y compris l’utilisation
de cases pré-cochées selon la définition du consentement fournie à l’article 4.11 du RGPD
juncto l’interprétation développée par la Cour de Justice dans son arrêt « Planet 49»98.
177. En réponse aux questions formulées par la défenderesse à ce sujet dans ses conclusions,
la Chambre Contentieuse clarifie donc qu’il y a à son estime grand risque que le système
de consentement mis en œuvre par la défenderesse au moment des faits constatées
dans le rapport, ne réponde pas aux exigences de consentement prévues aux articles
4.11, 6.1.a et 7.1 du RGPD.
▪ Constatation 5 : politique relative aux cookies déficiente et informations en
anglais
95
Chambre Contentieuse, Décision nr. 21/2022 du 2 février 2022, p. 84, nr. 363 et suivants.
96
Pour une définition des « CMP », voir Chambre Contentieuse, Décision nr. 21/2022 du 2 février 2022, p. 15 et suivantes.
97
CJEU, 5 juin 2018, C-210/16, ECLI:EU:C:2018:388.
98
Voir constatation 4 du rapport d’Inspection, sous le titre I.1 ci-dessus.
Décision quant au fond 103/2022 - 65/76
o Le rapport d’Inspection
178. Selon le rapport d’Inspection, la défenderesse a manqué à son devoir d’information tel
que défini aux articles 12.1, 13 et 14 du RGPD en fournissant en anglais l’information
obligatoire relative aux cookies.
179. Le Service d’Inspection formule en outre plusieurs griefs au titre de la transparence :
- Lacunes dans l’information relative aux catégories de données à caractère
personnel traitées (cookies de réseau sociaux non repris dans l’écran de
paramétrage des cookies ; les cookies publicitaires qui constituent un type de
cookie suivant la politique relative aux cookies et font l’objet de pas moins de quatre
choix dans l’écran de paramétrage des cookies selon une gradation dans le degré
accepté de profilage publicitaire), l’absence de documentation individuelle des
cookies et la difficulté d’accéder à la politique de cookies.
Ainsi par exemple, en ce qui concerne la difficulté d’accéder à la politique de
cookies, le rapport d’Inspection technique relatif au site du Soir fait état des
constatations suivantes : « En ce qui concerne la facilité d’accès à la politique de
cookies, normalement elle devrait être accessible immédiatement, donc en 1 click. En
ce qui concerne ce cas, il est nécessaire de recourir à 11 opérations. La première est
de cliquer dans le « Learn More » de la bannière d’avertissement. Apparait donc
l’écran de collecte du consentement sur lequel je dois cliquer 1 fois sur « View our
partner » afin de voir à qui je donne mon consentement pour les fonctionnalités
présentées. Sur l’écran « Select partners for Le Soir » , je constate que tous les
partenaires sont actifs par défaut. Il existe le moyen de les désactiver tous au moyen
du bouton « Block » à droite de « All partners ». Ensuite un clic sur le bouton «
Save » en bas de l’écran à droite. On arrive sur l’écran « Welcome to Le Soir ! » ou
il est possible de sélectionner les 5 objectifs individuellement en cliquant 5 fois sur «
Disagree » pour refuser les options et une fois pour sauvegarder le choix via le
bouton « Save » en bas de la page à droite.
Décision quant au fond 103/2022 - 66/76
On retourne à la page d’accueil avec la bannière d’avertissement sur l’utilisation des
cookies qui a disparu et en faisant dérouler la page jusqu’à la fin, on obtient en bas
de page le lien Politique de cookies ».
180. Le rapport technique conclut que ces voies d’accès à la politique de cookies porte
atteinte aux obligations d’information et de transparence prévues aux articles 12.1, 13 et
14 du RGPD. Le rapport d’Inspection précise toutefois qu’il ne maintient pas le grief relatif
à l’accès à la politique de cookies et à l’obligation d’information relative à chaque cookie
individuel, une documentation par catégorie de cookies étant estimée suffisante selon le
Rapport d’Inspection.
181. S’agissant de la durée de conservation, la politique relative aux cookies se contente de
donner une définition des cookies de session et des cookies permanents sans fournir
d’information concrète sur les durées de conservation des cookies placés en visitant les
sites concernés.
Décision quant au fond 103/2022 - 67/76
o Le point de vue de la défenderesse
182. La partie défenderesse ne développe aucune défense spécifique concernant les
manquements aux devoirs d’information et de transparence exposés dans le rapport
d’Inspection et les rapports techniques, et se focalise sur la question de la langue :
l’apparition d’une information en anglais serait le résultat de la méthodologie inadaptée
suivie par le Service d’inspection, et son site internet aurait affiché une information en
français dans des conditions normales d’utilisation, selon la défenderesse, qui s’en est
expliquée tant dans ses arguments écrits qu’en audience.
183. A l’occasion de l’audience, le Directeur digital de la défenderesse a notamment précisé
que si son organisation avait soumis à l’ensemble des utilisateurs une interface en
anglais, il aurait reçu un nombre significatif de plaintes, ce qui ne fut pas le cas. Le
Directeur digital a également déclaré qu’en aucune cas une information en anglais n’a
été publiée en matière de cookies, que la défenderesse ne testait pas l’anglais lors de la
phase de déploiement des « CMP » (consent management platform), qu’elle s’est assurée
que l’ensemble du chaînage de l’information en français était correcte. Le Directeur
digital de la défenderesse a en outre exposé qu’il a réalisé des test avec le WEC en anglais
lorsqu’il a compris que cette méthodologie avait été utilisée par le Service d’Inspection,
et que le résultat obtenu était différent selon la langue utilisée. Il a ensuite regretté avoir
été dans l’impossibilité de reproduire et tester les éléments repris dans le rapport
d’Inspection.
184. Dans son rapport complémentaire, le Service d’Inspection explique à cet égard que « Le
paramètre de langue peut déclencher un cookie de langue (= strictement nécessaire) et
influencera la langue du texte proposé . Il n’y a rien qui rendrait le paramètre linguistique
"EN" plus contraignant que "FR" ou "NL" en termes de mécanisme de cookies et de
mécanisme de consentement. Une différence entre un environnement "normal" et un
environnement "de recherche" ne peut pas invalider les preuves. ». En audience, l’expert
technique du Service d’Inspection a en outre insisté sur le fait que l’utilisation de l’une ou
l’autre langue n’avait pas d’impact sur le constat que des cookies sont ou non déposés
sur la machine de l’utilisateur.
Le Service d’Inspection a réitéré le point de vue selon lequel l’incapacité de la
défenderesse à reproduire l’environnement à la date des constats résulte de la non mise
en œuvre de bonnes pratiques de gestion IT « tel ITIL V3 ».
Décision quant au fond 103/2022 - 68/76
o Décision de la Chambre Contentieuse
185. L’article 12.1 du RGPD prévoit que le responsable de traitement doit adopter des mesures
appropriées afin de permettre aux personnes concernées d’obtenir l’information requise
par les articles 13 et 14 du RGPD de manière concise, transparente, compréhensible et
aisée, dans une langue claire et simple.
186. Compte tenu de son appréciation marginale des éléments techniques apportés par le
Service d’Inspection, la Chambre Contentieuse estime que la défenderesse n’apporte
pas la preuve que les informations obligatoires ont été fournies de manière suffisamment
accessible et/ou dans la langue des personnes concernées au moment des constats
effectués par le Service d’Inspection. La Chambre Contentieuse constate de ce fait une
atteinte aux articles 12.1, 13 et 14 du RGPD du fait des défauts d’information et de
transparence relevés ci-dessus.
187. Les autres griefs soulevés par le Service d’Inspection en matière de transparence et les
arguments du défenderesse à ce sujet ne sont pas de nature à modifier l’appréciation
finale et globale de la Chambre Contentieuse qui conclut à une carence en matière
d’information et de transparence en matière de cookies sur les sites de la défenderesse.
188. En ce qui concerne les difficultés éprouvées par la défenderesse à répliquer les
constatations du Service d’Inspection, la Chambre Contentieuse doit à cet égard se
référer à l’appréciation par le Service d’Inspection de l’état de l’art en matière de charge
de la preuve/reproductibilité de l’environnement technique qu’il est raisonnable d’exiger
d’un site média, compte tenu à nouveau de sa compétence d’appréciation marginale des
constatations effectuées par le Service d’Inspection.
▪ Constatation 6 : retrait du consentement non respecté
o Le rapport d’Inspection
189. Il ressort du rapport d’analyse technique que le mécanisme de retrait du consentement
proposé sur les sites des défenderesse est inefficient. La méthodologie utilisée pour
recueillir le consentement s’y déroule comme suit dans le rapport technique relatif au site
du journal Le Soir : « nous supprimons les consentements autorisés par les moyens mis
à disposition par les sites pour les obtenir et on vérifie le retour à l’état initial en ce qui
concerne la présence de cookies. Les cookies déposés après avoir « tout accepté » ne
sont pas supprimés du terminal ; D’autres cookies sont déposés en naviguant sur le site.
En effet, dans le premier cas, nous constatons la présence de 104 cookies (ficher
Inspection.json), si nous autorisons tout au moyen de l’outil de gestion des cookies, on
constate la présence de 131 cookies (allowinitialcookies.json) et si l’on retire l’ensemble
des autorisations, on arrive à 129 cookies (disagreeinitialcookies.json). Le site étant
Décision quant au fond 103/2022 - 69/76
dynamique, le nombre peut varier d’un instant à l’autre, mais il est force de constater que
le retrait du consentement ne supprime en rien les cookies présents et n’empêche pas
non plus l’ajout de nouveaux cookies. On s’attendrait à avoir un nombre de cookie proche
de zéro ou du nombre de cookies strictement nécessaire si le consentement n’est pas
donné et que ce consentement est respecté, ce qui ne semble pas être le cas » 99.
190. Le Service d’Inspection constate une violation du droit dont dispose la personne
concernée de retirer son consentement à tout moment de l’article 7.3 du RGPD pour les
motifs suivants :
« L’analyse technique constate la présence de 85 cookies en autorisant tous les cookies
au moyen de l’outil de gestion des cookies. Elle relève la présence de pas moins de 117
cookies après le retrait de l’ensemble des autorisations au moyen de l’outil de gestion
des cookies. En outre, de nouveaux cookies sont ajoutés au gré de la navigation.
Décision : sur la base de ces éléments, le Service d’Inspection constate que le prescrit de
l’article 7.3 du RGPD n’est pas respecté »100.
191. Le Service d’Inspection procède à des constats et conclusions similaires pour les deux
autres sites inspectés.
o Le point de vue de la défenderesse
192. La partie défenderesse fait remarquer qu’il n’existe pas actuellement de technologie
permettant d’assurer un effacement total et automatique des cookies : « Après retrait
du consentement, les cookies visés ne sont plus utilisés mais leur effacement au sens
strict implique encore une démarche du visiteur. L’APD le sait bien puisque son propre
site procède de la même manière et renvoie l’utilisateur aux paramètres du navigateur
utilisé »101.
193. La défenderesse précise que le manquement allégué ne tient pas tant à la présence de
cookies après retrait du consentement, selon elle inévitable en l’état de la technique,
mais « tient en réalité au fait que les sites des concluantes ne contiendrait pas
d’information renvoyant le visiteur aux paramètres du navigateur utilisé permettant
d’effacer purement et simplement les cookies ».
194. Selon la défenderesse, ce défaut d’information revient à ajouter une information aux
obligations prévues par les articles 13 et 14 du RGPD, ce qui excède les obligations
légales en la matière.
99
Rapport d’Inspection, p. 19.
100
Rapport technique, p. 21.
101
Rapport d’inspection, p. 27.
Décision quant au fond 103/2022 - 70/76
o Décision de la Chambre Contentieuse
195. La Chambre Contentieuse prend note des constats du Service d’Inspection selon
lesquels la présence de cookies après retrait du consentement est indicative du fait que
ce consentement n’a pas été mis en œuvre conformément au prescrit du RGPD. La
Chambre Contentieuse prend également note des précisions apportées par la
défenderesse visant à requalifier le manquement constaté en défaut d’information sur
pied des articles 13 et 14 du RGPD en lieu et place d’un manquement à l’obligation
d’exécuter le droit au retrait du consentement sur pied de l’article 7.3 du RGPD.
196. La Chambre Contentieuse estime que le dossier de la partie défenderesse ne contient
aucun élément qui la conduise à s’écarter des conclusions du rapport du Service
d’Inspection, en particulier, aucune justification du fait que la présence de nouveaux
cookies ait été constatée après le retrait du consentement. La Chambre Contentieuse
relève que ce constat spécifique du Service d’Inspection n’est pas contesté en dehors de
la contestation méthodologie de principe exprimée par la défenderesse quant à la
validité et la reproductibilité des constats du Service d’Inspection. A nouveau, la Chambre
Contentieuse se réfère à son devoir d’appréciation marginal des constats d’Inspection.
Dans ce cadre, la Chambre Contentieuse estime que l’ajout de nouveaux cookies après
retrait du consentement par la défenderesse suffit à démontrer une atteinte à l’article
7.3 du RGPD.
III. Violations et sanctions
197. En résumé, la Chambre Contentieuse constate in casu les violations suivantes dans le
chef de la défenderesse :
➢ Violation de l’article 6.1.a du RGPD juncto article 129 de la LCE, par dépôt de
cookies non strictement nécessaires avant le recueil du consentement,
notamment des cookies placés par des domaines tiers dont il n’est pas prouvé qu’ils
sont strictement nécessaires au sens de l’article 129 de la LCE ;
➢ Violation des articles 4.11 juncto 6.1.a et 7.1 du RGPD pour recueil du
consentement par la technique de « further browsing » à savoir, couplage de
l’expression du consentement à recevoir des cookies au choix de poursuivre
l’utilisation du service ;
➢ Violation des articles 6.1.a du RGPD du fait du dépôt de cookies non nécessaires,
en l’occurrence, des cookies de réseaux sociaux et de mesure d’audience, avant
recueil du consentement ;
Décision quant au fond 103/2022 - 71/76
➢ Violation des articles 4.11 juncto 6.1.a et 7.1 du RGPD du fait que l’écran de
sélection des partenaires auxquels les données personnelles sont envoyées est par
défaut présenté en mode « autoriser » pour les quelques 500 partenaires listés ;
➢ Violation des articles 4.11 juncto 12.1, 13 et 14 du RGPD du fait que seuls 13
partenaires sont cités dans la politique relative aux cookies, alors que l’écran de
sélection des partenaires accessible via la bannière volatile relative aux cookies
référence quelques 500 partenaires de ce type ;
➢ Violation des articles 12.1, 13 et 14 du RGPD faute pour la défenderesse
d’apporter la preuve que les informations obligatoires ont été fournies de manière
suffisamment accessible et/ou dans la langue des personnes concernées au
moment des constats effectués par le Service d’Inspection.
➢ Violation de l’article 7.3 du RGPD vu l’ajout de nouveaux cookies sur les sites de la
défenderesse après retrait du consentement sans justification jugée pertinente par
le Service d’Inspection.
198. La Chambre Contentieuse décide dès lors, sur base de l’article 58.2 d) du RGPD et de
l’article 100, § 1, 90 LCA, d’enjoindre la défenderesse de mettre les traitements de
données personnelles visés par la présente décision en conformité avec les dispositions
du RGPD dont la violation a été constatée, et ce, dans un délai de 3 mois à dater de la
réception de la présente décision. La Chambre Contentieuse enjoint également la
défenderesse de fournir la preuve de cette mise en conformité endéans ce même délai.
199. La Chambre Contentieuse décide également d’imposer une amende de 50.000 EUR à la
défenderesse.
200. Il y a lieu de noter que le but d’une telle amende n’est pas de mettre fin à une infraction
commise mais bien d’appliquer efficacement les règles du RGPD. Comme cela ressort
clairement du considérant 148, le RGPD prévoit en effet que des sanctions, y compris des
amendes administratives, soient infligées pour toute violation sérieuse - donc y compris
à la première constatation d'une violation -, en complément ou en lieu et place des
mesures appropriées qui sont imposées. 102
102
Le considérant 148 du RGPD dispose ce qui suit : "Afin de renforcer l'application des règles du présent règlement, des
sanctions y compris des amendes administratives devraient être infligées pour toute violation du présent règlement, en
complément ou à la place des mesures appropriées imposées par l'autorité de contrôle en vertu du présent règlement. En
cas de violation mineure ou si l'amende susceptible d'être imposée constitue une charge disproportionnée pour une
personne physique, un rappel à l'ordre peut être adressé plutôt qu'une amende. Il convient toutefois de tenir dûment compte
de la nature, de la gravité et de la durée de la violation, du caractère intentionnel de la violation et des mesures prises pour
atténuer le dommage subi, du degré de responsabilité ou de toute violation pertinente commise précédemment, de la
manière dont l'autorité de contrôle a eu connaissance de la violation, du respect des mesures ordonnées à l'encontre du
responsable du traitement ou du sous-traitant, de l'application d'un code de conduite, et de toute autre circonstance
aggravante ou atténuante. L'application de sanctions y compris d'amendes administratives devrait faire l'objet de garanties
procédurales appropriées conformément aux principes généraux du droit de l'Union et de la Charte, y compris le droit à une
protection juridictionnelle effective et à une procédure régulière. [la Chambre Contentieuse souligne] »
Décision quant au fond 103/2022 - 72/76
201. La Chambre Contentieuse démontre ci-après que les violations du RGPD commises par
la défenderesse ne sont en aucun cas des violations mineures et que l'amende ne
constituerait pas une charge disproportionnée au sens du considérant 148 du RGPD,
deux hypothèses dans lesquelles la Chambre Contentieuse pourrait renoncer à infliger
une amende. Le fait qu'il s'agisse d'une première constatation de violation du RGPD
commise par la défenderesse n'affecte en rien la possibilité pour la Chambre
Contentieuse d'infliger une amende administrative, ainsi qu’il ressort du considérant 148
du RGPD. La Chambre Contentieuse inflige en effet une amende administrative en
application de l'article 58.2 i) du RGPD. L'instrument de l'amende administrative n'a par
ailleurs nullement pour but de mettre fin aux violations. À cet effet, le RGPD et la LCA
prévoient plusieurs mesures correctrices, dont les injonctions visées à l'article 100, § 1er,
8° et 9° de la LCA.
202. Compte tenu de l’article 83 du RGPD et de la jurisprudence 103 de la Cour des Marchés, la
Chambre Contentieuse motive l’imposition d’une sanction administrative de manière
concrète comme suit :
a) la nature, la gravité et la durée de l’infraction (art. 83.2 a) RGPD): les atteintes
constatées concernent notamment une méconnaissance des dispositions du
RGPD relatives aux principes mêmes de protection des données personnelles (art.
5 RGPD) et de proportionnalité du traitement (art. 6.1 RGPD) ainsi que des atteintes
aux principes de transparence (art. 12 RGPD). Une atteinte à ces dispositions donne
lieu aux amendes les plus hautes selon l’article 83.5 du RGPD. Il y a également lieu
de pointer l’étendue des traitements de données concernés du point de vue du
nombre de personnes impactées dont les données sont potentiellement traitées.
Les sites web concernés appartiennent, selon les chiffres du Centre d’Information
sur les Médias (CIM) aux 10 sites les plus visités de Belgique. La défenderesse
déclare avoir développé entretemps une solution de consentement visant à
assurer une base légale au placement de cookies non nécessaires (notamment les
cookies analytiques) sur ses sites, mais la Chambre Contentieuse ne peut en tenir
compte étant donné les risques juridiques d’une telle technique de consentement
et renvoie à ses développements ci-dessus concernant les mécanismes de
consentement proposés par l’IAB (constatation 4).
b) les atteintes commises précédemment par le responsable de traitement (art.
83.2 e) RGPD): le défenderesse n’a jamais fait l’objet d’un constat d’atteinte
sanctionné par la Chambre Contentieuse.
103
Cour d’appel de Bruxelles (section Cour des marchés), X. N.V. t. GBA, arrêt 2020/1471 du 19 février 2020.
Décision quant au fond 103/2022 - 73/76
c) la manière dont l’APD a eu connaissance de la violation (art. 83.2 h) RGPD): les
atteintes ont été constatées dans le cadre d’une enquête d’initiative du Service
d’Inspection sur initiative du Comité de Direction de l’APD.
203. Le 27 mai 2022, la défenderesse a communiqué sa réaction au formulaire de plainte daté
du 13 mai 2022, l’invitant à formuler des observations par rapport au montant de l’amende
envisagée.
204. Concernant les circonstances particulières du cas, la défenderesse affirme qu’une amende
ne se justifie pas et que seul un avertissement sans publication devrait être retenu si. dans
la pire des hypothèses, les poursuites devaient être dite recevables et qu’un manquement
devait être retenu (quod non dans les deux cas), compte tenu notamment, des éléments
suivants :
« 1) Le contexte juridiquement incertain : l’autorité a changé d’avis sur la question des
cookies wall et la position qu’elle défend aujourd’hui via certaines communications
publiques et décisions récentes n’est pas partagé par toutes les autorités européennes, n’a
donné lieu à aucun arrêt explicite de la Cour de justice et ne fait pas l’objet de dispositions
précise dans la directive et la loi de transposition ; et
2) La modification décidée d’initiative par Rossel à l’époque, dans un souci d’amélioration
constante et alors qu’elle ne savait même pas qu’elle faisait l’objet de poursuites de la part
de l’APD. Rossel n’a donc pas attendu les poursuites pour, malgré l’incertitude juridique
relevée supra, adopter volontairement l’interprétation la plus protectrice pour les visiteurs
alors que tel n’était pas son intérêt »
205. A cet égard, la Chambre Contentieuse réitère sa position :
(1) elle n’est pas tenue aux décisions prises par les autorités étrangères en matière de
cookie, déplore l’absence d’harmonisation en la matière et marque sa bonne volonté pour
tenter d’obtenir un consensus au niveau européen à ce sujet (cf. intention d’alerter le Comité
de direction à cet égard) ;
(2) la Chambre Contentieuse ne peut tenir compte de la modification décidée par Rossel
dans la mesure où elle se fonde sur un mécanisme de consentement dont la légalité a été
mise en cause dans une décision ultérieure, et dans la mesure où la responsabilité des
défenderesses dans la mise en œuvre de ce système est potentiellement engagée, comme
indiqué précédemment (voir point 174 et suivants, titre « responsabilité de la
défenderesse »).
206. A tort, la défenderesse estime par ailleurs que toute sanction au-delà de l’avertissement
aurait un effet de censure sur ses activités, car il n’est pas démontré que les règles en
matière de cookie impactent de quelque manière le contenu des publications
journalistiques des défenderesses.
Décision quant au fond 103/2022 - 74/76
207. Concernant les sanctions envisagées, la défenderesse estime que l’amende envisagée de
50.000 EUR est disproportionnée en tant que telle (excède un avertissement) et de par son
montant : « l’absence de plainte – et de dommage – de personne concernée, la brièveté de
la durée de l’infraction, l’incertitude juridique qui régnait, la durée de l’enquête et de la
procédure, la décision prise volontairement de modifier le système alors que Rossel ignorait
les poursuites, … sont des éléments qui n’autorisent rien de plus qu’un montant purement
symbolique ».
208. La Chambre Contentieuse n’entrevoit pas en quoi la durée de l’enquête et de la procédure
peut influencer la proportionnalité de l’amende envisagée. La Chambre Contentieuse
observe en outre que les infractions constatées ne sont pour la plupart pas résolues et
justifient un ordre de mise en conformité dans les 3 mois. Quant aux modifications
apportées par la défenderesse à son mécanisme de gestion de cookies, la Chambre
Contentieuse réitère qu’elle ne peut tenir compte du nouveau système IAB mis en œuvre à
titre de circonstance atténuante dans la mesure où la légalité de ce système de gestion de
cookies a été contestée ultérieurement.
209. Concernant les chiffres annuels soumis, la défenderesse conteste le fait que la Chambre
Contentieuse s’est procuré d’initiative les comptes annuels de « Rossel &Cie » sur le site de
la Banque Nationale. La Chambre Contentieuse estime que cette initiative ne lèse en rien
les droits de la défense vu que le formulaire d’amende vise précisément à lui permettre de
fournir son point de vue au sujet des chiffres pris en compte. La recherche d’initiative
effectuée par la Chambre Contentieuse dans des sources publiques n’entraine en outre
aucune nouvelle incrimination ou grief sur lequel la défenderesse n’aurait pas pu répondre
sur le fond.
210. En ce qui concerne le montant du chiffre d’affaire, Rossel conteste à tort le chiffre d’affaire
global pris en compte par la Chambre Contentieuse, et se réfère uniquement au chiffre
d’affaire pour toutes les activités « web » concernées, à savoir, 11.954.047,76 EUR pour les
activités Web du Soir et 9.321.377, 39 EUR pour les activités « web » de Sudmedia. La
Chambre Contentieuse souligne qu’elle peut imposer des amendes sur base du chiffre
d’affaire de l’ensemble d’une société, ce qui correspond incontestablement au chiffre
d’affaire de l’ensemble du groupe en tant qu’entité juridique .104 Surabondamment, la
Chambre Contentieuse souligne qu’elle a en tant qu’autorité de contrôle le pouvoir
d’imposer des amendes jusqu’à 20.000.000 EUR,
quelle que soit la taille ou le chiffre d’affaire de la société et compte tenu du type d’atteinte.
211. En l’occurence, dans le cas présent, la Chambre Contentieuse estime qu’une appréciation
forfaitaire en fonction du type d’atteinte est plus pertinente qu’une appréciation fondée sur
104
Article 83, al. 4, 5 et 6 RGPD.
Décision quant au fond 103/2022 - 75/76
le montant du chiffre d’affaire. La Chambre Contentieuse maintient donc le montant de
l’amende envisagé initialement, sur base forfaitaire, à savoir 50.000 EUR. Les lignes
directrices du CEPD en matière d’amende, actuellement soumises à consultation,
permettent en effet aux autorités d’appliquer un montant forfaitaire adapté en vue de
poursuivre l’effectivité et le caractère dissuasif de la sanction105. La Chambre Contentieuse
a uniquement produit les montant du chiffre d’affaire afin d’apprécier si l’amende n’était pas
manifestement disproportionnée compte tenu des moyens de fonctionnement de la
société (et n’aurait par exemple pas prononcé une amende de ce montant envers une
société au bord de la faillite). La Chambre Contentieuse estime que la défenderesse n’est
pas manifestement dans l’impossibilité de s’acquitter de l’amende forfaitairement
déterminée, compte tenu de la gravité des atteintes constatées par le Service d’Inspection
et confirmées par la Chambre Contentieuse.
212. L'ensemble des éléments exposés ci-dessus justifie une sanction effective, proportionnée
et dissuasive, telle que visée à l'article 83 du RGPD, compte tenu des critères d'appréciation
qu'il contient. La Chambre Contentieuse attire l'attention sur le fait que les autres critères
de l'article 83.2 du RGPD ne sont pas, dans ce cas, de nature à conduire à une autre amende
administrative que celle définie par la Chambre Contentieuse dans le cadre de la présente
décision.
213. Par ailleurs, dans la mesure où la réaction au formulaire d’amende met en cause l’objectivité
ou l’impartialité de l’APD et plus spécifiquement de la Chambre Contentieuse vis-à-vis la
défenderesse et les journalistes qui y travaillent, la Chambre Contentieuse fait valoir que
ces arguments ne sont basés sur aucune preuve et, de plus, sont de nature non pertinent.
IV. Publication de la décision
Vu l’importance de la transparence concernant le processus de décision de la Chambre
contentieuse, cette décision est publiée conformément à l’article 95, §1, 8° LCA sur le site web
de l’Autorité de protection des données avec mention des données d’identification du
défenderesse et ceci du fait de la spécificité de la présente décision – qui entraîne un risque de
réidentification même en cas de suppression des données d’identification – y compris l’intérêt
général de cette décision.
105
EDPB, Lignes directrices 04/2022 sur le calcul des amendes administratives sous le RGPD, 12 mai 2022, titre 6.1.2
« dynamic maximum amounts”.
Décision quant au fond 103/2022 - 76/76
PAR CES MOTIFS,
La Chambre Contentieuse de l’Autorité de protection des données décide, après délibération:
➢ Sur base de l’article 58.2, point i) juncto l’article 83 du RGPD et l’article 100, §1, 13°
LCA, d’imposer une amende administrative de 50.000 EUR en raison des violations
constatées aux articles 6.1.a du RGPD ; 4.11 juncto 6.1.a et 7.1 du RGPD ; 4.11 juncto
12.1, 13 et 14 du RGPD ;
➢ Sur base de l’article 58.2, al. 2, point d) du RGPD et de l’article 100, § 1, 9° LCA,
enjoindre la défenderesse de mettre les traitements de données personnelles visés
par la présente décision en conformité avec les dispositions du RGPD dont la
violation a été constatée dans le premier alinéa du présent dispositif, et ce, dans un
délai de 3 mois à dater de la réception de la présente décision ; fournir la preuve de
cette mise en conformité ;
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l'objet d'un recours auprès de la
Cour des marchés dans un délai de trente jours à compter de sa notification, avec l’Autorité de
protection des données en qualité de défenderesse.
(Sé). Hielke Hijmans
Président de la Chambre Contentieuse